1 Тема от HeliosPip

  • HeliosPip
  • Посетитель
  • Неактивен
  • Зарегистрирован: 26.09.2013
  • Сообщений: 2
  • Репутация : [ 0 | 0 ]

Доброгог времени суток всем линуксоидам!

Сразу оговорюсь, я в линуксе новичек и мне хотелось бы получить ответы в более менее развернутом виде, с объяснениями что как куда и почему...

Есть задача - реализовать харденинг (укрепление системы) по требованиям Department of Defence (DoD) - http://www.defense.gov/

там можно найти документы, например вот этот
http://www.nsa.gov/ia/_files/os/redhat/ … e-i731.pdf
(который у нас используется как список требований, большую часть из которых надо реализовать, и не важно, почему ссылка с другого сервака)
Так вот, есть там пункт "2.1.1.1 Disk Partitioning". Вот у меня вопросы возникают прямо с первого подпункта.

2.1.1.1.1 Create Separate Partition or Logical Volume for /tmp
The /tmp directory is a world-writable directory used for temporary file storage. Ensure that it has its own partition or logical volume
там дальше нас отсылают к экселевскому файлу  (http://nvd.nist.gov/ncp/DoD-RedHat-RHEL5-Settings.xls), где говорится, что это реализуется через fstab.

ВОПРОС:  что именно я должен прописать в fstab? (это должно быть реализованно на перле и быть более менее универсальным, в смысле, без привязки к UUID)
ну и дальше есть аналогичные рекомендации по /var, /var/log  и ещё интересно для меня пункт 2.2.1.4 Bind-mount /var/tmp to /tmp - как этот бинд делается через fstab?

Буду рад любым разъяснениям.
Заранее благодарен

2 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
HeliosPip⇓ пишет:

ВОПРОС:  что именно я должен прописать в fstab? (это должно быть реализованно на перле и быть более менее универсальным, в смысле, без привязки к UUID)

у меня написано

tmpfs                      /tmp             tmpfs       nodev,nosuid,size=768M       0   0

для безопасности лучше вообще не монтировать /tmp/ на диск.

HeliosPip⇓ пишет:

ну и дальше есть аналогичные рекомендации по /var, /var/log

а вот эти приходится на диск.

HeliosPip⇓ пишет:

2.2.1.4 Bind-mount /var/tmp to /tmp - как этот бинд делается через fstab?

можно и через fstab.

/tmp/ и /var/tmp это мусорки, и во первых их не надо мешать с системой, а во вторых их надо чистить. Но вторая по традиции должна выживать при перезагрузке, а первая не должна. Конечно лучше одну помойку держать, а не две.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

3 Ответ от Cruiser78 (26.09.2013 13:42:03 отредактировано Cruiser78)

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
HeliosPip пишет:

2.1.1.1.1 Create Separate Partition or Logical Volume for /tmp
The /tmp directory is a world-writable directory used for temporary file storage. Ensure that it has its own partition or logical volume
там дальше нас отсылают к экселевскому файлу  (http://nvd.nist.gov/ncp/DoD-RedHat-RHEL5-Settings.xls), где говорится, что это реализуется через fstab.

ВОПРОС:  что именно я должен прописать в fstab? (это должно быть реализованно на перле и быть более менее универсальным, в смысле, без привязки к UUID)
ну и дальше есть аналогичные рекомендации по /var, /var/log  и ещё интересно для меня пункт 2.2.1.4 Bind-mount /var/tmp to /tmp - как этот бинд делается через fstab?

Что именно требуется прописывать в fstab'е явно видно из самого fstab. cat /etc/fstab и читай эти несколько строчек до полного просветления. Там всё наглядно: что монтируем, куда монтируем, с какой файловой системой монтируем, опции монтирования.
А дальше - просто соображения. Документ рекомендует каталог /tmp размещать на отдельном разделе диска или логическом томе (LVM). Значит надо выделить этот отдельный том и удобным для себя способом (способов указать это много) прописать строчку в fstab. Но, если требуется приличная производительность системы, то размещать /tmp на жестком диске не есть эффективно. Его лучше разместить в оперативной памяти, то есть сделать /tmp как tmpfs. Помимо повышения скорострельности работы с временными файлами это даст и гарантии того, что если кто украдет компьютер, то изучение содержимого /tmp ему ничего не даст... И еще рекомендация - для большей устойчивости целесообразно монтировать /tmp как noexec.

