grsecurity

grsecurity bir aşkar / qarşısının alınması / saxlanılmasına strategiyasını həyata keçirir Linux 2.4 üçün tam təhlükəsizlik sistemi. Bu, onun rolu Əsaslı Access Control sistemi vasitəsilə ən ünvan kosmik dəyişiklik formaları, sərhədləri proqramları qarşısını alır syscalls hardens, tam özellikli audit təmin edir, və OpenBSD randomness xüsusiyyətləri bir çox həyata keçirir.
Bu performans, rahatlığı-of-istifadə və təhlükəsizlik üçün yazılmışdır. RBAC sistem konfiqurasiya ilə bütün sistemi üçün ən azı imtiyaz siyasəti yarada bir ağıllı təlim rejimi var. Grsecurity Bütün bir uyarı və ya audit səbəb təcavüzkar IP açan bir xüsusiyyət dəstəkləyir.
Burada "grsecurity" bəzi əsas xüsusiyyətləri aşağıdakılardır:
Əsas Futures:
· Rolu Əsaslı Access Control
· İstifadəçi, qrup və xüsusi rolu
Istifadəçilər və qruplar üçün · Domain dəstək
· Rolu keçid masalar
· IP-based rolu
Xüsusi rolu · Qeyri-kök giriş
Heç bir identifikasiyası tələb · Xüsusi rolu
· Iç-içə fənlər
· Konfiqurasiya Dəyişən dəstək
· Və ya, və fərq müəyyən əməliyyatları konfiqurasiya dəyişənlərin
Setuid və setgid faylların yaradılması nəzarət · Object rejimi
· Yaradın və obyekt rejimi silmək
Miras · Kernel şərh
· Real-time müntəzəm ifadə qətnamə
Xüsusi proseslərə ptraces inkar · bacarığı
· Bir daxil və ya müstəsna əsasında İstifadəçi və qrup keçid yoxlanılması və mühafizə
Kernel identifikasiyası və öyrənmə logs üçün · / dev / grsec giriş
Heç bir konfiqurasiya ilə bütün sistemi üçün az imtiyaz siyasəti istehsal · Nəsil kodu
Gradm üçün · Policy statistika
Vərəsəlik-based öğrenme
· Administrator miras-based öğrenme etkinleştirmek və ya xüsusi yolları öyrənmək aradan imkan verir konfiqurasiya faylını Learning
Cinayətkar prosesi və valideyn prosesi üçün · Full pathnames
Gradm üçün · RBAC status funksiyası
· / Proc // ipaddr bir prosesi başladı şəxsin uzaq ünvan verir
· Secure siyasət mühafizə
· Yazmaq əlavə, icra, görünüşü, və read-yalnız ptrace obyekt icazələrin oxumaq dəstəkləyir
Dəstəkləyir gizlətmək · qorumaq və mövzu bayraqları yalnış
· Pax bayraqları dəstəkləyir
· Birgə istifadə edilən yaddaş qoruma xüsusiyyəti
· Bütün siqnallar yerli hücum cavab Integrated
Bir müddət trojaned kodu yerinə heç vaxt təmin · Mövzu bayrağı
· Tam özellikli xırdadənəli audit
· Resource, rozetka, və qabiliyyəti dəstək
· Müdafiə bruteforcing istifadə
· / Proc / pid filedescriptor / yaddaş müdafiə
· Qaydalar qeyri-mövcud files / prosesləri yerləşdirilə bilər
Fənlər və obyektlərin · Policy bərpası
· Yapılandırılabilir log suppression
· Yapılandırılabilir proses mühasibat
İnsan oxunaqlı konfiqurasiya
· Fayl və ya asılı memarlıq deyil
· Də Tərəzi: eyni performans hit ilə idarə edə bilərsiniz yaddaş kimi çox siyasətini dəstəkləyir
· No uzunluğu yaddaş ayrılması
· SMP təhlükəsiz
Ən əməliyyatları üçün · O vaxt səmərəliliyi
· Əlavə siyasətini ifadə direktiv daxil
· Imkanları yenidən aradan Enable
· Kernel prosesləri gizlətmək üçün Seçim
 
Chroot məhdudiyyətlər
· Chroot kənarda heç bir əlavə paylaşdı yaddaş
· Chroot kənarda heç bir kill
· Chroot kənarda heç bir ptrace (memarlıq müstəqil)
· Chroot kənarda heç bir capget
· Chroot No setpgid xaricində
· Chroot No getpgid xaricində
· Chroot kənarda heç bir getsid
· No Chroot kənarda fcntl ilə siqnalları göndərmək
· Chroot kənarda heç bir prosesi heç bir mə `lumat səhifəsi / proc düzgün olsa
· No montaj və ya yenidən qurulması
· No pivot_root
· No ikiqat chroot
· Chroot həyata No fchdir
· Məcburi chdir ("/") Chroot sonra
· No (f) chmod + s
· No mknod
· No Sysctl yazır
· Scheduler prioritet No artırılması
· No Chroot kənarda mücərrəd unix domain altlıqlarını qoşulma
· Imkanları vasitəsilə zərərli güzəştlər Removal
· Chroot ərzində Exec giriş
 
