理論的な観点から見ると、 grsecurity カーネルパッチは優れた強化ツールのように見えます。最も重要なのは、 PaX が良い考えのように思われることです。
これらの理論的な利点は、マルウェア攻撃/エクスプロイト/ルートキットの防止に実際に効果がありますか?
最近いくつかの重大なセキュリティ問題がありました(ほんの数例を挙げると、Shellshock、Heartbleed、Turlaなど)。
誰かがgrsecurity
が防げたであろう具体的なエクスプロイトを指摘できますか?
私は[email protected]です。夜間に眠れる理由はgrsecです。
Grsecによってブロックされたエクスプロイトの例として、最近のカーネルの脆弱性のほとんどすべてを見ることができます。ストックエクスプロイトは単にgrsecカーネルに対しては機能しません。
Grsec、特にUDEREFによってブロックされた脆弱性の例として、最近のx86_32ローカルルートがあります。
Grsec(rbacを差し引いたもの)は、「論理的な」問題(Shellshock、hearthbleed、LD_ *の問題)に対して何もしませんが、強化されたツールチェーンとともに、いくつかのクラスのバグの悪用をはるかに困難にします。
何行うカーネルのバグに対する支援。
次に、RBACがあります。 Rbacは、SELinuxやAppArmorのようなMAC(必須のアクセス制御)システムであり、ルートからでもさらに保護を提供します。
さらに、grsecを使用すると、気の利いた制限を有効にできます。主なものは次のとおりです。
ポイントは次のとおりです:grsecはシステムをより安全にしますが、最も安全なシステムでもバグが見つかります。
特権昇格の脆弱性のほとんどはgrsecカーネルでは機能しません。 Grsecurityは、OSよりもプロセスを制限することにより、エクスプロイトベクターを排除します。
これは、強化されたサーバーに誰もアクセスできないという意味ではありません。誰かがサーバーに侵入した場合、grsecが課している制限のため、彼は何もできなくなります。