Размещать /var на отдельном от корня разделе - не знаю в том большой целесообразности. А вот /var/log на высоконагруженном сервере лучше держать даже не на отдельном разделе, а на отдельном диске. Ну и тоже - с опцией noexec.

Далее - можно жить и без UUID (хотя узнать их элементарно - blkid), задавая имена устройств (например, /dev/sda1...). А можно вместо этого присвоить разделам метки (label) и вместо UUID в fstab прописывать эти осмысленные метки.

И главный секрет - последняя строчка в fstab должна быть пустой.

Bind-mount /var/tmp to /tmp? Не стоит совмещать эти два временных каталога. Если мне не изменяет память, то /tmp предназначен для хранения временных файлов, которые образуются в данном сеансе работы. То есть, после перезагрузки компа они не нужны. Поэтому /tmp можно размещать в памяти. А вот /var/tmp - нужен для хранения более долговременных временных файлов. Их лучше не совмещать в одном месте. А так - создай символьную ссылку /var/tmp на /tmp и всего делов.

4 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
Cruiser78⇓ пишет:

Что именно требуется прописывать в fstab'е явно видно из самого fstab.

лармальные администраторы читают это:

FSTAB(5)                                                 File Formats                                                 FSTAB(5)

NAME
       fstab - static information about the filesystems

SYNOPSIS
       /etc/fstab

DESCRIPTION
       The  file  fstab  contains descriptive information about the various file systems.  fstab is only read by programs, and
       not written; it is the duty of the system administrator to properly create and maintain this file.  Each filesystem  is
       described  on  a  separate line; fields on each line are separated by tabs or spaces.  Lines starting with '#' are com-
       ments, blank lines are ignored. The order of records in fstab is important because  fsck(8),  mount(8),  and  umount(8)
       sequentially iterate through fstab doing their thing.

(и далее)

Cruiser78⇓ пишет:

для большей устойчивости целесообразно монтировать /tmp как noexec.

тогда временными программами придётся мусорить в другом месте. Впрочем, для непрогрммистов это не важно.

Cruiser78⇓ пишет:

Размещать /var на отдельном от корня разделе - не знаю в том большой целесообразности.

есть смысл: там файлы постоянно меняются. Там же всякие СУБД и прочее такое.

Cruiser78⇓ пишет:

А вот /var/log на высоконагруженном сервере лучше держать даже не на отдельном разделе, а на отдельном диске. Ну и тоже - с опцией noexec.

ну это если кто угодно может там файлы создавать. Если может только рут, то noexec не имеет смысла, т.к. на рута всё равно не действует.
И да, noexec можно и обойти. Не забываем про /lib/ld-linux.so  (да, исправили, но кто знает? Может ещё что-то есть)

Cruiser78⇓ пишет:

например, /dev/sda1

они могут измениться из-за гонок...

Cruiser78⇓ пишет:

И главный секрет - последняя строчка в fstab должна быть пустой.

на самом деле, все строчки должны оканчиваться символом \n. Последняя -- не исключение. А вот Vim/Vi об этом в курсе.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

5 Ответ от HeliosPip

  • HeliosPip
  • Посетитель
  • Неактивен
  • Зарегистрирован: 26.09.2013
  • Сообщений: 2
  • Репутация : [ 0 | 0 ]

Всем спасибо за ответы.
Сразу скажу - информативного в них не было ни одного пока что.
Во-первых, обсуждение целесообразности  - это тема другого топика. У меня есть просто список требований, которые я должен реализовать для того, чтобы пройти сертификацию.
Во-вторых, писать что-то типа "лармальные администраторы читают это:" - ну как минимум не этично. Читал я ман. но у меня не получается. Получилось бы - не спрашивал бы вообще.

А теперь к делу.
Я пытался у себя на виртуалке поиграться с fstab'ом. Вот что у меня было до моих изменений

dev/mapper/vg_livecd-lv_root /                       ext4    defaults        1 1
UUID=c6190b1e-1244-4a4e-b400-3d3e98155011 /boot                   ext4    defaults        1 2
/dev/mapper/vg_livecd-lv_swap swap                    swap    defaults        0 0
tmpfs                   /dev/shm                tmpfs   defaults        0 0
devpts                  /dev/pts                devpts  gid=5,mode=620  0 0
sysfs                   /sys                    sysfs   defaults        0 0
proc                    /proc                   proc    defaults        0 0

я добавил ещё этот рядок

tmpfs                    /tmp                  tmpfs     defaults,nodev,noexec,nosuid    0 0

Насколько целесообразно заводить ещё один TMPFS раздел?

