004. Безопасность ОС - Игорь Гоц

Расскажем про классическую модель безопасность UNIX и расширения Posix ACL, системы журналирования syslog и journald. Обсудим мандатные модели доступа (SELinux, AppArmor), устройство netfilter и iptables, а также procfs, sysctl и hardening OS. Поговорим про устройство стекового фрейма и уязвимости, связанные с переполнением буфера на стеке, механизмы защиты от подобных атак: ASLR, NX-Bit, DEP.

[PavelTimofeev]

Лекция хорошая, но местами прямо не могу промолчать.


С auditd согласен во всём. Да, его логи читать нереально. Ну так они эти сырые логи и не предназначены для чтения людьми. Никто так не делает.
В базовой поставке auditd есть тулы, которые умеют представлять сообщения/события в удобочитаемом для человека виде: ausearch(8), aureport(8) и т. д.. Хотя сильно лучше не становится, это да. Но упомянуть об этом точно стоило.

Дальше вообще вопиющее голословие. Человек "старой закалки", который не в курсах что такое сислог, это как-то очень странно.
> syslog придуман сетевиками
Эрик Алман, когда писал сислог для сэндмэйла, был не в курсе, что его оказывается уже придумали сетевики.

То, что лектор показывает на слайде со структурой сислога - это RFC5424, который пришёл на смену более старому RFC3164. И вот струкрутры на слайде - это раз как более поздний RFC. Что там такого сложного и ужасного - непонятно. Все эти структуры - не для человека, а для машины. Для человека потом ваш софт покажет сообщение и представит эту инфу как вам удобно. Циферка 34 в начале, так это просто битовая маска насколько я помню или что-то вроде того.
Ну и разницу сколько у вас байт в пакете займет ваш любимый json или kv в сравнении в таким syslog сообщением при высоком рэйте сильно считать не надо. Вообще странно сравнивать теплое с мягким.


Еще сислог совсем необязательно имеет ограничение на длину сообщения. С UDP - да, но и там есть нюансы. Можно использовать и TCP. С ним вам даже multiline сообщения будут доступны с octet counting (RFC6587, вроде бы).


Смена syslog-ng -> rsyslog возможно произошла из-за того, что второй более гибкий и у него куча плагинов для вывода

Короче конец лекции сильно испортил впечатление

[igorskorolevs]

А где можно посмотреть лекции от Игоря Гоца ?

[dimes]

а ещё для безопасности операционной системы хорошо бы использовать антивирус, такой как Romad поможет защитить как файлы, так и саму доступность компьютера из-вне, защиту криптовалюты и вообще чтобы никто не положил ручки на вашу систему