Merken

SELinux und AppArmor

Zitierlink des Filmsegments
Embed Code

Automatisierte Medienanalyse

Beta
Erkannte Entitäten
Sprachtranskript
mehr herzlich willkommen zur Mitte des Nachmittags wie der Vortrag heißt ist ja alle aus den Ankündigungen dass es verirrte hier gibt die eigentlich woanders hin wollten nämlich einfach mal nicht an es geht um es in Linux und ab aber mein Name ist hier Brühl ich arbeite bei der was um uns und anschalten arbeitet für die Firma was ist erst für
Entschuldigung so führen ich arbeite
für die Firma von Yul wir beschäftigen uns mit Dienstleistungen rund um mein SQL und da ich diese Folien Arbeitszeit gemacht habe muss der Werbeblock sein ansonsten springen jetzt gleich weiter SQL ist in diesem Vortrag kein Thema aber es kommt als Beispiel vor also es geht nicht um die Datenbank sondern es geht um ein Programm was normalerweise von ist Linux und er aber behandelt wird ich selber hab mich immer rund mit
Datenbanken beschäftigt und zwar nicht auf der Anwendungsseite typischerweise sondern auf der Anbieterseite also Hersteller ursprünglich beziehungsweise jetzt zur Port Consulting und so weiter eine Weile immer erst gehen das spielt jetzt aber keine Rolle wird es in Linux und ab er komme nicht in Berührung wenn das irgendwie auf Kunden Maschinen installiert ist oder installiert werden soll und damit Port Fragen auftauchen
ihr kennt wahrscheinlich aus den verschiedenen Anleitungen wer auch immer da mal was veröffentlicht die typische Empfehlung SI Linux schalten wir erst mal ab und es ja das ist typisch das ist Fakt und das hat nicht so dazu motiviert dass ich mir sage warum eigentlich
es sollte nirgends so sein dass ein Administrator ein Sicherheitsfeature abschalten muss mag sein dass das macht weiter sagt ich bin in der geschützten Umwelt mir passiert ja nichts und ohne das Sicherheitsfeature gehts leichter oder als schneller oder wie auch immer aber spätestens beim Produktionseinsatz sollte es nicht nötig sein damit es dann auch möglichst gar nicht erst passiert und Ziel dieses Vortrags ist also dass ein Zuhörer auf wenn er in die Admin Rolle schlüpft oder in dieser Art man wolle ist dass er er armer Hund des die Linux nutzen kann dass er weiß worum es geht das inet Beamer oder ist
Linux je nach dem was auf dem System installiert ist und läuft dass er eingreifen kann und dass er da ein bisschen Vorstellung hat was wieso warum und dass er das vor allen Dingen an die lokale Konfiguration an die lokalen Bedürfnisse anpassen kann
ich hab das erst mal so gegliedert wäre in bisschen über zu Schutz in Unix und in diesem Sinne ist Linux auch nur ein Unix zumindest von der Historie er dann die Frage warum gibt es überhaupt weitere Mechanismen Wochen sind die wofür sind die gut im Detail diese weitere Mechanismen könnten seine Arme oder SI Linux jeweils mit dem eigenen Abschnitt und danach in kurzem Abschluss ein kurzes Fazit weil ich aber andererseits mit dem Vortrag ein leichtes Problem habe dass ich über Ziele machen wir jetzt das Thema zu Schutz in Linux ganz in Unix ganz kurz die Folien werde ich hochladen auf die Firmen seit ich glaube auf der Ausgabenseite 14 auch nur hochladen Möglichkeit geben die könnte ich also dann beliebig holen und dann könnte zu den übersprungen oder die Folien die ich jetzt überspringen werde in aller Ruhe nachlesen ganz grundsätzlich geht's natürlich bei zu
Schutz da um das für einzelne Benutzer von voreinander schützen wollen und das wir die Zuverlässigkeit des Systems sicherstellen wollen soll heißen wir müssten die Systemkomponenten gegen unberechtigte Änderungen schützen von das ist ein Dauerthema seit Unix geschrieben
wurde als Multi User System seit in
den siebziger Jahren entstanden ist und da
kann man jetzt im Detail darüber reden man kann es auch für ich das jetzt gerade ganz brutal gemacht habe erstmal überspringen und nur die Tendenz zusammenfassen im Anfang Karten aber Unix die Unterscheidung zwischen den User ohne Eigentümer und der und das passt schlecht von Abkürzungen also den User und anderen sprich freies und so weiter waren entweder persönlich Privatpersonen gebunden so weit man jetzt einen Unix Benutzer mit einer Person gleichsetzt das tu ich jetzt mal ganz grob oder aber sie waren öffentlich lesbar beziehungsweise schreibt war er dann kam als nächste Stufe sehr bald ganz früh in der Unix Geschichte allen dazwischen noch die Gruppe also konnte gab es auch Gruppenrechte und später kamen die Zusatz Gruppen sodass also ein Benutzer in mehreren Gruppen zugeordnet werden konnte also mehreren Arbeitsgruppen oder dass er mehrere Rollen haben konnte und diese Einführung von grob und dem sehr gut weil die bittet und später den Zusatz Gruppen die diente immer dazu dass man Dateien oder Geräte die eigentlich nicht öffentlich zugreifbar sein sollten für jeden aber doch für relativ viele einzeln kontrolliert zugreifbar machen konnte also typischerweise eher diese Zusatz Gruppe LP als Eigentümer des des Druckers Betzimmer 7 Gruppe gern als Eigentümer des Generals und Scan berechtigter das war damals hatte man wie Groups ist dient also dazu Gewissen Benutzern mehr Rechte zu geben als sie von ihrer Mutter als Einzelpersonen gehabt hätten und viele Einzelpersonen kann man im Unix Wahlsystem halt nicht verwalten Einfall hat immer nur einen Eigentümer warum also
brauchen wir weitere Mechanismen warum dreht denken
wir überhaupt darüber nach oder warum reden werde mehr die Unix beimischen wird's die haben
Grenzen sie unterscheiden nur nach dem Benutzer aber sie unterscheiden nicht nach dem Programm der Anwendung die im Namen dieses Benutzers läuft und wenn dieses Programm also durch eine Fehlfunktion oder durch einen Missbrauch auf Dateien zugreift die der Benutzer verleihe ich auf die der Benutzer zwar zugreifen durfte aber dieses Programm nicht sinnvoll zugreifen kann dann können uns die Unix heimischen wird's nicht dagegen schützen das 2. Problem ist das wir mit dem heimischen Bilds nur durch die Rechtevergabe des Eigentümers überhaupt bin Nutzungseinschränkung bekommen soll heißen wenn der Eigentümer einer Datei leichtsinnig ist und sie für alle Welt les und schreibbar macht dann gibt es nichts von den heimischen Bezieher was diesen Zugriff von anderen eigentlich unberechtigten verhindert in
der Literatur werdet wir das finden als in der sie soll heißen des kritischen mehrere Access Control des kriechen ist bitte sehr nicht die Diskretion die wir am Bankschalter oder eine Arztpraxis hoffentlich üben seiner des Griechen hier ist das Ermessen das Ermessen des Eigentümers heimischen Witz für seine Dateien zu setzen warum ist das Programm
