TL; DR. במאמר זה, אנו חוקרים את סכימות ההקשחה שפועלות מחוץ לקופסה בחמש הפצות לינוקס פופולריות. עבור כל אחד, לקחנו את תצורת ליבת ברירת המחדל, טענו את כל החבילות וניתחנו את סכימות האבטחה בקבצים הבינאריים המצורפים. ההפצות הנחשבות הן OpenSUSE 12.4, Debian 9, CentOS, RHEL 6.10 ו-7, כמו גם אובונטו 14.04, 12.04 ו-18.04 LTS.

התוצאות מאשרות שאפילו תוכניות בסיסיות כמו ערימת כנריות וקוד בלתי תלוי בעמדה עדיין לא מאומצות על ידי כולם. המצב גרוע עוד יותר עבור המהדרים בכל הנוגע להגנה מפני פרצות כמו מחסנית, שהגיעה לאור הזרקורים בינואר לאחר הפרסום מידע על נקודות תורפה במערכת. אבל לא הכל כל כך חסר סיכוי. מספר לא מבוטל של קבצים בינאריים מיישמים שיטות הגנה בסיסיות, ומספרם גדל מגרסה לגרסה.

הסקירה הראתה כי המספר הגדול ביותר של שיטות הגנה מיושם באובונטו 18.04 ברמת מערכת ההפעלה והיישומים, ואחריה דביאן 9. מצד שני, OpenSUSE 12.4, CentOS 7 ו-RHEL 7 מיישמים גם תוכניות הגנה בסיסיות, והגנה מפני התנגשות מחסנית. נמצא בשימוש נרחב עוד יותר עם קבוצה צפופה הרבה יותר של חבילות ברירת מחדל.

מבוא

קשה להבטיח תוכנה באיכות גבוהה. למרות המספר העצום של כלים מתקדמים לניתוח קוד סטטי וניתוח זמן ריצה דינמי, כמו גם התקדמות משמעותית בפיתוח מהדרים ושפות תכנות, התוכנה המודרנית עדיין סובלת מפגיעות שמנוצלות ללא הרף על ידי התוקפים. המצב חמור עוד יותר במערכות אקולוגיות הכוללות קוד מדור קודם. במקרים כאלה, אנו לא רק מתמודדים עם הבעיה הנצחית של מציאת שגיאות אפשריות שניתנות לניצול, אלא אנו גם מוגבלים על ידי מסגרות קפדניות של תאימות לאחור, שלעיתים קרובות מחייבות אותנו לשמר קוד מוגבל, או אפילו גרוע יותר, פגיע או באגי.

כאן נכנסות לתמונה שיטות הגנה או הקשחה של תוכניות. אנחנו לא יכולים למנוע סוגים מסוימים של שגיאות, אבל אנחנו יכולים להקשות על חיי התוקף ולפתור חלקית את הבעיה על ידי מניעה או מניעה ניצול השגיאות הללו. הגנה כזו משמשת בכל מערכות ההפעלה המודרניות, אך השיטות שונות מאוד במורכבות, יעילות וביצועים: מקנריות מחסניות ו ASLR להגנה מלאה CFI и R.O.P.. במאמר זה, נבחן באילו שיטות הגנה נעשה שימוש בהפצות לינוקס הפופולריות ביותר בתצורת ברירת המחדל, וכן נבחן את המאפיינים של הקבצים הבינאריים המופצים דרך מערכות ניהול החבילות של כל הפצה.

CVE ואבטחה

כולנו ראינו מאמרים עם כותרות כמו "האפליקציות הפגיעות ביותר של השנה" או "מערכות ההפעלה הפגיעות ביותר". בדרך כלל הם מספקים סטטיסטיקה על המספר הכולל של רשומות על פגיעויות כמו CVE (פגיעות וחשיפה נפוצה), מתקבל מ מסד נתונים לאומי של פגיעות (NVD) מ NIST ומקורות נוספים. לאחר מכן, יישומים או מערכת הפעלה אלה מדורגות לפי מספר ה-CVEs. למרבה הצער, בעוד ש-CVEs שימושיים מאוד למעקב אחר בעיות וליידע ספקים ומשתמשים, הם אומרים מעט על האבטחה בפועל של התוכנה.

כדוגמה, שקול את המספר הכולל של CVEs במהלך ארבע השנים האחרונות עבור ליבת לינוקס וחמש הפצות השרת הפופולריות ביותר, כלומר אובונטו, Debian, Red Hat Enterprise Linux ו-OpenSUSE.