Ünvan kosmik modifikasiya müdafiə
 
· PAX: i386, SPARC, SPARC64, alfa, parisc, AMD64, ia64, və PPC üçün qeyri-yürütülebilir istifadəçi pages Page əsasında həyata keçirilməsi; bütün i386 CPU'lar lakin Pentium 4 cüzi performance hit
· PAX: heç bir performans hit ilə i386 qeyri-yürütülebilir istifadəçi pages seqmentasiya-based həyata keçirilməsi
· PAX: i386 qeyri-yürütülebilir KERNEL pages seqmentasiya-based həyata keçirilməsi
· PAX: Mprotect məhdudiyyətlər bir məsələ daxil yeni kodu qarşısını almaq
· PAX: i386, SPARC, SPARC64, alfa, parisc, AMD64, ia64, PPC, və MIPS üçün yığını və mmap bazasının Randomization
· PAX: yığın i386 üçün baza, SPARC, SPARC64, alfa, parisc, AMD64, ia64, PPC və MIPS Randomization
· PAX: i386, SPARC, SPARC64, alfa, parisc, AMD64, ia64, və PPC üçün yürütülebilir bazasının Randomization
· PAX: kernel yığını Randomization
· PAX: Avtomatik sigreturn trampolines yarışmaq (2.0 glibc, libc5 üçün uClibc, Modula-3 uyğunluğu)
· PAX: No ELF Mətn köçürmələr
· PAX: Trampoline emulation (GCC və Linux sigreturn)
· Pax: Qeyri-i386 tağlarla üçün PLT emulation
· / Dev / mem / dev / kmem, və ya / dev / port vasitəsilə No kernel modifikasiya
· Variantları xam I istifadə aradan / O
· / Proc // [maps | stat] olan ünvanlarını Removal
 
Audit xüsusiyyətləri
 
· Variantları audit bir qrup müəyyən etmək üçün
· Dəlilləri ilə Exec giriş
· Təkzib resurs giriş
· Chdir giriş
· Mount və unmount giriş
· IPC yaradılması / aradan qaldırılması giriş
· Signal giriş
· Uğursuz çəngəl giriş
· Saat dəyişiklik giriş
 
Randomization xüsusiyyətləri
 
· Daha böyük Entropiya hovuz
· Randomize TCP ilkin Sequence Numbers
· Randomizə Piy
· Randomize IP kimlikleri
· Randomizə TCP mənbə port
· Randomizə RPC XIDs
 
Digər xüsusiyyətlər
 
· / Proc məhdudiyyətlər proses sahibləri haqqında məlumat sızma yoxdur ki,
/ Tmp yarış qarşısını almaq üçün · Symlink / Hardlink məhdudiyyətlər
· FIFO məhdudiyyətlər
· Dmesg (8) məhdudiyyət
· Trusted Path icrası Ətraflı həyata keçirilməsi
· GID-based yuva məhdudiyyətlər
· Təxminən bütün variantları bir kilitleme mexanizmi ilə Sysctl-tunable var
· Bütün siqnallar və audit log ilə təcavüzkar IP ünvanı açan bir xüsusiyyət dəstək
· Unix domain sockets arasında Stream əlaqələri (yalnız 2.4) ilə təcavüzkarın IP ünvanı keçirmək
· Yerli əlaqələri Detection: Digər məsələ nüsxə təcavüzkarın IP ünvanı
· Avtomatik çəkindirmə bruteforcing istifadə
· Aşağı, orta, yüksək və Xüsusi təhlükəsizlik səviyyəsi
· Tunable daşqın zaman və giriş üçün partlayış
Bu Release Yenilikler:
· RBAC sistemində Pax bayraq dəstək giderir.
· 2.4.34 patch qeyri-x86 arxitekturaları üçün Pax yenilikləri.
· Chroot problem A setpgid müəyyən edilmişdir.
· Randomizə Piy xüsusiyyət qaldırıldı.
· 2.6 patch bir Chroot Bu azad düzeltmelerini / proc istifadə.
· Bu tam öyrənmə yaranan siyasətinə admin rol edir.
· Bu 2.4 patch Pax kodu resynchronizes.
· Bu Linux 2.4.34 və 2.6.19.2 yeniləndi.