GRSecurity

Кирилл Тихонов

GRSecurity – система безопасности для Linux, состоящая из патча к ядру и управляющей программы. На момент написания статьи актуальными были версии:

n  grsecurity-2.0-2.4.26.patch

n  gradm-2.0.tar.gz

GRSecurity предлагает в помощь администратору, желающему обезопасить свои сервера, следующие возможности:

n  Защита от атак типа «переполнение буфера» с помощью проекта PaX.

n  Role-Based Access Control – контроль доступа на основе ролей.

n  Случайные ID процессов.

n  Защищенный просмотр процессов.

n  Change root hardening – защита смены корневого каталога.

n  Защита /tmp.

Кроме того, GRSecurity ограничивает процессы по:

n  доступу к файловой системе;

n  конфигурированию устройств;

n  сетевому доступу;

n  ресурсам системы.

Центральная идея всех RBAC-систем – ограничение пользователей, особенно суперпользователя root. В результате, если злоумышленник получит доступ root, он ничего не сможет сделать с системой. Кстати, с самим получением доступа тоже возникают большие проблемы, поскольку удаленные и локальные эксплоиты больше не сработают. Значит, остаются либо метод прослушивания трафика, который в 99% ничего не даст, либо социальная инженерия.

По GRSecurity почти полностью отсутствует документация, за исключением официальной, датированной 1 апреля 2003 года. Вышеуказанная документация рассматривает первую версию GRSecurity, которая в настоящее время официально не поддерживается. А уж русскоязычных описаний продукта на просторах Интернета не было найдено ни одного. В этой статье будет рассмотрена установка и настройка второй версии GRSecurity, имеющей по сравнению с первой несколько принципиальных отличий в лучшую сторону.

Установка

Обладателям Gentoo Linux этот раздел можно пропустить, поскольку вся установка сводится к:

# emerge grsec-sources

# emerge gradm

Необходимо учитывать, что в стандартном ядре Gentoo-sources уже есть поддержка GRSecurity, но только первой версии. Поэтому надо использовать ядро grsec-sources, в состав которого входит GRSecurity второй версии.

В зависимости от дистрибутива, используемого вами в системе, может присутствовать либо порт, как в Gentoo, либо rpm- или dep-пакет. Желательно использовать их. Однако если пакетов для вашего дистрибутива нет – устанавливаем из исходников. Приступим к установке gradm:

# cd gradm-2.0

# make

# make install

Накладываем патчи на исходные тексты ядра:

# cd linux-2.4.26

# patch –Np1 –i  ../grsecurity-2.0-2.4.26.patch

# make menuconfig

В меню появился новый пункт – grsecurity. После его активации надо решить, какой уровень защиты будет использоваться:

n  low