14.3. Caratteristiche dei livelli di sicurezza

Quella che segue è la descrizione delle varie caratteristiche di sicurezza che ogni livello introduce nel sistema. Queste caratteristiche sono di diversi tipi:

Caratteristica \ Livello012345
controllo generale di sicurezza  
umask per gli utenti002002002002077077
umask per root002002002002002077
shell senza password     
autorizzati a connettersi al display Xtutti locale locale nessunonessunonessuno
utenti nel gruppo audio   
. in $PATH    
avvisi nel file /var/log/security.log 
avvisi direttamente su tty  
avvisi in syslog  
avvisi inviati via e-mail a root  
controllo dei file suid root  
controllo MD5 dei file suid root  
controllo file scrivibili   
controllo permessi   
controllo file gruppo suid   
controllo file senza proprietario   
controllo promiscuità   
controllo porte in ascolto   
controllo integrità file passwd   
controllo integrità file shadow   
controllo sicurezza del sistema ogni giorno a mezzanotte   
registra tutti gli eventi del sistema anche su /dev/tty12   
solo root può usare ctrl-alt-del    
i servizi sconosciuti sono disabilitati    
password di avvio (grub/LILO)    
accetta connessioni datutti tutti tutti tutti locale nessuno

Notate che sei dei dieci controlli periodici possono individuare cambiamenti nel sistema. Essi memorizzano la configurazione del sistema al momento dell'ultimo controllo (un giorno prima) in alcuni file nella directory /var/log/security/, e vi avvisano di eventuali cambiamenti avvenuti nel frattempo. Questi controlli sono:

14.3.1. "controllo generale di sicurezza"

  1. "NFS filesystems globally exported" ("filesystem NFS esportati globalmente"): viene considerato un'impostazione poco sicura, dato che non esistono restrizioni su chi può montare quei filesystem.

  2. "NFS mounts with missing nosuid" ("mount NFS senza nosuid"): questi filesystem sono esportati senza l'opzione nosuid, che impedisce ai programmi suid di funzionare sul sistema.

  3. "Host trusting files contain + sign" ("i file dei permessi degli host contengono il segno +"): significa che uno dei file /etc/hosts.equiv, /etc/shosts.equiv e /etc/hosts.lpd contiene nomi di computer a cui è consentita la connessione senza che venga effettuata un'autenticazione completa.

  4. "Executables found in the aliases files" ("trovati eseguibili nei file degli alias"): è un avviso che riporta i nomi di eventuali eseguibili incontrati nei due file /etc/aliases e /etc/postfix/aliases.

14.3.2. "umask per gli utenti"

Imposta semplicemente umask per gli utenti normali al valore corrispondente al livello di sicurezza.

14.3.3. "umask per root"

La stessa cosa, ma per root.

14.3.4. "shell senza password"

L'accesso alle console è consentito senza richiedere una password.

14.3.5. "autorizzati a connettersi al display X"

  1. tutti: chiunque da qualsiasi luogo può aprire una finestra X sul vostro schermo.

  2. locale: solo le persone connesse a localhost possono aprire una finestra X sul vostro schermo.

  3. nessuno: nessuno può farlo.

14.3.6. "utenti nel gruppo audio"

Tutti gli utenti sono membri dei gruppi audio e cdrom. Questo significa che tutti gli utenti hanno accesso ad alcuni privilegi speciali riguardanti la scheda audio, etc.

14.3.7. ". in $PATH"

L'elemento . viene aggiunto nella variabile d'ambiente $PATH, agevolando l'esecuzione di programmi situati nella directory di lavoro attuale (ciò rappresenta, entro certi limiti, anche una falla di sicurezza).

14.3.8. "avvisi nel file /var/log/security.log"

Tutti gli avvisi generati da MSEC vengono registrati nel file di nome /var/log/security.log.

14.3.9. "avvisi direttamente su tty"

Tutti gli avvisi generati da MSEC vengono stampati direttamente sulla console attuale.

14.3.10. "avvisi in syslog"

Gli avvisi di MSEC vengono redirezionati verso il servizio syslog.

14.3.11. "avvisi inviati via e-mail a root"

Gli avvisi generati da MSEC vengono anche inviati via e-mail a root.