איור. מספר

מה הגרף הזה אומר לנו? האם מספר גבוה יותר של CVEs אומר שהפצה אחת פגיעה יותר מאחרת? אין תשובה. לדוגמה, במאמר זה תראה שלדביאן יש מנגנוני אבטחה חזקים יותר בהשוואה למשל ל-OpenSUSE או RedHat Linux, ובכל זאת לדביאן יש יותר CVEs. עם זאת, הם לא בהכרח מתכוונים לאבטחה מוחלשת: אפילו נוכחות של CVE לא מציינת אם פגיעות היא מְנוּצָל. ציוני חומרה מספקים אינדיקציה כיצד כנראה ניצול של פגיעות, אך בסופו של דבר יכולת הניצול תלויה במידה רבה בהגנות הקיימות במערכות המושפעות ובמשאבים וביכולות של התוקפים. יתרה מכך, היעדר דוחות CVE לא אומר דבר על אחרים לא רשום או לא ידוע פגיעויות. ההבדל ב-CVE עשוי לנבוע מגורמים אחרים מלבד איכות התוכנה, כולל המשאבים שהוקצו לבדיקות או גודל בסיס המשתמשים. בדוגמה שלנו, המספר הגבוה יותר של CVEs של דביאן עשוי פשוט להצביע על כך שדביאן שולחת יותר חבילות תוכנה.

כמובן שמערכת CVE מספקת מידע שימושי המאפשר ליצור הגנות מתאימות. ככל שנבין טוב יותר את הסיבות לכישלון התוכנית, כך קל יותר לזהות שיטות אפשריות לניצול ולפתח מנגנונים מתאימים זיהוי ותגובה. באיור. 2 מציג את קטגוריות הפגיעות עבור כל ההפצות במהלך ארבע השנים האחרונות (מקור). ברור מיד שרוב ה-CVEs מתחלקים לקטגוריות הבאות: מניעת שירות (DoS), ביצוע קוד, הצפת יתר, השחתת זיכרון, דליפת מידע (exfiltration) והסלמה של הרשאות. למרות ש-CVEs רבים נספרים מספר פעמים בקטגוריות שונות, באופן כללי אותן בעיות נמשכות שנה אחר שנה. בחלק הבא של המאמר, נעריך את השימוש בסכימות הגנה שונות כדי למנוע ניצול של פגיעויות אלו.

איור. מספר

משימות

במאמר זה אנו מתכוונים לענות על השאלות הבאות:

• מהי האבטחה של הפצות לינוקס שונות? אילו מנגנוני הגנה קיימים ביישומי הקרנל ומרחב המשתמש?
• כיצד השתנתה האימוץ של מנגנוני אבטחה לאורך זמן בין ההפצות?
• מהן התלות הממוצעת של חבילות וספריות עבור כל הפצה?
• אילו הגנות מיושמות עבור כל בינארי?

מבחר הפצות

מסתבר שקשה למצוא נתונים סטטיסטיים מדויקים על התקנות הפצה, שכן ברוב המקרים מספר ההורדות אינו מעיד על מספר ההתקנות בפועל. עם זאת, גרסאות יוניקס מהוות את רוב מערכות השרתים (בשרתי אינטרנט 69,2%, לפי נתונים סטטיסטיים W3techs ומקורות אחרים), וחלקם גדל כל הזמן. לפיכך, לצורך המחקר שלנו התמקדנו בהפצות הזמינות מהקופסה בפלטפורמה Google Cloud. במיוחד, בחרנו את מערכת ההפעלה הבאה:

הפצה/גרסה
הגרעין
לִבנוֹת

OpenSUSE 12.4
4.12.14-95.3-ברירת מחדל
#1 SMP יום רביעי 5 בדצמבר 06:00:48 UTC 2018 (63a8d29)

דביאן 9 (מתיחה)
4.9.0-8-amd64
#1 SMP Debian 4.9.130-2 (2018-10-27)

CentOS 6.10
2.6.32-754.10.1.el6.x86_64
#1 SMP יום שלישי 15 בינואר 17:07:28 UTC 2019

CentOS 7
3.10.0-957.5.1.el7.x86_64
#1 SMP ו' 1 בפברואר 14:54:57 UTC 2019

Red Hat Enterprise Linux Server 6.10 (Santiago)
2.6.32-754.9.1.el6.x86_64
#1 SMP יום רביעי 21 בנובמבר 15:08:21 EST 2018

Red Hat Enterprise Linux Server 7.6 (Maipo)
3.10.0-957.1.3.el7.x86_64
#1 SMP יום חמישי 15 בנובמבר 17:36:42 UTC 2018

אובונטו 14.04 (Trusty Tahr)
4.4.0–140-גנרי

#166~14.04.1-Ubuntu SMP שבת 17 בנובמבר 01:52:43 UTC 20…

אובונטו 16.04 (Xenial Xerus)
4.15.0–1026-gcp
#27~16.04.1-Ubuntu SMP ו' 7 בדצמבר 09:59:47 UTC 2018

אובונטו 18.04 (Bionic Beaver)
4.15.0–1026-gcp
#27-Ubuntu SMP יום חמישי 6 בדצמבר 18:27:01 UTC 2018

לוח 1

ניתוח של

הבה נלמד את תצורת ליבת ברירת המחדל, כמו גם את המאפיינים של חבילות הזמינות דרך מנהל החבילות של כל הפצה מהקופסה. לפיכך, אנו מתייחסים רק לחבילות ממראות ברירת המחדל של כל הפצה, תוך התעלמות מחבילות ממאגרים לא יציבים (כגון דביאן 'בודקת' מראות) וחבילות של צד שלישי (כגון חבילות Nvidia ממראות סטנדרטיות). בנוסף, איננו מתייחסים להידורי ליבה מותאמים אישית או תצורות מוקשחות באבטחה.

ניתוח תצורת ליבה

יישמנו תסריט ניתוח המבוסס על בודק kconfig בחינם. בואו נסתכל על פרמטרי ההגנה מחוץ לקופסה של ההפצות הנקובות ונשווה אותם עם הרשימה מ פרויקט הגנה עצמית ליבה (KSPP). עבור כל אפשרות תצורה, טבלה 2 מתארת ​​את ההגדרה הרצויה: תיבת הסימון מיועדת להפצות התואמות את המלצות ה-KSSP (ראה להלן הסבר למונחים). כאן; במאמרים הבאים נסביר כמה משיטות האבטחה הללו נוצרו וכיצד לפרוץ למערכת בהיעדרן).

באופן כללי, לגרעין החדש יש הגדרות מחמירות יותר מחוץ לקופסה. לדוגמה, CentOS 6.10 ו-RHEL 6.10 בליבת 2.6.32 חסרות את רוב התכונות הקריטיות המיושמות בקרנלים חדשים יותר, כגון SMAP, הרשאות RWX קפדניות, כתובות אקראית או הגנה על copy2usr. יש לציין שרבות מאפשרויות התצורה בטבלה אינן זמינות בגרסאות ישנות יותר של הקרנל ואינן ישימות במציאות - הדבר עדיין מצוין בטבלה כחוסר הגנה מתאימה. באופן דומה, אם אפשרות תצורה אינה קיימת בגרסה נתונה, והאבטחה מחייבת לבטל את האפשרות הזו, זו נחשבת לתצורה סבירה.

נקודה נוספת שיש לקחת בחשבון בעת ​​פירוש התוצאות: כמה תצורות ליבה המגדילות את משטח ההתקפה יכולות לשמש גם לאבטחה. דוגמאות כאלה כוללות uprobes ו-kprobes, מודולי ליבה ו-BPF/eBPF. המלצתנו היא להשתמש במנגנונים הנ"ל כדי לספק הגנה אמיתית, שכן הם לא טריוויאליים לשימוש וניצולם מניח שגורמים זדוניים כבר קבעו דריסת רגל במערכת. אבל אם אפשרויות אלה מופעלות, מנהל המערכת חייב לפקח באופן פעיל על ניצול לרעה.

בהסתכלות נוספת על הערכים בטבלה 2, אנו רואים כי גרעינים מודרניים מספקים מספר אפשרויות להגנה מפני ניצול של נקודות תורפה כגון דליפת מידע והצפת מחסנית/ערימה. עם זאת, אנו מבחינים שאפילו ההפצות הפופולריות האחרונות עדיין לא יישמו הגנה מורכבת יותר (לדוגמה, עם תיקונים אבטחה) או הגנה מודרנית מפני התקפות שימוש חוזר בקוד (למשל. שילוב של רנדומיזציה עם סכמות כמו R^X לקוד). כדי להחמיר את המצב, אפילו ההגנות המתקדמות יותר הללו אינן מגנות מפני כל מגוון ההתקפות. לכן, קריטי למנהלי מערכת להשלים תצורות חכמות עם פתרונות המציעים זיהוי ומניעה של ניצול בזמן ריצה.

