15.1. Краткий обзор

FreeBSD 5.X представляет новые расширения системы безопасности от проекта TrustedBSD, основанные на документах POSIX®.1e. Два из наиболее важных нововведений в механизмах безопасности это списки контроля доступа файловой системы (Access Control Lists, ACLs) и принудительный контроль доступа Mandatory Access Control, MAC). Инфраструктура позволяет загружать новые модули контроля доступа, реализуя новые политики безопасности. Некоторые из них предоставляют защиту ключевых подсистем, защищая определенный сервис, в то время как другие предоставляют исчерпывающую систему безопасности с метками на всех субъектах и объектах. Контроль называется принудительным, поскольку применение контроля производится администраторами и системой, и не зависит от решения пользователей, как это происходит при обычном контроле доступа (Discretionary Access Control, DAC, стандартные файловые и System V IPC права в FreeBSD).

Вся эта глава фокусируется на инфраструктуре принудительного контроля доступа и настройке подключаемых модулей, реализующих различные политики безопасности.

После прочтения этой главы вы узнаете:

• Какие модули MAC включены в настоящее время в FreeBSD, какие политики с ними связаны.

• Что реализуют политики MAC, а также различие между политиками с метками (label) и без меток.

• Как эффективно настроить систему для использования инфраструктуры MAC.

• Как настроить различные политики, используемые модулями MAC.

• Как реализовать более защищенную среду, используя инфраструктуру MAC и приведенные примеры.

• Как протестировать настройку MAC, чтобы убедиться, что инфраструктура была реализована правильно.

Перед прочтением этой главы вам потребуется:

• Понимание основ UNIX® и FreeBSD (Гл. 3).

• Ознакомиться с основами настройки/компилирования ядра (Гл. 8).

• Иметь некоторые понятия о безопасности и как она относится к FreeBSD (Гл. 14).