Re: Debian haerten ?
Hallo Gerhard,
> gibt es Moeglichkeiten, ein Debian so zu haerten, dass Daten selbst vor
> dem Zugff des Administrators geschuetzt werden ?
> Es geht um die Moeglichkeit eines rootkit-Angriffs oder anderweitiges
> Hacken des Root-Zugangs (und manch einer sagt, dss die schwersten
> Angriffe auf die Sicherheit ohnehn von innen kommen).
>
> Eine Option, die mir hierzu einfaellt, waere noch nicht eimal die
> absolute Sicherheit von Daten, aber das unbedingte Loggen jeglichen
> Zugriffs auf sie, und der Schutz der Protokolle durch geeignete
> Massnahmen in einer Weise, dass jeder Angriff Spuren hinterlaesst.
>
> Oder das "Wegwerfen des Schlussels" also des Rootpasswort und das
> Verbleiben von Admins mit begrenzten Rootrechten, so dass ein Teil des
> Systems zur "blackbox" wird, der gerade noch die Beobachtung aber keinen
> Eingriff erlaubt ?
zuerst einmal solltest Du dich vom Traum verabschieden, daß man ein System zu
100% sicher bekommen kann. Das geht nicht. Sicherheit ist schließlich nicht
mehr als ein Gefühl: Das Gefühl des Admins abends beim Bier vor der Glotze,
daß morgen alles noch genauso sein wird. Insofern sind Windows-Rechner auch
"sicher" zu bekommen. Du siehst, wie lächerlich diese ganze
Sicherheitsdiskussion ist.
Die Frage ist, welche Bedrohungen es gibt, und welche Maßnahmen man dagegen
ergreifen kann. Wenn man die Bedrohung eines Einbruchs von außen in ein
System für möglich erachtet, ist es gröbst fahrlässig, die Handlungsfreiheit
eines Admins zu beschränken. Du mußt schon sagen, welchen Hack Du erwartest,
damit wir Dir hier Maßnahmen empfehlen können.
Ansonsten geh mal goooogln nach dem Begriff "capabilities". Vielleicht findest
Du auch Hinweise im NSA-Projekt "SELinux". Die haben auch versucht, Rechte
filigraner zu gestalten. Nur: Wenn Du das einsetzt, solltest Du genau wissen,
wovor Dich so etwas schützt, bevor Du dich "sicher" fühlst.
Eine Risikostrategie gehört auch zum Portfolio eines professionellen
Systembertreibers. Die Frage ist auch, wie wertvoll die Daten sind, die
geschützt werden sollen. Es bringt nix, einen 20-Tonnen-Tresor zu kaufen,
wenn Du das Lego-Spielzeug Deines kleinen Sohns vor Zerstörung schützen
willst.
Viele Grüße
Markus
Reply to: