Protección contra programas con riesgo de seguridad (mapa de tareas)

El siguiente mapa de tareas indica procedimientos que buscan ejecutables riesgosos en el sistema y que impiden que los programas se aprovechen de una pila ejecutable.

Cómo buscar archivos con permisos de archivo especiales

Debe supervisar el sistema para detectar cualquier uso no autorizado de los permisos setuid y setgid en los programas. Los permisos setuid y setgid permiten a los usuarios comunes adquirir capacidades de superusuario. Un archivo ejecutable sospechoso concede propiedad a un usuario en lugar de a root o bin.

1. Asuma el rol de administrador principal o conviértase en superusuario.

   El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.

2. Busque archivos con permisos setuid mediante el comando find.

   # find directory -user root -perm -4000 -exec ls -ldb {} \; >/tmp/filename

   find directorio

   Comprueba todas las rutas montadas a partir del directorio) especificado, que puede ser root (/), sys, bin o mail.

   -user root

   Muestra archivos que sólo son propiedad de root.

   -perm -4000

   Muestra archivos sólo con permisos establecidos en 4000.

   -exec ls -ldb

   Muestra el resultado del comando find en formato ls -ldb.

   /tmp/nombre_archivo

   Es el archivo que contiene los resultados del comando find.

3. Muestra los resultados en /tmp/nombre_archivo.

   # more /tmp/filename

   Para obtener más información sobre los permisos setuid, consulte Permiso setuid.

Ejemplo 6-12 Búsqueda de archivos con permisos setuid

El resultado del siguiente ejemplo muestra que un usuario en un grupo denominado rar ha realizado una copia personal de /usr/bin/sh y ha establecido los permisos como setuid en root. Como resultado, el programa /usr/rar/bin/sh se ejecuta con permisos root.

Este resultado se ha guardado para referencia futura al mover el directorio /var/tmp/chkprm al directorio /export/sysreports/ckprm.

# find / -user root -perm -4000 -exec ls -ldb {} \; > /var/tmp/ckprm
# cat /var/tmp/ckprm
-r-sr-xr-x 1 root bin 38836 Aug 10 16:16 /usr/bin/at
-r-sr-xr-x 1 root bin 19812 Aug 10 16:16 /usr/bin/crontab
---s--x--x 1 root sys 46040 Aug 10 15:18 /usr/bin/ct
-r-sr-xr-x 1 root sys 12092 Aug 11 01:29 /usr/lib/mv_dir
-r-sr-sr-x 1 root bin 33208 Aug 10 15:55 /usr/lib/lpadmin
-r-sr-sr-x 1 root bin 38696 Aug 10 15:55 /usr/lib/lpsched
---s--x--- 1 root rar 45376 Aug 18 15:11 /usr/rar/bin/sh
-r-sr-xr-x 1 root bin 12524 Aug 11 01:27 /usr/bin/df
-rwsr-xr-x 1 root sys 21780 Aug 11 01:27 /usr/bin/newgrp
-r-sr-sr-x 1 root sys 23000 Aug 11 01:27 /usr/bin/passwd
-r-sr-xr-x 1 root sys 23824 Aug 11 01:27 /usr/bin/su
# mv /var/tmp/ckprm /export/sysreports/ckprm

Cómo impedir que programas usen pilas ejecutables

Para obtener una descripción de los riesgos de seguridad de las pilas ejecutables, consulte Cómo impedir que los archivos ejecutables pongan en riesgo la seguridad.

1. Asuma el rol de administrador principal o conviértase en superusuario.

   El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.

2. Edite el archivo /etc/system y agregue la siguiente línea:

   set noexec_user_stack=1

3. Reinicie el sistema.

   # init 6

Ejemplo 6-13 Deshabilitación del registro de mensajes de pilas ejecutables

En este ejemplo, el registro de mensajes de pilas ejecutables se deshabilita y el sistema se reinicia.

# cat /etc/system
set noexec_user_stack=1
set noexec_user_stack_log=0
# init 6