Re: Prüfsummenüberwachung für

From: Peter Ross <Peter.Ross(at)alumni.tu-berlin.de>
Date: Sun, 6 Sep 2015 15:41:31 +1000 (AEST)

Hallo allerseits,

On Sat, 5 Sep 2015, Oliver Fromme wrote:

> Last but not least muss man natürlich auch ein verlässliches
> und sicheres Backup haben. Denn es genügt ja nicht, wenn man
> Änderungen feststellen kann. Man muss dann auch in der Lage
> sein, die Originaldateien wiederherzustellen.

Ich habe ueber die letzten Jahre alles in Jails verpackt, taeglich
Snapshots kreiert und rotiert, die ich auf einen Spiegel kopiert habe (zfs
snapshot. zfs send; ssh <partner> zfs receive)

Dadurch konnte ich die Jails

1. auf einem anderen Rechner wiederherstellen,
2. veraenderte Daten "von gestern" holen (taeglich bis zu einer Wocge
zurueck, woechenentlich fuer acht Wochen.. wenns aelter war, musste es vom
Backup geholt werden)

2. wurde gern von Windows-Nutzern angenommen, denen ich "schnell mal" aus
Versehen geloeschte Dateien aus alten Snapshots als Share 'geben' konnte.
(zfs clone, zfs set mountpoint=<backup-share>)

Die phyischen Server waren praktisch nur Huelle fuer die Jails (es lief:
rsyslog, nrpe fuer Icinga/Nagios, ssh, ntpd und dann halt die Jails).

Die Konfigurationsdateien waren alle in SVN, und ein Skript konnte
automatsch die Jails "von Grund auf" neu erstellen.

Oft habe ich statt Updates enfach eine Kopie der Jails erstellt und dann
hochgefahren. Da sie "Einzweck-Jails" waren, war das einfach moeglich.

Ich mag das Prinzip: Wenn ich es nicht reproduzieren kann, hat es kein
Recht zu existieren;-)

> Ein einfaches Programm für solche Prüfsummen findet man bereits
> im Basis-System von FreeBSD: mtree.

Automatisch schickt FreeBSD eine Liste aller Veranderungen des
Basissystems taeglich.

> > Alternativ könnten die betreffenden Dateisysteme r/o montiert werden,
> > das funktioniert mit erhöhtem ja auch und ist sicherer, da der Schaden
> > theoretisch garnicht erst auftreten kann. Da weiß'ich aber nicht, ob
> > spontanes rebooten oder ein wildgewordener Zeiger im Programm nicht doch
> > Schaden anrichten kann.
>
> Es hilft zumindest gegen den ersten der obigen drei Punkte.
> Obgleich es natürlich theoretisch denkbar ist, dass ein
> wildgewordenes Skript ein Dateisystem r/w-remountet. Aber
> das halte ich schon für eher unwahrscheinlich.

Wenn es in Jails laeuft, sind Remounts nicht moeglich (es sei denn, man
erlaubt sie via sysctls)

> Übrigens ist es empfehlenswert, das Basis-System auf eine SSD
> (oder ein RAID-1 aus zwei verschiedenen SSDs) zu legen. Gerade
> ein HIDS-Check profitiert massiv davon. Auf meiner Workstation
> daheim habe ich das Basis-System auf eine SSD gelegt (/, /usr,
> /var, /usr/local), und den ganzen Rest auf eine normale, große
> Festplatte (im wesentlichen /home). Das beschleunigt auch den
> Boot-Vorgang und Updates erheblich. Ein HIDS-Check des Basis-
> Systems ist in wenigen Sekunden durch.

Wie weit man meine Vorgehensweise auf einen Desktop anwenden kann, ware
sicherlich eines Versuches wert. Desktops sind so schoen "unaufgeraeumt"
;-)

Es gruesst
Peter

To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Sun 06 Sep 2015 - 07:41:44 CEST

search this site