Ein Linux System ist von hause aus schon relativ sicher. Jedoch gibt es noch weitere Möglichkeiten ein System weiter abzusichern. Eine davon ist es zum Beispiel das Verzeichniss /usr (unix system ressource) auf eine eigene Partition zu verlagern und diese anschließend nur noch read only zu mounten.
Für Die Partitionierung habe wähle ich für /usr meist 20 GB. Nach der Installation bzw. Repartitionierung kann diese dann über eine Anpassung der /etc/fstab als read only gemountet werden. Der Vorteil dafür liegt klar auf der Hand. Es können keine weiteren Installation von Programme vorgenommen werden da es nicht möglich ist Änderungen in das /usr Verzeichniss zu schreiben.
#<file system> <mount point> <type> <options> <dump> <pass>
UUID=... /usr ext4 defaults,ro 0 2
Das die Partition nun read only gemountet ist bedeutet jedoch nicht automatisch, dass man das System jedes mal Neustarten muss eine Installation durchzuführen, sondern man kann die Partition im laufenden Betrieb einfach “ummounten”
mount -o remount,rw /usr
Ein Problem einer read-only /usr Partition ist allerdings, dass vor der Installation von neuen Paketen/Update von Paketen die Partition immer als writeable remounted werden muss. Dies kann man allerdings umgehen, indem vor der Installation die Partition als als writable mountet und nach Abschluss wieder read-only. Dazu muss in der Datei /etc/apt/apt.conf folgendes ergänzt werden.
DPkg
{
Pre-Invoke { "mount /usr -o remount,rw" };
Post-Invoke { "mount /usr -o remount,ro" };
};
Es gibt übrigens auch Möglichkeiten und Wege die Root Partition read only zu mounten:
