Guía Grsecurity v2 de GentooEl proyecto grsecurity, alojado en http://www.grsecurity.org, ofrece varios parches al núcleo de Linux que mejoran la seguridad global de su sistema. En el siguiente capítulo se discuten las variadas características provistas por grsecurity, una lista completa de estas se encuentra en la página de características de grsecurity. Como la características de grsecurity están basadas principalmente en el núcleo, la mayor parte de este documento explica las diversas características del núcleo y sus respectivos operandos "sysctl" (si es aplicable). Integración en Gentoo Hardened El Proyecto Gentoo Hardened mantiene las características de mejoras de seguridad para Gentoo, incluyendo pero no limitándose a grsecurity. A lo largo de este documento hablaremos sobre la configuración del núcleo usando las variables de este, por ejemplo: CONFIG_GRKERNSEC_PAX_NO_ACL_FLAGS. Estas son las variables que usa el proceso de construcción del núcleo para determinar si cierta característica necesita ser compilada. Cuando configure su núcleo mediante make menuconfig o algo similar, puede observar una interfaz de usuario a través de la cual puede seleccionar las opciones del núcleo. Si elige el botón de Ayuda (Help) en alguna característica del núcleo, verá en la parte superior que menciona el nombre de la variable. Por lo tanto, puede configurar su núcleo como guste - pensando un poco. Si no puede encontrar cierta opción, siempre está la posibilidad de editar el archivo /usr/src/linux/.config a mano :) Por supuesto, para seleccionar las variadas opciones del núcleo de grsecurity debe activarlo en su núcleo:
Luchando contra la explotación de bugs en el software PaX introduce un par de mecanismos de seguridad que hacen más difíciles a los atacantes explotar bugs de software que involucren corrupción de memoria (pero note que PaX no protege contra todos los posibles bugs de software). El documento introductorio a PaX habla sobre tres técnicas posibles de explotación:
Un método de prevención no permite que se almacene código ejecutable en la memoria modificable (writable). Cuando miramos un proceso, este requiere de cinco regiones de memoria:
El primer método de prevención de PaX, llamado NOEXEC, tiene como objetivo dar control sobre la generación de código en tiempo de ejecución. Este marca como "no ejecutable" a las páginas de memoria que no contienen código ejecutable. Esto significa que el heap y la pila, que solamente contienen datos variables y no deberían contener código ejecutable, sean marcadas como "no ejecutables". Los exploits que coloque código en esas áreas con la intención de ejecutarlo simplemente fallarán. NOEXEC hace más que eso en realidad, los lectores interesados deberían enfocar su atención a la documentación de NOEXEC de PAX (en inglés). El segundo método de prevención de PAX, denominado ASLR (Address Space Layout Randomization, Aleatorización de Distribución del Espacio de Memoria), aleatoriza las direcciones dadas a peticiones de memoria. ASLR aleatoriza la asignación donde la memoria era previamente asignada contiguamente (lo que significa que los exploits saben donde están situadas las regiones de memoria de las tareas), haciendo inútiles las técnicas que dependen de esta información. Se puede encontrar más información sobre ASLR en línea. La configuración del núcleo recomendada para PaX es:
Si está usando un sistema no x86, observará que no existe CONFIG_GRKERNSEC_PAX_NOEXEC. Debería en cambio seleccionar CONFIG_GRKERNSEC_PAX_PAGEEXEC ya que es la única implementación de NOEXEC que hay por el momento. No todas las aplicaciones de Linux están contentas con las restricciones de seguridad de PaX. Entre estas están xorg-x11, java, mplayer, xmms y otros. Si planea usarlas puede alzar las protecciones para esas aplicaciones usando chpax y paxctl.
chpax ofrece un guión de inicio que maneja la mayoría de configuraciones de las aplicaciones más conocidas:
pax-utils en un pequeño conjunto de utilitarios que contiene aplicaciones útiles para administrar un servidor que use PaX.
Entre sus interesantes herramientas están scanelf y pspax:
Verificando las configuraciones de PaX Peter Busser escribió una suite de pruebas de regresión llamada paxtest. Esta herramienta chequeará diversos casos de posibles vectores de ataque y le informa del resultado. Cuando la ejecuta, dejará un archivo de bitácora denominado paxtest.log en el directorio de trabajo actual.
Del ejemplo mostrado arriba puede observar que:
Control de Acceso Basado en Roles (Role Based Access Control) Existen dos tipos de mecanismos de control de acceso usados para prevenir el acceso desautorizado a archivos (o información en general): DAC (Control de Acceso Discrecional) y MAC (Control de Acceso Obligatorio). Linux usa por defecto un mecanismo DAC: el creador del archivo puede definir quién tiene acceso a este. Un sistema MAC por su parte fuerza a que todos sigan las reglas establecidas por el administrador. La implementación MAC que soporta grsecurity es llamada Control de Acceso Basado en Roles. RSBAC asocia roles a cada usuario. Cada rol define qué operaciones pueden ser llevadas a cabo sobre ciertos objetos. Dada una colección bien escrita de roles y operaciones, sus usuarios estarán restringidos a hacer solamente aquellas tareas que le dice que pueden hacer. La restricción por defecto "deny-all" (negar todo) le asegura que un usuario no pueda realizar una acción de la cual no haya pensado. La configuración del núcleo recomendada para RBAC es:
gradm es una herramienta que le permite administrar y mantener una directriz para su sistema. Con ella puede activar o desactivar el sistema RBAC, recargar los roles RBAC, cambiar su rol, configurar un contraseña para el modo de administración, etcétera. Cuando instala gradm se dejará la directriz por defecto en /etc/grsec/policy:
Por defecto, las directrices RBAC no están activadas. Es tarea del administrador y no de Gentoo determinar cuándo el sistema debería poner en vigor una directriz RBAC. Antes de activar el sistema RBAC debería ajustar una contraseña de administración.