wichtig mehr ein Standardbeispiel ist das Adressbuch meinen Mailclient muss natürlich mein Adressbuch lesen können wenn ich Mails verschicken muss Namen zuordnen können und so weiter ich sie aber erst mal keinen Grund warum mein Browser der in meinem Namen läuft und auf meine falls zugreifen auf warum der auf's Adressbuch zugreifen können soll so wenig irgendwie schaffen den Browser den Zugriff auf mein Adressbuch zu verweigern dann führt das dazu dass selbst in eine Ecke und ein direkter Browser wie auch immer nicht meine Adressen auslesen kann und den Bösewicht übermitteln es also durchaus sinnvoll dass ich den Browser denn in meinem Namen läuft trotzdem den Zugriff aufs Adressbuch verbieten kann die Anwendung spielt eine Rolle anderes Beispiel etc passt WD ist zwar nicht mehr die Passwortdatei sondern nur noch die Liste der Benutzer die Definition aber auch die ist auf der Maschine grundsätzlich für jeden lesbar normalerweise würd ich jetzt die Frage in die Runde stellen warum angesichts der Runde beantworte ich sie gleich selber damit NS -minus L der User-ID auch im echten Usernamen zuordnen kann also muss es jeder lesen können aber es gibt eigentlich keinen Grund warum ein der zur Wahl der auf meinem Eisschicht auf der Maschine läuft irgendwie etc Pass will die in alle Welt ausposaunen dürfte sprich wenn irgendjemand in der Zeit aber legt möcht ich trotzdem nicht das EGT passe die übermittelt bekommen kann es gibt keinen Grund dafür das ist ne Sache die wir auf die Maschinen und wo sonst wenn nicht nicht in der Öffentlichkeit das heißt es gibt sehr wohl ein Interesse da dran programmspezifische Beschränkungen zu haben dich durch Vermischen wird nicht ausdrücken kann ich möchte
also gerne strengere Mechanismen haben ich möchte sie auch dann durchsetzen können wenn der Benutzer diese Vorgabe vielleicht gar nicht macht so heißen der Admin soll Sachen einschränken können und weil diese zur Kontrolle jetzt nicht mehr dem Ermessen des Benutzers das Dateieigentümers unterliegt sondern für alle verpflichtend ist der Admin führt sie verpflichtend einen heißt die MAC Mandatory Access Control wenn man sowas haben stellt sich natürlich die Frage wie steht mit Standards
dürfen wir das überhaupt erlaubt uns dass die
strengen die strenge Norm die für uns interessant sein könnte ist vor 6 oder offiziell DER Standard 1003 .punkt 1 ich hab mir die App leider nur die Zweitausendeins Auffassung vorlegen ich hab mich ehrlich gesagt gar nicht gekümmert ob so neuere gibt von eintreten die wahrscheinlich gibt es und dieser Posix Standard definiert zunächst mal die Feile Access beim das Fall Access beimischen sind genau die die wir schon seit Urzeiten aus Unix kehren zurück gehen auf Pellets also weltweit exe Guyot für User Group und das der definiert die User-ID und Zlatko weil die Features und jetzt der definiert die sogenannten sagte man tritt wobei dies also genau das was wir schon immer in Unix haben so weit so gut wir reden jetzt an über strengere und will über weitere Einschränkungen und dafür hat der Vorsitz Standards 1 ja ich sag jetzt mal ganz grob ein Schlupfloch leider laut Posix Standards kann ästhetischen fein Access Control Mac kann diesen oder einen bitte schnell verlässt es Kontrollmechanismen geben das Wesentliche ist dass dieser Zusatz Mechanismus die Zugriffe die erlaubten gegenüber den gehen was von den vermischen sie mit sehr zulässig ist dass der Zusatz Mechanismus nur einschränken auf er darf nicht erweitern also wenn die Beimischung Witz irgendetwas verbieten dann darf es nicht durch die Hintertür durch diesen Zusatz Mechanismus erlaubt werden aber wenn etwas nach dem vermischen Witz durchaus zugelegt zulässig ist dann darf der Zusatz Mechanismus ist trotzdem einschränken und damit den zur verhindern also bitte nur einschränken nicht aufhalten laut Posix gibt es dann auch noch oder ist an ein Ort eine etwa Access Kontrollen Ärgernissen möglich und dazu steht nichts weiter drin das heißt da ist offen für Anbieter für Hersteller ob sie und was anderes machen wollen typisches Beispiel hier wären die ACL also Access Control Lists aber über die reden wir hier und heute nicht in diesem Vortrag der Arme und es in Linux sind jeweils ein
solcher irdischen mehr kann im das heißt gibt
dürfen einschränken die Implementierung Spaß es ist die gleiche es gibt im Köln sogenannte Securitybot Jules und Altarme oder es in Linux die beiden defakto vorhandenen Mechanismen nutzen die ihr bauen da drauf auf beide sind insofern einander ähnlich als sie selektiv sind soll heißen sie überwachen grundsätzlich erstmal ausgewählter Anwendungen ich werde es organisatorisch nicht schaffen wirklich alle Anwendungen alle Programme meines Systems zu überwachen weil es viel zu viele Tools gibt gerade in der Unix-Welt spricht auch in Linux die allgemein sinnvoll sind die auf beliebige falls zugreifen können angefangen vom Kopie oder Kenneth meint wie ein darf oder welche was auch immer der Lieblingseditor ist darf natürlich auch Lok Files und so weiter lesen sonst hätt ich große Schwierigkeiten mit der Administration das heißt es gibt sehr viele und überwachte in der Terminologie von er armer und es in Linux heißen solche und überwachten Anwendungen ankommen fahren ankommt Freund also unbeschränkt wenn das im Zusammenhang mit der und ist in Linux lässt dann heißt das dass sind Programme oder Dateien für die es keine spezifischen Einschränkungen gibt es für die also nur der normale Access oder beimischen Mechanismus greift wenn aber er Arme oder es in Linux in der Distribution dabei sind dann liefert diese Distribution üblicherweise Profile auch Polis genannt er die im Normalfall für eine Standardinstallation hoffentlich passen sollten es wäre schlimm wenn uns die bis zur Portion ein Profi liefert was nicht zu den die Forts passt und dieses Profil kann üblicherweise der Admin ändern oder kann weitere erstellen und damit insbesondere also die Kontrolle verfeinern was außerdem beide Mechanismen haben ist einen Lernmodus soll heißen wenn ich irgendwie merke ich für was neues ein oder ich hab was das mächtig überwachen aber ich weiß noch nicht genau was das legal machen darauf dann kann ich die Komponente also es in nutzt aber einen Lernmodus schalten das führt dazu das sie alle Verstöße bei gegen eine bereits definiert Politik nicht verhindert blockiert wie es eigentlich machen würde sondern dass sie diese Verstöße nur protokolliert und dann geschehen ist das heißt am Ende eines solchen Laufs habe ich dann ein Protokoll und da stehen alle die Fälle drehen wo die existierende Politik den Zugriff eigentlich verboten hätte und dann muss ich kann ich als Admin hingegen wir dieses Protokoll greifen und nachgucken ist das richtig dass sie zurück erlaubt es oder ist das falsch wenn der Zugriff erlaubt sein soll oder muss sich die Politik an der Stelle ein bisschen erweitern muss ich den zu zu lassen wenn er verboten sein soll dann lass ich die Politik so wie sie ist und wenn ich mit diesem Lauf mit diesen Lernbetrieb fertig bin schalte ich die Komponente für wirklich aktiv und sage und ab jetzt über wachst du wirklich du protokollierst nicht nur die überwacht und dann werden eben solche Verstöße verändert grundsätzlich wie
