[LinuxFocus-icon]
Home  |  Plan  |  Index  |  Suchen
Nachrichten | Archiv | Links | Über uns  
Dieses Dokument ist verfübar auf: English  Castellano  Deutsch  Francais  Nederlands  Turkce  

convert to palmConvert to GutenPalm
or to PalmDoc


von Frédéric Raynal

Über den Autor:
Frédéric Raynal arbeitet an seiner Doktorarbeit über Image Tattooing am INRIA (Institut National de Recherche en Informatique et Automatique). Außerdem ist er an der Entwicklung von Bastille-Linux beteiligt.
Inhalt:

 

Bastille-Linux

[Illustration]

Zusammenfassung:

Bastille-Linux 1.1, freigegeben Anfang Juni, ist keine neue Linux-Version, sondern eine Sammlung von Skripten, um Ihr System besser gegen mögliche Verwundbarkeiten zu schützen. Die Autoren benutzen einen erzieherischen Ansatz und man kann durch die Installation dieser Skripte eine Menge lernen.


 

Einführung

Hinsichtlich Sicherheit ist Linux um einiges besser als andere Betriebssysteme. Nichtsdestoweniger unterscheiden sich die Distritubtionen in dieser Hinsicht. Bastille-Linux bietet Ihnen Mittel, Ihr System zu schützen. Es war ursprünglich für Red-Hat geschrieben, aber die aktuelle Version arbeitet auch mit anderen Distributionen zusammen.

Das Projekt wird von Jon Lasser (Haupt-Koordinator) und Jay Beale (Haupt-Entwickler) geleitet. Weitere Entwickler, Software-Designer und Betatester sind ebenfalls beteiligt.

Um es nochmals klarzustellen: Bastille-Linux ist KEINE neue Linux-Distribution! Es ist eine Sammlung von in perl geschriebenen Skripten, um die Sicherheit von Linux zu erhöhen.

Sicherheit meint hier Computer-Sicherheit: wie kann man verhindern, daß unerwünschte Personen auf Ihren Rechner zugreifen? Bastille-Linux gibt einen Teil der Antwort, indem es die Anfangsinstallation Ihrer Linux-Distribution verändert.

Eine grundlegende Aufgabe eines SysAdmins ist es, die Bedürfnisse seiner Benutzer zu kennen, nicht nur, um ihnen gerecht zu werden, sondern auch um zu vermeiden, dass unnötige Programme im Netzwerk laufen ... man muss Sicherheitslöcher eindämmen können. Einer meiner Mentoren pflegte zu sagen: Je weniger Du tust, um so besser;-] Natürlich sprach er über die Komplexität von Algorithmen, aber man kann es auch auf die Netzwerkadministration anwenden: Ein Übermaß an Programmen kann Schaden anrichten, weil es mehr Angriffspunkte bietet. Um Verwundbarkeiten zu reduzieren, installieren Sie nur, was Sie wirklich benötigen.

Bastille-Linux versucht, die Möglichkeiten für eine Attacke einzugrenzen. Um dieses Ziel zu erreichen, benutzen die Software-Designer einen sehr erzieherischen Anspruch: Sie erklären Schritt für Schritt, was zu tun ist.

 

Präsentation

Z .Zt. gibt es Bastille-Linux in Version 1.1.0, freigegeben in der ersten Junihälfte.

Neben der offensichtlichen Nützlichkeit hat Bastille-Linux eine erzieherische Funktion. Die Skripte stellen detaillierte und genaue Fragen. Die Entwickler versuchen, dem Benutzer Neues beizubringen. Sie erklären den Hintergrund der Fragen und die Auswirkungen der möglichen Antworten. Dies macht Bastille-Linux zu einem sehr leicht zu benutzenden Werkzeug.

Für fortgeschrittene Benutzer ist der in perl geschriebne Quellcode ein Muster an Klarheit (ja, dass ist möglich :-); jeder Kommentar beschreibt wie die Aktion sich auswirkt.

