freebsd下jail说明
作者 佚名技术
来源 操作系统
浏览
发布时间 2012-06-28
| 系统就算构造完成并且可以正常运作，加上在实际环境里面定期的严格的备份，安全检查与审计，就可以得到一个很不错的安全系统。一般的scriptkids已经无法对你的系统构成实际威胁，即使是某些与黑帽子走得很近的人在漏洞公开之前得到实际的攻击脚本，并且进入你的系统，他也只能在jail里面活动，而且你可以知道他什么时候进入和离开系统，做了什么。这样你可以很轻松的恢复系统和防范下一次未知的攻击。 在jail系统的管理上面有几个问题需要注意： 1. jail里面的帐号、密码是跟实际系统不同的，但是在jail之外ps或者查看jail目录树内的文件时，那些jail内部的uid会被看成外部的uid，因此最好把jail里面的/etc/adduser.conf进行修改，把他们的uid起始号码放大，比如：uid_start="5000"，这样当你在jail外部进行文件、进程管理的时候不至于误会文件或者进程的宿主。 2. jail内的任何活动，其能力都受到了限制。比如top/vmstat这样的东西都不能使用，mknod,dd等等这样需要访问直接硬件的东西也无法工作。所以在jail内监控系统运行状态也比较难。 3. 当想要远程关闭jail系统的时候，可以有两种方法，一是进入jail之后kill -TERM -1 或者 kill -KILL -1 ，这样向所有该jail内的进程发送SIGTERM或者SIGKILL信号，也可以在jail里面运行/etc/rc.shutdown来关闭jail。如果是本地想要关闭jail倒是简单，只要把所有带有J标记的进程干掉就可以了。 4. 一个系统可以运行多个jail，各个jail之间无法互相干涉，如果在jail外面使用 tester# jail $jailhome jailed.system.box $jail_IP_ADDR /path/to/application 这种方式运行某个应用程序，下一次试图通过运行 tester# jail $jailhome jailed.system.box $jail_IP_ADDR /bin/csh 这种方式获得的jail过的shell来管理该应用程序将会失败。因为这时是两个各自独立的jail，互相不能干涉。为了能对jail系统内进程灵活地进行管理，推荐在jail里面除开应用软件之外，再启动telnetd或者sshd之类的服务，这些服务此时与应用程序运行在同一个jail里面，就可以通过远程登入系统后获得与那些应用程序在同一个jail内的shell。 5. jail系统内的所有应用软件版本号应该与外部实际系统保持一致。当外部系统的源码同步到某个版本并且重新做过make world之后，推荐也重新生成一次jail，以避免某些可能的莫名其妙的错误。 6. 另外有一个做法不知道是否正确，在jail里面每次使用ps的时候，系统都会报告没有/var/run/dev.db文件，让人感觉很不舒服，复制实际系统的/var/run/dev.db 到 $jailhome/var/run/ ，就不会再碰到这个问题。 |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
你可能对下面的文章感兴趣
关于freebsd下jail说明的所有评论