gesagt er Arnold es in Linux können die heimischen Witzen oder das was von den polnischen Bezieher zulässig ist nur einschränken das heißt bei einem Zugriff den irgendein Programm macht werden im System Kohl werden zuerst die Beimischung jetzt geprüft und wenn die Beimischung wird den Zuruf nicht erlauben dass die ganze Sache damit schon beendet das Programm kriegt Fehlermeldung ganz normal wenn aber die zugespitzt die Operation erlauben dann guckt er aber beziehungsweise es SE-Linux nach nach Positivlisten und gibt es überhaupt irgendeine Polis sie für dieses Programm wenn es keine Polle sie gibt gibt es auch keine Überwachung dann sind die paar mischen wird alles was zählt und dann ist der Fall auch beendet und der Zukunft geht durch und das Programm läuft weiter wenn es aber Politik gibt dann guckt er Beamer beziehungsweise ist es Docks in dieser Rolle eigenen ist der Zugriff erlaubt wenn ja wird er durchgeführt wenn nein gibt es ne Fehlermeldung diese Fehlermeldung ist genau die gleiche die das Programm sowieso bekommen würde wenn die heimischen Tweets etwas verbieten das heißt also im Zweifelsfalle der polnischen er kam ich glaube 13 ist ja gut und außerdem werden solche Verstöße
protokolliert er typischerweise im System Log nein zur Access ist gut und das heißt das Programm kriegt die normale Reaktion und außerdem eben noch das System Lorck normalen Verstoß gegen beimischen willst du dich im System noch nicht sehen der Beamer oder es in Linux Kontrolle die das verhindert die sich sehr wohl ich habe bisher er Arme und es in Linux so gleich
beschrieben gleich benannt weil diese Prinzipien im wirklich für beide Komponenten übereinstimmen gucken wir uns jetzt mal spezifische aber einen er aber es
entstanden ab 1900 98 bei einer Firma im nix die wurde dann sieht das und dafür umso häufig vorkommen aufgekauft in diesem Falle von Novell Novell hat das noch weitergeführt bis 2007 und hat dann irgendwie die Lust verloren und 2 Jahre später hat Canonical wieder aufgenommen und 2010 im Oktober in den Linuxkernel eingebracht das heißt seit Oktober 2010 haben wir grundsätzlich im Linux-Kernel er fettarmer Version 2. 6. 36 und es kommt oder es aufgenommen in die Kiste Ovationen von OpenSuse und von Ubuntu klar ich meine wenn Canonical was macht dann wird im Zweifelsfalle mindestens bei Ubuntu landen sollte keine große Überraschung sein und die Basis für die ganze Implementierung sind Text Files die alle gespeichert abgelegt sind im Verzeichnis etc etc aber .punkt des und das 6. Fall hat dann üblicherweise einen Namen der an das überwachte bei Mary erinnert und weil ich gesagt habe ich nehme mal SQL alles Beispiele steht jetzt hier also der Pfadname das mal SQL Diemens wobei dann ein Slash ersetzt ist durch .punkt das ist bitte sehr nur eine Erleichterung nur der Zugriff sehr wichtig ist dass in der Datei selber der der volle Pfadnamen nochmal korrekt steht das heißt also wenn da der der Pfadname .punkt enthält und jetzt hier niemand mehr unterscheiden kann was es wirklich ein .punkt was ist ein Platzhalter für uns Lesch spielt das alles keine Rolle weil diese Namen hier nur ich sag mal Lesehilfe subtil Hilfe sind wichtig ist der Inhalt Inhalt Verständnisfragen sofort ja sollen richtig
weh wenn man etwa man eine Datei umbenennen das war die Frage und dadurch also ihr Pfadnamen nicht mehr in der Profildatei auftaucht dann ist sie automatisch ankommen vereint es sei denn ich führe neues Profil für diesen neuen Pfad am richtig dass es grundsätzlich bei aber der Fall weil es eben nur über Pfadnamen geht ok noch mal bitte die Frage ja Euro die Frage ist kann ich erwiderte die l und darum ablegen ich nehme an du beziehen sich auf die er aber Profile wie ich glaube nicht dass das geht ich habe es nie probiert ich habe auch zugegeben er daran keine intensive Suche durchgeführt was kann man alles noch machen damit ich halte es für sinnlos er aber oder auch es in Linux sind dafür da dass der Admin Zusatz Regeln festlegen kann und der Admin hat Utrecht und der wird das wie sich das gehört unter etc in diesem Falle etc hat armer .punkt die ablegen also Profile und darum abzulegen im 1. Mal bin ich nicht gut bin dann hab ich davon sowieso die Finger zu oder wenn ich keine Root-Rechte habe dann muss ich davon sowieso die Finger lassen weil ich dann in die Maschine nicht administrieren und zweitens Profile und darum abzulegen ich weiß nicht dass das läuft ja schon fast unter bösartig im Sinne Unklarheit stiften würd ich also alles sehr wenn es gehen sollte heftig davon abraten ich hoffe mal dass es gar nicht geht weil ich das für ziemlich unsinnig halte ja theoretisch aber eher die Frage erteilt werden wenn es nur um weitere Einschränkungen weg soll ich dann nicht auch als User weiter einschränken können theoretisch ja aber praktisch das ich als User jetzt irgendeine von ihr überwachten Systemkomponenten hindere ich weiß nicht also ich ich glaub nicht dass es sinnvoll ist als User hab ich dann Zweifelsfalle mit den heimischen blitzt doch bessere Möglichkeiten dann würd ich dem ohne die Rechte soll es geht auch nicht ich glaube nicht also ich glaube nicht dass er er Arme oder ist in Linux sowas vorsehen bei der ganze Ansatz nicht dafür da ist der Ansatz ist eigentlich gedacht um das nachzuholen was der leichtsinnige User versäumt der Ansatz ist nicht dazu da dem besonders strengen User noch mehr Möglichkeiten zu geben kann man über die Philosophie diskutieren aber L tut mir leid dass für springt dann zu sehr aus dem aus was ich mir für diesen Vortrag vorgenommen habe viele auch das die man kann mit ihnen Cloud Anweisung arbeiten richtig aber dazu müsste man des eher das fallen unter IDC manipulieren das heißt mindestens dafür braucht man root-Rechte und das dann zu machen Mehr wie gesagt der Mann unbedingt Unklarheit stiften will dann dann soll man so vorgehen aber ich dieses gibt von mir keine das ist aber auch gut so kann ok er läuft auf der Maschine als Service das heißt grundsätzlich kann man es als Service starten und stoppen in älteren Versionen spricht ist falsch
endet mit dem Service Kommando in neueren wäre System Control dran das Problem is Stopp ist nicht Stopp das wäre zu schön dass wir viel zu einfach wenn ich einen R n r a mal wirklich ab schalten will warum auch immer in kann ja momentan mal sinnvoll sein da heißt es bitte nicht Staub sondern Theater und im Service Command ist das kein Problem beim Service Kommando kann ich beliebige Argumente mitgeben und wenn mein Skript implementiert ist gut wie das MIT System Kontrolle läuft muss ich gestehen hab ich immer noch nicht erforscht also in System Control wird verdauen als Argument garantiert nicht akzeptiert ob man jetzt ins System Kontrolle Stopp ausreicht oder ob es da irgendwelche anderen Tricks gibt soll wie eher die Frage ist eine sehr sinnvolle aber ich muss die Antwort schuldig bleiben grundsätzlich kann ich das eben starten ganz normal als Service und ich kann es in verschiedenen Modi fahren es gibt den Modus komplett ihnen in Forst und Audit und jetzt verlässt mich mein Gedächtnis ich es doch schon vor Wochen her dass sich die Fohlen gemacht habe n voraus ist klar wenn er einmal im Modus NV ausläuft dann greifen die der zugelost Mechanismen und das was es nicht da was von den Profilen verboten wird wird blockiert komplette ist meiner Erinnerung nach der Lernmodus aber wie sich auditiert unterscheidet es wird er wird alles ok ja und die muss man Platte erfüllen sowieso viel zu groß und danke es gibt ein Programm war stark was
