linux security

какви секюрити механизми използвате за защитаване на вашите (production) сървъри?

LIDS, RSBAC, SELinux, GRSecurity?

Можете ли да препоръчате някой и да направите сравнение - плюсове, минуси ?

security-то не се изчерпва с това. LIDS и grsec са твърде различни неща. Освен което има неща, които излизат извън рамките на линукс сигурността и там става въпрос примерно за сигурност на разни мрежови протоколи. Ако става въпрос за web application сървъри нещата стават един порядък по-сложни. Сигурността въобще е толкова обширна тема, че не мисля, че в рамките на форума може да се заключи нещо общовалидно. Аз и не мисля, че съм достатъчно компетентен по въпроса, за да изказвам категорично мнение, че и да го налагам, защитавам и прочие.

Иначе разчитам на що-годе трезво и леко параноично мислене, grsec, достатъчно добре измислени позволения и правила, ровене за нови експлойти. Методът не е безотказен и не го препоръчвам. За мене лично сигурността е цяла наука и търсене на някакъв баланс, зависещ много от частния случай. И не се мисля за някакво светило в тая област, за да давам мнения и акъли. Преди винаги ми е било смешно като съм чел каква парадигма била сигурността и как всичко било относително, ама сега вече не знам наистина. Затова няма да давам никакви мнения и сравнения.

А и мисля, че хората прекалено много наблягат на сигурността на самата операционна система - разни добре известни overflows, format strings, проблеми с манипулиране на памет, създаване на несигурни линкове и pipes, тъпи глупости от сорта на ptrace и т.н, обаче това далеч, ама далеч не е всичко. Само си представете какво можете да направите с root-ната машина в една мрежа, стига да си позволите комбинация от spoofing и един да речем dummy sshd. Съвсем сигурни машини могат спокойно да си го отнесат, колкото и да са сигурни.

Но мисля, че би било прекрасно от друга страна да се обменят идеи тук

mai za purvi put se zbluskvas s poniatieto security ? prochel si nekolko termina i doide da pitas ?
kazi KONKRETNO kakvo te interesuva i moze i da polucis info ... taka zadaden vaprosa e glupav

DrFrancky

nikoi ot tezi. osven SELinux, ostanalite sa razrabotvat ot hobisti, t.e. sa malko ili mnogo amatiorski i bez poddryjka.

mislia che kato cialo ne e dobra ideia da zashtitavash edin ili drug server pootdelno. zashto? zashtoto e time/resource consuming i e igra na drebno. updatevai si serverite i pravi backup. sled koeto si slagash vsichkite serveri v designated network segment (napr dmz), otpred dmz-to edin application firewall (sys syotvetnite signaturki i protocol pravila) i shte ti ostane poveche vreme da se pipash ili da pipash niakoia kaka :)

ako si inteligentno kopche shte se setish da obiasniash na firewall-a si kakvo e izhodiasht trafik i zashto triabva da imash pravila i za nego.

hitro, a?

Бе grsec не е лошо нещо според мен, макар че съм ставал свидетел колко по-нестабилно става ядрото понякога, предполагам заради бъглив код в разни частни случаи (ooops...) За SElinux не съм си имал вземане-даване и не мога да давам мнения по въпроса...но щом го хвалите, ще проуча този въпрос за себе си.

Мисля че firewalls не са някаква панацея все пак...а и netfilter специално е донякъде тъпо направен и при по-голям трафик хич не му понася добре, особено с по-голям набор правила, щото алгоритъма търси съвпадащо правило последователно от правилата в съответната таблица и това за всеки пакет дето му дойде...

Някой случайно да ползва nf-hipac и да може да сподели впечатления??? Там доколкото знам се използват по-ефективни алгоритми и го хвалят че скоростта почти не зависела от броя правила (странно как)

ползвах nf-hipac преди малко повече от 2 години, държеше се много прилично
преди да го сложа, на една машина ми се налагаше да бута ~ 2500 правила в нетфилтър-а, нещата ставаха много зле, delay, loss
прочетох за nf-hipac и изтествах, проблема се реши, но един месец по-късно нямах нужда от него, и го махнах, оттогава не съм го виждал :)

the lord of destruction

Това е хубаво, аз разгледах hipac по-обстойно, доста амбициозни цели си поставят пичовете в TODO-то, мисля че това което правят е просто по-добър начин за traverse-ване в набор правила...което би имало приложения и в разни рутинг, IDS и трафик логинг чудесии да речем. Реализират го с някакви дървета, а не с някакви линейни такива списъци, което ускорява доста обхождането на структурата съответно бързодействието.

Според дълги тестове с valgrind тяхната чудесия била изчистена от memory leaks и подобни гадости и била доста стабилна, аз лично вярвам на това.

Искам само да питам още нещо, за което ме подсетиха разни ровенета из google: ако се ползва connection stateless filtering (t.e без connection tracking) дали netfilter ще даде много по-добра производителност? При условие че firewall-a бива DoS-нат, да речем с SYN пакети които не са последвани от установяване на връзка (SYN flood) conntrack-а би било много лоша идея и гаранция при по-голям flood netfilter ще му се види сметката. Но в обикновения случай при по-висок трафик, дали отсъствието на connection tracking води до забележимо подобрение в throughput-а ???

A, и да не забравя, успешна НГ на всички :)