Exemple réel de sécurité SELinux ?

Voici un compte rendu détaillé d'une attaque que SELinux a stoppée net, avec des détails sur les journaux et une explication des techniques d'investigation utilisées. Cet article a été publié dans le Linux Journal :

http://www.linuxjournal.com/article/9176

Voici un extrait du début :

Si vous exploitez des serveurs connectés à l'internet, il y a de fortes chances que vous ayez un jour à faire face à une attaque réussie. L'année dernière, j'ai découvert qu'en dépit des défenses multicouches en place sur un serveur Web de test (targetbox), un attaquant avait réussi à utiliser un exploit dans une tentative d'accès partiellement réussie. Ce serveur exécutait Red Hat Enterprise Linux 4 (RHEL 4) et le système de gestion de contenu Mambo. De nombreuses défenses étaient en place, notamment SELinux (Security-Enhanced Linux). SELinux a empêché l'attaquant d'exécuter la deuxième étape de l'attaque, empêchant peut-être une compromission de la racine.

Cet article présente une étude de cas de la réponse à l'intrusion, expliquant comment j'ai découvert l'intrusion, quelles mesures j'ai prises pour identifier l'exploit, comment je me suis remis de l'attaque et quelles leçons j'ai tirées concernant la sécurité du système. J'ai changé les noms des machines et les adresses IP pour des raisons de confidentialité.

SELinux n'est pas nécessairement une protection contre les pirates ; il s'agit de documenter et d'appliquer une politique sur le comportement d'un système. Il s'agit d'un outil de la boîte à outils qui est précieux, mais dont la bonne utilisation requiert des compétences.

Voici un exemple concret des économies que vous pouvez réaliser :

Une vulnérabilité dans un démon FTP permet à un utilisateur anonyme d'obtenir les privilèges. Un attaquant utilise cette vulnérabilité pour accéder aux répertoires utilisateurs et voler les clés privées SSH privées SSH, dont certaines n'ont pas de phrase de passe.

Si SELinux est configuré pour interdire la politique "Allow ftp services to read and write files in user home directories", l'exploit ne réussira pas et la violation de la politique sera enregistrée.