sich mit Root-Rechten aufrufen kann und was mir ein bisschen was aus gibt das finde ich ausgesprochen interessant weil das ein sehr schönen Überblick gibt ich hab jetzt also hier mal auf meinem System das man Ubuntu 16 0 4 die Beispielausgabe mir darstellt sagte erst mal das der Modul geladen ist und das er 5 Profile immer in diesem Falle aktiv sind geladen sind und alle diese Profile laufen im Infohaus Modus spricht sie konnte verhindern wirklich das was Low-Profile nicht erlaubt ist und das geht über die um den der CP kleine und es geht um den Network Manager es geht um einen Connection Manager und es geht um den Mai SQL dienen die Profile das sind halt mit geliefert keines ist und komplette Modus von diesen 5
Profilen laufen ist für 2 wirklich auch Prozesse so dass die Profile was zu tun haben die andern sind halt geladen aber der entsprechende da oder der genannte Prozess läuft nicht und diese beiden Prozesse sind der der CP Client und der Mai SQL man wenn keine Profile und kompletten Modus sind können auch keine Prozesse im kompletten Modus sein das ist irgendwie logisch und es gibt auch keine Profi keine Prozesse für diesen Profil gibt was aber abgeschaltet wäre die unterste Zeile also keine ankommen vereint mit definiertem Profil der Ama ist sehr schön
systematisch ein Profil muss geladen sein beim Start des Prozesses ich kann nicht 1. Prozess starten und dann sein Profil laden und dann glauben dass es die Aktion dieses Prozesses einschränkt wäre auch Blödsinn weil der Prozess ja dann irgendwas zu Anfang machen konnte was das Profil eigentlich verbietet aber weil er damit schnell genug war ist durchgegangen und dieses nachträgliche einschränken das wird im Zweifelsfall jede Programmlogik durcheinanderbringen ganz am Anfang ging und später nicht mehr das heißt wenn ich wirklich einen Prozess überwachen will dann muss ich erst er aber starten und dann den Prozess der startet normalerweise beim bot das heißt es ist sichergestellt wenn ich anders rum vorgehe wenn ich erst irgendwann im Theater und mache und dann er aber neu starte dann werden automatisch alle laufenden Prozesse ankommen vereint weil sie an einer kurzen Zeitspanne nicht überwacht waren und beliebig was machen durften und nur der spätere Prozess Start wird dann also das Profil wieder aktivieren ob der Prozess überwacht wird kann ich mit PS rauskriegen mit der Option Großzelt -minus Großzelt seh ich ob der überwacht wird ja oder nein ich kann auch ins 1. Spock falls es geben gucken ja und weil ich da ja eigentlich als Ziel habe das der Admin dann ungefähr weiß wie bin wie verhält er
sich wie kommt damit Problemen zurecht hab ich natürlich auch ein paar festgefahren sprich ich habe ganz normale mal SQL Pakete in diesem Fall immer SQL finde sie eben auf dem Ubuntu 16 installiert hier sieht er die Liste der damals natürlich auch installiert und damit kann ich dann ganz normal arbeiten ist
weder die SPD da war Littmann SQL erbautes 33 0 6 ab die Adresse geändert werden
geändert um eine der Zugriffe zu erlauben und dann startet der Servern läuft ganz normal und kann auf seine Datenbestände zugreifen und ich kann auch dem Ort damit arbeiten das funktioniert alles wie es soll das ist der Normalzustand dafür sorgt dass ausgelieferte Profil jetzt kann ich ja
aus welchen Gründen auch immer wir vornehmlich möchte meine Daten anderswo ablegen also ich habe der nun als separate Platte und die heißt es in meinem Fall System eine damit so schön deutlich wird Flash Art ist und da hab ich Unterverzeichnis mal SQL und das möchte ich als der der die in ihn dann würde ich also die entsprechenden Start Skripte von SQL beziehen also Konflikt falls und so weiter anpassen ist in diesem Falle hier auch noch das Skript und das System die es dann leider nötig und dann kann ich SQL denn die man wieder neu starten soodustust und Kontrolle starten SQL und dann kriegen wir schöne Fehlermeldung Job fällt wie groß und so weiter und dann wird mir vorgeschlagen ich könnte mit System Kontrollstaat OS oder mit einer Kontrolle nachgucken was denn da passiert ist und was das Problem ist ich bin ich persönlich im für die den Informationsgewinn den ich aus diesem Programm Krieg als ausgesprochen gering und mal vorsichtig zu formulieren da steht wenig hilfreich ist für mein Verständnis aber zum Glück hab ich ja gesagt er
könne lockt die Ablehnungen die gemacht werden und in diesem Falle sehe ich also in Slorc schöne zeigen da steht er aber gleich ich also nach @at aber kann ich natürlich wunderschön gehörten nach den Neid kann ich auch Gärten und damit am erfahre ich schon wesentlich mehr in diesem Falle wollte also der Mai SQL geben der das aber Prozess MMK Nord machen er um was anzulegen und und zwar in diesem Fall in dem Falle für ihn nur ist und das wurde ihm verboten also die neigt da steht die drin Zeitstempel drinsteht Aldi drin und so was alles damit komme ich klar und er ein 2 Zeilen weiter steht dann das auch ein das Anlegen einer Datei nämlich iwie Delta ins Feuer eine Neuinstallation quasi mit schreiben und lesen das das verboten wurde gut ist natürlich nicht allzu überraschend ich habe gesagt ich bin von die abgewichen und hat das und das Fleisch aber das gemacht was muss ich also machen wer das
Einfachste ist ich greife in das er Beamer Profil ein wie gesagt das Licht und der geht armer .punkt und wenn ich mir das
angucken ich hab jetzt hier nur die unterschiedlichen Zeiten nicht die ganze Datei über die viel zu lange ist wenn ich das ändern will dann finde ich da in der Zeit in der Datei will drin das also ein dir Access kommentiert ist und das normalerweise also auf der der Derek 3. zugegriffen werden darf und da war wir mal SQL lesend und beliebig abweichend beliebig absteigen lesen schreiben und und anregend mit allen für lockt das lockt ja und er das muss ich dann natürlich kann bei meiner Konfigurationsänderung ersetzen durch Arbeit ist mein SQL das wäre der 1. Krieg in der die Flex der funktioniert der hat natürlich einen Haken der Haken bei diesen fix ist dass sich in eine Datei eingreife etc Ramadi User 1. SQL die die vom Paketmanagement kommt der von Ubuntu mit der er aber Komponente mitgeliefert wird das heißt also ich greife in eine vom Paketmanagement kontrollierte Datei ein und Kriege entsprechend und dann ab 3 Probleme also Krieg in der die ja funktioniert das aber nicht so das beste es
