grsecurity es un completo sistema de seguridad para Linux 2.4 que implementa un programa de prevención / estrategia de detección / contención. Evita que la mayoría de las formas de modificación de espacio de direcciones, programas confina a través de su sistema de control de acceso basado en roles, endurece syscalls, ofrece auditoría con todas las funciones, y pone en práctica muchas de las características de aleatoriedad de OpenBSD.
Fue escrito para el rendimiento, facilidad de uso y seguridad. El sistema RBAC tiene un modo de aprendizaje inteligente que puede generar políticas de privilegios mínimos para todo el sistema sin necesidad de configuración. Todos grsecurity soporta una característica que registra la IP del atacante que causa una alerta o de auditoría.
Aquí están algunas características clave de "grsecurity":
Futuros principales:
· Control de acceso basado en roles
· Usuario, grupo y papeles especiales
· Soporte de dominio para los usuarios y grupos
· Tablas de transición Rol
· Papeles basados en IP
· Acceso no root para papeles especiales
· Papeles especiales que no requieren la autenticación
· Sujetos anidadas
· Apoyo variable en la configuración
· Y, o, y las operaciones de diferencias establecido en las variables de configuración
· Modo Objeto que controla la creación de archivos setuid y setgid
· Crear y eliminar modos de objetos
· Interpretación Kernel de herencia
· Resolución de expresiones regulares en tiempo real
· Capacidad para negar ptraces a procesos específicos
· El usuario y la comprobación de transición del Grupo y el cumplimiento con carácter inclusivo o exclusivo
· / Dev / entrada grsec para la autenticación del kernel y los registros de aprendizaje
· Código de próxima generación que produce políticas menos privilegios para todo el sistema sin necesidad de configuración
· Estadísticas de política para gradm
· El aprendizaje basado en Herencia
· Aprender archivo de configuración que permite al administrador para que el aprendizaje basado en la herencia o deshabilitar el aprendizaje en rutas específicas
· Nombres de ruta completa para el proceso de la delincuencia y proceso padre
· Función de estado de RBAC para gradm
· / Proc // ipaddr da la dirección remota de la persona que inició un proceso determinado
· Aplicación de políticas Secure
· Soporta leer, escribir, anexar, ejecutar, ver y permisos de objetos PTRACE sólo lectura
· Apoyos esconden, protegen, y anulan banderas sujetos
· Es compatible con las banderas PaX
· Función de protección de memoria compartida
· Integrado respuesta ataque local en todas las alertas
· Bandera Asunto que garantiza un proceso que nunca puede ejecutar código troyanizado
· Estelar completa auditoría de grano fino
· Recursos, zócalo, y el apoyo capacidad
· Protección contra la explotación de fuerza bruta
· Descriptor de fichero / proc / pid / protección de la memoria
· Las reglas pueden ser colocados en archivos inexistentes / procesos
· Política de la regeneración en sujetos y objetos
· Supresión de registro configurable
· Contabilidad de procesos configurable
· Configuración legible
· No filesystem o dependiente arquitectura
· Escalas así: soporta tantas políticas como la memoria puede manejar con el mismo impacto en el rendimiento
· Sin la asignación de memoria en tiempo de ejecución
· Segura SMP
· O la eficiencia del tiempo para la mayoría de las operaciones
· Incluir directiva para especificar políticas adicionales
· Habilitar, deshabilitar, recargar capacidades
· Opción para ocultar los procesos del kernel
Restricciones chroot
· No adjuntar memoria compartida fuera del chroot
· No matanza fuera del chroot
· No ptrace fuera del chroot (independiente de la arquitectura)
· No capget fuera del chroot
· No fuera setpgid de chroot
· No fuera getpgid de chroot
· No getsid fuera del chroot
