From: Jørgen Frøjk Kjærsgaard {Metation} <none@jfk--metation.com.lh.bsd-dk.dk>
To: bsd-dk@bsd-dk.dk
Subject: Re: Virusbeskyttelse
Date: Sat, 24 Aug 2002 16:03:46 +0200
Lørdag 24. August 2002 12:07 skrev du:
> > > > Hvad skal man med virusbeskyttelse, når der ikke er nogen vira at
> > > > beskytte imod?
> >
> > Der findes viruser til Unix ... hører man jo ind i mellem.
> >
> > Er der nogensinde nogen der har set en Unix virus "in the wild"?
>
> Efterhånden er der skrevet mange tekster omkring hvordan man skriver
> virus kode der inficere elf binaries.
Når PBS skriver "virusbeskyttelse" skal man måske læse "beskyttelse mod
virus, worms, cracking/hacking [1], etc." I Windowsverdenen er der en tendens
til at kalde alle former for destruktiv kode "virus".
Det interessante er hvordan destruktiv kode kan komme ind på en *BSD server
og hvordan man mest effektivt beskytter mod det. I bund og grund kommer al
destruktiv kode ind ved at man udnytter et sikkerhedshul, der gør det muligt
at få udført udefrakommende kode med tilstrækkelige privilegier til at gøre
skade. Hvis man kører samtlige eksternt tilgængelige services som en non-root
bruger er man kommet et langt stykke. Der skal være et "root hul" for at
destruktiv kode kan gøre (stor) skade. Hvis man oven i købet kører sine
services i en "padded cell" (chroot) kan man begrænse skaderne dertil. Og så
skal man naturligvis opdatere, hver gang der kommer en sikkerhedspatch.
I bund og grund handler sikkerhed om to ting: 1) at forhindre destruktiv kode
i at komme ind (luk sikkerhedshuller og undgå at køre unødvendige services)
og 1) at begrænse skaderne, hvis destruktiv kode alligevel kommer ind (køre
services som non-root i en padded cell).
Antivirus på Windows handler om at detektere destruktiv kode, når den er på
vej ind i systemet (f.eks. via emails og HTTP requests) eller allerede er
kommet ind. Denne strategi kræver imidlertid, at man kender noget til den
destruktive kode på forhånd. Det optimale må være at forebygge at vilkårlig
destruktiv kode kan gøre skade...
/jfk
[1] ...eller hvad du nu foretrækker at kalde indbrud på en server.
This archive was generated by hypermail 2b30 : Wed 15 Nov 2006 - 18:24:21 CET