gibt eine andere Möglichkeit
es gibt auch unter Edit aber .punkt die ein Unterverzeichnis Le Locle und wenn ich da drin Datein ablege dann haben die vor ich kann lokal Anpassungen machen und das ist eben nicht mehr vom System ausgeliefert das heißt ich kann eine lokale Datei für den er meist könne die man einführen und da das reinschreiben was sich erlauben da möchte ich kann auch kontrollieren mit dpkg dass er diese Datei eben nicht dem Paketmanagement unterliegt und Eddie kommen zwar mit wird dann aber nicht mehr überwacht und da steht schon als Kommentar sehr schön drin dass es Zeit bis 70 ethischen Sandoval bereits sein und da kann ich dann Slash arbeitest eintragen und damit habe ich mein Problem gelöst grundsätzlich könnten was Ähnliches passieren beim
Portal wenn ich also von 33 0 6 aus welchen Gründen auch immer auf den 33 0 7 abweiche Jahr passiert zum Glück nichts denn der Port wird von den der Beamer Profile nicht überwacht da muss sich nicht anpassen er erweitert Kobold Kazan an ich glaube nicht dass das was was ändern also die wenn ich dann den anderen blockieren wollte wirklich dann ist sich immer noch ins Paketmanagement eingreifen die Frage ist ob ich ok danke so tief reicht nicht eingestehen für nicht gut also fürs Protokoll ich kann er in die lokale Datei auch die Neige Regeln eintragen normalerweise wurde Lokal das war's global gilt und von Paketmanagement kommt erweitern wenn nicht aber den die dreijährige einen trage dann hat die Weinlokal Vorrang hat er eben Vorrang vor der globalen oder vor der allgemeinen Datei und verbietet dann etwas explizit was darin erlaubt wäre danke soll heißen wenn ich also eine lokal Davey anlege kann ich den Pfad ändern und danach kann ich also vom Standard vom SV abweichen und mein System wird weiterlaufen das ist der eine Teil aber dann erinnern wir uns ja alle mehr
oder weniger trotz unseres kurz unserer
kurzlebigen Nachrichtenlage da dran das ist also was Böses Berentzen und Loki und weiter gehabt und das kann er auch mal simulieren was würde denn passieren wenn so ein Bösewicht oder ein General Bösewicht Zugriff hätte auf Rechner möglicherweise noch mit Root-Rechten also grundsätzlich hab ich immer SQL natürlich neben der Tabelle der Benutzer und was da drin steht kann ich mir gucken ich gucke jetzt neue User Haus aufwendig welchen Zwängen und er dann sehe ich dass das die 3 definierten Benutzer sind alles in Ordnung jetzt
simuliere ich mal auf der Kommandozeile den Bösewicht und zwar benutze ich einen kryptischen Programm CCN Grid ist standardmäßig dabei besondere kann man das Paket schlimmstenfalls installieren und verschlüsselt diese meine ich User Tabelle von SQL mit irdenem Flüsse wenn ich das mache dann sehe ich dass das Ding mit der 1. Mal und 32 Byte länger wird und zweitens dass der Name geändert wird na gut über die gegen ihn namens Änderung so könnte der Lok immer noch was machen und mehr SQL das findet er will mach ich die also rückgängig mit dem Ruf soll heißen ich habe jetzt unter dem alten Originalnamen eine verschlüsselte Datei da ich hab doch er aber ich habe doch erst einmal offen warum hilft mir das nicht der 1. Mal defekt ist
natürlich klar wenn die Datei verschlüsselt ist dann kann der mal SQL dienen die den Inhalt nicht mehr lesen also find die Benutzer Tabelle nicht und weigert sich zu starten die interessantere Frage warum war das möglich ja wie gesagt hätte aber überwacht definierte Programme und wenn ich für CCN droht keine kein Profil habe was ausgesprochen überraschend wäre dann ist auch klar dass er aber das was CCN Ingrid macht nicht überwacht und die böse Aktion nicht verhindert und jetzt ganz egal ob der Bösewicht das vorhandene CCN Gruppe nutzt oder was eigenes mitbringt oder wie auch immer wenn der grundsätzlich mit Root-Rechten auf dem System ist kann er (klammer auf leider gut 3 große !ausrufezeichen Schaden anrichten und kann meine Daten Files ändern und mir so also den Datenbank Betriebe lahmlegen dagegen schützt mich er aber leider nicht spricht er aber wir werden nachher sehen auch ist in Linux sind keinen Schutz gegen Krypto-Trojaner schade aber das ist der derzeitige Stand noch ein paar
grundsätzliche Tipps ich kann per Kommando einzelne Dienste umschalten ich kann also einzelne Dienste aus der Überwachung ausnehmen zum Beispiel weil ich gerade die Giffords ändern will ich kann auch man durch einen des Ebel die einzelnen die Überwachung eines einzelnen Dienstes komplett abschalten am ob das sinnvoll ist eine andere Frage aber ist es zumindest möglich im deutschen Ubuntu User das Wiki gibt ausführliche Informationen über Beamer OpenSuse hat welche und es gibt ein eigenes er aber Wiki und da findet man alles weitere so viel erst mal grundsätzlich zu erbarmen Nachfrage aus
nein aber macht das nicht ab aber hat grundsätzlich das Programm also das Proette das bei reell das freie als überwachte Einheit der aber gibt mir keine Möglichkeit irgendwie gezielt Dateien oder Verzeichnisse zu schützen
daneben greift RWE wenn du das Programm unter einem neuen Namen anlegst und darum oder auch irgendwo anders irgendwie was am Namen ist dann gehst du damit defakto an er auch noch vorbei Jahr die Frage ist nur wann kannst du das und wie kannst du das machen also für Programme die du von Hand Aufrufs geht das natürlich nur im Sinn machen wir uns nichts vor als das was er aber damit geliefert hat die 5 Profile das waren genau Systemprogramme also die Zielsetzung von ERP Brahma und auch von
ist Linux ist üblicherweise die wichtige Systemkomponenten dazu zählt nunmal auch die Datenbank zu schützen bzw. solche Programme die von außen erreichbar sind denn die von außen Befehle geben kann die ihnen möglichst zur führt zu verhindern zu verbieten die Schaden anrichten könnten also Web-Server und ähnliches diese üblich aber und ich schätze mal auch ist Linux liefern also keine Profile mit für meine Mail Client oder für mein Browser oder so weil die üblicherweise nicht solchen Schaden anrichten können und weil die Erstellung eines Profils dafür mächtig aufwendig via machen uns nichts vor geführt wo hat oh super danke alle dafür darauf bin ich noch nicht gestoßen Kurzform er wenn ein Prozess überwacht wird dann wird das Profil auch ein Kindprozesse vererbt auch wenn die anderen Namen haben ok danke so ich hab gemerkt ich muss
mich sehr sputen also versuchen auf einem noch schnelleren es Linux zu beschreiben die Geschichte von es
Linux es ein bisschen komplizierter