· No hay envío de señales por fcntl fuera del chroot
· No hay visualización de cualquier proceso fuera del chroot, incluso si está montado / proc
· No montar o volver a montar
· No pivot_root
· No doble chroot
· No fchdir de chroot
· Chdir forzada ("/") en chroot
· No (f) chmod + s
· No mknod
· No se escribe sysctl
· No crianza de prioridad planificador
· No conecte a tomas abstractas de dominio unix fuera del chroot
· La eliminación de privilegios nocivos a través de capacidades
· Tala Exec dentro de chroot
Protección de la modificación del espacio de direcciones
· Pax: aplicación basada Página de páginas de usuario no ejecutables para i386, sparc, sparc64, alfa, parisc, amd64, ia64, ppc y; impacto en el rendimiento insignificante en todas las CPU i386 pero Pentium 4
· Pax: aplicación basada en la segmentación de páginas de usuario no ejecutables para i386 sin impacto en el rendimiento
· Pax: aplicación basada en la segmentación de páginas NÚCLEO no ejecutables para i386
· Pax: restricciones mprotect impiden nuevo código de entrar en una tarea
· Pax: La asignación al azar de la pila y mmap base para i386, sparc, sparc64, alfa, parisc, amd64, ia64, ppc, y mips
· Pax: La asignación al azar de la base del montón para i386, sparc, sparc64, alfa, parisc, amd64, ia64, ppc, y mips
· Pax: La asignación al azar de la base ejecutable para i386, sparc, sparc64, alfa, parisc, amd64, ia64, ppc y
· Pax: La asignación al azar de pila del núcleo
· Pax: emular automáticamente trampolines sigreturn (para libc5, glibc 2.0, uClibc, Modula-3 compatibilidad)
· Pax: No hay reubicaciones .text ELF
· Pax: emulación trampolín (GCC y sigreturn linux)
· Pax: emulación PLT para arcos no i386
· Ninguna modificación del núcleo a través de / dev / mem, / dev / kmem, o / dev / puerto
· Opción para desactivar el uso de E / S bruta
· Eliminación de direcciones de / proc // [Mapas | stat]
Características de Auditoría
· Opción para especificar un solo grupo para auditar
· Tala Exec con argumentos
· Registro de recursos denegado
· Tala Chdir
· Montar y desmontar la tala
· Creación IPC registro / retirada
· Registro de señal
· Tala tenedor Error
· Tala cambio Tiempo
Características de aleatorización
· Piscinas más grandes de entropía
· TCP aleatorio números de secuencia inicial
· PID aleatorios
· Aleatorizado IP IDs
· Puertos de origen TCP aleatorios
· XID RPC aleatorios
Otras características
· Restricciones / proc que no se escapan información sobre los dueños de procesos
· Restricciones enlace simbólico / hardlink para prevenir / razas tmp
· Restricciones FIFO
· Dmesg (8) restricción
· Aplicación mejorada de Ejecución Camino de confianza
· Toma de restricciones basadas en GID
· Casi todas las opciones están sysctl-sintonizable, con un mecanismo de bloqueo
· Todas las alertas y auditorías apoyan una función que registra la dirección IP del atacante con el registro
· Conexiones Stream a través de sockets de dominio unix llevan la dirección IP del atacante con ellos (el 2,4 solamente)
· Detección de conexiones locales: copias de la dirección IP del atacante a la otra tarea
· Disuasión automática de explotar fuerza bruta
· Los niveles de seguridad de baja, media, alta y personalizados
· En tiempo de inundaciones sintonizable y estalló para el registro
¿Qué hay de nuevo en esta versión:
· Corrige al apoyo de la bandera PaX en el sistema RBAC.
· Actualizaciones PaX para arquitecturas no-x86 en 4.2.34 parche.
· Un setpgid en chroot problema se ha solucionado.
· La función PID aleatorizado se ha eliminado.
· Este uso correcciones de liberación / proc en un chroot en 2,6 parche.
· Se añade un rol de administrador a la política generada a partir de aprendizaje completa.
· Se vuelve a sincronizar el código PaX en el parche 2.4.
· Se ha actualizado para Linux 4.2.34 y 2.6.19.2.
Comentarios que no se encuentran