Režimy a monitorovanie SED

Mechanizmus SED (Stack Execution Disable) je v systéme AIX implementovaný prostredníctvom príznakov celosystémového režimu a rovnako aj pomocou jednotlivých príznakov hlavičky spustiteľných súborov.

Zatiaľ čo celosystémové príznaky riadia celosystémovú prevádzku SED, príznaky úrovne súborov indikujú ako by sa malo v SED so súbormi zaobchádzať. Mechanizmus BOP (Buffer Overflow Protection) zabezpečuje štyri celosystémové prevádzkové režimy:

off

Mechanizmus SED je vypnutý a žiadny proces nie je označený pre ochranu SED.

select

Iba sada súborov select sa monitoruje a má povolenú ochranu SED. Súbory do sady súborov select sa vyberajú na základe revízie príznakov súvisiacich so SED v binárnych hlavičkách spustiteľného programu. Hlavička spustiteľného programu povoľuje, aby príznaky súvisiace so SED požadovali zaradenie do režimu select.

setidfiles

Povoľuje zapnúť SED nielen pre súbory požadujúce takýto mechanizmus, ale aj pre všetky dôležité systémové súbory setuid a setgid. V tomto režime operačný systém poskytuje SED pre súbory so sadou SED príznakov request a okrem toho aj povolí SED pre spustiteľné súbory s nasledujúcimi charakteristikami (okrem súborov, ktoré sú vo svojich súborových hlavičkách označené pre exempt):

• Súbory SETUID, ktoré sú vo vlastníctve typu root
• Súbory SETGID s primárnou skupinou system alebo security

all

Ochranu SED majú všetky do systému zavedené spustiteľné programy okrem súborov, ktoré požadujú vyňatie z režimu SED. Príznaky súvisiace s vyňatím sú súčasťou hlavičiek spustiteľných programov.

Funkcia SED v systéme AIX poskytuje aj schopnosť monitorovania procesu namiesto jeho zastavenia, keď nastane výnimka. Toto celosystémové riadenie povoľuje administrátorovi systému skontrolovať poruchy a problémy v systémovom prostredí jeho monitorovaním pred umiestnením SED vo výrobných systémoch.

Príkaz sedmgr poskytuje voľbu, ktorá, keď nastane výnimka, umožňuje zapnúť SED na monitorovanie súborov namiesto zastavenia daných procesov. Správca systému môže zhodnotiť, či spustiteľný program vykonáva právoplatné spúšťanie zásobníkov. Toto nastavenie funguje v spojení s celosystémovým režimom, nastaveným pomocou voľby -c. Keď je režim monitor zapnutý, systém povolí procesu pokračovať v prevádzke, aj keď nastane výnimka týkajúca sa SED. Operačný systém namiesto zastavenia procesu zaprotokoluje výnimku do chybového protokolu AIX. Ak je SED monitorovanie vypnuté, operačný systém zastaví každý narušiteľský proces a vygeneruje výnimku na zariadení SED.

Aby sa mohli zmeny pre celosystémové príznaky režimu SED prejaviť, vyžaduje sa reštart systému. Všetky tieto typy udalostí sa auditujú.