Дальше. Как мне прописать сюда /var и /var/log ? т.е. я не могу понять, что должно быть в первом и третьем столбцах.

Cruiser78⇓ пишет:

Значит надо выделить этот отдельный том и удобным для себя способом (способов указать это много) прописать строчку в fstab.

можно показать хотя бы несколько способов  выделения отдельного тома? Я так понимаю, выделив отдельный том, я потом смогу прописать его в первом столбце и выставить просто ext3 или ext4 в третьем. Правильно?

И есть ли разница, какую  файловую систему я прописываю тут? Если у меня изначально диск идет как ext4 а в fstab я прописываю маунту маунтить его как ext3 - не по феншую?

и ещё раз напоминаю, мне это всё надо будет потом реализовать на перле программно, т.е. у меня в башке вся инфа долна выстроиться так, чтобы это можно было потом описать алгоритмически.

6 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
HeliosPip⇓ пишет:

Во-первых, обсуждение целесообразности  - это тема другого топика(*). У меня есть просто список требований, которые я должен реализовать для того, чтобы пройти сертификацию.

что-бы выполнить требования, необходимо их понимать.  Разве проблема не в этом?  По вашей ссылке написано

2.1.1.1.1 Create Separate Partition or Logical Volume for
/tmp

и что тут непонятного? Лично мне-бы было непонятно, ЗАЧЕМ это делать. ИЧСХ, в мане это не написано.

HeliosPip⇓ пишет:

Во-вторых, писать что-то типа "лармальные администраторы читают это:" - ну как минимум не этично. Читал я ман. но у меня не получается. Получилось бы - не спрашивал бы вообще.

это не вам было написано, а Cruiser78'у, который предлагал читать /etc/fstab, т.к. в его системе в этом файле есть комментарии. Имелось ввиду, что эти комментарии не в любой системе есть.

HeliosPip⇓ пишет:

tmpfs                    /tmp                  tmpfs     defaults,nodev,noexec,nosuid    0 0
Насколько целесообразно заводить ещё один TMPFS раздел?

(*)не скажу. Открывайте другой топик. (:
Если серьёзно, то вы можете использовать ровно столько разделов, сколько вам надо.
Вот только задавайте их максимальный размер. А то враг может забить всю память, и этим положить ваш сервер (т.е. требования НЕ выполнены. вы сделали дыру для DoS)

HeliosPip⇓ пишет:

Дальше. Как мне прописать сюда /var и /var/log ? т.е. я не могу понять, что должно быть в первом и третьем столбцах.

я зачем вам ссылку на man 5 fstab дал? Там всё ясно написано.
Ок. В первом и третьем написано ЧТО монтируется. Разница в том, что в первом -- устройство/каталог КОТОРЫЙ монтируется, а в третьем тип этой сущности. Для /var/ в первом это /dev/sda5 например (у меня так на некоторой системе), а в третьем ext4.

HeliosPip⇓ пишет:

можно показать хотя бы несколько способов  выделения отдельного тома? Я так понимаю, выделив отдельный том, я потом смогу прописать его в первом столбце и выставить просто ext3 или ext4 в третьем. Правильно?

"тома" это из LVM. Вы точно решили использовать LVM? Определитесь.

HeliosPip⇓ пишет:

И есть ли разница, какую  файловую систему я прописываю тут? Если у меня изначально диск идет как ext4 а в fstab я прописываю маунту маунтить его как ext3 - не по феншую?

нет. Если вы не знаете, какая там БУДЕТ ФС, используйте тип auto. Тогда mount сама попытается угадать (не всегда успешно. Подходит для флешек в десктопе, на серверах так не делают)

HeliosPip⇓ пишет:

и ещё раз напоминаю, мне это всё надо будет потом реализовать на перле программно, т.е. у меня в башке вся инфа долна выстроиться так, чтобы это можно было потом описать алгоритмически.

я сомневаюсь, что вы это всё ручками сможете сделать(пока ещё). А уж программу написать...
Кстати, если-бы такую программу можно было-бы написать, то большинство админов давно-бы уволили...

