Безопасность и оптимизация Linux.Редакция для Red Hat



         

Организация защиты Sendmail


Ограниченная оболочка “smrsh” Sendmail.

Программа smrsh предназначается для замены “/bin/sh” в программах почтальонах, определенных в Sendmail. Это ограниченная оболочка, которая предоставляет возможность строго определить через каталог “/etc/smrsh”, явный список исполняемых программ доступных Sendmail. Чтобы быть более точным, даже если “плохой парень” использует Sendmail для запуска программ без файлов псевдонимов и forward, smrsh ограничит набор программ, которые он или она сможет выполнить. В связке с Sendmail smrsh эффективно ограничивает область выполняемых программ только теми программами, что перечислены в каталоге /etc/smrsh. Если вы следовали по инструкциям описанным выше, то smrsh уже откомпилирована и инсталлирована в каталог “/usr/sbin/smrsh”.

Шаг 1

Первое, что надо сделать, это определить список команд, которые “smrsh” позволит Sendmail выполнять.

По умолчанию в него входят:

“/bin/mail” (если инсталлирована на вашей системе)

“/usr/bin/procmail” (если инсталлирована на вашей системе)

ЗАМЕЧАНИЕ. Вы не должны включать интерпретирующие программы, такие как sh(1), csh(1), perl(1), uudecode(1) или потоковый редактор sed(1) в список разрешенных программ.

Шаг 2

Следующее, что надо сделать, это заполнить каталог “/etc/smrsh” программами, которые разрешено запускать Sendmail. Для предотвращения дублирования программ мы будем создавать символические ссылки.

Для разрешения использования программы “/bin/mail” используйте следующие команды:

[root@deep /]# cd /etc/smrsh

[root@deep smrsh]# ln -s /bin/mail mail

Для разрешения использования программы “/usr/bin/procmail” используйте следующие команды:

[root@deep /]# cd /etc/smrsh

[root@deep smrsh]# ln -s /usr/bin/procmail procmail

Вышеприведенные команды позволят запускать программы mail и procmail из пользовательских файлов “.forward” или файла “aliases”, которые используют "program" синтаксис.

ЗАМЕЧАНИЕ. Procmail требуется только на почтовом концентраторе и не требуется на клиентской машине. Если вы настраиваете вашу систему как Центральный почтовый сервер, то создайте ссылку на procmail как описано выше, иначе пропустите его.

Шаг 3




Содержание  Назад  Вперед