[d-kernel] LIDS

[d-kernel] LIDS

[X-Stranger]

Не рассматривался ли когда-нибудь вопрос над созданием ветки ядра/программ для 
работы с LIDS? Может кто-то пробовал эту штуку для создания защищенного 
сервера/шлюза?

X-Stranger

Re: [d-kernel] LIDS

[X-Stranger]

В сообщении от 7 Сентябрь 2005 18:13 Avramenko Andrew написал(a):
> Сам вот недавно задумался над этим. Сейчас экспериментирую. Хотелось бы
> кончено сделать это решение.

Было бы очень неплохо. На базе такого решения можно сделать отдельный 
гиперзащищенный дистрибутив, не говоря уже о пользе для сисадминов серьезных 
серверов.

А до чего дошли ваши эксперименты?

X-Stranger

Re: [d-kernel] LIDS

[Avramenko Andrew]

Сам вот недавно задумался над этим. Сейчас экспериментирую. Хотелось бы
кончено сделать это решение.

-- 
С уважением,
Авраменко Андрей
ALT Linux TEAM
Volgograd Linux Users Group

Re: [d-kernel] LIDS

[Maxim Tyurin]

X-Stranger writes:

> Не рассматривался ли когда-нибудь вопрос над созданием ветки ядра/программ для 
> работы с LIDS? Может кто-то пробовал эту штуку для создания защищенного 
> сервера/шлюза?

Был такой Castle - защищенный дистрибутив на RSBAC.
Да умер в зародыше :(

Народ перебежал на Adamantix.
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [d-kernel] LIDS

[Avramenko Andrew]

> А до чего дошли ваши эксперименты?

Пока в разработке :-)
Только вчера занялся этим вопросом. 

Пока возникает несколько вопросов:

1. Какие права и на что выставлять в этом дистрибутиве (полный перечень файлов)?
2. Может быть написать какую-нить программулину для более простого выставления прав без заморочек консольной версии?


-- 
С уважением,
Авраменко Андрей
ALT Linux TEAM
Volgograd Linux Users Group

Re: [d-kernel] LIDS

[X-Stranger]

В сообщении от 7 Сентябрь 2005 18:23 Вы написали:
> 1. Какие права и на что выставлять в этом дистрибутиве (полный перечень
> файлов)? 
> 2. Может быть написать какую-нить программулину для более простого 
> выставления прав без заморочек консольной версии?

Когда прочел документацию по LIDS, относительно использования его в Sisyphus у 
меня в голове возникли такие же вопросы :) Думаю, что если использовать эту 
систему, этот вопрос надо решать большой толпой. Одному будет сложно 
составить список. С программулиной, в принципе, особых проблем быть не 
должно, благо и консольная утилита выставления правил не столь сложна, как 
скажем iptables :)  (мне так кажется).

X.

Re: [d-kernel] LIDS

[Avramenko Andrew]

> Был такой Castle - защищенный дистрибутив на RSBAC.
> Да умер в зародыше :(
> 

Ну дык нужно сделать что-нибудь такое, чтобы не умерло :-)



-- 
С уважением,
Авраменко Андрей
ALT Linux TEAM
Volgograd Linux Users Group

Re: [d-kernel] LIDS

[Avramenko Andrew]

Если создавать отдельный дистрибутив, то мне кажется не надо делать
упор только на LIDS. Тогда уж сразу надо какие-то еще дополнительные
опции, например проверка контрольной суммы системных файлов, может быть
еще что-то. В голову сразу не приходят мысли, что должно войти в
secur'ный дистрибутив. Возможно тогда уж внедрение туды ClamAV и на
основе модуля dazuko сделать on-access проверку файлов.

Хотя с другой стороны, многие скажут нафига это все по-дефолту нужно.
Руки ровные, голова умная, сделаю сам..

Должны быть какие-то еще идеи для создания отдельного дистрибутива.



-- 
С уважением,
Авраменко Андрей
ALT Linux TEAM
Volgograd Linux Users Group

Re: [d-kernel] LIDS

[X-Stranger]

В сообщении от 7 Сентябрь 2005 18:36 Вы написали:
> Если создавать отдельный дистрибутив, то мне кажется не надо делать
> упор только на LIDS. Тогда уж сразу надо какие-то еще дополнительные
> опции, например проверка контрольной суммы системных файлов, может быть
> еще что-то. В голову сразу не приходят мысли, что должно войти в
> secur'ный дистрибутив. Возможно тогда уж внедрение туды ClamAV и на
> основе модуля dazuko сделать on-access проверку файлов.
>
> Хотя с другой стороны, многие скажут нафига это все по-дефолту нужно.
> Руки ровные, голова умная, сделаю сам..
>
> Должны быть какие-то еще идеи для создания отдельного дистрибутива.