14.3.12. "controllo dei file suid root"

Controlla se nel sistema sono stati cancellati o creati nuovi file suid root. Se questo è avvenuto, viene generato un avviso con la lista dei file in questione.

14.3.13. "controllo MD5 dei file suid root"

Controlla la firma MD5 di ogni file suid root presente nel sistema. Se la firma è cambiata, significa che è stata fatta una modifica al programma, forse una back door. Viene quindi generato un avviso.

14.3.14. "controllo file scrivibili"

Controlla se i file del sistema sono modificabili da chiunque. Se è così, genera un avviso contenente la lista dei file a rischio.

14.3.15. "controllo permessi"

Controlla i permessi di alcuni file speciali come .netrc o i file di configurazione degli utenti. Controlla anche i permessi delle directory base degli utenti. Se questi permessi sono troppo deboli, o se i proprietari sono insoliti, viene generato un avviso.

14.3.16. "controllo file gruppo suid"

Controlla se nel sistema sono stati cancellati o creati nuovi file del gruppo suid. Se questo è avvenuto, viene generato un avviso con la lista dei file in questione.

14.3.17. "controllo file senza proprietario"

Questo controllo cerca i file i cui utenti o gruppi proprietari sono sconosciuti al sistema. Se simili file vengono trovati, viene automaticamente impostato come proprietario l'utente/gruppo nessuno.

14.3.18. "controllo promiscuità"

Questo controllo esamina tutte le schede Ethernet per sapere se esse sono in modalità "promiscua". Questa modalità permette alla scheda di intercettare tutti i pacchetti da essa ricevuti, anche quelli non diretti a lei. Questo può significare che uno sniffer è in funzione sulla vostra macchina. Va sottolineato che questo controllo è impostato per essere eseguito a intervalli di un minuto..

14.3.19. "controllo porte in ascolto"

Genera un avviso con un elenco di tutte le porte in ascolto.

14.3.20. "controllo integrità file passwd"

Controlla che ogni utente abbia una password (e non una vuota o facile da indovinare), e verifica che essa sia mascherata.

14.3.21. "controllo integrità file shadow"

Controlla che ogni utente contenuto nel file shadow abbia una password (e non una vuota o facile da indovinare).

14.3.22. "controllo sicurezza del sistema ogni giorno a mezzanotte"

Tutti i controlli precedenti saranno effettuati ogni giorno a mezzanotte. Questo meccanismo si basa sull'aggiunta di uno script cron nel file crontab.

14.3.23. "i servizi sconosciuti sono disabilitati"

Tutti i servizi non compresi in /etc/security/msec/init-sh/server.4 per il livello 4 o server.5 per il livello 5 saranno disabilitati. Non saranno eliminati, ma, semplicemente, non vengono avviati durante il caricamento di un runlevel. Se doveste avere bisogno di alcuni di essi, vi basterà aggiungerli nuovamente con il programma chkconfig (potreste anche doverli riavviare con gli script init in /etc/rc.d/init.d).

14.3.24. "password di avvio"

Si hanno due diversi comportamenti, in base al bootloader da voi utilizzato:

grub

All'avvio, grub vi chiederà la password solo se passate manualmente dei parametri al kernel. Questo permette al vostro sistema di riavviarsi da solo, senza necessità di intervento da parte di un operatore, impedendo comunque a persone non autorizzate di riavviare la macchina in modo insolito (ad esempio in modalità fail safe).

LILO

Vi permette di impostare una password per LILO. Impedisce ad altre persone (inesperte) di riavviare il sistema ma, d'altra parte, il sistema non sarà in grado di riavviarsi da solo.

14.3.25. "accetta connessioni da"

  1. tutti: qualsiasi computer può connettersi alle porte aperte.

  2. locale: solo localhost può connettersi alle porte aperte.

  3. nessuno: nessun computer può connettersi alle porte aperte.


Tux on Star from MandrakeSoft Linux è un marchio registrato di Linus Torvalds. Tutti gli altri marchi e copyright appartengono ai rispettivi proprietari.
Se non diversamente specificato, i diritti di tutto il contenuto di queste pagine e di tutte le immagini sono proprietà di MandrakeSoft S.A. e MandrakeSoft Inc. 2001.
http://www.mandrakelinux.com/