5. Sicurezza dei file e dei filesystem

Alcuni minuti di preparazione e pianificazione prima di mettere in funzione i sistemi possono essere d'aiuto per proteggere loro e i loro dati.

• Non ci dovrebbe essere alcuna ragione per cui le home directory degli utenti permettano di usare programmi SUID/SGID. Si utilizzi l'opzione nosuid nel file /etc/fstab per partizioni scrivibili da chi non è root. Forse si vorrà anche usare nodev e noexec sulle partizioni home degli utenti e su /var, proibendo così l'uso di programmi e la creazione di character o block device, che comunque non dovrebbe mai essere necessaria.

• Se esportate filesystem usando NFS, siate sicuri di configurare /etc/exports con l'accesso più restrittivo possibile. Questo significa non usare wildcard, non permettere accesso in scrittura di root e esportare solo in lettura quando è possibile.

• Si configuri l'umask di creazione dei file dei vostri utenti in modo che sia più restrittiva possibile. Si veda la Sezione 5.1.

• Se si montano filesystem usando un filesystem di rete come NFS, ci si assicuri di configurare /etc/exports con restrizioni adeguate. Tipicamente è consigliabile usare nodev, nosuid, e magari noexec.

• Si impostino limiti per il filesystem invece di lasciarlo illimitato come di default. Si possono controllare i limiti per utente usando il modulo PAM per la limitazione delle risorse e /etc/pam.d/limits.conf. Per esempio, i limiti per il gruppo users potrebbero essere:

  @users hard core 0 @users hard nproc 50 @users hard rss 5000

  Così si proibisce la creazione di file core, si limita il numero di processi a 50 e la memoria disponibile ad ogni utente a 5 MB.

  Si può anche usare il file di configurazione /etc/login.defs per impostare gli stessi limiti.

• I file /var/log/wtmp e /var/run/utmp contengono i record di login per tutti gli utenti del sistema. La loro integrità deve essere conservata perché possono essere usati per determinare quando e da dove un utente (o un potenziale intruso) è entrato nel sistema. Questi file dovrebbero avere i permessi 644, senza limitare il normale uso del sistema.

• Il bit immutable può essere usato per prevenire la cancellazione o sovrascrittura accidentale di un file che deve essere protetto. Inoltre evita che qualcuno crei un link simbolico al file. Si veda la pagina man chattr(1) per informazioni sul bit immutable.

• I file SUID e SGID sono un potenziale rischio, e dovrebbero essere tenuti d'occhio. Visto che questi programmi danno speciali privilegi all'utente che li esegue, è necessario assicurarsi che non vengano installati programmi insicuri. Un trucco molto diffuso fra i cracker è sfruttare programmi con SUID-root, quindi lasciare un programma SUID a fare da backdoor per entrare la volta successiva, anche se il buco originale viene chiuso.

  Si trovino tutti i programmi SUID/SGID sul sistema, e si tenga traccia di cosa sono, così da essere al corrente di qualsiasi cambiamento che potrebbe indicare un eventuale intruso. Si usi questo comando per trovare tutti i programmi con SUID/SGID sul sistema:

  root# find / -type f \( -perm -04000 -o -perm -02000 \)

  La distribuzione Debian esegue un job ogni sera per determinare quali file con SUID esistano. Quindi li confronta con quelli della sera precedente. Potete cercare questo log in /var/log/setuid*.

  Si possono togliere i permessi SUID o SGID da un programma sospetto con chmod, quindi rimetterli se si pensa che siano assolutamente necessari.

• I file scrivibili da tutti, soprattutto i file di sistema, possono essere un buco nella sicurezza se un cracker accede al vostro sistema e li modifica. Inoltre, le directory scrivibili da tutti sono pericolose: permettono a un cracker di aggiungere o cancellare file come vuole. Per trovare tutti i file di libera scrittura sul sistema, si usi il comando:

  root# find / -perm -2 ! -type l -ls

  e ci si assicuri di sapere perché quei file sono scrivibili. Durante l'uso normale alcuni file saranno liberamente scrivibili, inclusi alcuni da /dev, e i link simbolici, da cui il ! -type l li esclude dal comando find precedente.

• Dei file senza un proprietario possono indicare che qualcuno è entrato nel vostro sistema. Si possono trovare i file senza proprietario, o senza gruppo, col comando:

  root# find / \( -nouser -o -nogroup \) -print

• Cercare file .rhosts dovrebbe essere uno dei compiti di amministratore, visto che questi file non dovrebbero essere permessi sul sistema. Si ricordi che a un cracker basta un solo account insicuro per poter avere accesso a tutta la rete. Si possono trovare tutti i file .rhosts sul sistema col seguente comando:

  root# find /home -name .rhosts -print

• Per finire, prima di cambiare i permessi su un qualsiasi file di sistema, si sia certi di sapere quello che viene fatto. Non cambiare mai i permessi di un file perché sembra la via più facile di far funzionare le cose. Determinare sempre la ragione per cui quel file ha quei permessi prima di cambiarli.