das fing an uns nur 73 mit einem rein akademischen Projekt da gab es von den Herrn Bell und La Padula ein Sicherheitsmodell und das sollte Informationsfluss nur aufwärts erlauben Hintergrund wie so oft in solchen Zusammenhang das Militär also vom eher einfachen Gefreiten Dienstgrad da unten über die ganzen Unteroffiziere Offiziere hoch im Generalstab wird Information immer vertraulicher immer wichtiger sie darauf Moreau fließen sie darf in diesem Modell nicht unter fließen wie man da in diesem Modell mit Befehlen und Anweisung umgeht überlasse ich der Fantasie der Zuhörer ich weiß es nicht ab 9. die würde es ja so ,komma doch sein ab 9. 192 haben dann die NSA E und an irgendwelche Entwicklungspartner angefangen für unter anderem Linux eine Sicherheitsarchitektur mit dem Namen Fleiß gibt zu entwickeln ich hab vergessen was ausgeschrieben heißt egal und das ist dann 2004 nach Fedora Core gekommen und so nach reingekommen rettet 4 ja wir Hartz IV Fedora natürlich rettet inzwischen auch OpenSuse Debian als Option oder als Alternative und die Basis für SIE Linux sind in nicht verraten sondern die Basis für ist Linux sind erweiterte feil Attribut auch es
nur 12. Kölmel aber es ist kein Service ist kein sichtbarer Prozess ich kann also nicht so einfach starten oder stoppen es gibt nur Konfliktpartei und wenn ich die ändere dann greift die Änderung beim
rebooten ich kann da also ein Schreiben im voraus auf 0 oder auf 1 denn ich kann den Zustand Abfragen mit der mit dem Kommando geht ein Forst ich kann für einzelne
Prozesse mit dem Kommando es immer man etwas machen Achtung da werd ich nachher nochmal darauf Hinweisen es managt ist in der die Vorinstallation schon nicht dabei wer also meint dass mit es in Linux irgendwas machen muss und vielleicht ändern muss bitte gleich Zusatzpakete installieren kommen nachher nochmal ja ich kann mir wie gesagt den Global Status
anzeigen ich kann für einzelne Module damit es immer geben -minus L e für einzelne Prozesse wir was anzeigen lassen auch hier haben wir die Option groß Z das ist schon mal sehr sehr angenehm dass die für beide die gleiche Option ist also mit PS -minus Großzelt kann nicht gucken ob der Prozess in irgend definierten Kontext spricht eben nicht ankommen Feind sondern irgendwie eingeschränkt läuft aber weil wir jetzt nicht mehr nur über Pfadnamen und Prozesse reden sondern über ein bisschen mehr kann ich mir das gleich anzeigen lassen diesen so genannten Kontext wenn Benutzer mit Aldi und Option Großzelt und für einen Datei Kontext also LS hat auch eine weitere Option gibt ja noch nicht genug er Mann braucht optionale Pakete das hab ich gesagt und ansonsten habe ich
den gleichen Test auch mit ist in Linux gemacht wir haben hier hab ich aber aus irgendwelchen Gründen weiß nicht mehr was hier bedingt ,komma schon Client installiert gehabt für die Testzwecke liebt es in Linux ist sowieso dabei interessant weil ich gesagt habe Zusatzpakete hier Paris sie Korioth Hilfs und verließ sie Korioth das heißen es in Linux Poller sie es in Tage wird er also vor allem die Politik Chorion jetzt sind die die ich brauche für es Image um da überhaupt und was machen zu können sonst fehlt mir das Programm auf der Maschine ja und dann im Prinzip den gleichen
Test wie vorher auch die Vertreter der regt Rivale dem SQL Port 33 0 6 Zugriff über's Netz freigeschaltet dir so wird
geprüft alles funktioniert jetzt eigentlich ich ändere das der der dir und starrte meine SQL neu und kriegt die gleiche Aussage kräftig oder in meinen Augen ihre für eine Fehlermeldung auch hier finde ich nicht viel wenn ich jetzt hier im
könne im Laub nach dann kommt die der genaue Ort darauf ein wie ich meine Sorgen Mechanismus eingestellt habe also wenig mit Syslog oder er Syslog oder anders arbeitet an wann der Wechsel da der Pfad der Mist bitte den richtigen finden das interessante sind Meldungen mit zeitgleich AVC AVC ist ohne weitere 3 Buchstabe Abkürzung damit der Vorrat nicht ausgeht das ist der Access Vector Cash das heißt im Access Vector Cash werden es in Linux Entscheidung gespeichert und die Performance zu erhöhen und da steht jetzt also drehen das ist ein Audit mästet steht dass der AVC verweigert hat einen wird einer pennt Operationen für diesen Prozess das war der neue SQL die der wollte Error Log etwas anhängen und das ist ihm nicht erlaubt so der das Haus Kontext und da sind wir jetzt bei SR -minus spezifischen Sachen war das ist der System User ist mit einer in einer System Raul und mit dem SQL Typ das ist der meine das Messgerät SQL des Beine rien und der Tage Kontext Target ist die Datei mit der was gemacht werden soll also das er erlaubt der tadelt Kontext ist das System User mit einer Objekt Rolle und einem die voll Typ und der Maersk WG-Typ als Prozess darauf offensichtlich nicht auf einen die vor Typ als feil zugreifen das ist ihm verboten so heißen also meine meine Erol Logdatei hat einen Typ auf den der mein 1. will die die man besser aber Prozess nicht zugreifen darf es
Linux unterscheidet also nach zwischen Subjekten sind Prozesse oder auch dass Benutzer also ein dies und Objekten das sind typischerweise Files der Rektor ist und so weiter was da alles im Fall System existiert und hat dann das Konzept eines Kontext ein Kontext besteht aus den Username Rolle und dem Typ und er der User Kontext ergibt sich üblicherweise aus dem Lookeen interaktiver Benutzer ist bzw. aus nach aus anderen Einträgen Abbas wie die wenn es in der System User ist wie zum Beispiel mein SQL in dessen Namen der Prozess läuft und die User sind für bestimmte Rollen zugelassen und Rollen sind für bestimmte zu töten zu lassen falls er jetzt 11 auch ich so still vor sich hin denkt das ist aber kompliziert ja sehr richtig ist es und der Mechanismus ist also das
Subjekt der nur dann auf Objekte zugreifen dürfen wenn der Subjekt Kontext Carl Zeiss ist nicht mehr unter C II so tut man damit es nicht zu einfach wird für den Objekttyp zugelassen ist das war das was ich da 2 Folien zurück hatte der
Subjekt Kontext enthält in mein Typ meine SQL geben der Hadep konnte der Kontext enthält den Typ fort und dieser Zugriff ist nicht zugelassen und darum scheiterte er das besteht aus sehr schön in
der manchmal doch hilfreiche Literatur der Haupt Mechanismus von SE Linux ist keine Infos mit also Typ Kontrolle Typ Erzwingung und fast immer kam waren die USA und die Rollen ignorieren und es heißt ja in den meisten Fällen sind sie rauschen in gewisser Weise störendes Rauschen als alles so viel Lärm machen dann alles andere verdecken so steht es zum 1 zumindest im Admin galt von enthält zuerst in Linux ja hier und da mal mal warum das scheitert damit es nicht zu einfach wird
hat der Kontext eigentlich noch 2 weitere Komponenten neben den 3 3 1 Subjekt Rolle Typ gibt es auch noch Level und Kategorie und dann kann man mal die Level Essig Jurecki einführen Betzimmer mal die Kategorie Sergio Securitybot in der Praxis spielen die zum Glück keine Rolle und ich Weise insbeson auf den letzten Satz in malt des Leibes Zeki Ricky auf einer ärztlichen ist unbenutzbar ja warum wenn nicht alle möglichen Zugriffe kontrolliere und das dann noch über verschiedene Level ist den Krieg nicht auf der Welt ich an einem Punkt ganz große Probleme das ist nämlich der X-Server 1 alle verschiedene Prozesse und Benutzer und er was auch immer da läuft und welche Ausgaben Wochen machen wollen auf dem X-Server dann werd ich früher oder später in eine Situation kommen dass die von den verschiedenen Leveln nicht mehr zugelassen wird und dann ist mein System wirklich unbenutzbar also auf dem Servermarkt das mit sehr viel Administrationsaufwand gehen auf selbst der ich wenn Ihr mal eine Woche lang in Verzweiflung stürzen will möge es ausprobieren ja
