¿Es realmente necesario reforzar el servidor con grsecurity en el entorno CentOS 6.3?

grsecurity (a.k.a. grsec) no es realmente un programa, es un paquete para Linux.

Incluye lo siguiente:

• Un sistema Seguridad de acceso basado en roles (RBAC) completamente completo.
• parches de kernel endurecidos con grsec.
• Implementación PaX mejorada.
• Restricciones de chroot (varias características para evitar que el malware escape de una jaula de chroot)
• Mejoras generales de seguridad del sistema.

Estas características están diseñadas para evitar que Shellcode tenga éxito en el sistema. Las restricciones en chroot y otras funciones del sistema ayudan a evitar que procesos no confiables (por ejemplo, httpd) realicen tareas que no deberían.

Aquí hay algunos ejemplos de mejoras prácticas:

• Prevención de ptrace y otros mecanismos de IPC entre procesos que no deberían comunicarse entre sí.
• Capacidades forenses a través de /proc/[pid]/ipaddr
• enlace
• Auditoría completa de procesos, usuarios, grupos y otras entidades.
• Capacidad para ocultar completamente los procesos en modo kernel del modo de usuario.

La parte más difícil y poderosa de la configuración de grsec es el sistema RBAC. Depende de usted para configurar de manera adecuada y completa los privilegios y capacidades de ciertos procesos. Por defecto, este es un conjunto bastante restrictivo. Esto a menudo puede bloquear y matar ciertos procesos, a menudo sin una razón obvia. Sin embargo, si lo ajustas correctamente, es una medida de seguridad increíble.

Es genial para escenarios de alta seguridad, y le sugiero que instale GRSEC con RBAC deshabilitado primero para darle una oportunidad. Configure un chroot adecuado para sus servicios (al menos httpd, preferiblemente también demonios de SQL / correo) para que el sistema no se vea afectado debido a una vulnerabilidad en un solo daemon.

Hay mucho que cubrir en una sola respuesta, por lo que te sugiero que leas el grsec wikibook .

En cuanto a si usted lo necesita, depende. Es complejo de configurar (incluye una compilación del núcleo desde la fuente, más una gran cantidad de auto-entrenamiento y edición de configuración manual) y tomará una cantidad significativa de tiempo para configurarlo completamente, pero el resultado es que obtienes una gran cantidad de resistencia contra Vulnerabilidades de ejecución remota de código en los demonios de servicio y el propio núcleo. Calcule cuánto tiempo desea dedicar a protegerse de tales ataques y continúe desde allí.

Tema relacionado pero importante:

De acuerdo con esta página alojada de CentOS, que trata de tener núcleos personalizados, "CentOS está diseñado para funcionar como un entorno completo. Si reemplaza un componente crítico, puede afectar la forma en que actúa el resto del sistema. / p>

enlace

Consulte también esta respuesta relacionada con Stackexchange a la pregunta "¿Por qué Centos todavía no usa el kernel más reciente":

enlace