В статье "Real-time exploits tracking with Anti-Exploit (http://www.it-observer.com/articles.php?id=884)" показан пример использования ПО AntiExploit (http://www.h07.org/?q=node/36), которое через взаимодействие с модулем ядра dazuko (http://www.dazuko.org/) для Linux и FreeBSD, осуществляет постоянный контроль файловых операций и определяет факт использования популярных эксплоитов по базе контрольных сумм.URL: http://www.it-observer.com/articles.php?id=884
Новость: http://www.opennet.me/opennews/art.shtml?num=6099
А не будет ли это дело тормозить всю систему?
Хм, если на dazuko сидит ещё и clamav, то после запуска aexpl, clamd начинает глючить и проверяет всё подряд, не обращая внимания на свой кнфиг и прописанные там дирректории. Если же вырубить aexpl, перезагрузить clamd, то всё опять работает нормально. Комплексная защита ни к чёрту. Ктониб. скинте им эту багу на
http://www.h07.org/bugs/
user: `guest'
passwd: `bugsbugs'
А то у меня браузер туда не заходит...
Это где-то надо использовать на высокопроизводительных отказоустойчивых серваках. У рядовых админов такого никогда не было. Проверка по контрольным суммам - глум.. Все равно что антивирусная проверка по сигнатурам. Нужна эвристика, а это отнимет много времени. Как всегда все упирается в процессорные мощности, скорости диска, ОЗУ и т.п. Короче в условиях настоящего времени надо выбирать между безопасностью и производительностью.
Кстати, поставил на сервак (400 Мгц p2 128 Мб ОЗУ) не заметно тормозов...
Безопасность и удобство использования всегда стояли по разные стороны баррикады. Но все-таки clamav стоит и работает и отшивает кучу простого мусора. Понятно, что он целенаправленной атаки не спасет, но досаждающую "мошкару" отгонит.
А зачем это вообще надо?