|
用LIDS增强系统安全(6) administration of IP firewall， masquerading and accounting
setting debug option on sockets
modification of routing tables
setting arbitrary process / process group ownership on sockets
binding to any address for transparent proxying
setting TOS (type of service)
setting promiscuous mode
clearing driver statistiCS
multicasting
read/write of device-specific registers
出于安全因素，应该禁止此项目来禁止改变网络配置。当其被禁止后，防火墙规则将不允许被改变。
配置lids.cap
可以在capability name前加 "+"或"-"来启动或禁止权限。
--------------------------------------------------
### 0: In a system with the _POSIX_CHOWN_RESTRICTED option defined， this overri
des the restriction
### 0: of changing file ownership and group ownership.
#
-0:CAP_CHOWN
### 1: Override all DAC access， including ACL execute access if _POSIX_ACL is d
efined. Excluding
### 1: DAC access covered by CAP_LINUX_IMMUTABLE.
#
+1:CAP_DAC_OVERRIDE
---------------------------------------------------
以上例子演示了禁止CAP_CHOWN (-)，启动CAP_DAC_OVERRIDE(+)，应该仔细检查lids.cap文件来决定哪些需要启动哪些需要禁止。用capabilities为独立进程分类
你可以使用capability为独立进程分类，从而使得进程可以做到一些系统所禁止的事情。
例如，你可以在/etc/lids/lids.cap下禁止CAP_SYS_RAWIO(-)，但你仍然需要使用X服务，所以你可以：
# lidsadm -A -s /usr/X11R6/bin/XF86_SVGA -t -o CAP_SYS_RAWIO -j INHERIT
使得XF86_SVGA拥有CA_SYS_RAWIO的权限，而其他程序不能获得CAP_SYS_RAWIO。
封装内核
启动内核以后，系统权限要在封装内核以后才会起作用。你必须将以下命令加入RefHat系统的/etc/rc.d/rc.local下，或其他系统的启动初始文件中
#/sbin/lidsadm -I
4.5 网络安全
LIDS提供了加强网络安全的功能。
基于capability的网络安全
通过capability，可以加强网络安全性。比如anti snifferring，不能绑定低于1024的端口，不能改变防火墙和路由器规则。所以，建议仔细阅读每一项capability.
内核中的扫描检测器
LIDS提供了一个内核扫描检测器，用来侦察是否有人在扫描你的系统。这个扫描器可以侦察到half-open scan， SYN stealth port scan， Stealth FIN， Xmas，或是Null scan等等， 象nmap，satan等工具都能被检测到。
当raw socket被禁止时，它会起作用。这样一来，一些基于监听上的user space detector不起作用。并且这一检测器不使用任何socket，比任何user space detector要安全。
| 
