Attachment 65429 Details for Bug 101753 – security/shb-kernel.xml

security/shb-kernel.xml

shb-kernel.xml (text/plain), 7.58 KB, created by Nguyen Thai Ngoc Duy (RETIRED) on 2005-08-08 07:48:59 UTC

(hide)

Description:

Filename:

MIME Type:

Creator: Nguyen Thai Ngoc Duy (RETIRED)

Created: 2005-08-08 07:48:59 UTC

Size: 7.58 KB

patch

obsolete

><?xml version='1.0' encoding='UTF-8'?>
>
>
><!DOCTYPE sections SYSTEM "/dtd/book.dtd">
>
>
>
>
><sections>
>
><version>1.0</version>
><date>2005-05-31</date>
>
><section>
><title>Loáº¡i bá» tÃnh nÄng</title>
><body>
>
>
>NguyÃªn táº¯c cÆ¡ báº£n khi cáº¥u hÃ¬nh kernel lÃ  loáº¡i bá» má»i thá»© báº¡n khÃ´ng
>cáº§n. NhÆ° váºy khÃ´ng nhá»¯ng báº¡n cÃ³ ÄÆ°á»£c má»t kernel nhá» mÃ  cÃ²n loáº¡i bá» lá»
>há»ng cÃ³ thá» cÃ³ bÃªn trong cÃ¡c driver vÃ  cÃ¡c tÃnh nÄng khÃ¡c.
>
>
>
>NgoÃ i ra cÅ©ng nÃªn xem xÃ©t táº¯t há» trá»£ náº¡p module. Máº·c dÃ¹ váº«n cÃ³ thá» cÃ i
>rootkit mÃ  khÃ´ng cáº§n tÃnh nÄng nÃ y, nhÆ°ng Ãt ra nÃ³ sáº½ gÃ¢y khÃ³ khÄn cho
>káº» táº¥n cÃ´ng muá»n cÃ i Äáº·t rootkit dáº¡ng kernel module.
>
>
></body>
></section>
><section>
><title>Há» táºp tin proc</title>
><body>
>
>
>Nhiá»u tham sá» kernel cÃ³ thá» ÄÆ°á»£c Äiá»u chá»nh báº±ng há» táºp tin
><path>/proc</path> hoáº·c báº±ng <c>sysctl</c>.
>
>
>
>Äá» thay Äá»i Äá»ng cÃ¡c tham sá» kernel vÃ  cÃ¡c biáº¿n khÃ¡c, báº¡n cáº§n Äá»nh
>nghÄ©a <c>CONFIG_SYSCTL</c> trong kernel. ÄÃ¢y lÃ  máº·c Äá»nh cho kernel
>2.4 chuáº©n.
>
>
><pre caption="Táº¯t IP forwarding">
># /bin/echo "0" &gt; /proc/sys/net/ipv4/ip_forward
></pre>
>
>
>Nhá» táº¯t IP forwarding. ChÃºng ta chá» cáº§n nÃ³ vá»i multi-homed host. Tá»t
>nháº¥t nÃªn thay Äá»i thÃ´ng sá» IP forwarding trÆ°á»c má»i thay Äá»i khÃ¡c vÃ¬
>thay Äá»i thÃ´gn sá» nÃ y cÃ³ thá» áº£nh hÆ°á»ng Äáº¿n nhá»¯ng cÃ¡i khÃ¡c.
>
>
><pre caption="Bá» qua ping packet">
># /bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all
></pre>
>
>
>Lá»nh trÃªn kÃªu kernel bá» qua má»i gÃ³i ping (ICMP type 0 message). NguyÃªn
>nhÃ¢n lÃ  vÃ¬ cÃ¡c gÃ³i IP chá»©a ICMP cÃ³ thá» chá»©a nhá»¯ng thá»© khÃ¡c mÃ  báº¡n
>khÃ´ng nghÄ© tá»i. Quáº£n trá» há» thá»ng dÃ¹ng ping lÃ m cÃ´ng cá»¥ cháº©n ÄoÃ¡n vÃ 
>thÆ°á»ng than phiá»n náº¿u nÃ³ bá» táº¯t, nhÆ°ng khÃ´ng cÃ³ lÃ½ do nÃ o Äá» cho phÃ©p
>káº» láº¡ bÃªn ngoÃ i cÃ³ quyá»n ping. Tuy nhiÃªn, ÄÃ´i khi cÅ©ng cáº§n thiáº¿t cho
>nhá»¯ng ngÆ°á»i bÃªn trong ÄÆ°á»£c phÃ©p ping, báº¡n cÃ³ thá» táº¯t ICMP type 0
>message trong firewall (cho phÃ©p quáº£n trá» cá»¥c bá» dÃ¹ng cÃ´ng cá»¥ nÃ y).
>
>
><pre caption="Bá» qua broadcast ping">
># /bin/echo "1" &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
