SEGURIDAD EN UNIX Y REDES

146CAPÍTULO 9. SEGURIDAD DEL NÚCLEOdifíciles de realizar que en los sistemas habituales, ya que muchos de estos ataques se basanen sobreescribir la dirección de retorno de una función en la pila para que apunte a códigomalicioso, también depositado en la pila. Aunque Secure Linux no es una solución completa, síque añade un nivel extra de seguridad en este sentido, haciendo que un atacante que pretendautilizar un buffer overflow contra nuestro sistema tenga que utilizar código más complicadopara hacerlo.• Enlaces restringidos en /tmpCon esta característica, Secure Linux intenta que los usuarios sin privilegios puedan crearenlaces en /tmp/ sobre ficheros que no les pertenecen, eliminando así ciertos problemas deseguridad que afectan a algunos sistemas Linux, relacionados principalmente con condicionesde carrera en el acceso a ficheros.• Tuberías restringidas en /tmpEsta opción no permite a los usuarios escribir en tuberías (fifos) que no le pertenezcan a él oal root en directorios con el bit de permanencia activo, como /tmp. De esta forma se evitanciertos ataques de Data Spoofing.• /proc restringidoEsta es quizás la característica más útil de este parche, aparte de la más visible para el usuarionormal. Permite que los usuarios no tengan un acceso completo al directorio /proc/ (querecordemos permite un acceso a estructuras de datos del núcleo, como la tabla de procesos,desde el espacio de usuario) a no ser que se encuentren en un determinado grupo con el nivelde privilegio suficiente. De esta forma se consigue un aumento espectacular en la privacidaddel sistema, ya que por ejemplo los usuarios sólo podrán ver sus procesos al ejecutar un psaux, y tampoco tendrán acceso al estado de las conexiones de red vía netstat; así, órdenescomo ps o top sólo muestran información relativa a los procesos de quién las ejecuta, a noser que esta persona sea el administrador o un usuario perteneciente al grupo 0.AuditdEl demonio auditd permite al administrador de un sistema Linux recibir la información de auditoríade seguridad que el núcleo genera, a través del fichero /proc/audit, filtrarla y almacenarla enficheros. Esta información tiene el siguiente formato:AUDIT CONNECT pid ruid shost sport dhost dportConexión desde la máquina al host remoto dhost.AUDIT ACCEPT pid ruid shost sport dhost dportConexión desde el host remoto dhost a la máquina.AUDIT LISTEN pid ruid shost sportEl puerto indicado está esperando peticiones de servicio.AUDIT OPEN pid ruid fileSe ha abierto el fichero file.AUDIT SETUID pid old ruid ruid euidSe ha llamado con éxito a setuid(), modificando el UID de ruid a euid.AUDIT EXEC pid ruid fileSe ha ejecutado el fichero file.AUDIT MODINIT pid ruid fileSe ha insertado en el kernel el módulo file.Al leer la información de /proc/audit, el demonio auditd lee las reglas de filtrado del fichero/etc/security/audit.conf, comparando los flags, pid y ruid (Real User IDentifier) recibidoscon cada una de las reglas del archivo de configuración hasta encontrar la apropiada para tratar elevento. Una vez que el demonio auditd ha encontrado el fichero donde almacenar la informaciónrecibida, la guarda en él con un formato legible.