Hier sind einige Möglichkeiten der Version 1.1.0 :

Bastille-Linux hat verschiedene Module, 4 allgemeine Module und einige für spezielle Anwendungen (Software such as sendmail, FTP, ... order Boot oder unnütze Daemondienste)

Die allgemeinen Dienste sind für:

  1. Firewall installation
  2. System-Software Update
  3. Überprüfung auf SUID-root Programme
  4. Deaktivierung und Beschränkung unnützer Dienste
Die anderen Module betreffen mehr spezielle Aspekte. Einige kümmern sich um Sicherheitsprobleme, die durch schlecht konfigurierte Software entstehen (sendmail oder FTP z B.), andere modifizieren die Konfiguration einiger Dienste etwas strikter (PAM, syslog, ...)

Einige Sicherheitsfunktionen kasdadieren und bieten unterschiedliche Schutzebenen (dies ist gegen die Prinzipien meines Mentors ... aber einmal muss man sich ja emanzipieren ;-) Man muß jeden Dienst oder jedes mögliche Sicherheitsloch mit allen Möglichkeiten schützen. Wenn eine Sicherung versagt, halten die anderen die Sicherheit des Systems aufrecht.


 
 


 

Installation oder "Schauen wir uns die Skripte an, solange der Wolf noch nicht da ist."

Bisherige Bastille-Linux-Versionen funktionierten nur auf neuen Systemen, dies ist seit der letzten Version nicht mehr so. Jedoch muss festgehalten werden, daß die Änderungen durch Bastille-Linux auf einem bereits benutztem System (fast) nutzlos sind. Deshalb wird empfohlen (aus Sicherheitsgründen und nicht wegen der Software), Bastille-Linux nur auf einem neu installierten System zu installieren. Sie sind nun gewarnt, es wird ernst: die Installation!

Bastille-Linux ist verfügbar als tarball .tgz bei bastille-linux.sourceforge.net. Dieses Archiv umfaßt nur 134 KB. Nach dem Abruf entpacken Sie es mit (tar xzf Bastille-1.1.0.tgz).

Vier Skripte steuern Bastille-Linux :

Zur Installation von Bastille-Linux müssen Sie als root angemeldet sein, weil die Skripte Konfigurations-Dateien ändern.. Zur Installation führen Sie zuerst InteractiveBastille.pl aus. Dann beantworten Sie die Fragen (unten weiter erläutert) Zum Schluss starten Sie BackEnd.pl und das wars! Ein Protokoll der Änderungen findet sich im /root/Bastille/undo Verzeichnis..

Noch einige Hinweise:.

  1. Sie müssen das Skript aus dem /root/Bastille Verzeichnis starten. ... das wird sich künftig ändern und dann können Sie es aus einem beliebigen Verzeichnis starten (vielleicht ist es ja schon möglich, wenn Sie dies lesen)
  2. Zwei Module erlauben das Anlegen von Accounts ... sofern Sie "shadow passwords" auf Ihrem System installiert haben. Dies ist zwar der Default, aber überprüfen Sie bitte, dass /etc/passwd keine Passwörter enthält, dass Sie nur als root auf /etc/shadow zugreifen können und dass diese letzte Datei wirklich die Passwörter enthält!
  3. Bastille-Linux unterhält noch keine Verweise zwischen den Modulen wie es bei der Kernelkonfiguration ist (dies wird ebenfalls in einer zukünftigen Version ermöglicht). Deshalb achten Sie auf die Antworten und ihre Auswirkungen. So könnten Sie dem IPchains-Module sagen, das es Port 2049 schliessen soll und trotzdem NFS in der Liste der aktiven Hintergrundprozesse im MiscellaneousDaemons-Modul belassen. (NFS benutzt diesen Port).
 

Schrittweise

Nun schauen wir uns die Fragen von Bastille-Linux an, um die einzelnen Schritte zu verstehen: Der Buchstabe zwischen [] zeigt die Fehlwert-Antwort (N -> Noe, Y -> Ja).  