></pre>
>
>
>Lá»nh trÃªn táº¯t pháº£n há»i vá»i ICMP broadcast vÃ  trÃ¡nh Smurf attack. Smurf
>attack hoáº¡t Äá»ng báº±ng cÃ¡ch gá»i ICMP type 0 (ping) Äáº¿n Äá»a chá»
>broadcast trÃªn máº¡ng. Má»t káº» táº¥n cÃ´ng Äiá»n hÃ¬nh sáº½ dÃ¹ng má»t Äá»a chá»
>nguá»n giáº£. Má»i mÃ¡y trÃªn máº¡ng sáº½ tráº£ lá»i cho ping message, vÃ  nhÆ° tháº¿
>vÃ´ tÃ¬nh táº¥n cÃ´ng vÃ o mÃ¡y bá» giáº£ Äá»a chá» nguá»n.
>
>
><pre caption="Táº¯t source routed packet">
># /bin/echo "0" &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
></pre>
>
>
>KhÃ´ng ÄÆ°á»£c cháº¥p nháºn source routed packet. Káº» táº¥n cÃ´ng cÃ³ thá» dÃ¹ng
>source routing Äá» táº¡o ra nhá»¯ng thÃ´ng tin tÆ°á»ng nhÆ° xuáº¥t phÃ¡t tá»« bÃªn
>trong máº¡ng, nhÆ°ng tháºt ra ÄÃ£ ÄÆ°á»£c route ngÆ°á»£c láº¡i theo ÄÆ°á»ng nÃ³ Äáº¿n,
>váºy lÃ  káº» táº¥n cÃ´ng ÄÃ£ xÃ¢m nháºp vÃ o máº¡ng cá»§a báº¡n. Source routing ráº¥t
>hiáº¿m khi ÄÆ°á»£c dÃ¹ng, vÃ¬ váºy táº¯t nÃ³ cÅ©ng khÃ´ng sao.
>
>
><pre caption="KhÃ´ng cháº¥p nháºn redirect">
># /bin/echo "0" &gt; /proc/sys/net/ipv4/conf/all/accept_redirects
># /bin/echo "0" &gt; /proc/sys/net/ipv4/conf/all/secure_redirects
></pre>
>
>
>KhÃ´ng cháº¥p nháºn cÃ¡c gÃ³i ICMP redirect. ICMP redirect cÃ³ thá» ÄÆ°á»£c dÃ¹ng
>Äá» thay Äá»i routing table, vÃ  cÃ³ thá» gÃ¢y ra tÃ¡c Äá»ng xáº¥u.
>
>
><pre caption="Báº£o vá» trÆ°á»c cÃ¡c thÃ´ng bÃ¡o lá»i xáº¥u">
># /bin/echo "1" &gt; /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
></pre>
>
>
>Báºt báº£o vá» trÆ°á»c cÃ¡c pháº£n há»i thÃ´ng bÃ¡o lá»i nguy hiá»m.
>
>
><pre caption="Lá»c reverse path">
># for i in /proc/sys/net/ipv4/conf/*; do
> /bin/echo "1" &gt; $i/rp_filter
>done
></pre>
>
>
>Báºt Lá»c reverse path. NÃ³ giÃºp báº£o Äáº£m cÃ¡c gÃ³i dÃ¹ng Äá»a chá» nguá»n há»£p
>lá» báº±ng cÃ¡ch tá»± Äá»ng reject cÃ¡c gÃ³i Äáº¿n náº¿u network interface mÃ  nÃ³
>Äáº¿n khÃ´ng khá»p vá»i thÃ´ng tin trong routing table. NÃ³ giÃºp chá»ng giáº£
>IP. Báº¡n cáº§n báºt nÃ³ vá»i tá»«ng cÃ¡i trong <path>net/ipv4/conf/*</path>,
>náº¿u khÃ´ng nÃ³ sáº½ khÃ´ng hoáº¡t Äá»ng hoÃ n toÃ n.
>
>
><warn>
>Tuy nhiÃªn báºt Lá»c reverse path cÃ³ thá» gÃ¢y ra váº¥n Äá» náº¿u báº¡n dÃ¹ng
>routing khÃ´ng Äá»i xá»©ng (packet tá»« báº¡n Äáº¿n má»t mÃ¡y khÃ¡c dÃ¹ng má»t ÄÆ°á»ng
>Äi khÃ¡c vá»i ÄÆ°á»ng Äi tá»« mÃ¡y ÄÃ³ vá» mÃ¡y báº¡n) hoáº·c náº¿u báº¡n thao tÃ¡c trÃªn
>má»t mÃ¡y non-routing, cÃ³ vÃ i IP trÃªn cÃ¡c network interface khÃ¡c nhau.
></warn>
>
><pre caption="Log má»i gÃ³i redirect, source-routing hoáº·c source giáº£">
># /bin/echo "1" &gt; /proc/sys/net/ipv4/conf/all/log_martians
></pre>
>
>
