hardened

Непонятно, дальше вся установка как обычно или ещё что-то изменить надо ? Уж очень всё просто на первый взгляд. И кстати, подскажите кто нибудь как /etc/shadow можно защитить

Мне почему-то казалось, что начинать следовало бы как всегда с gentoo.org...
http://www.gentoo.org/proj/en/hardened/primer.xml

Ты уверен в достаточности сего набора?

есть уже готовые харденед-стэйджы, можно ставить с них процесс аналогичен что при установке неHardened, главно правильно приготовить hardened-ядро

если уже устанволенную систему надо захардить то,
выставляем профиль hardened/x86 прописываем в make.conf флаги hardened pic
собираем hardened-gcc пересобираем binutils, glibc и затем пересобираем мир

в ядре в секции Security{PaX,Gresecurity} дабы не вникать в суть всех настроек выставляем профиль Hardened Server и собираем ядро. загружаемся в новое ядро и ставим paxtest. запускаем его и смотрим чтобы везде было Killed (кроме Return to function) и также включена рандомизация

# paxtest blackhat
PaXtest - Copyright(c) 2003,2004 by Peter Busser <peter@adamantix.org>
Released under the GNU Public Licence version 2 or later

Writing output to paxtest.log
It may take a while for the tests to complete
Test results:
PaXtest - Copyright(c) 2003,2004 by Peter Busser <peter@adamantix.org>
Released under the GNU Public Licence version 2 or later

Mode: blackhat
Linux proxy.uzps.mh.ru 2.6.26-hardened-r1 #6 SMP Wed Apr 1 10:39:15 YEKST 2009 i686 Intel(R) Xeon(TM) CPU 2.80GHz GenuineIntel GNU/Linux

Executable anonymous mapping             : Killed
Executable bss                           : Killed
Executable data                          : Killed
Executable heap                          : Killed
Executable stack                         : Killed
Executable anonymous mapping (mprotect)  : Killed
Executable bss (mprotect)                : Killed
Executable data (mprotect)               : Killed
Executable heap (mprotect)               : Killed
Executable stack (mprotect)              : Killed
Executable shared library bss (mprotect) : Killed
Executable shared library data (mprotect): Killed
Writable text segments                   : Killed
Anonymous mapping randomisation test     : 17 bits (guessed)
Heap randomisation test (ET_EXEC)        : 13 bits (guessed)
Heap randomisation test (ET_DYN)         : 23 bits (guessed)
Main executable randomisation (ET_EXEC)  : No randomisation
Main executable randomisation (ET_DYN)   : 15 bits (guessed)
Shared library randomisation test        : 17 bits (guessed)
Stack randomisation test (SEGMEXEC)      : 23 bits (guessed)
Stack randomisation test (PAGEEXEC)      : 23 bits (guessed)
Return to function (strcpy)              : Vulnerable
Return to function (memcpy)              : Vulnerable
Return to function (strcpy, RANDEXEC)    : Vulnerable
Return to function (memcpy, RANDEXEC)    : Vulnerable
Executable shared library bss            : Killed
Executable shared library data           : Killed

получаем работоспособный PaX эффективный инструмент в борьбе с эксплойтами (помнится тестил vmsplice:)

далее если есть желание ставим gradm для реализации Grsecurity, и проводим обучение системы (~ 2-3 дня). в процессе обучения необходимо запускать на серваке его штатные задачи. это необходимо для того чтобы запущенные демоны делали только то что разрешено. шаг право шаг влево, расстрел.., прыжок на месте тоже расстрел)))

если надо запускать иксы, то на gentoo.org была дока где-то.

и вобще там полно доков по Hardened если не грохнули:-) или не спрятали как в случае с русскими доками)))

поставил 7 серверов на продакшен, все на hardened'е, и дальше буду ставить))))
единственно у меня в xen, hardened-гости работали криво, но это уже проблемы xen))))