J'ai pas eu l'occasion de regarder en detail ce qu'ils ont fait mais fedora travail pas mal depuis FC2 sur l'adoption d'SELinux par defaut notament pour securiser les démons.
Le gros problème de la sécurité c'est qu'elle n'est pas vraiment transposable. Certaines choses peuvent etre deployables partout comme PaX (W^X, execshield etc.). Quand tu commences a taper dans les regles SELinux tu commences deja a specialiser la machine. Et si tu veux vraiment un truc efficasse tu as une solution adaptée a *une* problématique.
Hors le but des vendeurs est de vendre... Et c'est justement pour ca que fedora est passée d'une police strict (qui correspondrait a je bloque tout ce qui n'est pas autorisée du firewall) a une police targeted qui ne vise que des points particuliers. Bref l'etape actuelle est d'empecher la prise de privilege du a l'exploitation d'un serveur. A ma connaissance, hormis utiliser une politique qui empeche les gens de bosser, il n'y a pas de vraie reponse a la problematique des "PEBKAC" et c'est souvent plus simple d'eduquer les utilisateurs que de chercher des solutions purement techniques. Et activer trop de choses par defaut empeche de bosser, genre les securelevel ne sont applicable que si l'utilisation de la machine a ete prevue pour.
Un mec a presenté y'a pas longtemps un IDS (FreeBSD) basé sur le principe du filtre bayesien sur le comportement des process. Ca pourrait aussi être un deuxieme angle d'attaque meme si ca a des limitations qui sautent aux yeux.
[^] # Re: Bof
Posté par ckyl . En réponse au journal Espoir, quand tu nous tiens!. Évalué à 2.
Le gros problème de la sécurité c'est qu'elle n'est pas vraiment transposable. Certaines choses peuvent etre deployables partout comme PaX (W^X, execshield etc.). Quand tu commences a taper dans les regles SELinux tu commences deja a specialiser la machine. Et si tu veux vraiment un truc efficasse tu as une solution adaptée a *une* problématique.
Hors le but des vendeurs est de vendre... Et c'est justement pour ca que fedora est passée d'une police strict (qui correspondrait a je bloque tout ce qui n'est pas autorisée du firewall) a une police targeted qui ne vise que des points particuliers. Bref l'etape actuelle est d'empecher la prise de privilege du a l'exploitation d'un serveur. A ma connaissance, hormis utiliser une politique qui empeche les gens de bosser, il n'y a pas de vraie reponse a la problematique des "PEBKAC" et c'est souvent plus simple d'eduquer les utilisateurs que de chercher des solutions purement techniques. Et activer trop de choses par defaut empeche de bosser, genre les securelevel ne sont applicable que si l'utilisation de la machine a ete prevue pour.
Un mec a presenté y'a pas longtemps un IDS (FreeBSD) basé sur le principe du filtre bayesien sur le comportement des process. Ca pourrait aussi être un deuxieme angle d'attaque meme si ca a des limitations qui sautent aux yeux.