tomld - egy kis helyzet jelentés

Ugye mivel egy alkalmazás által létrehozott fájlról nem teljességgel dönthető el hogy átmeneti-e, vagy visszatérően ugyanazon a néven meg lesz sokáig, ezért az alap ötletem az volt, hogy fájlok helyett mappákra állítok be szabályokat. Vagyis a mappa végét (vagy annak végén lévő fájlt) csillagozom ki.

A gond a random fájlokkal az, hogy így a szabály rendszer folyamatosan hízik, és így olyan fájlokra van mindig hivatkozás, amiről még nincs szabály, tehát folyamatos a hozzáférés megtagadás.

Persze kézzel könnyű szabályt létrehozni, az ember ránézésre látja hogy melyik fájl tartalmaz random részt, de adott esetben 3-4 ezer szabályt kézzel toszogatni folyamatosan (akár minden rendszer frissítéskor vagy egyéb más rendszer változáskor is) sok idő és a hiba lehetőség is nagy és nehezen látható be. Ezt alapból nagy hiányosságának tartom az általam ismert MAC rendszereknek. A kézzel állítgatott nagy számú szabályok miatt a komplexitási szint egy idő után túl nagy és nem triviális a helyes működés (szerintem).

Ettől függetlenül létrehoztam egy olyan részt, amely megpróbálja kitalálni a random voltát a fájloknak, vagyis nem azt hogy random-e, hanem adott feltételek esetén kicsillagozásra kerül az olyan mappákban is, amelyek a kivételek közt szerepelnek alapból.

Például chromium böngésző is hoz létre $HOME-ba random temp fájlt ".org.chromium.CP5la6" formában.
--

A teljes biztonságot nyilván az összes szabály összességében határozza meg. Az egész sajtból minden engedély és minden egyes wildcard lecsíp egy kicsit, és a végén ami marad, azt vehetjük a biztonsági szint maximumának.

Az 1 hónapos intenzív fejlesztés során több strukturális bővítést is végeztem, amelyre szükség volt de eredetileg nem volt látható, és úgy gondolom, hogy a jelenlegi működéssel egész jó szabály rendszert kapunk.

A teljes flow chart megtalálható a forrás legelején, amelyet kibővítettem a szabály átdolgozásos résszel is részletesen.
--

Remélem hogy nem nagyon lesz durva hiba a logikámban, és egy használható eszközöm marad, amelyet szeretnék minél kényelmesebbre és automatikusabbra alakítani.

--
(Talán) érdekességként bemásolom ide az exim4-em kialakított konfigját.

Itt az alábbi látható:

- < kernel > rész után áll közvetlenül a bináris az elérési úttal, ez azt mutatja hogy saját domain-ben van, vagyis mindegy melyik más folyamat indítja az exim-et, mindig ez a szabály rész fog vonatkozni rá (alapból minden egyes általam létrehozott domain-t így állítok be)

- use_profile 3 azt jelenti, hogy kikényszerítő módban van (0 = kikapcsolt, 1 = tanuló, 2 = engedékeny (nem hoz létre szabályt és engedi a hozzáférést, de beírja a log-ba a hozzáférésről a megtagadást), illetve 3 = kikényszerítő mód)

- a többi rész magáért beszél - a progimmal a lib-ek verzióit is átpofozom és wildcard-ra cserélem, amely imho megengedhető a biztonság - használhatóság arányt figyelembe véve, és verzió váltáskor kevesebb problémát szül

Úgy gondolom ezzel elég jól bezárható a folyamat, és bizonyára nincs teljes biztonság soha, de a semminél sokkal több.

< kernel > /usr/sbin/exim4
use_profile 3
allow_create /var/run/exim4/\*
allow_execute /usr/sbin/exim4
allow_read /etc/group
allow_read /etc/ld.so.cache
allow_read /etc/localtime
allow_read /etc/nsswitch.conf
allow_read /etc/passwd
allow_read /etc/services
allow_read /lib/libc-\*.so
allow_read /lib/libcrypt-\*.so
allow_read /lib/libdl-\*.so
allow_read /lib/libm-\*.so
allow_read /lib/libnsl-\*.so
allow_read /lib/libnss_compat-\*.so
allow_read /lib/libnss_files-\*.so
allow_read /lib/libnss_nis-\*.so
allow_read /lib/libpcre.so.\*
allow_read /lib/libpthread-\*.so
allow_read /lib/libresolv-\*.so
allow_read /proc/sys/kernel/ngroups_max
allow_read /usr/lib/libdb-\*.so
allow_read /usr/lib/libgcrypt.so.\*
allow_read /usr/lib/libgnutls.so.\*
allow_read /usr/lib/libgpg-error.so.\*
allow_read /usr/lib/libtasn\*.so.\*
allow_read /usr/lib/libz.so.\*
allow_read /var/lib/exim4/config.autogenerated
allow_read /var/lib/exim4/config.autogenerated.tmp
allow_read/write /dev/null
allow_read/write /var/run/exim4/\*
allow_truncate /var/run/exim4/\*
allow_unlink /var/run/exim4/\*
allow_write /var/log/exim4/mainlog