🚀 go-pugleaf

> > pluje Selinux pluje /i slusznie/. oczywiscie, mozesz to "naprawic" (w
> > sensie: zapobiec dalszym warningom selinuksa) poprzez odpowiednia
> > konfiguracje owych plikow/katalogow /musisz nadac im odpowiedni
> > kontext/. po szczegoly zapraszam do jakiegokolwiek poradnika
> > selinuksa /http://docs.redhat.com/docs/en-US/Red_Hat_Enterprise_Linux/index.html
> > /.
>
> Znaczy robi to co przeciętny antywirus + firewall?

nie. ok, sprobuje wyjasnic to jeszcze raz :)
Antywirus jest skuteczny tylko wtedy gdy "wie" o nowych zagrozeniach
(czyt. info o nich jest w bazie danych)- w przypadku dziur typu "0
day" (czyli takowych, na ktore jeszcze nie ma szczepionki) jest w
wiekszosci przypadkow nieskuteczny.
fiewall, najogolniej mowiac, okresla ktore aplikacje moga sie
kontaktowac z siecia (w sensie: wysylac i odbierac) (mowie tutaj
oczywiscie caly czas o zastosowaniach mniej-wiecej domowych, nie bede
sie rozpisywal o innych zastosowaniach firewalla).

teraz wyobraz sobie taka sytuacje:
masz serwer gier- instalujesz sobie gre /legalna, w pelni updatowana
etc/, konfigurujesz sobie firewalla tak by owa gra byla "widoczna w
sieci" /po to wszak ja instalujesz/. ok, wszystko dziala dobrze, az tu
sie nagle okazuje, ze w owej grze jest blad. jej tworcy nie wypuscili
jeszcze latki nan. ow blad jest taki /bez wnikania w szczegoly
oczywiscie/, ze napastnik przesylajac odpowiednio spreparowany kod,
potrafi uruchomic aplikacje, ktora sie znajduje na serwerze /niech
bedzie: takowa do kasowania plikow i katalogow, rm/. z racji tego, ze
ow serwer gier nie dziala na prawach administratora, tylko na
"zwyklego" uzera, to odpalony 'przezen' rm nie wykasuje calego dysku /
w sensie: calego systemu/ tylko to, do czego ma prawa zapisu/odczytu /
a wiec niech bedzie jakies super wazne dokumenty w Documents i fotki i
muzyke/. firewall ci nie pomoze, bo w jaki sposob mialby wiedziec,
ktory pakiet jest ok, a ktory nie (w sensie: nie zawsze da sie
wszystko super-dokladnie ustawic). AV tez nie pomoze- bo nie ma
informacji o owym zagrozeniu /ktore zreszta wirusem nie jest/.
o ile nie odpalasz owej gry w np. zwirtualizowanym windowsie, badz w
sandboksie /jak sadze da sie cos takeigo zrobic w sandboxie; ale nie
wiem bo nie uzywalem tego jeszcze/, to zasadniczo jestes w kropce /o
ile nie masz backupow/.

teraz- niech bedzie ze cos podobnego jest w linuksie:
gdy aplikacja zaczyna "żądać" dostępu do plikow/katalogow do ktorych
nie powinna go, wg regulki selinuksa, miec to /jesli oczywiscie
selinux jest w domyslnym trybie, zwanym enforcingiem/ ow dostep
zostanie odmowiony owej aplikacji, i administrator zostanie o tym
powiadomiony.
selinux, sam w sobie, nie ochroni cie przed ta dziura /zreszta- nic
innego tez cie nie ochroni/- ale przynajmniej ochroni cie przed
malwere probujacym cos zrobic "poza" zaatakowana aplikacja.
oczywiscie, sa srodki by zminimalizowac szanse na to: PIE, aslr, dep /
i dep na sterydach- EMET- przy ktorym sie btw windows server 2008r2
wyklada/ etc - ale owe metody nie likwiduja w 100% szansy na owy atak.
oczywiscie, w SELinuksie mozesz rowniez przypisac odpowiedni program /
binarke/ do odpowiedniego portu- i gdy "ni z gruchy, ni z pietruchy"
program ow zacznie sie laczyc po innych portach, to dostaniesz
ostrzezenie /i oczywiscie ow program nie bedzie sie w stanie z nimi
polaczyc, chyba ze zezwolisz/ tak z ciekawosci- jak cos takiego zrobic
pod winda?

szymon