作者：Matt Borland
翻译：nixe0n
简介
chroot牢笼(jail)概念综述
Postfix精灵进程分析
一个禁锢(jail)HOWTO:icecast
第一步：把icecast安装在牢笼(jail)环境中
第二步：配置牢笼(jail)环境
第三步：为这个精灵建立一个chroot包装
那些地方不能用牢笼环境
结论
简介
我们经常会听说计算机遭到基于Internet的远程攻击。通常位于攻击最前线的是一些服务器软件，例如：WEB、邮件和DNS，这些服务通常是通过监控进程(daemon，也可以叫作精灵进程)来提供的。这些服务即使是位于防火墙之后，也需要面对各种探测和攻击，以至让攻击者获得系统访问权限。大多数的恶意攻击者都会在系统安装rootkit，以便能够进行通常的系统操作。
一般情况下，这些rootkit和病毒需要使用目标系统的可执行文件、动态连接库以及配置文件。比如：一个安装在linux主机上的rootkit可能需要访问/bin/sh或者能够读写/etc目录下的系统配置文件。而且一旦系统被攻击者侵入，攻击者获得了root权限，就可以运行修改任何自己需要的文件。最近的lion、ramen蠕虫对BIND的攻击就可以证明以上观点。
但是如果你对精灵进程(daemon)进行限制，只允许其访问必要的文件，而不能访问整个文件系统，又将如何呢？这样就可以使我们的安全不再依赖于daemon软件开发人员的安全水平。
幸运的是，UNIX系统能够提供这样一种机制实现上面这种想法。在最近的BIND攻击中，Thaumaturgix, Inc的IT管理员William Cox提出了“在chrooted的环境中运行服务器进程，减小你的暴露程度(The best way to limit your exposure is to run the server in a 'chrooted' environment))。这种chrooted环境通常叫作一个chroot牢笼(jail)，实际上这种概念已经存在了很长时间了，但是一直没有被软件开发人员和系统管理人员充分利用。
chroot牢笼(jail)概念综述
实现一个chroot jail包括两种方式：
以较低的权限运行服务进程。