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

7 Ответ от dyasny

  • dyasny
  • Пользователь
  • Неактивен
  • Зарегистрирован: 15.05.2012
  • Сообщений: 2,163
  • Репутация : [ 67 | 1 ]

Может сначала подучить систему, а потом уже браться за hardening?

8 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
HeliosPip пишет:

Всем спасибо за ответы.
Сразу скажу - информативного в них не было ни одного пока что.

Напротив, Вы получили полную информацию. Никто не обязан делать за Вас Вашу работу. Но вот направить Ваш мыслительный процесс по оптимальному руслу, съэкономить Вам время, отведенное на решение Вашей задачи - для того этот форум и существует. Здесь Вы скорее найдете путь решения, чем конкретную реализацию, которую можно копипастить. Да и в последнес случае работу Вашего мыслительного аппарата никто не отменял. нельзя копипастить всё подряд, бездумно. Надо понимать что делаешь и к чему это приведет.

HeliosPip пишет:


я добавил ещё этот рядок

tmpfs                    /tmp                  tmpfs     defaults,nodev,noexec,nosuid    0 0

Насколько целесообразно заводить ещё один TMPFS раздел?

Все написано правильно. Вот только для понимания -tmpfs это не физической раздел на диске или в памяти. Это программное. Есть два "девайса", которые могут представлять оперативную память компьютера как блочное устройство и монтировать её куда хочешь. Это ramfs и tmpfs. Отличия между ними следующие:
1. ramfs представляет всю память как единое устройство и позволяет забить (случайно) её по самые промидоры. Это опасно, поэтому надо такой раздел принудительно ограничивать в размере опцией монтирования size=.
2. tmpfs тоже представляет память как блочное устройство, но в случае роста объема данных на нём (больше половины свободной RAM) начинает переносить эти данные в своп. То есть реально в оперативной памяти доступна для tmpfs только её половина (быстро). Что более безопасно в плане устойчивости (не забьешь память полностью), но и более тормознуто.
Отсюда - tmpfs это не "раздел" и его никак не завести.   

HeliosPip пишет:


Дальше. Как мне прописать сюда /var и /var/log ? т.е. я не могу понять, что должно быть в первом и третьем столбцах.
...
можно показать хотя бы несколько способов  выделения отдельного тома? Я так понимаю, выделив отдельный том, я потом смогу прописать его в первом столбце и выставить просто ext3 или ext4 в третьем. Правильно?

Если Вы не используете LVM, то для создания нового дискового раздела следует пользоваться базовыми командами fdisk и mkfs. Первой командой создаешь на диске разделы (которые будут именоваться /dev/sd[X][1-9]), второй - нужную файловую систему на этом диске. При этом созданный раздел получит и UUID (доступный по blkid) и на него можно повесить метку, LABEL.
Если Вы используете LVM, то есть тоже набор базовых команд (lvcreate, pvcreate etc). Ими также создается LVM-том, на котором создается файловая система и так далее.
Это - базовые команды. Помимо этого есть графические frontend'ы, например, gparted или system-config-lvm. Которые сделают то же самое.
Итак, том Вы выделите, отформатируете его в нужную Вам файловую систему, так что помешает Вам записать в /etc/fstab строчку?
   
/dev/sda5                /var  ext4  defaults    0 0

или

UUID="real UUID"      /var ext4 defaults    0 0

или

LABEL="real LABEL"    /var ext4 defaults    0 0

HeliosPip пишет:

И есть ли разница, какую  файловую систему я прописываю тут? Если у меня изначально диск идет как ext4 а в fstab я прописываю маунту маунтить его как ext3 - не по феншую?

Если Вы создали файловую систему ext4, то её можно смотрировать как ext3. Обратное неверно. Естественно, что если вы ext4 смонтируете как ext3, то работать оно будет только как ext3, без каких либо ext4-плюшек.

HeliosPip пишет:

и ещё раз напоминаю, мне это всё надо будет потом реализовать на перле программно, т.е. у меня в башке вся инфа долна выстроиться так, чтобы это можно было потом описать алгоритмически.

Что именно Вам нужно реализовать программно? Файл /etc/fstab - файл статический и неизменный. Писать какую-либо программу по его однократному заполнению под Ваши конкретные особенности? По моему это нонсенс.