लिनक्स कर्नेल स्तर पर विशेषाधिकार प्राप्त उपयोगकर्ता पहुंच को सीमित कैसे करें?

Question

मुझे यह उत्तर learning Linux Kernel Programming पर मिला और मेरा प्रश्न लिनक्स कर्नेल की सुरक्षा सुविधाओं के लिए अधिक विशिष्ट है। मैं जानना चाहता हूं कि रूट की पूर्ण पहुंच के विपरीत विशेषाधिकार प्राप्त उपयोगकर्ताओं या प्रक्रियाओं के अन्य अधिकारों और फ़ाइलों के लिए प्रक्रिया के अधिकारों को कैसे सीमित किया जाए।

अब तक मैंने पाया:

• उपयोगकर्ता और समूह विवेकाधीन एक्सेस कंट्रोल (डीएसी) के लिए, पढ़ने में भेदभाव के साथ, लिखने और उपयोगकर्ता, समूह और अन्य
• उपयोगकर्ता रूट के लिए निष्पादित उच्च विशेषाधिकार प्राप्त कार्यों
• setuid और के लिए setgid उपयोगकर्ताओं के विकास का विस्तार करने के एसी और कॉलिंग प्रक्रिया के समूह/उपयोगकर्ता आईडी सेट करें, उदा। उपयोगकर्ता ping को लिनक्स सॉकेट खोलने के रूट अधिकारों के साथ
• क्षमताओं दंडित अधिकारों के लिए, उदा। ping की SUID बिट को हटाने और cap_net_raw
• नियंत्रण समूह (Cgroups) संसाधनों पर पहुँच को सीमित करने के लिए सेट यानी कि CPU, नेटवर्क, कब उपकरणों
• नाम स्थान आईपीसी, नेटवर्क, फाइल सिस्टम पर अलग प्रक्रिया के दृष्टिकोण के लिए, pid
• सिक्योर कम्प्यूटिंग (Seccomp) प्रणाली को सीमित करने के अनिवार्य अभिगम नियंत्रण, जैसे जैसे अतिरिक्त सुरक्षा सुविधाओं को जोड़ने के लिए कॉल
• लिनक्स सुरक्षा मॉड्यूल (LSM) टाइप प्रवर्तन

सूची के साथ SELinux सूची पूरी हो गई है? प्रश्न लिखते समय मुझे फाइल सिस्टम सिस्टम की निगरानी करने के लिए प्रशंसा मिली। एंटी वायरस स्कैन के लिए। शायद अधिक सुरक्षा सुविधाएं उपलब्ध हैं।

क्या कोई और लिनक्स सुरक्षा सुविधाएं हैं जिनका उपयोग को किसी प्रोग्राम या तरीके से में किसी फ़ाइल या प्रक्रिया के अंदर या विशेषाधिकार प्राप्त पहुंच को सीमित करने के लिए किया जा सकता है? शायद एक पूरी सूची है।

Answer 1

एक प्रक्रिया को सीमित करने के पारंपरिक तरीका है कि यूनिक्स किसी भी तरह से अधिक विशेषाधिकारों की आवश्यकता होती है और फिर भी इसमें शामिल है ताकि वह इसे "chroot" करने के लिए आवश्यकतानुसार अधिक उपयोग न कर सके।

क्रोट एक प्रक्रिया की स्पष्ट जड़ को बदलता है। यदि सही हो जाता है, तो यह केवल उन संसाधनों तक पहुंच सकता है जो नए बनाए गए क्रोट पर्यावरण (उर्फ क्रोट जेल) उदा। यह केवल उन फ़ाइलों तक पहुंच सकता है, बल्कि, केवल उन उपकरणों आदि

ऐसी प्रक्रिया बनाने के लिए जो स्वेच्छा से अपेक्षाकृत आसान है, और असामान्य नहीं है।

ऐसे वातावरण को बनाने के लिए जहां सॉफ़्टवेयर का एक मौजूदा टुकड़ा (उदा। वेबसर्वर, मेलसेवर, ...) घर पर महसूस करता है और अभी भी ठीक से काम करता है वह अनुभव है जिसके लिए अनुभव की आवश्यकता होती है। मुख्य बात यह है कि आवश्यक संसाधनों का न्यूनतम सेट (साझा पुस्तकालय, विन्यास फाइल, उपकरण, निर्भर सेवाओं (जैसे syslog), ...) को ढूंढना है।

Answer 2

आप EFS, निकल रहा, यम जोड़ सकते हैं auditctl, ausearch, उपकरण fanotify के समान aureport: थिरकने, ClamAV जो OpenSSL, सहयोगी nmap, GnuPG