Partitionnement sécurisé de Linux

Je suis tombé sur la norme de hiérarchie de système de fichiers suivante, mais je ne sais pas comment partitionner les répertoires si j'utilise le gestionnaire de volumes logiques et si je souhaite sécuriser ou renforcer l'installation autant que possible.

entrez la description de l'image ici

Je suis conscient que cela dépend de l'utilisation envisagée du PC / du serveur, mais j'aimerais savoir ce qui est généralement recommandé en tant qu'installation de base, par exemple keep / var, / var / log, / var / spool car ils changent constamment.

Deuxièmement, combien d'espace est requis pour les répertoires / boot et / root en supposant que je segmente des répertoires tels que / home, / usr, / var, etc. comme leurs propres points de montage?

Si je n'ai que le point de montage / boot en dehors des volumes logiques, est-ce qu'il me fournit une sécurité suffisante? Pour quoi ne me fournit pas de sécurité?

linux PeanutsMonkey
la source

Honnêtement, je ne vois pas en quoi les schémas de partition ont un impact sur la sécurité.

Grawity

@grawity - D'après ce que je comprends, les schémas de partition permettent un contrôle granulaire.

PeanutsMonkey

En étudiant la sécurité, je ne vois pas comment un système multi-partitions améliorerait la sécurité. Si un attaquant a une interface quelconque avec votre schéma de partition, il dispose déjà d'un accès trop important. Les contrôles d'accès sont les travaux de votre application / système d'exploitation / système de fichiers, pas votre table de partition. La surface d'attaque ne changera pas sensiblement en fonction du schéma de partition, elles seront toujours montées aux mêmes endroits.

jcrawfordor

Je pense que vous pouvez mal comprendre vos lectures de base. Les schémas de partitionnement n'affectent pas votre sécurité contre les attaques ("piratage"), mais vous avez peut-être déjà entendu parler de la "sécurisation" de votre système contre les processus malveillants qui remplissent votre disque dur et le mettent hors service. Par exemple, si / home est sur une partition séparée, un utilisateur essayant de vider toute sa collection de films de 700 To se remplira / home, mais être sur une partition séparée ne ferait pas de mal aux processus qui reposent sur l'écriture, par exemple / tmp. Pour fonctionner. Vous êtes donc "sécurisé" contre certains problèmes d'espace disque avec des schémas de partitionnement complexes.

Kromey

Kromey est correct, le partitionnement peut s'avérer un outil utile pour contrôler l'utilisation de votre disque, ainsi que des quotas appliqués par le système d'exploitation. Je ne vois pas comment les attaques par déni de service s'appliquent, même si ... même si nous faisons preuve de beaucoup d'imagination et prétendons que quelqu'un attaque votre disque dur par une attaque DoS (et si c'est le cas, la boîte a été utilisée depuis longtemps), le goulot d'étranglement se trouve dans le contrôleur de disque et il échouera sous le même chargement, quel que soit le nombre de partitions qu'il contient. Les partitions ne vous donnent pas plus de périphériques, elles divisent simplement le périphérique dans sa présentation logique.

jcrawfordor

Réponses:

Permettez-moi de faire un contraste avec les commentaires sur la question.

Si vous examinez le graphique en détail, certaines options de sécurité deviennent ouvertes avec un partitionnement approprié. Quelques exemples rapides:

Tout ce qui est marqué statique ou en lecture seule peut être monté sur (en lecture seule).
Tout ce qui n'est pas / dev peut être monté nodev (aucun fichier de périphérique ne sera honoré).
Toute partition qui ne nécessite pas de fichiers binaires setuid peut être montée nosuid (les bits setuid et setgid sont ignorés).
Les partitions temporaires peuvent être montées ou gérées de manière à ce que leurs données ne puissent pas durer au-delà d'un redémarrage (par exemple, création d'un nouveau système de fichiers chiffré à chaque démarrage avec une clé aléatoire jetée après le montage)
Pour certaines partitions, vous pouvez les monter à distance et en lecture seule à partir d'un serveur NFS. Cette astuce était populaire sur Solaris.

Vous pouvez probablement trouver des combinaisons ou des approches plus sophistiquées avec certains travaux en examinant les options à monter. Un autre exemple qui semble utile est noexec, par exemple.

Ces changements ne signifieront pas une sécurité parfaite. Ils peuvent considérablement compliquer la mise en œuvre de diverses attaques. Par exemple, il est plus difficile de déposer un binaire setuid troyen sur une partition montée entre nosuid et ro.

En bref, le partitionnement peut offrir certains avantages en termes de sécurité. Ce ne sera pas une sécurité parfaite, mais cela peut rendre le travail d'un attaquant plus difficile.

Slartibartfast
la source

Merci. Je suis relativement nouveau dans le monde de Linux, je ne connais donc pas les bits setuid et setgid, mais j'espère pouvoir les couvrir dans mes voyages sous Linux. J'ai cependant quelques questions à propos de vos commentaires. Outre le bootpoint de montage, quels autres points de montage peuvent être montés en lecture seule? Je suppose que tous les autres points de montage /devdoivent être montés sauf nodev? Comment créer une partition temporaire qui empêche les données de persister? Je ne sais pas encore ce que fait noexec non plus, mais je vais certainement l'explorer.

PeanutsMonkey

@PeanutsMonkey Bien que cette réponse soit correcte, vous obtenez un retour sur investissement tellement marginal que vous feriez bien mieux de concentrer vos efforts d'apprentissage ailleurs - tels que les autorisations de fichiers iptables et Linux. Une fois que vous avez une bonne compréhension de leur fonctionnement et du fonctionnement de Linux en général, vous pouvez revenir aux partitions pour renforcer la sécurité de votre système.

Kromey

@ PeanutsMonkey: Kromey est également correct. Cette réponse n'est pas utile pour le nouvel utilisateur. Ma réponse augmente légèrement la sécurité à un coût drastique pour la convivialité (pour la plupart). Il est utile pour les administrateurs paranoïaques qui veulent un peu de sécurité supplémentaire et sont prêts à en payer le prix. Si vous ne connaissez pas déjà les implications des changements décrits, leur réalisation rendra également votre vie un enfer. Au lieu de cela, je recommande d'apprendre tout ce que vous pouvez sur setuid et setgid; cela vous mènera des endroits très utiles. Vos autres questions peuvent faire de bonnes questions SU à part entière.

Slartibartfast