[discussie] Extra betrouwbaarheid voor je OS

[Verwijderd]

Hoe kan je zorgen voor extra betroubaarheid van je OS?

Je zou elke nacht md5sums van alle bestanden kunnen maken, en die dan vergelijken met de md5sums van de vorige dag....dan kan je dus bijhouden of een bestand ook echt gewijzigd is en op welke dag. (soort van debsums?)

Je kan van elke bestand meerdere versies op schijf houden (zoals OpenVMS) dit is een beetje CVS achtig (waar is CVSfs ? ) Als er dan iets fout is dan restore je gewoon de vorige revisie.

Je kan een crontab scrijven die het een en ander test en kijkt of de test van de dag ervoor hetzelfde deed. (b.v. de totale grote van de hardeschijf, ip van de dns en meer dingen die niet zouden mogen veranderen)

Programma's zoals mon of nagios installeren?

Hoe (proberen) jullie er voor te zorgen dat er op tijd bekend is dat b.v. je hdd onbetroubaar wordt (smartsuite?), er problemen zijn met je nic, libs kapot zijn, files corupt raken/zijn geraakt (stroomstoring e.d.), er een rootkit aanwezig is (chkrootkit?)

Ik heb vaak genoeg meegemaakt dat een kapotte cd of cdromdrive er voor zorgde dat een hele server plat ging enkel door een cd in de drive te stoppen (NT4) of dat een heel IDE kanaal met alles wat er aan hing opeens niet meer werkte. Hoe voorkom je dat soort problemen.

En natuurlijk de classics: Backups, UPS, RAID, ...

En als een process opeens veel CPU tijd slurpt of je MEM/HDD probeert vol te gooien? (ik heb vaak genoeg meegemaakt dat je als normale user GNOME niet meer kon starten omdat er niet genoeg bytes vrij waren voor tmp/lock files)

Met programma's als mon moet je eigenlijk een p2p systeem hebben.... hoe wilde je een alert ontvangen als je mailserver, switch, inet of stroom eruit liggen? Of je moet met een aantal mensen samen over inet elkaars systemen monitoren.

En in een artikel over RedHat AS dat er bij een HA setup ook vaak problemen optreden. Dit is vooral zo als het systeem deels faalt:

All we need is someone to watch the machine and blast it with a shotgun if something goes wrong.

En ik heb in m'n kernel die software watchdog zitten (in m'n ander systeem zit een hardware matige watchdog ) Die is soms handig bij locks, maar soms is een hoge load al genoeg om 'm te triggeren....(voor de SMP mensen is dit misschien handig in het geval van een spinlock?)
Wat voor hw gebruiken jullie verder nog om de availability te verhogen?

En backupsystemen....wanneer waren die voor het laatst getest? (Bij m'n moeder op haar werk hebben ze maanden backups van 0 byte gemaakt... )

En wat als b.v. de SCSI of IDE controller opeens besluit om al je hdd's de vernieling in te helpen? Backup server? Opnieuw installeren? Image terugzetten?

En OS'en Zoals OpenBSD, Trusted Solaris, SELinux en consorten.....geven die door die extra security ook extra betrouwbaarheid? Ervaring met dat soort systemen?

[ Voor 9% gewijzigd door Verwijderd op 09-04-2003 20:14 ]

[Verwijderd]

Wat wil je hier precies mee bereiken ?...

[bolke]

Verwijderd schreef op 09 April 2003 @ 19:53:
Hoe kan je zorgen voor extra betroubaarheid van je OS?

Je zou elke nacht md5sums van alle bestanden kunnen maken, en die dan vergelijken met de md5sums van de vorige dag....dan kan je dus bijhouden of een bestand ook echt gewijzigd is en op welke dag. (soort van debsums?)

KNIPKNIPKNIPKNIPKNIP

Dat deed IBM antivirus vroeger. Voordat ze het verkochten aan Symantec. Koste wel erg veel processor tijd.

[imdos]

grsecurity heeft naast een kernelpatch "gradm" ... da's om bepaalde bestanden te beschermen tegen lezen, schrijven, excecuten enz. bedoel je zoiets?

Dit is iig erg goed tegen rootkits lijkt me maar of je daarmee ook het bijhouden van bestanden wilt doen dat lijkt me overbodig iig! Een goede backup zou daarvoor afdoende moeten zijn

[Verwijderd]

Je kunt dingen als intrusion detection gebruiken om oa filechanges in de gaten te houden. Via netwerk naar (verre) remote locatie backupen kan ook handig zijn. Encrypted filesystems etc.

[balk]

Dat van die md5 sums, je kan toch de schijven van een bak op een andere bak mounten en dan remote het bestandssysteem controleren? Met de hedendaagsche computerkracht is dat wel te doen denk ik.

