Uso do NODEV no hardening

rabr
(usa Fedora)

Enviado em 15/07/2008 - 10:45h

Pessoal, fui questionado pelo meu professor de segurança e não estou sabendo responder de forma satisfatória:
"Explique como em um Hardening o uso da opção NODEV no /etc/fstab poderia ajudar a melhorar a segurança contra a manipulação arbitrária de dispositivos? Dê um exemplo prático disso."

Alguém pode me ajudar a responder este questionamento?

kalib
(usa Arch Linux)

Enviado em 15/07/2008 - 16:01h

Vamos lá...
Hardening é uma espécia de tunning no sistema para encontrar e prevenir brechas, vulnerabilidades, etc... Enfim..melhorar a defesa e segurança da mesma.
Bom...o /etc/fstab é responsável por controlar a montagem dos dispositivos da máquina...

Um exemplo de /etc/fstab utilizando um nodev seria o seguinte:

none /tmp tmpfs rw,noexec,nosuid,nodev,size=100000000 0 0

Porque no /tmp??

Muitos rootkits procuram este tipo de acesso através do /tmp, por isso é recomendado se ter o /tmp em partições diferentes..e o nodev no caso serve para desabilitar a interpretação de dispostivos de blocos especiais em um sistema de arquivos. ;] Para habilitar usuaria-se dev

era mais ou menos isso que você buscava? o.O

abraço

rabr
(usa Fedora)

Enviado em 15/07/2008 - 19:41h

O que para mim não ficou muito claro é um exemplo prático do tipo de intervenção arbitrária que a montagem de um filesystem com a opção NODEV pode impedir.
Por exemplo, se um cracker tentar fazer "tal coisa" ele não conseguirá devido ao NODEV.

y2h4ck
(usa Suse)

Enviado em 16/07/2008 - 10:18h

O uso do NODEV previne que um atacante acessos arbitráriamente devices do sistema.

Outra opções importantes a serem utilizadas com o fstab é o noexec e nosuid.

por exemplo montando o /tmp como noexec vc impede que um atacante jogue scripts dentro do /temp e execute. Isso ajuda a evitar muitos ataques de escalação de privilégios.

kalib
(usa Arch Linux)

Enviado em 17/07/2008 - 11:47h

Isso é verdade...
Os famosos root kits que ao serem executados lhe permitiriam acesso root ao sistema... não poderiam ser executados com o noexec. ;]