IPChains

Dieses Modul wird zur Konfiguration einer Firewall benutzt. Obwohl es für die Systemsicherheit nicht zwangsweise erforderlich ist, erlaubt es die Kontrolle des Netzverkehrs von und zu dieser Maschine. Die Verkehrskontrolle ist nicht ausreichend, Sie müssen auch die Dämonen rekonfigurieren (denken Sie daran, unterschiedliche Sicherheitsebenen sind nicht nutzlos).

Dieses Skript arbeitet in einer sehr guten Weise. Es berücksichtigt 2 Netzwerkschnittstellen: eines, das mit der Außenwelt kommuniziert und eines, was den Verkehr mit dem lokalen Netzwerk (LAN) regelt. Ziel ist es, die Dienste zu ermitteln, die auf dieser Maschine verfügbar sein sollen und die anderen zu stoppen. Fehlwert ist es, alles abzulehnen, was von aussen kommt. Als nächstes definiert das Skript die Regeln, um bestimmte Dienste verfügbar zu machen.

Das Skript verwaltet TCP-, UDP-, und ICMP-Protokolle. Es stellt Listen von Diensten für jedes Protokoll bereit, auf die man achten oder die man vermeiden sollte. Es würde zu lange dauern, hier den Ansatz von Bastille-Linux für die Firewall-Installation im Detail zu erläutern, aber das Lesen des Skripts und der Kommentare ist sehr hilfreich. Ein bestimmtes Grundwissen ist jedoch Voraussetzung, um dieses Modul zu nutzen..


   

PatchDownload

Aktualisierungen sind für die Systemintegrität wichtig. Während der letzten Monate hatten z. B. bind und piranha, große Sicherheitsprobleme. Sie wurden schnell korrigiert, da aufgrund des verfügbaren Quellcodes schnell Patches geschrieben wurden.

Unglücklicherweise arbeitet dieses Skript nicht besonders gut. Es ist ziemlich komplex, da Sie die installierten Pakete bestimmen müssen und unter diesen diejenigen, die aktualisiert werden müssen. Dann muss der Patch abgerufen werden und vor der Installation muß sichergestellt sein, das der Patch nicht durch den Transfer oder Cracker verändert wurde. Dies ist wirklich von Ihrer Distribution abhängig..

Z. Zt. empfiehlt Jay Beale, diesen Schritt manuell auszuführen, ihn aber nicht auszulassen. Eine verbesserte Version dieses Moduls ist in Arbeit und sollte bald verfügbar sein.

 

Dateiberechtigungen

Dieses Modul basiert auf einem Dokument des SANS-Teams. Das Ziel ist es, die Programme zu bestimmen, die nur für root (oder root Gruppen-Mitglied) zur Verfügung stehen, bei denen das SUID-Bit gesetzt bleiben muss.  

Zugangs-Sicherheit

Ein Einbruch beginnt oft mit der Kompromittierung eines Benutzer- oder Systemkontos.   Einige einfache Schritte erschweren dies und erlauben es, Einbrüche zu entdecken.  

Boot-Sicherheit

Die Optionen dieses Moduls betreffen die physische Sicherheit der Maschine. Dies korrigiert Sicherheitslücken vorheriger Module. Jeder, der direkten Zugang zur Konsole hatte, konnte privelegierten Zugriff (i.e. root) erhalten. Das Starten von LILO im single-Modus führt zu einer Shell mit root-Berechtigung ;-P

Offensichtlich ist das nicht ausreichend. Um den Computer zu schützen, muß das BIOS passwort-geschützt sein, es darf nur von der Festplatte gebootet werden können und der Rechner muß verschlossen sein, damit niemand seine Festplatte einbauen kann ... Das ist natürlich schon fast wieder paranoides Verhalten und Sie müssen es nicht ohne besonderen Grund tun. .

Von der Software-Seite gesehen, bieten einige Restriktionen einen guten Kompromiß im Vergleich zur obigen Methode:

 

Inetd sichern

Ziel dieses Moduls ist, überflüssige Dienste zu beschränken oder zu deaktivieren. Cracker finden leicht Sicherheitslöcher in privilegierten Diensten, deshalb sollten sowohl Dienste als auch Privilegien beschränkt werden.

So erlaubt es ein Fehler im DNS von RedHat 6.0, über das Netz Root-Rechte zu erhalten. Deaktivierung dieses Dienstes oder Reduzierung der Privilegien schützt vor diesem Fehler.

Einige Protokolle, wie die bereits erwähnten r-Befehle und ftp oderr telnet , sind leicht auszunutzen. Andere erlauben es, Informationen zu erhalten (finger oder identd zum Beispiel). Viele dieser Dienste werden durch tcp_wrapper  verwaltet, was die Zugriffskontrolle auf einen bestimmten Dienst (durch /etc/hosts.{allow, deny}) ermöglicht. Wenn das Wrapper-Programm entscheidet, dass der Client auf diesen Dienst zugreifen darf, wird die Anforderung an den eigentlichen Server weitergereicht..

Dieser Teil ist noch etwas starr und wird sich in künftigen Versionen ändern.

Bevor wir fortfahren, sollten wir daran erinnern, dass das Netzwerk auf einem Client-Server-Modell beruht. Daher müssen Sie wissen, ob Sie auf der Client- oder Server-Seite eines jeden Dienstes stehen. Wenn der Webserver gestoppt wird, können Sie trotzdem im WWW arbeiten: Ihr Browser ist ein Client.
   

DisableUserTools

Dieses kurze Modul ist auf einem Server unerläßlich. Normalerweise erlangt ein Hacker Zugang durch eine normale Benutzerkennung. Dann kompiliert sie einige Programme, um Schwachstellen der Maschine auszunutzen. Dieses Modul deaktiviert den C-Compiler für jeden Benutzer ausser root.

Wenn diese Maschine nur als Server dient, auf der niemand etwas zu kompilieren hat, sollten Sie den Compiler vollständig entfernen.  

ConfigureMiscPAM

Ziel dieses Moduls ist es, die Risiken durch Denial-of-Service-Attacken zu begrenzen. - Diese Attacken bringen ein System durch Überlastung zum Stillstand (z. B. eine Partition durch core Dateien zumüllen ...).

PAM steht für "Pluggable Authentification Module". Diese Systembibliothek erlaubt es dem System-Administrator, für jede Anwendung die Art der Benutzer-Authentifizierung, die Rechte und die Ressourcen auszuwählen.

 

Logging

syslog ist einer der wichtigsten Dienste, um herauszufinden, ob eine Maschine komprimittiert wurde. Dieser Daemon zeichnet Systemereignisse auf. Sie können den Level der aufgezeichneten Informationen ändern.

Es ist bemerkenswert: Wenn Sie nur ein Minimum an Diensten aktiviert haben, wird jedes Problem schnell aus den /var/log Dateien ersichtllich. Andererseits, wenn Sie eine Unmenge an überflüssigen Diensten aktiv haben, werden diese Dateien sehr umfangreich und dementsprechend schwieriger zu handhaben .

Dieses Modul fügt neue Überprüfungen in die /etc/syslog.conf-Datei ein.

 

Sonstige Daemonen

Immer um Minimierung bemüht, aktiviert dieses Modul nur die Server, die Sie bem Booten wirklich benötigen. Standardmäßig gilt jeder Dienst als unnütz und ist daher deaktiviert. Reaktivieren können Sie Dienste mit dem chkconfig -Befehl.
 
Dienste  Beschreibung
apmd Batteriezustandskontrolle.
NFS und samba Zum Verwalten verteilter Dateisysteme ... in heterogenen Netzwerken sehr nützlich, sind sie doch große Sicherheitsrisiken.
atd Alles was atd kann, kann auch mit cron. erledigt werden.
PCMCIA Dienste Wenn Sie PCMCIA-Hardware benutzen (eher auf Laptops/Notebooks als auf Arbeitsplatzrechnern).
dhcpd Server für die Verteilung temporärer IP-Adressen. Dieser Dienst wird entweder von Internet Service Providern (ISP) angeboten oder in einem LAN benutzt.
gpm Im Konsolen-(Text-) Modus zur Benutzung der Maus erforderlich. Wenn Sie nicht oft im Textmodus arbeiten, ist dieser Dienst nutzlos..
news server Nur wenige Leute müssen einen News-Server auf Ihrer Maschine haben. Dies ist normalerweise Sache des ISP.
routed Wie ein News-Server ist auch dies Sache des ISP. Es betrifft das DNS. 
NIS Im LAN sehr nützlich .. Aber Ursprung großer Sicherheitsprobleme!!!
snmpd Der Dienst befasst sich mit Netzwerkadministration (Statistik, Management, Benutzer,...)
sendmail Es gibt keinen Grund, für das Senden/Empfangen von Mail sendmail als Daemon zu starten. Außerdem, wenn Sie Ihre eMail per POP/IMAP von Ihrem ISP beziehen, ist sendmail wirklich nutzlos und da es große Sicherheitslöcher hat ....

   

Sendmail

Wie bereits erwähnt, ist sendmail ein Dienst zur Verwaltung von eMail. Seine Geschichte ist voller Sicherheitslücken aufgrund der vielen Aufgaben, die ein Mail-Server durchzuführen hat und der erforderlichen Privilegien (Namensauflösung, Syslog-Information ...). Abgesehen von seinen Schwächen erlaubt es sendmail, Informationen über eine bestimmte Benutzerin auf einem Server zu erhalten.. Z. B. kann durch sendmail EXPN und VRFY herausgefunden werden, ob ein bestimmtes Benutzerkonto existiert.

sendmail muss nicht als Service laufen, um eMail senden und verschicken zu können. Für Privatanwender ist sendmail wahrscheinlich ganz nutzlos, weil Sie jeden Mail-Client wie (netscape, rmail, pine, mutt, etc...) zum Senden Ihrer eMail nutzen können. Zum Empfang Ihrer eMail können Sie sendmail periodisch aktivieren, um Ihre Mailbox zu überprüfen.
 

 

Fern-Zugriff

Es ist oft nützlich, sich mit einer entfernten Maschine verbinden zu können. Wir haben gesehen, dass die r-Befehle dies in einer sehr unsicheren Weise tun. BAST empfiehlt hierfür ssh einzusetzen. Diese Software verschlüsselt die Daten (und auch die Passwörter) bei einer Verbindung.

Sie können eine Software benutzen, bei der die Länge des Sitzungsschlüssesl 128 Bit nicht überschreitet. Was ist ein Sitzungsschlüssel. Es ist der Schlüssel, der zur Verschlüsselung der Daten dient.  Dieser Sitzungsschlüssel wird schrittweise zwischen Client und Server aufgebaut. Er kommt von einem Schlüssel-Austausch-Protokoll (zumeist Diffie-Hellman) .  Es wird zusammengesetzt aus einem Teil eines jeden beteiligten Schlüssels. Als nächstes wird der Sitzungsschlüssel benutzt, um die Daten mit einem symmetrischen Algorithmus zu verschlüsseln (d. h. der gleiche Schlüssel dient zum Ver- und Entschlüsseln der Daten). DES, was zur Verschlüsselung der Unix-Passwörter benutzt wird, ist ein symmetrischer Algorithmus mit einem 56-Bit-Schlüssel.

Nun, ist ein 128-Bit-Schlüssel groß genug, um Transaktions-Vertraulichkeit und Sicherheit zu garantieren: JA! Selbst heute, wo DES als "nicht sehr sicher" gilt, sind die Attacken außerhalb der CPU-Leistung, die den meisten Leuten zur Verfügung steht. Andererseits ist es ein Fehler zu glauben, ein Schlüssel von 2k Länge sei zweimal so schwer zu finden als ein Schlüssel mit Länge k .Wenn die Schwierigkeit exponential ist, wächst sie viel schneller als die Schlüsselgröße. Für einen Schlüssel mit einer Länge von k , existieren 2^k mögliche Schlüssel (und 2^2k für einen Schlüssel von 2k Länge). Multiplizieren wird die Schlüsselgröße mit   2, fügen wir   mögliche Schlüssel hinzu! Wenn Sie die Schwierigkeit betrachten, DES (56 Bit) zu brechen, kann man davon ausgehen, das 128-Bit-Schlüssel unknackbar sind (solange der Ver-/Entschlüsselungsalgorithmus keine Sicherheitslücke enthält..  Aus einer Angriffssicht bringt   die Erhöhung dieser Grenze  die Schwierigkeit von "unmöglich" nur auf "noch unmöglicher".

4 Andere Software-Pakete  bieten ähnliche Dienste :

  • ssh 1.2.x: ein Client-Server-System zum Aufbau verschlüsselter Verbindungen;;
  • ssh 2.x: das gleiche wie vorher, nur mit weniger Schwächen und mehr Möglichkeiten;
  • OpenSSH: eine den vorgenannten vergleichbare Version aber unter einer BSD-Lizenz;
  • ssf : wie ssh, aber vom französischen Recht akzeptiert . (Das musste gesagt werden!)

    • Die folgenden Modue betreffen immer noch Dienste. Die Regeln mögen überraschend aussehen: Man definiert Restriktionen und dann werden sie gestoppt. Diese beiden Maßnahmen stehen nicht im Widerspruch. Diese Dienste können reaktiviert werden, entweder versehentlich oder durch böswillige Personen ... dann scheint es besser, sie zu beschränken.
       

    DNS

    EIN DNS (Domain Name Server) stellt Beziehungen zwischen IP-Adressen und Maschinennamen und umgekehrt her. Zum Beispiel verweist 198.186.203.36 auf www.bastille-linux.org. Das Hauptprogramm dieses Dienstes ist BIND. Kürzlich wurde eine DoS-Attacke gegen BIND gefunden. Dies kann nur vermieden werden, wenn DNS nur Zugriff auf eine kleine Gruppe von Verzeichnissen hat. Sie können das Root-Verzeichnis (Fehlwert /) mit dem chroot-Befehl vor der Ausführung eines Befehls ändern.

    Zunächst einige technische Details bevor wir das BAST-Verhalten erklären. Der Daemon für diesen Dienst heißt named.   Seine Konfiguration steht in /etc/named.conf.
     

     

    Apache

    Apache ist der am häufigsten genutzte Web-Server im Internet. Solch ein Server ist nur in 2 Fällen sinnvoll:
    1. um eine Webpräsenz zur Verfügung zu stellen. Hierfür benötigt man eine feste IP-Adresse. ISP's haben eine solche Adresse, ihre Kunden normalerweise nicht.
    2. um Ihre eigenen Webseiten zu testen; in diesem Fall muß der Server (/etc/rc.d/init.d/httpd start) nur gestartet werden, wenn er benötigt wird. .
    Die Konfigurationsdateien finden sich in /etc/httpd/conf. Ein Web-Server kann wie jeder andere Server eine Einladung zum Besuch und zur Beschädigung Ihres Rechners werden, wenn er schlecht konfiguriert ist. Dies kann manchmal recht ärgerlich werden. Besuchen Sie einfach mal www.kitetoa.com, Sie werden es nicht bedauern ;-) ( Hinweis des Übersetzers: Leider nur in französisch!)
       

    Drucken

    Nur eine Frage: Werden Sie von dieser Maschine aus drucken? Wenn Sie nein sagen, deaktiviert BAST den lpd-Daemon und entfernt das SUID-Bit von lpr und lprm. =============  

    FTP

    Aus Sicherheitssicht kann FTP die Ursache für viele Probleme sein. Beim Verbindungsaufbau wird das Passwort im Klartext übertragen, ebenso die Daten.

    Außerdem wurden einige Sicherheitslücken im wu-ftpd gefunden. Wenn Sie diesen Dienst aktivieren müssen, können Sie durch BAST einige Möglichkeiten beschränken.