Для начала хватило бы и собранного с LIDS ядра (для чего в нашем случае нужно 
делать целую ветку), утилит для управления и дефолтового конфига, чтобы сразу 
после установки пакетов и перезагрузки можно было работать в системе с LIDS. 
Ну или хотя бы загрузиться :) 

X.

Re: [d-kernel] LIDS

[Maxim Tyurin]

Avramenko Andrew writes:

>> Был такой Castle - защищенный дистрибутив на RSBAC.
>> Да умер в зародыше :(
>> 
>
> Ну дык нужно сделать что-нибудь такое, чтобы не умерло :-)

Когда у меня было свободное время на поддержку Castle я использовал
его. Когда времени перестало хватать - стал смотреть на Adamantix.

Для того чтоб сделать такой дистрибутив - надо очень много времени (да
и знаний).
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [d-kernel] LIDS

[Andrey Rahmatullin]

[-- Attachment #1: Type: text/plain, Size: 469 bytes --]

On Wed, Sep 07, 2005 at 06:16:04PM +0300, Maxim Tyurin wrote:
> Был такой Castle - защищенный дистрибутив на RSBAC.
> Да умер в зародыше :(

%
> Я так понял что идея с RSBAC дистрибутивом умерла
Нет, идея не умерла, зато всё остальное так и не родилось.
                -- ldv in sisyphus@
%

-- 
WBR, wRAR (ALT Linux Team)
Powered by the ALT Linux fortune(8):

Я уверен, что если с этим что-то не так, то в любом случае надо фиксить
		-- ldv in devel@

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [d-kernel] LIDS

[Michael Shigorin]

On Wed, Sep 07, 2005 at 07:36:24PM +0400, Avramenko Andrew wrote:
> Если создавать отдельный дистрибутив, то мне кажется не надо
> делать упор только на LIDS. Тогда уж сразу надо какие-то еще
> дополнительные опции, например проверка контрольной суммы
> системных файлов

osec?

> Должны быть какие-то еще идеи для создания отдельного
> дистрибутива.

Задачи-то какие _у Вас_?

(у нас тут кой-какие есть, соотв. всякие knock потому и
собирались; плюс есть инсталер и при необходимости+осмысленности
можно найти время его прошерстить и выложить)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

Re: [d-kernel] LIDS

[Maxim Tyurin]

Michael Shigorin writes:

> On Wed, Sep 07, 2005 at 07:36:24PM +0400, Avramenko Andrew wrote:
>> Если создавать отдельный дистрибутив, то мне кажется не надо
>> делать упор только на LIDS. Тогда уж сразу надо какие-то еще
>> дополнительные опции, например проверка контрольной суммы
>> системных файлов
>
> osec?

Их воз и тележка таких систем.

>> Должны быть какие-то еще идеи для создания отдельного
>> дистрибутива.
>
> Задачи-то какие _у Вас_?

Толстый ACL и слежение за chown (основное).
RSBAC это дает (MAC мне не нужен).

> (у нас тут кой-какие есть, соотв. всякие knock потому и
> собирались; плюс есть инсталер и при необходимости+осмысленности
> можно найти время его прошерстить и выложить)

-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [d-kernel] LIDS

[Alexey Shabalin]

> >> Должны быть какие-то еще идеи для создания отдельного
> >> дистрибутива.
> >
> > Задачи-то какие _у Вас_?
> 
> Толстый ACL и слежение за chown (основное).
> RSBAC это дает (MAC мне не нужен).

А поддержка расширеных acl и attr и в стандартных ядрах сейчас есть?
(2.6 и 2.4 интересуют)  хотябы на ext.

http://acl.bestbits.at/

-- 
Alexey Shabalin

[d-kernel] Re: LIDS

[Konstantin A. Lepikhov]

<цитата от="Alexey Shabalin">
>> >> Должны быть какие-то еще идеи для
>> создания отдельного
>> >> дистрибутива.
>> >
>> > Задачи-то какие _у Вас_?
>>
>> Толстый ACL и слежение за chown (основное).
>> RSBAC это дает (MAC мне не нужен).
>
> А поддержка расширеных acl и attr и в
> стандартных ядрах сейчас есть?
> (2.6 и 2.4 интересуют)  хотябы на ext.
для 2.6 поддержка ACL у нас есть, для 2.4 -
только для xfs (acl). Если надо, могу сделать
-feat, это не так сложно.