[Verwijderd]

En backupsystemen....wanneer waren die voor het laatst getest? (Bij m'n moeder op haar werk hebben ze maanden backups van 0 byte gemaakt... )

Als dat incrementele backups waren, dan doen ze niet veel op een dag *grijns*

[Wilke]

Voor zover ik het begrepen heb doet tripwire dat voor een deel...bij belangrijke systeembestanden checken of de checksum veranderd is (of andere dingen, zoals de timestamp, filesize, etc. )

Heb het zelf nog nooit geinstalleerd, misschien maar 'es proberen

[Verwijderd]

bolke schreef op 09 April 2003 @ 21:11:

Dat deed IBM antivirus vroeger. Voordat ze het verkochten aan Symantec. Koste wel erg veel processor tijd.

Symantec had toch TBAV over genomen en niet IBM av?
Kan je met zo'n techniek een virusscan maken? (zeker door alle md5sums van bekende virussen te registreren?)

[sebas]

Tripwire is, zoals wilke al zei wel een handig tooltje, er stond een tijdje geleden een artikel over in de c't, is wel erg uitgebreid, en natuurlijk ook niet 100% veilig (d0h), maar met zo'n monitor ben je al een heel eind goed onderweg.

Je kan volgens mij per bestand opgeven wat er mag gebeuren, as in "groter worden" (handigs voor logs), "kleiner worden" (verdacht!), modification, kopieren, deleten enz. tripwire houdt dat allemaal bij en vergelijk het met de door jou opgegeven rules.

[tech-no-logical]

Verwijderd schreef op 09 april 2003 @ 19:53:
Hoe kan je zorgen voor extra betroubaarheid van je OS?

Je zou elke nacht md5sums van alle bestanden kunnen maken, en die dan vergelijken met de md5sums van de vorige dag....dan kan je dus bijhouden of een bestand ook echt gewijzigd is en op welke dag. (soort van debsums?)

daar zijn al programma's genoeg voor. zelf gebruikte ik in het verleden osiris, tegenwoordig gebruiken we integrit. het systeem blijft hetzelfde. de uitkomsten van beide programma's worden via een middels ipsec-verbinding gelogged naar een machine die achter een dikke firewall staat. dagelijks gaan er mailtjes uit met welke bestanden er aangepast zijn (als dat al het geval is). als die wijzigingen niet overeenkomen met gepleegde werkzaamheden (het aanmaken of verwijderen van users bijvoorbeeld) wordt gekeken wat er aan de hand is.

verder gebruiken we een soortgelijke manier om de syslog-faciliteit remote te laten werken : alle syslog-meldingen gaan, wederom via ipsec, naar een verder onbereikbare machine intern. knoeien met logs is er niet bij. logs worden vervolgens per dag gefilterd (met een goed geconfigureerde logcheck). bij rare dingen gaan er wederom mailtjes uit om de aandacht te trekken.

en backups, en ups, spreekt voor zich.

En OS'en Zoals OpenBSD
.....geven die door die extra security ook extra betrouwbaarheid? Ervaring met dat soort systemen?

ik draai zelf (prive) al een paar jaar openbsd, en ben daar erg tevreden over. de extra security-features (chroot-ed apache, propolice en dergelijke) zorgen er vaak voor dat de machine misschien niet eens veel veiliger is, maar het exploiteren van bugs wordt stukken lastiger. en als het al lukt, is het systeem minder kwetsbaar.

[Verwijderd]

Tripwire howto
Nog een Tripwire howto waar Tripwire wordt vergeleken met soortgelijke utils

[FreeBSD kan iemand anders beter toelichten, 5.0 heeft wel een aantal gave verbeteringen]

OpenBSD heeft een goede firewall die oersimpel te configureren is... Linux heeft IPtables maar qua features en configureerbaarheid is PF stukken beter; qua performance ongeveer gelijk. En nog wel meer staat op www.openbsd.org en dan security en features. ProPolice, Systrace e.a. zaken.

En als een process opeens veel CPU tijd slurpt of je MEM/HDD probeert vol te gooien? (ik heb vaak genoeg meegemaakt dat je als normale user GNOME niet meer kon starten omdat er niet genoeg bytes vrij waren voor tmp/lock files)

1) /tmp kun je tmpfs voor gebruiken (shm) of /tmp op een aparte partitie zodat deze onafhankelijk van / functioneert.
2) In Linux kun je user CPU/RAM en nog veel meer met PAM (zie: /etc/security/limits.conf). MOet-ie wel PAM hebben, OpenBSD en Slackware hebben dat niet.

GrSecurity is een kernel patch met veel gave features, o.a. ACL's (gradm idd) maar ook vele andere features; staat op de site.

Backup: RAID mirroring, scriptje dat automagisch backupped. Bijv. met SCP of mount + cp + NFS.

Verder kun je een NIDS gebruiken zoals Snort

[Verwijderd]

tech-no-logical schreef op 10 April 2003 @ 12:57:

ik draai zelf (prive) al een paar jaar openbsd, en ben daar erg tevreden over. de extra security-features (chroot-ed apache, propolice en dergelijke) zorgen er vaak voor dat de machine misschien niet eens veel veiliger is, maar het exploiteren van bugs wordt stukken lastiger. en als het al lukt, is het systeem minder kwetsbaar.

