16. fejezet - Kötelező hozzáférés-vezérlés (MAC)

Írta: Rhodes, Tom.
Tartalom
16.1. Áttekintés
16.2. A fejezet fontosabb fogalmai
16.3. A MAC ismertetése
16.4. Bővebben a MAC címkéiről
16.5. A védelem megtervezése
16.6. A modulok beállítása
16.7. A seeotheruids MAC-modul
16.8. A bsdextended MAC-modul
16.9. Az ifoff MAC-modul
16.10. A portacl MAC-modul
16.11. A partition MAC-modul
16.12. A többszintű biztonsági MAC-modul
16.13. A Biba MAC-modul
16.14. A LOMAC MAC-modul
16.15. A Nagios elzárása a MAC rendszerrel
16.16. A felhasználók korlátozása
16.17. A hibák elhárítása a MAC rendszerben

16.1. Áttekintés

A FreeBSD 5.X változata új biztonsági bővítéseket vett át a TrustedBSD projektből a POSIX(R).1e nyomán. A két legjelentősebb új biztonsági mechanizmus az állományrendszerekben megtalálható hozzáférés-vezérlési listák (Access Control List, ACL) és a kötelező hozzáférés-vezérlés (Mandatory Access Control, MAC). A kötelező hozzáférés-vezérlés segítségével olyan új hozzáférés-vezérlési modulok tölthetőek be, amelyek új biztonsági házirendeket implementálnak. Némelyek közülük védelmet nyújtanak a rendszer egy szűk részének, amivel így egy adott szolgáltatást bástyáznak alá. Mások minden részletre kiterjedő címkézett biztonságot szolgáltatnak alanyokon és objektumokon keresztül. A meghatározás "kötelező" része onnan fakad, hogy a szabályok betartatását a rendszergazdák és a rendszer végzik, és nem bízzák a felhasználókra, ahogy azt a System V típusú rendszerekben a szabványos állományokra és IPC-re érvényes engedélyeken keresztül a tetszés szerinti hozzáférés-vezérlés (Discretionary Access Control, DAC) teszi.

Ebben a fejezetben a kötelező hozzáférés-vezérlést övező keretrendszerre (MAC Framework) és a különböző biztonsági házirendeket megvalósító, beilleszthető modulokra fogunk összpontosítani.

A fejezet elolvasása során megismerjük:

  • hogy a FreeBSD jelen pillanatban milyen modulokat tartalmaz a MAC rendszeren belül és milyen mechanizmusok tartoznak hozzájuk;

  • hogy a MAC biztonsági házirendjeit képező modulok miket valósítanak meg, valamint mi a különbség a címkézett és címkézetlen házirendek között;

  • hogyan kell hatékonyan beállítani és használni rendszerünkben a MAC rendszert;

  • hogyan állítsuk be a MAC rendszerben található különféle biztonsági házirendeket képező modulokat;

  • hogyan hozzunk létre a MAC rendszer segítségével egy biztonságosabb környezetet, amire példákat is mutatunk;

  • hogyan teszteljük le a MAC rendszer beállításait és bizonyosodjunk meg működésének helyességéről.

A fejezet elolvasásához ajánlott:

Figyelem:

Az itt ismertetésre kerülő információk helytelen alkalmazása a rendszer hozzáférhetőségének teljes elvesztését, a felhasználók bosszantását vagy az X11 által felkínált lehetőségek kirekesztését eredményezheti. Ami viszont ennél is fontosabb, hogy a MAC rendszerre nem úgy kell tekinteni, mint amitől a rendszerünk tökéletesen biztonságossá válik. A MAC segítségével csupán a meglevő biztonsági házirendeket gyarapítjuk. A szilárd biztonsági rutin és a rendszeres ellenőrzések elvégzése nélkül a rendszerünk valójában sosem lesz teljesen biztonságos.

Hozzá kell tennünk, hogy a fejezetben bemutatott példák tényleg csak példák. Senkinek sem tanácsoljuk, hogy az itt említett beállításokat egy éles rendszerre is kiterjessze. A különböző biztonsági modulok felépítése rengeteg gondolkodást és próbálgatást igényel. Aki nem érti meg az egész működését, könnyen azon kaphatja magát, hogy újra végig kell mennie a rendszeren és egyenként be kell állítania minden könyvtárat és állományt.

16.1.1. Amivel itt nem foglalkozunk

Ebben a fejezetben a MAC rendszerrel kapcsolatban rengeteg biztonsági kérdéssel foglalkozni fogunk. Az új MAC biztonsági modulok kifejlesztését azonban már nem érintjük. Számos olyan biztonsági modul található a MAC rendszerben, amelyek rendelkeznek az új modulok kialakításához és teszteléséhez szükséges jellemzőkkel. Ilyenek többek közt a mac_test(4), mac_stub(4) és a mac_none(4). Ezekről a biztonsági modulokról és az általuk szolgáltatott mechnanizmusokról a man oldalaik tudnak bővebb tájékoztatást adni.

Ha kérdése van a FreeBSD-vel kapcsolatban, a következő címre írhat (angolul): <questions@FreeBSD.org>.

Ha ezzel a dokumentummal kapcsolatban van kérdése, kérjük erre a címre írjon: <gabor@FreeBSD.org>.