Poorten beveiligen tegen malafide processen

[Wido]

Hallo,

Ik zie het de laatste tijd steeds vaker op diverse servers gebeuren dat Apache 2.0 herstart en dat een proces wat vanuit Apache geforked was ineens aan poort 80 hangt.

Zo hangt soms ineens Exim aan poort 80 omdat Apache herstart terwijl een klant nog mail aan het versturen is, of hangt er een botje aan poort 80.

Nu kan ik zelf aan de slag gaan in bash, maar er zijn vast al bestaande projecten hiervoor.

Kent iemand een project/software waar je kan aangeven dat aan poort 80 alleen /usr/sbin/httpd mag hangen, aan poort 25 alleen /usr/bin/exim, etc, etc.

Deze moet dan ook actie ondernemen (kill) zodra er iets anders aan die poort hangt en vervolgens de betreffende daemon starten.

Heeft iemand hier ervaring mee?

[MMaI]

volgens mij moet dit gewoon kunnen met NSA SELinux, hierbij kun je access van ports en processes restricten volgens mij, ik heb niet zo veel ervaring met SElinux zelf, maar volgens mij is het daar geen enkel probleem voor.

een andere beveiligingsoptie die in deze sector zich profileert it tomoyo, hier heb ik totaal geen ervaring mee, ook de usergroups hiervan doen wat spartaans aan, maar ik zou zeggen, neem er even een kijkje

.ff-topic:.
de snel reageren knop in FF is verdwenen, erg vervelend, en waarschijnlijk een resultaat van het proberen te fixen vna dat vakje voor IE

[davinci]

Heb dit nog nooit gezien.. maar belangrijker, hoe kan dit?
Hoe kan een script wat onder apache draait zichzelf verbinden aan poort 80 terwijl apache gerestart wordt? Dan draait het script toch ook niet?

[DiedX]

Met pf (Free/Open)BSD kan je een protocol aan een proces hangen. Kan dat met IPTables niet (AFAIK niet?)

[Wido]

Heb dit nog nooit gezien.. maar belangrijker, hoe kan dit?
Hoe kan een script wat onder apache draait zichzelf verbinden aan poort 80 terwijl apache gerestart wordt? Dan draait het script toch ook niet?

Ik ben daar ook nog niet achter, maar het is helaas iets wat wel gebeurd.

Onder Apache 1.3 heb ik het nog nooit meegemaakt, met Apache 2.0 meerdere keren per week.

[DiedX]

Volgens mij schiet apache restart alleen de httpd processen af, en niet de exploits (die ook draaien als apache). Vervolgens is de poort nog open, httpd kan niet laden, en je server gaat plat.

[Wido]

Klopt, dat is het gehele probleem. Maar ook soms hangt ineens Exim aan poort 80.

Oplossingen als SELinux zijn niet wat ik zoek, dan moet ik mijn kernels verbouwen.

Is er niet een project als dit in bash/perl?

LSM van RFXNetworks is er een, maar die stuurt alleen meldingen wanneer er een vreemd socket bij komt, dit onderneemt geen actie.