Interessante discussie over chrooted Apache. Staat behoorlijk wat kritiek dat jouw 'zorgen er vaak voor dat de machine misschien niet eens veel veiliger is' ondersteund. Die URL met die PDF in het nieuwsartikel is ook handig imo.

[tech-no-logical]

Verwijderd schreef op 10 april 2003 @ 13:05:
[...]
Interessante discussie over chrooted Apache. Staat behoorlijk wat kritiek dat jouw 'zorgen er vaak voor dat de machine misschien niet eens veel veiliger is' ondersteund. Die URL met die PDF in het nieuwsartikel is ook handig imo.

het pdf'je had ik inderdaad al gelezen, erg handig in bepaalde gevallen.

de discussie waar je naar verwijst is imho niet zozeer 'interessant' als wel een 'dicksize war'. de kritiek die daar (door een anonymous coward) wordt gespuid gaat mij te ver : niemand heeft ooit beweerd dat de chroot alles 100% veilig maakt.

toegegeven, de methodes die worden gegeven om uit de chroot te breken gaan mijn technische kennis grotendeels te boven, maar in de meeste gevallen zal het vrijwel onmogelijk zijn deze technieken uberhaupt toe te passen : een kwaadwillende moet al binnen zijn om de meeste methodes uit te voeren.

overigens : een aantal van de genoemde problemen zijn waarschijnlijk goed te vermijden door gebruik van systrace, andere problemen (de shm-truc met overflows) lijkt mij onmogelijk gemaakt door het gebruik van propolice. maar goed, de details gaan een beetje boven mijn pet.

[Verwijderd]

In dit kader is TrinityOS ook zeker interessant om eens door te lezen. De focus van TrinityOS is security en met enige regelmaat verschijnt daar een bijgewerkte versie van. Of zoals ze zelf zeggen:

TrinityOS is a step by step, example driven, HOWTO on building a very functional
Linux box with strong security in mind.

[[Yellow]]

Ik gebruik Mandrake 8.2 met de volgende tools (zitten allemaal in de downloadable editie):

msec -> checkt elke nacht welke files world writable zijn, welke files suid root of sgid root zijn (en checkt de md5 sums van deze files), roept chkrootkit aan, kijkt mbv netstat -nlp welke servers actief zijn (en op welke poorten ze luisteren), welke files veranderd zijn (voor de met rpm geinstalleerde pakketten dan). Hij mailt hier de output van en mailt ook nog een diff van de vorige nacht (hoef je tenminste niet alles door te ploegen). Werkt echt perfect.

logcheck -> even configureren, maar dan heb je ook wat. Je hoeft eigenlijk niet meer zelf door de logfiles te ploegen.

fwlogwatch -> checkt je iptables logs op attacks enz.

snort -> ook hier geldt, even configureren. Alarmeert je in geval van aanvallen. Met snortsnarf kun je makkelijk analyses doen op de output.

[ Voor 4% gewijzigd door [Yellow] op 10-04-2003 14:34 ]

[[Yellow]]

Verwijderd schreef op 10 April 2003 @ 13:01:
2) In Linux kun je user CPU/RAM en nog veel meer met PAM (zie: /etc/security/limits.conf).

Hoe kun je in Linux zorgen dat een proces nooit meer dan (b.v.) 40% van je CPU gebruikt? Ik heb dat nooit kunnen vinden. Ik zie wel dat je de CPU tijd kunt beperken, maar dat betekent volgens mij alleen maar dat je een process automatisch kunt killen als ie meer dan xxx seconden CPU tijd heeft gebruikt. Of ie dat nu in 1 minuut of 6 maanden doet, dat kun je niet instellen (?)

Ik zou b.v. graag het volgende in willen stellen:
apache max 40%
ftp max 20%
edonkey max 20%

Zodat ik altijd nog 20% overheb voor andere dingen

[Verwijderd]

Hoe verstandig is het om altijd de md5sum en gpg sig te checken? Heeft dat echt nut?

[moto-moi]

Verwijderd schreef op 10 april 2003 @ 16:16:
Hoe verstandig is het om altijd de md5sum en gpg sig te checken? Heeft dat echt nut?

Dat ligt eraan, als je een programma ergens van een mirror download, en op de officiele pagina staat een md5sum, dan kan het nut hebben. Maar meestal staat de md5sum op dezelfde server als de files, dus dan zou ik er niet blind op vertrouwen.
Sowieso de enige keer dat ik een md5sum check, is als ik een grote iso download, voor de rest geloof ik het wel

[elevator]

Ligt er een beetje waar je de nadruk oplegt. Er wordt nu nogal gefocussed op betrouwbaarheid wat betreft "exploits" en dergelijke, maar simpele dingen als trend montoring (hoe snel gaat die server overloaded zijn), het selectief updaten van je firmware's en drivers zijn net zo interessant in het betrouwbaar houden van je systeem.