Contramedidas de UNIX Filesystem

Estão aqui algumas coisas que você pode fazer para minimizar suas exposições do filesystem.

· Dê o sentido desobstruído em sua política da segurança sobre a necessidade proteger os dados da organização. Classifique a informação pela sensibilidade e defina que controles de acesso são requeridos. Dê exemplos.

· Ajuste a variável de ambiente a um confidencial, diretório provisório de TMPDIR do por-usuário. os programas Bem-comportados verificam TMPDIR antes de usar /tmp.

· Examine seus certificados de escudo e mude todas as referências aos diretórios publicamente writable a seu próprio diretório do tmp. Para pontos do bônus, críe nomes de arquivo originais sem confiar na hora, data, ou processo ID (ou um gerador pseudo-random fraco do número).

· Eduque usuários sobre permissões da lima e o efeito do umask. Em ambientes sensíveis, mande seus usuários assinar uma política do uso que inclua o stewardship bom da informação.

· Pergunte a usuários sobre suas necessidades do information-sharing. Críe grupos adicionais de UNIX como necessário e registre usuários como apropriados aos dados de suporte que compartilham em um nível mais granular. O mecanismo do grupo pode ser usado muito creativamente—pensa do prazo e projeta um modelo flexível do acesso do grupo.

· Certifique-se de que o umask está ajustado system-wide a 027 nas limas do start-up do escudo do sistema como um mínimo.

· Modifique limas da partida de sistema para ajustar o umask a 027.

· Críe um trabalho do cron verificar certificados do start-up do usuário para ver se há ajustes impróprios de umask.

· Examine /tmp e outros diretórios compartilhados em seus usuários agora. Execute verificações de ponto em /tmp. que os offenders persistentes devem ser advertidos que são na ruptura da política. Se os avisos não heeded e a informação for sensível, considere e-enviar um sumário de achados interessando à gerência.

· Incapacite a criação da lima de núcleo (para não ser confundido com os dumps de ruído elétrico da semente) através do comando do ulimit. As sementes modernas de UNIX recusarão despejar o núcleo quando ajuste-uid ruídos elétricos do programa porque isto pôde revelar a informação sensível. Entretanto, os daemons privilegiados do sistema e os processos de aplicação puderam despejar o núcleo tendo por resultado pedaços das limas de sistema sensíveis que estão sendo escritas à lima de núcleo readable do mundo. Valide seu reparo emitindo um sinal PARADO a um serviço de rede expendable e certifique-se de que não produza um dump de núcleo em seu diretório de funcionamento atual (/proc ou lsof pode ajudar encontrar para fora aquele.)

· Monitore /tmp para nomes de arquivo predictable usando uma ferramenta tal como o tmpwatch de L0pht's.

· Certifique-se que as tubulações nomeadas estão incluídas em suas verificações da permissão da lima! Estes são usados para uma comunicação process inter (IPC), de modo que as permissões lax permitam que um atacante interaja com os processos nas maneiras que você não quer.

· Impeça giveaways da lima ajustando CHOWN_RESTRICTED para rectificar na lima da configuração da semente.

· Considere usar ACLs prolongado (onde suportado) através dos comandos do getfacl e do setfacl (Solaris). Estes estendem a informação do acesso armazenada no inode. Podem ser usados dar um acesso de usuário a uma lima ou a um diretório mesmo se esse usuário não é no grupo possuindo nem não é o proprietário da lima, e as permissões da lima negam o acesso por "outro." Mas ACLs pode ser uma dor real a administrate. Pessoalmente, eu recomendo que você projeta um modelo bom do grupo e usa somente ACLs prolongado quando você necessita realmente.

Disclaimer: Nosso Web site não é responsável para a informação contida por este artigo. Este artigo em nenhuma maneira reflete as vistas, as opiniões, os pensamentos ou a opinião da equipe de funcionários do diretório dos artigos.

Observação da tradução: O artigo de "contramedidas UNIX Filesystem" foi traduzido usando um serviço de tradução automatizado. Nós desculpamo-nos sincerely por todos os erros da tradução que ocorram. Obrigado compreendendo.