Para desactivar el sistema RBAC, ejecute gradm -D. Si no se le permite, primero necesita cambiarse al rol de administrador:
Si desea salir del rol de administrador, ejecute gradm -u admin:
El sistema RBAC viene con una excelente característica denominada "modo de aprendizaje". Dicho modo puede generar una directriz previsora de mínimos privilegios para su sistema. Esto permite ahorros de tiempo y dinero para poder instalar múltiples servidores seguros. Para usar el modo de aprendizaje, actívelo usando gradm:
Ahora use el sistema, haga las cosas que normalmente haría. Intente evitar hacer una resincronización, ejecutar locate u otra operación de archivos pesada en términos de E/S ya que esto realmente puede ralentizar el tiempo de procesamiento. Cuando crea que ha usado su sistema lo suficiente para obtener una buena directriz, deje que gradm la procese y le preponga roles en /etc/grsec/learning.roles:
Audite el archivo /etc/grsec/learning.roles y guárdelo como /etc/grsec/policy (con permisos 0600) cuando esté listo.
Ahora ya puede activar el sistema RBAC con su nueva e instruida directriz. Una interesante característica de grsecurity 2.x es el Soporte de Operación de Conjuntos en el archivo de configuración. Actualmente se reconocen uniones, intersecciones y diferencias de conjuntos (de objetos en este caso).
Aquí hay un ejemplo de uso, y los objetos resultantes que serán añadidos a su sujeto:
Lo de arriba se expandiría a:
Este es el resultado del operador & el cual toma ambos conjuntos y retorna los archivos que existen en ambos conjuntos y los permisos para esos archivos que existen en ambos conjuntos.
Este ejemplo se expandiría a:
Este es el resultado del operador de unión "|" el cual toma ambos conjuntos y entrega los archivos que existen en alguno de los conjuntos. Si un archivo existe en ambos conjuntos también se retorna y el modo contiene las banderas que existen en alguno de los conjuntos.
Este ejemplo se expandiría a:
Este es el resultado del operador de diferencia "-" que toma dos conjuntos y retorna los archivos que existen en el conjunto de la izquierda pero no en el calce del archivo en el conjunto de la derecha. Si un archivo existe en el conjunto izquierdo y se encuentra un calce en el de la derecha (ya sea que los nombres de archivos son iguales, o el directorio padre existe en el conjunto de la derecha) entonces se retorna el archivo y el modo del segundo conjunto se borra del primero, y ese archivo se retorna. En algún oscuro pseudo lenguaje podría ver esto como:
El orden de prioridad (de mayor a menor) es: "-, & |". Si no quiere preocuparse de recordar la precedencia, también se incluye reconocimiento de paréntesis, así que puede hacer cosas como:
4. Protección del Sistema de Archivos Luchando contra el enjaulamiento (chroot) y abuso del sistema de archivos Grsecurity2 incluye muchos parches que prohiben a los usuarios de obtener conocimiento innecesario acerca del sistema. Estos incluyen restricciones sobre el uso de /proc, enjaulado (chrooting), enlazado, etcétera. Recomendamos la siguiente configuración de grsecurity en el núcleo para protección del sistema de archivos:
Gatillando el mecanismo de seguridad Cuando está usando el núcleo compilado con las opciones mostradas arriba (o similares), obtendrá la opción de activar/desactivar muchas de las opciones a través del sistema de archivos /proc o vía sysctl. El ejemplo a continuación muestra un extracto típico de /etc/sysctl.conf:
Puede activar o desactivar a voluntad las opciones usando la orden sysctl:
Existe una opción de configuración muy importante de sysctl, a saber, kernel.grsecurity.grsec_lock. Cuando está activada, no es posible hacer futuros cambios.
Extendiendo las facilidades de generación de bitácoras (logging) de su sistema grsecurity añade a su núcleo funcionalidad extra relativa a la generación de bitácoras. Con la Auditoría del Núcleo de grsecurity, el núcleo le informa cuando se inician las aplicaciones, si los dispositivos son (des)montados, etc. Las diversas configuraciones de Auditoría del Núcleo La siguiente sección de configuración del núcleo puede ser usada para activar las opciones de Auditoría del Núcleo de grsecurity:
6. Restricciones a los procesos Con grsecurity puede restringir los ejecutables. Debido a que la mayoría de los exploits funcionan mediante uno o más procesos en ejecución, esta protección puede salvar la salud de su sistema. La pila TCP/IP de Linux es vulnerable a ataques basados en predicciones. Grsecurity incluye parches de aleatorización para contrarrestar esos ataques. Aparte de esos parches, también puede activar restricciones a los sockets, con lo que se prohibe completamente el acceso a la red a ciertos grupos. Las siguientes opciones del núcleo activan varias protecciones de red y ejecutables:
Aunque está fuera del alcance de este documento, mencionamos el uso de la cadena de herramientas de hardened que completa el modelo grsec/PaX del espacio de usuario.
|
|