ניתוח יישומים

באופן לא מפתיע, להפצות שונות יש מאפייני חבילה שונים, אפשרויות קומפילציה, תלות בספרייה וכו'. קיימים הבדלים אפילו עבור קָשׁוּר הפצות וחבילות עם מספר קטן של תלות (לדוגמה, coreutils באובונטו או דביאן). כדי להעריך את ההבדלים, הורדנו את כל החבילות הזמינות, חילצנו את תוכנן וניתחנו את הקבצים הבינאריים והתלות. עבור כל חבילה, עקבנו אחר החבילות האחרות שבהן היא תלויה, ולכל בינארי, עקבנו אחר התלות שלה. בחלק זה נסכם בקצרה את המסקנות.

הפצות

בסך הכל, הורדנו 361 חבילות לכל ההפצות, וחילצנו רק חבילות ממראות ברירת המחדל. התעלמנו מחבילות ללא קובצי הפעלה של ELF, כגון מקורות, גופנים וכו'. לאחר סינון, נותרו 556 חבילות, המכילות בסך הכל 129 קבצים בינאריים. ההפצה של חבילות וקבצים על פני הפצות מוצגת באיור. 569.

איור. מספר

ייתכן שתבחין שככל שההפצה מודרנית יותר, כך היא מכילה יותר חבילות וקבצים בינאריים, וזה הגיוני. עם זאת, חבילות אובונטו ודביאן כוללות הרבה יותר קבצי הפעלה (הן קובצי הפעלה והן מודולים וספריות דינמיות) מאשר CentOS, SUSE ו-RHEL, מה שעלול להשפיע על משטח ההתקפה של אובונטו ודביאן (יש לציין שהמספרים משקפים את כל הבינאריים של כל הגרסאות חבילה, כלומר, חלק מהקבצים מנותחים מספר פעמים). זה חשוב במיוחד כשחושבים על תלות בין חבילות. לפיכך, פגיעות בבינארי חבילה אחת יכולה להשפיע על חלקים רבים של המערכת האקולוגית, בדיוק כפי שספרייה פגיעה יכולה להשפיע על כל הבינאריים המייבאים אותה. כנקודת התחלה, בואו נסתכל על התפלגות מספר התלות בין חבילות במערכות הפעלה שונות:

איור. מספר

כמעט בכל ההפצות, ל-60% מהחבילות יש לפחות 10 יחסי תלות. בנוסף, לחלק מהחבילות יש מספר גדול יותר באופן משמעותי של תלות (יותר מ-100). אותו הדבר חל על תלות חבילה הפוכה: כצפוי, חבילות בודדות נמצאות בשימוש על ידי חבילות רבות אחרות בהפצה, כך שפגיעויות בכמה נבחרות הן בסיכון גבוה. כדוגמה, הטבלה הבאה מפרטת את 20 החבילות עם המספר המרבי של תלות הפוכה ב-SLES, Centos 7, Debian 9 ואובונטו 18.04 (כל תא מציין את החבילה ואת מספר התלות ההפוכה).

לוח 3

עובדה מעניינת. למרות שכל מערכת ההפעלה המנותחת בנויות עבור ארכיטקטורת x86_64, ולרוב החבילות יש את הארכיטקטורה המוגדרת כ-x86_64 ו-x86, חבילות מכילות לרוב קבצים בינאריים עבור ארכיטקטורות אחרות, כפי שמוצג באיור 5. XNUMX.

איור. מספר

בחלק הבא נעמיק במאפיינים של הבינאריים המנותחים.

סטטיסטיקות הגנה על קבצים בינאריים

לכל הפחות, אתה צריך לחקור קבוצה בסיסית של אפשרויות אבטחה עבור הקבצים הבינאריים הקיימים שלך. כמה הפצות לינוקס מגיעות עם סקריפטים שמבצעים בדיקות כאלה. לדוגמה, לדביאן/אובונטו יש סקריפט כזה. הנה דוגמה לעבודתו:

$ hardening-check $(which docker)
/usr/bin/docker:
 Position Independent Executable: yes
 Stack protected: yes
 Fortify Source functions: no, only unprotected functions found!
 Read-only relocations: yes
 Immediate binding: yes

התסריט בודק חמישה פונקציות הגנה:

• Position Independent Executable (PIE): מציין אם ניתן להזיז את קטע הטקסט של תוכנית בזיכרון כדי להשיג אקראי אם ASLR מופעל בליבה.
• מחסנית מוגנת: האם כנריות מחסניות מופעלות כדי להגן מפני התקפות התנגשות מחסניות.
• חיזוק מקור: האם פונקציות לא בטוחות (לדוגמה, strcpy) מוחלפות בעמיתיהם המאובטחים יותר, וקריאות שנבדקו בזמן ריצה מוחלפות בעמיתיהם הלא מסומנים (לדוגמה, memcpy במקום __memcpy_chk).
• העברות לקריאה בלבד (RELRO): האם ערכי טבלת העברה מסומנים לקריאה בלבד אם הם מופעלים לפני תחילת הביצוע.
• כריכה מיידית: האם מקשר זמן הריצה מאפשר את כל המהלכים לפני תחילת ביצוע התוכנית (זה שווה ערך ל-RELRO מלא).

האם המנגנונים הנ"ל מספיקים? למרבה הצער לא. ישנן דרכים ידועות לעקוף את כל ההגנות לעיל, אך ככל שההגנה קשה יותר, כך הרף גבוה יותר עבור התוקף. לדוגמה, שיטות מעקף RELRO קשה יותר ליישם אם PIE וכריכה מיידית בתוקף. כמו כן, ASLR מלא דורש עבודה נוספת כדי ליצור ניצול עובד. עם זאת, תוקפים מתוחכמים כבר מוכנים לעמוד בהגנות כאלה: היעדרם בעצם יזרז את הפריצה. לכן חיוני שאמצעים אלה ייחשבו הכרחיים מינימום.

רצינו ללמוד כמה קבצים בינאריים בהפצות המדוברות מוגנים על ידי אלה ושלוש שיטות נוספות:

• סיביות לא ניתנות להפעלה (NX) מונע ביצוע בכל אזור שלא אמור להיות בר הפעלה, כגון ערימת הערימה וכו'.
• RPATH/RUNPATH מציין את נתיב הביצוע המשמש את הטוען הדינמי למציאת ספריות תואמות. הראשון הוא חובה לכל מערכת מודרנית: היעדרה מאפשר לתוקפים לכתוב באופן שרירותי את המטען לזיכרון ולבצע אותו כפי שהוא. עבור השני, תצורות נתיב ביצוע שגויות עוזרות בהחדרת קוד לא אמין שיכול להוביל למספר בעיות (למשל. הסלמה של זכויות יתרו - בעיות אחרות).
• הגנה מפני התנגשות מחסנית מספקת הגנה מפני התקפות הגורמות למחסנית לחפוף לאזורי זיכרון אחרים (כגון הערימה). בהתחשב בניצול לרעה לאחרונה פגיעות התנגשות ערימה במערכת, הרגשנו שנכון לכלול את המנגנון הזה במערך הנתונים שלנו.

אז, בלי להכביר מילים, בואו נרד למספרים. טבלאות 4 ו-5 מכילות סיכום של הניתוח של קבצי הפעלה וספריות של הפצות שונות, בהתאמה.

• כפי שאתה יכול לראות, הגנת NX מיושמת בכל מקום, למעט חריגים נדירים. במיוחד, אפשר לציין את השימוש הנמוך במקצת בהפצות אובונטו ודביאן בהשוואה ל- CentOS, RHEL ו-OpenSUSE.
• כנריות מחסניות חסרות במקומות רבים, במיוחד בהפצות עם גרעינים ישנים יותר. התקדמות מסוימת נראית בהפצות האחרונות של Centos, RHEL, Debian ואובונטו.
• למעט דביאן ואובונטו 18.04, לרוב ההפצות יש תמיכה גרועה ב-PIE.
• הגנת התנגשות מחסנית חלשה ב-OpenSUSE, Centos 7 ו-RHEL 7, ולמעשה לא קיימת באחרים.
• לכל ההפצות עם ליבות מודרניות יש תמיכה מסוימת ב-RELRO, כאשר אובונטו 18.04 מובילה ודביאן במקום השני.

