Fazit

Grsecurity geht Hand in Hand mit dem PaX-Projekt [8], das einzelne Teile im Hauptspeicher mit einem Schreib- oder Ausführungsschutz versieht. Ein Prozess kann dann einen Datenbereich nicht mit Programmcode überschreiben. Auf diese Weise verhindert PaX die gefürchteten Buffer-Overflow-Attacken.

Grsecurity ist komplex und teilweise umständlich zu administrieren. In der Vergangenheit wurden »grsecurity« , »gradm« und die Konfigurationsdateien zudem mehrfach leicht verändert. So konnte man früher beispielsweise den Prozessen zufällige Identifikationsnummer (PIDs) verpassen und TCP-Ports umnummerieren. Die Policy steckte zudem noch in der Datei »/etc/grsec/acl« . Diese Änderungen haben wiederum zur Folge, dass viele der Anleitungen und Artikel zu Grsecurity veraltet sind und nicht mehr funktionieren. Man sollte sich daher möglichst an die Dokumentation auf der Homepage halten [1]. Die hat jedoch mehr den Charme einer reinen Referenz und ist ermüdend zu lesen.

Wer bei seinen ersten Schritten nicht aufpasst, sperrt sich trotz des Lernmodus schnell aus. Man sollte daher die ersten Erfahrungen in einer virtuellen Maschine sammeln, bevor man einen gehärteten Grsecurity-Kernel auf einen produktiv genutzten Root-Server loslässt. (ofr)