-- 
WBR et al.

Re: [d-kernel] LIDS

[Michael Shigorin]

On Wed, Sep 07, 2005 at 09:22:12PM +0300, Maxim Tyurin wrote:
> >> Если создавать отдельный дистрибутив, то мне кажется не надо
> >> делать упор только на LIDS. Тогда уж сразу надо какие-то еще
> >> дополнительные опции, например проверка контрольной суммы
> >> системных файлов
> > osec?
> Их воз и тележка таких систем.

Я к тому, что это как раз не тот момент. (если речь не о подписи
бинарников там)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

Re: [d-kernel] Re: LIDS

[Alexey Shabalin]

2005/9/8, Konstantin A. Lepikhov <lakostis@anti-leasure.ru>:
> 
> <цитата от="Alexey Shabalin">
> >> >> Должны быть какие-то еще идеи для
> >> создания отдельного
> >> >> дистрибутива.
> >> >
> >> > Задачи-то какие _у Вас_?
> >>
> >> Толстый ACL и слежение за chown (основное).
> >> RSBAC это дает (MAC мне не нужен).
> >
> > А поддержка расширеных acl и attr и в
> > стандартных ядрах сейчас есть?
> > (2.6 и 2.4 интересуют)  хотябы на ext.
> для 2.6 поддержка ACL у нас есть, для 2.4 -
> только для xfs (acl). Если надо, могу сделать
> -feat, это не так сложно.
было бы хорошо. т.к. хотел недавно расширеные атрибуты использовать
для самбы, а на машине диски для файло-помойки стоят на райд от
promise, который на 2.6 не работает. Приходится использовать 2.4.  А
как самба с xfs-acl работать будет - не рисковал.


-- 
Alexey Shabalin

Re: [d-kernel] Re: LIDS

[Maxim Tyurin]

Alexey Shabalin writes:

> А как самба с xfs-acl работать будет - не рисковал.

Нормально будет работать.
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [d-kernel] Re: LIDS

[Michael Shigorin]

On Thu, Sep 08, 2005 at 03:37:51PM +0400, Alexey Shabalin wrote:
> было бы хорошо. т.к. хотел недавно расширеные атрибуты
> использовать для самбы, а на машине диски для файло-помойки
> стоят на райд от promise, который на 2.6 не работает.
> Приходится использовать 2.4.  А как самба с xfs-acl работать
> будет - не рисковал.

Здрасьте, alt+samba+xfs -- более чем production уже много лет.
После упоминания промисовского рейда -- не смешите "не рисковал".

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

Re: [d-kernel] Re: LIDS

[Eugene Ostapets]

08.09.05, Michael Shigorin<mike@osdn.org.ua> написал(а):
> On Thu, Sep 08, 2005 at 03:37:51PM +0400, Alexey Shabalin wrote:
> > было бы хорошо. т.к. хотел недавно расширеные атрибуты
> > использовать для самбы, а на машине диски для файло-помойки
> > стоят на райд от promise, который на 2.6 не работает.
> > Приходится использовать 2.4.  А как самба с xfs-acl работать
> > будет - не рисковал.
> Здрасьте, alt+samba+xfs -- более чем production уже много лет.
> После упоминания промисовского рейда -- не смешите "не рисковал".
Ну тка именно сейча и нельзя рисковать с xfs... Ему хватит и рисков с
железом, чтобы добавлять головную боль связанную с файлухой...


-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [d-kernel] Re: LIDS

[Alexey Shabalin]

> > > было бы хорошо. т.к. хотел недавно расширеные атрибуты
> > > использовать для самбы, а на машине диски для файло-помойки
> > > стоят на райд от promise, который на 2.6 не работает.
> > > Приходится использовать 2.4.  А как самба с xfs-acl работать
> > > будет - не рисковал.
> > Здрасьте, alt+samba+xfs -- более чем production уже много лет.
> > После упоминания промисовского рейда -- не смешите "не рисковал".
Во блин, за упирали :)
на этом "интересном" железе, собраном на коленке, хранится не
критичная к потере информация - разные видео и музыка. На нем и хотел
потренироватся с samba+acl
кроме дисков на promise'вском контролере еще заняты все остальные ide.
И используется LVM. В общем намешано - не балуйся. Но и потерять его
не жалко.
> Ну тка именно сейча и нельзя рисковать с xfs... Ему хватит и рисков с
> железом, чтобы добавлять головную боль связанную с файлухой...

-- 
Alexey Shabalin