כפי שכבר צוין, המדדים בטבלה זו הם הממוצע עבור כל הגרסאות של הקובץ הבינארי. אם אתה מסתכל רק על הגירסאות העדכניות ביותר של קבצים, המספרים יהיו שונים (לדוגמה, ראה התקדמות דביאן עם יישום PIE). יתר על כן, רוב ההפצות בדרך כלל בודקות רק את האבטחה של כמה פונקציות בבינארי בעת חישוב סטטיסטיקה, אבל הניתוח שלנו מראה את האחוז האמיתי של פונקציות שהוקשו. לכן, אם 5 מתוך 50 פונקציות מוגנות בבינארי, ניתן לה ציון של 0,1, שמתאים ל-10% מהפונקציות שמתחזקות.

טבלה 4. מאפייני אבטחה עבור קבצי ההפעלה המוצגים באיור. 3 (יישום של פונקציות רלוונטיות כאחוז מסך קבצי ההפעלה)

טבלה 5. מאפייני אבטחה עבור הספריות המוצגות באיור. 3 (יישום פונקציות רלוונטיות כאחוז מסך הספריות)

אז יש התקדמות? בהחלט יש: ניתן לראות זאת מהסטטיסטיקה של התפלגות בודדות (לדוגמה, דביאן), וכן מהטבלאות לעיל. כדוגמה באיור. איור 6 מציג את היישום של מנגנוני הגנה בשלוש הפצות עוקבות של אובונטו LTS 5 (השמטנו סטטיסטיקות של הגנה מפני התנגשות מחסנית). אנו שמים לב שמגרסה לגרסה יותר ויותר קבצים תומכים ב-Stack Canaries, וגם יותר ויותר קבצים בינאריים נשלחים עם הגנת RELRO מלאה.

איור. מספר

למרבה הצער, למספר קבצי הפעלה בהפצות שונות עדיין אין אף אחת מההגנות הנ"ל. לדוגמה, בהסתכלות על אובונטו 18.04, תבחין ב-ngetty בינארי (תחליף ל-getty), כמו גם במעטפות mksh ו-lksh, מתורגמן picolisp, חבילות nvidia-cuda-toolkit (חבילה פופולרית ליישומים מואצים ב-GPU כגון מסגרות למידת מכונה), ו-klibc -utils. באופן דומה, ה-mandos-client בינארי (כלי ניהולי המאפשר לך לאתחל אוטומטית מכונות עם מערכות קבצים מוצפנות) וכן rsh-redone-client (יישום מחדש של rsh ו-rlogin) נשלחים ללא הגנת NX, למרות שיש להם זכויות SUID: (. כמו כן, למספר קבצי suid בינאריים אין הגנה בסיסית כמו כנריות מחסנית (לדוגמה, הבינארי Xorg.wrap מחבילת Xorg).

סיכום והערות סיום

במאמר זה, הדגשנו מספר תכונות אבטחה של הפצות לינוקס מודרניות. הניתוח הראה שההפצה העדכנית ביותר של Ubuntu LTS (18.04) מיישמת, בממוצע, את ההגנה החזקה ביותר של מערכת ההפעלה ורמת האפליקציה בין הפצות עם ליבות חדשות יחסית, כגון אובונטו 14.04, 12.04 ודביאן 9. עם זאת, ההפצות שנבדקו CentOS, RHEL ו OpenSUSE בסט שלנו כברירת מחדל הם מייצרים סט חבילות צפוף יותר, ובגרסאות האחרונות (CentOS ו-RHEL) יש להם אחוז גבוה יותר של הגנת התנגשות מחסנית בהשוואה למתחרים מבוססי דביאן (דביאן ואובונטו). בהשוואה לגרסאות CentOS ו-RedHat, אנו מבחינים בשיפורים גדולים ביישום של כנריות מחסניות ו-RELRO מגירסאות 6 עד 7, אך בממוצע ל-CentOS יש יותר תכונות מיושמות מאשר RHEL. באופן כללי, כל ההפצות צריכות לשים לב במיוחד להגנת PIE, אשר, למעט דביאן 9 ואובונטו 18.04, מיושמת בפחות מ-10% מהקבצים הבינאריים במערך הנתונים שלנו.

לבסוף, יש לציין שלמרות שביצענו את המחקר באופן ידני, ישנם כלי אבטחה רבים זמינים (למשל. לינס, נָמֵר, האבל), אשר מבצעים ניתוח ועוזרים להימנע מתצורות לא בטוחות. למרבה הצער, אפילו הגנה חזקה בתצורות סבירות אינה מבטיחה היעדר ניצול. לכן אנו מאמינים בתוקף שחיוני להבטיח ניטור אמין ומניעה של התקפות בזמן אמת, התמקדות בדפוסי ניצול ומניעתם.

מקור: www.habr.com