>Log má»i gÃ³i redirect, source-routing hoáº·c source giáº£.
>
>
>
>Nhá»¯ng thiáº¿t láºp nÃ y sáº½ máº¥t khi mÃ¡y tÃnh khá»i Äá»ng láº¡i. Báº¡n nÃªn thÃªm
>chÃºng vÃ o <path>/etc/sysctl.conf</path>, sáº½ tá»± Äá»ng ÄÆ°á»£c gÃ³i trong
>init script <path>/etc/init.d/bootmisc</path>.
>
>
>
>CÃº phÃ¡p cá»§a <path>/etc/sysctl.conf</path> khÃ¡ ÄÆ¡n giáº£n. HÃ£y bá» pháº§n
><path>/proc/sys/</path> khá»i nhá»¯ng ÄÆ°á»ng dáº«n ÄÃ£ Äá» cáºp á» trÃªn vÃ  thay
><path>/</path> báº±ng <path>.</path>:
>
>
><pre caption="LÆ°u vÃ o sysctl.conf">
><comment>(DÃ¹ng lá»nh echo):</comment>
>/bin/echo "0" &gt; /proc/sys/net/ipv4/ip_forward
>
><comment>(LÆ°u vÃ o sysctl.conf:)</comment>
>net.ipv4.ip_forward = 0
></pre>
>
></body>
></section>
><section>
><title>Grsecurity</title>
><body>
>
>
>Patch tá»« <uri link="http://grsecurity.net">Grsecurity</uri> náº±m trong
>Gentoo kernel, nhÆ°ng máº·c Äá»nh lÃ  táº¯t. Cáº¥u hÃ¬nh kernel báº¡n nhÆ° bÃ¬nh
>thÆ°á»ng vÃ  sau ÄÃ³ cáº¥u hÃ¬nh cÃ¡c tÃ¹y chá»n Grsecurity. Báº£n giáº£i thÃch chi
>tiáº¿t cÃ¡c tÃ¹y chá»n cá»§a Grsecurity (phiÃªn báº£n 1.9) náº±m á»
>trang <uri link="/proj/en/hardened">Gentoo Hardened</uri>.
>
>
>
>Kernel <c>grsec-sources</c> chá»©a phiÃªn báº£n Grsecurity 2.*. ThÃ´ng tin
>chi tiáº¿t vá» cÃ¡c báº£n patch Grsecurity cáº£i tiáº¿n náº±m á» <uri
>link="http://www.grsecurity.net/">Grsecurity homepage</uri>.
>
>
></body>
></section>
><section>
><title>Kerneli</title>
><body>
>
>
><uri link="http://www.Kerneli.org">Kerneli</uri> lÃ  patch thÃªm há» trá»£
>mÃ£ hÃ³a vÃ o kernel. DÃ¹ng patch nÃ y, kernel cá»§a báº¡n sáº½ cÃ³ nhá»¯ng tÃ¹y chá»n
>má»i nhÆ° cÃ¡c thuáºt toÃ¡n mÃ£ hÃ³a, digest, vÃ  cÃ¡c bá» lá»c mÃ£ hÃ³a dáº¡ng loop.
>
>
><warn>
>Patch kerneli hiá»n thá»i khÃ´ng cÃ³ cho phiÃªn báº£n á»n Äá»nh cá»§a kernel má»i
>nháº¥t, váºy hÃ£y cáº©n tháºn khi dÃ¹ng nÃ³.
></warn>
>
></body>
></section>
><section>
><title>CÃ¡c kernel patch khÃ¡c</title>
><body>
>
><ul>
><li><uri link="http://www.openwall.com">The OpenWall Project</uri></li>
><li><uri link="http://www.lids.org">Linux Intrusion Detection System</uri></li>
><li><uri link="http://www.rsbac.org">Rule Set Based Access Control</uri></li>
><li>
> <uri link="http://www.nsa.gov/selinux">NSA's security enhanced kernel</uri>
></li>
><li><uri link="http://sourceforge.net/projects/wolk/">Wolk</uri></li>
></ul>
>
>
>CÃ³ láº½ cÃ²n nhiá»u ná»¯a.
>
>
></body>
></section>
></sections>

Actions: View

Attachments on bug 101753: 65422 | 65423 | 65425 | 65426 | 65427 | 65428 | 65429 | 65430 | 65431 | 65432 | 65433 | 65434 | 65435 | 65436 | 65437 | 65438 | 65439