    Die Datei, die den Zugriff auf den FTP-Server regelt, ist /etc/ftpacces.

     

    Noch einige Tips und Tricks

    Wie ich bereits sagte, hat BAST großen erzieherischen Wert. Fragen und Kommentare sind bedeutsam. Wenn Dinge nicht ganz klar sind, gibt es viele Ressourcen, um die richtige Antwort zu finden. Der beste Weg, um zu einem bestimmten Thema etwas zu erfahren, ist die Benutzung des entsprechenden Moduls.

    Erstellen Sie eine Sicherungskopie der Datei mit den Fragen. Editieren Sie die Questions.txt-Datei. Jedes Modul beginnt mit dem FILE-Schlüsselwort ... behalten Sie nur, was Sie benötigen.

    /root/Bastille >> cp Questions.txt Questions.txt-orig
    /root/Bastille >> emacs Questions.txt BackEnd.pl &
    /root/Bastille >> ./InteractiveBastille

    Natürlich sind die Maßnahmen von BAST nicht genug, um Ihr System zu sichern:

    1. Kein System ist zu 100 % sicher;
    2. zusätzliche Maßnahmen sind erforderlich, um die "Arbeit" von BAST zu komplettieren.
    Dazu gehören Logdatei-Analysatoren, Port-Scan-Entdeckung (portsentry, snort, snplog, etc ...), die Benutzung des www.openwall.com Kernel-Patches.

    Es ist ein langer und schwieriger Weg ein System zu sichern. Sie müssen sich ständig über Sicherheitslücken informieren (z. B. durch Mailing-Listen wie "bugtraq" von der securityfocus-Webseite).

     

    Zusammenfassung

    BAST hilft beim Sichern einer sehr bekannten Distribution. Sie könnten fragen: "Warum soll ich diese benutzen?" Sicherlich ... aber RedHat (Mandrake - sie sind sehr ähnlich) hat einige schöne Möglichkeiten. Ziel dieses Artikels ist es nicht, eine Distribution zu fördern (oder zu verdammen). Die Freihiet der Wahl ist eine der stärken freier Software. Dieser Artikel hat verschiedene Ziele. Zuerst soll er Ihnen die ständigen Sorgen eines Systemadministrators zeigen, der in der Furcht lebt, das sein Netzwerk von böswilligen Leuten zerstört wird. Andererseits können Sie mit diesem Werkzeug tief in die Konfiguration eines Linux-Systems blicken. In dieser Hinsicht ist es ein guter Weg, nicht nur für Anfänger, sondern auch für erfahrene Benutzer, die "Mysterien" einer Linux-Konfiguration zu entdecken.

    Die zwei grundlegenden und allgemeinen Konzepte sind Minimalismus und Tiefe. Weniger aktive Dienste bedeuten weniger Sicherheitslücken. Für jeden Dienst sind mehrere Schutzebenen besser als eine ... aber dies ist ein zweischneidiges Schwert, weil ein schlecht konfigurierter Schutz (oder die Kombination mehrerer) sich gegen Sie wenden kann.

    Zum Schluß: die nächste Version soll BUS (Bastille Unix Security) heißen. Es wird eine Kombination aus BAST und Msec (Mandrake Security Project). Letzteres wird umbenannt in Usec (Unix Security Project).


     
     

     

    Referenzen


    Last modified: Mon Jun 12 16:40:50 CEST 2000  

    Talkback für diesen Artikel

    Jeder Artikel hat seine eigene Seite für Kommentare und Rückmeldungen. Auf dieser Seite kann jeder eigene Kommentare abgeben und die Kommentare anderer Leser sehen:
     Talkback Seite 
    Der LinuxFocus Redaktion schreiben
    © Frédéric Raynal, FDL
    LinuxFocus.org
    Einen Fehler melden oder einen Kommentar an LinuxFocus schicken
    		 Autoren und Übersetzer:
    fr -> -- Frédéric Raynal
    fr -> en Georges Tarbouriech
    en -> de Hermann J. Beckers

    2001-05-22, generated by lfparser version 2.13