grundsätzlich arbeitet es Linux mit Vererbung oder nach der Ergänzung von vorhin danke nochmal sollte ich sagen auch mit Vererbung die Vererbung betrifft den Kontext von freies und von der Rektorin ist also grundsätzlich gilt ein wird ein Kontext eines der Rektor ist auf alle darin enthaltenen zog der Rektor ist und Files vererbt und so rekursiv runter wenn ich nicht an irgendeiner Stelle eingreife und den Kontext explizit ändere ähnlich wird auch der Prozess Kontext vererbt wenn ein bei einer Rallye was anderes werden Vogt und Experten greifen wird der Prozess Kontext Verehrer es sei dem ich mache exec auf einem Beine rief für das ist gezielt eigene Attribute gibt also Beispiel er das passt was werde wo Licht das eigentlich und da bin ich haben bin wahrscheinlich also den Pass WD hat seinen eigenen Kontext wenn ich von meiner Stelle aus den Verein passte die Aufrufe dann läuft dieser Prozess in den Kontext der zu seinem beiden Regelwerk das ist ja auch sinnvoll das dann nicht mein normaler Benutzer schwer Kontext gilt sondern speziell der Pass die Kontext und entsprechend auch User den passenden Sound und entsprechend hat eben auch der Mai SQL-Server die man seinen eigenen Kontext und so und so viele andere Prozesse oder einer rief auch und bestimmte falls erregt Driss haben eben den Typ der zu diesem pro Bearbeitungsprogramm passt wenn ich jetzt
also mein für meinen geänderten Delta die Abfahrt zum Laufen bringen will dann muss ich den Kontext so ändern dass der Typ passt dafür gibt es 2 Möglichkeiten beide laufen über es managt in beiden setzt sich mit SE Manager einen Pfeil konnte es im einen Fall sagte sage ich explizit der Typ meine SQL-Datenbank Typ soll gesetzt werden für meinen neuen Pfad und alles was der rekursiv absteigt und wenn ich das gemacht habe dann ist das in der internen Struktur im Channel und das muss sich dann auch wirklich ins falls es dem durch schreiben damit aktiv wird und vor allen Dingen damit 10 Reboot überlebt und dazu dient das Programm ist dort man also Kontext so heißen für aber das hat die was da umgesetzt haben wird der neue Kontexte neu gesetzte Typ Entfall System übernommen auch der 2. Wege geht
Überraschung über ist in einen Tisch und setzt Fall Kontext der Unterschied ist die Sätze nicht absolut irgendeinen Fall Kontext den ich mir ausgedacht habe oder die ich einen Einbruch entnommen habe sondern ich sage bitte nehmen den Kontext von war mit Mai SQL vom alten die vor Pfad und setzte ihn auf mein neues Verzeichnis spricht also ich kopieren existieren Kontext kopieren ist können wir aus der wissenschaftlichen Arbeit ist genau die übliche Vorgehensweise auch hier muss ich denn dann Weiler erstmal nur intern gesetzt wurde mit Restaurant kommen auf die Platte durch durchschreiten für
den Port gilt ähnlich wenig in Port
ändern will muss sich eben dem neuen Port den passenden Typ zu ordnen den Service Port Typ da der Port aber nicht im Fall System steht kann ich damit Richter Connex machen das greift so auch hier der Test wie vorhin ich hab meine
User Tabelle und auch hier probiere ich
CCN entrückt und wenn man das Ergebnis nachher wieder um und auch hier scheitert er
nachdem SQL Start soll heißen ccm entrückt wenn nicht von meiner Stelle aus Aufruf für die Ankunft Feind läuft dann SCC entrückt auch ankommen vereint als relativ generelles Programm gibt es dafür keine spezifischen Kontext und folglich darauf dass auf dem SQL DBType Typ zugreifen die interessante Frage die mir mal gestellt wurde lautet kann man das nicht verhindern ich wage mal die Antwort wahrscheinlich Jahr man muss dafür aber so tief in es Linux und in die Policys eingreifen dass man relativ große Chancen hat wenn man sich da drin bewegt mit seiner Sitzfläche genau die Sachen einzureißen die Maria wir brauchen wird also das Risiko wenn ich da er die Vollzugriff urplötzlich blockieren will ist relativ hoch damals probieren möchte bitte ja aber nicht auf Produktionssystemen grundsätzlich also so wie es normalerweise kommen 10 Krypto-Trojaner leider auch und der es in
Linux weiterhin möglich wichtig ist noch der aber hat das Ganze über Klartext Files gemacht es in Linux macht über die erweiterten Attribute bitte aufpassen denn der Backup oder Restaurant macht der gab soll ja bei fortgeschrittenen Rechner benutzen durchaus üblich sein hab ich mal gehört oder hoffe ich auch dann ist natürlich wichtig dass diese Zugriffsrechte im Backup drin stehen und dass sie beim Richter mit übernommen werden bitte testen kommt wirklich sehr aufs Programm an Korbi hat er dafür auch passen Option bekommen Kopie keinen Kontext mit nehmen mit der Option -minus man das bisher vielleicht Kontext oder kann neuen Kontext setzen kann man alles machen aber wenn man das nicht explizit an gibt ist das eben nicht dann gilt Ziele Kontext bei RedHat heißt die mitgelieferte
Pony sieht haderte und die hat sehr sehr viele Regen nein es sind keine Schreibfehler also das sind wirklich 2 162 Tausend erlaube ich allen viel Spaß beim kontrollieren und insbesondere 100 56 Tausend der und Audit regeln soll heißen es kann sein dass es in Linux was verbietet und es wird nicht gelockt Herr Meyer ich stell mir was anderes als angenehm vor aber wie auch immer gibt es zuerst in Linux ist gibt ab
Minderheit man muss dieser weiteren Polis der Pakete installieren man kann mit noch zusätzlichen Boliviens verhalten schalten sobald locken geht ist möglich ist und sehr viel Interessantes steht in Fedora Wiki so es tut mir leid dass ich
so ein Zeitproblem bekomme ich kann jetzt hier nur noch durch galoppieren also grundsätzlich beide Programme überwachen nur das wofür es Regeln gibt Programm ohne Regeln sind ankommt Feind und laufen ohne Einschränkungen
Krypto-Trojaner sein auch Neid eine weiterhin möglich ich kann beide lokal anpassen sie haben beide den Lernmodus er aber erscheint mir wesentlich leichter verständlich und durchschaubar aber es ist leider auch weniger weitverbreitet es in Linux ist einfach schon durch seinen Umfang deutlich komplexer und Abschalten ist keine Lösung Literatur gibt es
da noch steht hier drin wie
gesagt die Politik zum Download
und da ich überzogen habe muss ich die Fragen irgendwie oder
Folien antworten tut mir leid danke vorher aufpassen und nochmal ganz ganz ausdrücklich danke für die Fragen und Ergänzung
LINUX
SELinux
Vorlesung/Konferenz
HTTP
AppArmor
Computeranimation
LINUX
Dienst <Informatik>
Azyklischer gerichteter Graph
Berührung <Mathematik>
UNIX
SELinux
