Systrace


Systrace

Infobox Software
name = Systrace



caption =
collapsible =
author = Niels Provos
developer =
released =
latest release version = 1.6e
latest release date = release date|2007|12|18
latest preview version =
latest preview date =
frequently updated =
programming language =
operating system = Unix-like
platform =
size =
language =
status =
genre = Computer security
license = BSD-like
website = http://www.systrace.org/
s.

Systrace is particularly useful when running untrusted or binary-only applications and provides facilities for privilege elevation on a system call basis, helping to eliminate the need for potentially dangerous setuid programs. It also includes interactive and automatic policy generation features, to assist in the creation of a base policy for an application.

As of 2004, systrace is integrated into OpenBSD. It is also available for Linux and Mac OS X, although the OS X port is currently unmaintained. It was removed from NetBSD at the end of 2007 due to several unfixed implementation issues.

Features

Systrace supports the following features:
* Confines untrusted binary applications: An application is allowed to make only those system calls specified as permitted in the policy. If the application attempts to execute a system call that is not explicitly permitted an alarm gets raised.
* Interactive policy generation with graphical user interface: Policies can be generate interactively via a graphical frontend to Systrace. The frontend shows system calls and their parameters not currently covered by policy and allows the user to refine the policy until it works as expected.
* Supports different emulations: GNU/Linux, BSDI, etc..
* Non-interactive policy enforcement: Once a policy has been trained, automatic policy enforcement can be used to deny all system calls not covered by the current policy. All violations are logged to Syslog. This mode is useful when protecting system services like a web server.
* Remote monitoring and intrusion detection: Systrace supports multiple frontends by using a frontend that makes use of the network, very advanced features are possible.
* Privilege elevation: Using Systrace's privilege elevation mode, it's possible to get rid of setuid binaries. A special policy statement allows selected system calls to run with higher privileges, for example, creating a raw socket.


=Vulnerability history= Systrace is still under development, and has had some vulnerabilities in the past, including:
* [http://www.watson.org/~robert/2007woot/ Exploiting Concurrency Vulnerabilities in System Call Wrappers] Paper by Robert Watson (computer scientist) from the First USENIX Workshop On Offensive Technologies (WOOT07) analyzing system call wrapper races across several wrapper platforms including systrace
* [http://www.systrace.org/index.php?/archives/13-Local-Privilege-Escalation.html Google Security discovers local privilege escalation in Systrace]
* [http://www.systrace.org/index.php?/archives/4-Local-Root-Exploit-on-NetBSD.html Local root exploit on NetBSD]
* [http://undeadly.org/cgi?action=article&sid=20070809201304 Vulnerabilities in systrace]

ee also

*AppArmor
*SELinux
*Mandatory access control

External links

* [http://www.citi.umich.edu/u/provos/systrace/ Systrace Download Page]
* [http://www.systrace.org/ Systrace webpage]


Wikimedia Foundation. 2010.

Look at other dictionaries:

  • Desktop Firewall — Eine (auch: ein) Personal Firewall oder Desktop Firewall (von englisch firewall Brandschutzwand, „Brandmauer“) ist eine Software, die den ein und ausgehenden Datenverkehr eines PCs auf dem Rechner selbst filtert. Sie wird zum Schutz des Computers …   Deutsch Wikipedia

  • Personal-Firewall — Eine (auch: ein) Personal Firewall oder Desktop Firewall (von englisch firewall Brandschutzwand, „Brandmauer“) ist eine Software, die den ein und ausgehenden Datenverkehr eines PCs auf dem Rechner selbst filtert. Sie wird zum Schutz des Computers …   Deutsch Wikipedia

  • Software Firewall — Eine (auch: ein) Personal Firewall oder Desktop Firewall (von englisch firewall Brandschutzwand, „Brandmauer“) ist eine Software, die den ein und ausgehenden Datenverkehr eines PCs auf dem Rechner selbst filtert. Sie wird zum Schutz des Computers …   Deutsch Wikipedia

  • ZoneLabs — Eine (auch: ein) Personal Firewall oder Desktop Firewall (von englisch firewall Brandschutzwand, „Brandmauer“) ist eine Software, die den ein und ausgehenden Datenverkehr eines PCs auf dem Rechner selbst filtert. Sie wird zum Schutz des Computers …   Deutsch Wikipedia

  • Personal Firewall — Eine (auch: ein) Personal Firewall oder Desktop Firewall (von englisch firewall Brandschutzwand, „Brandmauer“) ist eine Software, die den ein und ausgehenden Datenverkehr eines PCs auf dem Rechner selbst filtert. Sie wird zum Schutz des Computers …   Deutsch Wikipedia

  • Comparison of operating systems — Usage share of web client operating systems. (Source: Median values from Usage share of operating systems for August 2011.)   Windows XP (35.21%) …   Wikipedia

  • OpenBSD security features — The OpenBSD operating system is noted for its security focus and for the development of a number of security features. Contents 1 API and build changes 2 Memory protection 3 Cryptography and randomization …   Wikipedia

  • Sysjail — is a user land virtualiser for systems supporting the systrace library as of version 1.0 limited to OpenBSD, NetBSD and MirOS. Its original design was inspired by FreeBSD jail, a similar utility (although part of the kernel) for FreeBSD.sysjail… …   Wikipedia

  • Vergleich von BSD-Betriebssystemen — Dieser Artikel oder Abschnitt bedarf einer Überarbeitung. Näheres ist auf der Diskussionsseite angegeben. Hilf mit, ihn zu verbessern, und entferne anschließend diese Markierung. Es gibt eine große Anzahl UNIX ähnlicher Betriebssysteme, die auf… …   Deutsch Wikipedia

  • Vergleich der BSD-Betriebssysteme — Dies ist eine Liste, in der BSD Betriebssysteme aufgrund ihrer Herkunft und Fokus des jeweiligen Projektes, der Lizenz, den technischen Eigenschaften und Sicherheitsfunktionen miteinander verglichen werden. Inhaltsverzeichnis 1 Allgemeine… …   Deutsch Wikipedia


Share the article and excerpts

Direct link
Do a right-click on the link above
and select “Copy Link”

We are using cookies for the best presentation of our site. Continuing to use this site, you agree with this.