Dima
SELinux не даст
Anonymous
Dima
да и апдейты всякого рода эксплоиты закрывают
Anonymous
у тебя есть сотрудник у него доступ на бой по ключу, он взял и домашний свой зафигачил в рут или в своего юзера и все спер
selinux оч крутая штука, ты можешь запретить пользователю даже от рута и самому руту запускать софт, мне определённого pid
Andrew
а кто юзает ssh-ldap-keys? у всех же бой по ключам 100%
Anonymous
pam_au...+/pam_usb
Anonymous
/pam_usb
Anonymous
но тут есть 1 проблема
Anonymous
в бубунтах selinux ущербен
Anonymous
потому что убунта говно, и не умеет нормальные пакеты и ядра делать
Anonymous
но кривой....
Daniel
кривые у тебя знания
Daniel
зачем в убунте селинукс, если там дл того же самого есть apparmor
Andrew
зачем в убунте селинукс, если там дл того же самого есть apparmor
вот это мне подходит, хотел бы услышать ваши советы еще @onokonem @demeliorator
Daniel
советы по какому поводу?
Alexander 🐕
вот это мне подходит, хотел бы услышать ваши советы еще @onokonem @demeliorator
Вообще - я не пользовался AppArmor никогда в жизни
Я пользовался GrSecurity
Alexander 🐕
Ну и надо садиться составлять модель угроз
Andrew
Вообще - я не пользовался AppArmor никогда в жизни
Я пользовался GrSecurity
а как-же snort,rkhunter?
Alexander 🐕
Может так оказаться, что вся эта убунта убирается внутрь периметра
Anonymous
советы по какому поводу?
а в вашем apparmor можно запретить руту запускать процессы без указания pid?
Alexander 🐕
То есть, настолько бесполезная туловина, что просто вот ноль раз в жизни она помогла
Alexander 🐕
Я слышал название maldet, но это же тоже сигнатурный анализатор
Alexander 🐕
А сигнатурные анализаторы сосут у поведенческих
Andrew
То есть, настолько бесполезная туловина, что просто вот ноль раз в жизни она помогла
я понял спасибо, мне пока главное это внутренние угрозы (т.к одно из самых тяжелых)
Anonymous
То есть, настолько бесполезная туловина, что просто вот ноль раз в жизни она помогла
настроить запуск программ ток с определённым pid, любой левый пид, сразу запрет на запуск
Alexander 🐕
А много ли мы знаем опенсорсных поведенческих анализаторов? Да ни одного
Daniel
хрыч, ты не умеешь читать
Alexander 🐕
Зато мы знаем rule enforcing фреймворки
Alexander 🐕
настроить запуск программ ток с определённым pid, любой левый пид, сразу запрет на запуск
Ну, не с PID, а с другим ID
Alexander 🐕
И, если ты говоришь о SELinux, то там речь будет идти о совпадении security contexts субъекта и объекта
Alexander 🐕
Ровно так же работает и вышеупомянутая GrSecurity
Alexander 🐕
Если мы говорим о каких-то локальных атаках
Alexander 🐕
А много ли мы в жизни видели локальных атак?
Ну - бывают
Alexander 🐕
Но проблема в том, что обычно атакуют не серверА
Alexander 🐕
А ве
Alexander 🐕
Бля
Alexander 🐕
Тупит клиент
Daniel
мы их не видим потому, что на наших машинах нет юзеров кроме администраторов
Andrew
А много ли мы в жизни видели локальных атак?
Ну - бывают
ну ведь самая пиздатая угроза это какойто обиженый чувак на компанию... у которого есть доступн
Alexander 🐕
А веб-приложение
Anonymous
ну вот например, у меня в подчинении 6 новичков, и мне надо, чтобы некоторые сервисы на серверах они не могли сами трогать
Alexander 🐕
А тут нам нужен веб аппликейшн фаервол
Alexander 🐕
ну вот например, у меня в подчинении 6 новичков, и мне надо, чтобы некоторые сервисы на серверах они не могли сами трогать
У тебя там отдел гаремного типа?
Alexander 🐕
ну ведь самая пиздатая угроза это какойто обиженый чувак на компанию... у которого есть доступн
Если компания обидела чувака, пусть будет она проклята в род и род
Alexander 🐕
Так что это не угроза никакая
Alexander 🐕
Не делай зла, и все будет норм
Andrew
Если компания обидела чувака, пусть будет она проклята в род и род
так может она не обижала,а он сам обиделся, ну суть в том что я бы послушал советы по разграничению прав доступа, сейчас хочу внедрить ldap-keys...
Anonymous
У тебя там отдел гаремного типа?
ну я как пример говорю, у меня вот на тендерах была техподдержка и 2 эникейщицы для пользователей, которые ходили объясняли, доступ к смене прав и тп у них был на серверах и определённых директориях, но например поставить софт, или перезапустить сервис - нет
Alexander 🐕
так может она не обижала,а он сам обиделся, ну суть в том что я бы послушал советы по разграничению прав доступа, сейчас хочу внедрить ldap-keys...
Смотря к чему доступа
У нас на серверах сервисы не управляются вручную обычно
Alexander 🐕
Все через Ansible repo
Alexander 🐕
Andrew
Все через Ansible repo
я думал ансибл и там рулить правами, но пока это не сильно подходит, не смогли мы еще дойти до такого уровня автоматизации
Alexander 🐕
я думал ансибл и там рулить правами, но пока это не сильно подходит, не смогли мы еще дойти до такого уровня автоматизации
Увольняйся и ищи себе норм место
В 2016 году не использовать энсибл это дно
Konstantin
Увольняйся и ищи себе норм место
В 2016 году не использовать энсибл это дно
впрочем, ничего нового
Roki
Anonymous
Увольняйся и ищи себе норм место
В 2016 году не использовать энсибл это дно
я вот сейчас если устроюсь, приду в контору. в которой 90 разработчкиов, но нет ansible, стоит заббикс через жопу
Andrew
Увольняйся и ищи себе норм место
В 2016 году не использовать энсибл это дно
мы используем ансибл, но какую-то часть делаем руками
Andrew
Увольняйся и ищи себе норм место
В 2016 году не использовать энсибл это дно
и я внедрил этот ансибл :)
Konstantin
от тебя - ничего =) я бы очень удивился...
Alexander 🐕
я вот сейчас если устроюсь, приду в контору. в которой 90 разработчкиов, но нет ansible, стоит заббикс через жопу
Ну - хорошее место, судя по всему
Konstantin
советовать всем немедленно увольняться - это вершина мастерства, чо
Anonymous
советовать всем немедленно увольняться - это вершина мастерства, чо
ну по факту, увольняться и валить из рашки, всегда лучший совет
Dmitry