Oracle <Marke>
Datenbank
AppArmor
Softwareplattform
SQL
Computeranimation
LINUX
SELinux
Konfigurationsraum
Systemverwaltung
AppArmor
Beamer
Computeranimation
Algebraisch abgeschlossener Körper
LINUX
UNIX
Algebraisch abgeschlossener Körper
SELinux
Konfigurationsraum
UNIX
AppArmor
Konfigurationsraum
Computeranimation
Datei
Datei
Rollbewegung
UNIX
Portabilität
Programmierung
UNIX
Computeranimation
Chipkarte
Multiplikation
Gesamtdruck
Computersicherheit
Rollbewegung
Datei
UNIX
SELinux
Algebraisch abgeschlossener Körper
Constraint <Künstliche Intelligenz>
UNIX
ACCESS <Programm>
AppArmor
Zugriff
Computeranimation
Datei
Constraint <Künstliche Intelligenz>
Browser
Browser
Constraint <Künstliche Intelligenz>
Netzadresse
Computeranimation
Zugriffskontrolle
Rundung
Client
Zugriffskontrolle
Zugriff
E-Mail
Ecke
App <Programm>
Constraint <Künstliche Intelligenz>
Hintertür <Informatik>
POSIX
UNIX
ACCESS <Programm>
Mechanismus-Design-Theorie
Computeranimation
ACCESS <Programm>
POSIX
LINUX
Zugriffskontrolle
Zugriff
Zugriffskontrolle
Mechanismus-Design-Theorie
Standardabweichung
Distributionstheorie
Datei
Zusammenhang <Mathematik>
Constraint <Künstliche Intelligenz>
Programm
Implementierung
Computeranimation
ACCESS <Programm>
Benutzerprofil
LINUX
LINUX
SELinux
Komponente <Software>
Zugriff
AppArmor
Mechanismus-Design-Theorie
LINUX
SELinux
ECCE <Programm>
ACCESS <Programm>
AppArmor
Normalvektor
Zugriff
Beamer
Computeranimation
ACCESS <Programm>
Fehlermeldung
Kernel <Informatik>
Datei
openSUSE
Algebraisch abgeschlossener Körper
UNIX
CDMA
Ubuntu <Programm>
Implementierung
Ubuntu <Programm>
Computeranimation
LINUX
Variable
Komponente <Software>
SELinux
Zugriff
AppArmor
Benutzerprofil
Parametersystem
LINUX
Datei
Dienst <Informatik>
Constraint <Künstliche Intelligenz>
SELinux
Besprechung/Interview
Dienst <Informatik>
Platte
Profil <Strömung>
Streuungsdiagramm
Computeranimation
Prozess <Informatik>
Ubuntu <Programm>
Skript <Programm>
Profil <Strömung>
Computeranimation
LINUX
Benutzerprofil
Server
Prozess <Informatik>
Softwarewerkzeug
Gruppenoperation
Hauptidealring
Parser
Version <Informatik>
AppArmor
Computeranimation
Information Retrieval
Server
Ubuntu <Programm>
Soundverarbeitung
Parser
Dienst <Informatik>
Netzadresse
Computeranimation
LINUX
BIND <Programm>
Zugriff
Code
Softwarewerkzeug
Server
Skript <Programm>
Version <Informatik>
AppArmor
Zugriff
Platte
Fehlermeldung
Kernel <Informatik>
Datei
Punkt
Zugriff
ACCESS <Programm>
Zeitstempel
AppArmor
Computeranimation
Retrievalsprache
Server
Datei
Komponente <Software>
Ubuntu <Programm>
ACCESS <Programm>
AppArmor
Computeranimation
ACCESS <Programm>
Retrievalsprache
Server
Datei
Anpassung <Mathematik>
Stellenring
Ähnlichkeitsgeometrie
AppArmor
Computeranimation
Aktion <Informatik>
Datei
Rechenbuch
Tabelle
Tabelle
MIDI <Musikelektronik>
Fluss <Mathematik>
Zugriff
Computeranimation
Programm
Datei
openSUSE
Tabelle
Gruppenoperation
Ubuntu <Programm>
Datenbank
Programm
Dienst <Informatik>
Wiki
Computeranimation
LINUX
Code
Internetdienst
Information
Internetdienst
AppArmor
Beamer
Datei
Besprechung/Interview
Programm
Internetdienst
Systemprogramm
AppArmor
Computeranimation
LINUX
Client
Befehl <Informatik>
UNIX
SELinux
Algebraisch abgeschlossener Körper
Browser
Datenbank
Programm
Internetdienst
AppArmor
Profil <Strömung>
Computeranimation
Debian GNU/LINUX
LINUX
Kernel <Informatik>
LINUX
Befehl <Informatik>
Zusammenhang <Mathematik>
Fedora Core
SELinux
Debian GNU/LINUX
Information
Computeranimation
Kernel <Informatik>
LINUX
Dienst <Informatik>
Prozess <Informatik>
Abfrage
Computeranimation
LINUX
LINUX
Server
Client
Datei
Prozess <Informatik>
Computeranimation
Mittelwert
Caching
Kernel <Informatik>
Datei
Server
MySQL
Gruppoid
Soundverarbeitung
ACCESS <Programm>
Dienst <Informatik>
Computeranimation
LINUX
SELinux
Zugriff
BIND <Programm>
Code
Zugriff
Mechanismus-Design-Theorie
Fehlermeldung
Typ <Informatik>
LINUX
Objekt <Kategorie>
Socket
SELinux
Prozess <Informatik>
Rollbewegung
Login
Rollbewegung
Mechanismus-Design-Theorie
Mechanismus-Design-Theorie
Computeranimation
Typ <Informatik>
Mittelwert
Caching
Kernel <Informatik>
LINUX
APPELL <Programm>
SELinux
Rollbewegung
ACCESS <Programm>
Zugriff
Mechanismus-Design-Theorie
Mechanismus-Design-Theorie
Computeranimation
Expertensystem
Punkt
RALLY <Programm>
Multiplikation
Arbeitsplatzcomputer
Computeranimation
LINUX
Komponente <Software>
Prozess <Informatik>
SELinux
Desktop
Zugriff
Maximalfolge
Attributierte Grammatik
Kontextbezogenes System
Platte
Computeranimation
Programm
Custom Computing Machine
LINUX
Dienst <Informatik>
SELinux
Tabelle
Code
Tabelle
Dienst <Informatik>
Computeranimation
Programm
LINUX
Datei
Rechenbuch
Umfang
Sicherungskopie
Internetdienst
Sicherungskopie
Computeranimation
Attributierte Grammatik
Programm
LINUX
SELinux
Umfang
Internetdienst
ACCESS <Programm>
HTML
Computeranimation
Programm
Constraint <Künstliche Intelligenz>
Algebraisch abgeschlossener Körper
UNIX
Oracle <Marke>
Programm
HTTP
Umfang
Computeranimation
LINUX
LINUX
Zugriffskontrolle
SELinux
Downloading
Downloading
AppArmor
openSUSE
Downloading
Computeranimation

Metadaten

Formale Metadaten

Titel SELinux und AppArmor
Untertitel Wenn rwx mit ugo zu ungenau ist
Serientitel FrOSCon 2017
Autor Brühe, Jörg
Lizenz CC-Namensnennung 4.0 International:
Sie dürfen das Werk bzw. den Inhalt zu jedem legalen Zweck nutzen, verändern und in unveränderter oder veränderter Form vervielfältigen, verbreiten und öffentlich zugänglich machen, sofern Sie den Namen des Autors/Rechteinhabers in der von ihm festgelegten Weise nennen.
DOI 10.5446/32301
Herausgeber Free and Open Source software Conference (FrOSCon) e.V.
Erscheinungsjahr 2017
Sprache Deutsch

Inhaltliche Metadaten

Fachgebiet Informatik
Abstract Linux verwaltet Zugriffsrechte als Erlaubnis zum Lesen ("r"), Schreiben ("w") und Ausführen ("x") für den Eigentümer ("u"), die Gruppe ("g") und alle anderen ("o"). So haben alle Anwendungen für einen Benutzer die gleichen Rechte, das ist aber oft nicht sinnvoll: Mein Mail-Client muss mein Adressbuch lesen und ändern können, aber warum soll z.B. mein Browser das tun dürfen? Die Kernel-Erweiterungen "SELinux" ("Security-Enhanced Linux") und "AppArmor" ("Application Armor") ändern das: Sie prüfen alle Zugriffe der Anwendungen und blockieren, was in der eingerichteten Sicherheitspolitik nicht vorgesehen ist. Im Vortrag werden diese beiden Systeme vorgestellt und die grundlegenden Admininistrations-Aufgaben beschrieben: - den Status der Komponente bestimmen und ändern (an- und ausschalten), - die eingestellte Politik anzeigen lassen und kontrollieren, - die Zugriffs-Erlaubnisse ändern, - die Defaults (der Distribution) an die geänderte Anwendungs-Konfiguration (Port, Data Directory, ...) anpassen (statt die Zugriffskontrolle einfach abzuschalten).
Schlagwörter Security

Zugehöriges Material

Video wird in der folgenden Ressource zitiert

Ähnliche Filme

Loading...