รูทจะเริ่มกระบวนการที่รูทเท่านั้นที่สามารถฆ่าได้อย่างไร

ง่ายต่อการเริ่มต้นกระบวนการที่พื้นหลังหรือทำให้เป็น ระบบ บริการ.

อย่างไรก็ตาม หากฉันต้องการเริ่มกระบวนการตรวจสอบกิจกรรมบนเครื่อง Linux กระบวนการนั้นจะตกเป็นเป้าหมายของการโจมตีหากผู้ใช้คนใดต้องการทำสิ่งที่ไม่ดี ระบบจะฆ่ากระบวนการนี้ก่อน แม้ว่าจะเป็นเพียงขั้นตอนเดียวก็ตาม ซูโดเอ่อ หรือ ล้อ ผู้ใช้เพียงแค่ดำเนินการ ฆ่า หรือ systemctl หยุด.

มีวิธีการบังคับใช้กระบวนการที่เท่านั้น ราก ฆ่าได้ไหม

พวกแค่คิดอย่างนั้น rsyslog บริการอาจถูกฆ่าได้ คุณควรรับทราบว่า Linux มีความเสี่ยงเพียงใด เหมือนนักบินสามารถปิดกล่องดำได้ สายการบินใดปล่อยให้สิ่งนี้เกิดขึ้น? หรือมีใครให้รายชื่อนักบินเพื่อขัดขวางพวกเขาจากการทำทุกอย่างที่ทำได้เพื่อช่วยเครื่องบิน? แน่นอน นักบินสามารถทำให้เครื่องบินตกได้ แต่กล่องดำจะบันทึกมันไว้

ข้อเสนอของฉันในรายการแบนนั้นถูกต้องตามกฎหมายจากมุมมองด้านความปลอดภัย แม้ว่ามันอาจทำให้คุณประหลาดใจก็ตาม ดังนั้นอย่าพยายามโทษคนที่ตั้งคำถาม ตกลงไหม?

การมีสิทธิ์ sudo/wheel แบบไม่จำกัด ใครก็ตามจะสามารถเลิกทำทุกสิ่งที่คุณทำไปแล้วได้ แม้ว่าคุณจะสามารถบรรลุสิ่งนี้ได้โดยการลบความเป็นไปได้ที่จะฆ่ากระบวนการโดยตรง เช่น กับ sudo ฆ่าซึ่งอาจยังคงหลีกเลี่ยงได้โดยใช้คำสั่ง sudoed อื่น ๆ หรือคุณล็อกตัวเองจากการบริหาร

ถามตัวเองว่าทำไมผู้ใช้ที่ไม่น่าเชื่อถือถึงมีสิทธิ์ sudo ที่ไม่ จำกัด ตั้งแต่แรก? พวกเขาไม่ควร ให้สิทธิพิเศษดังกล่าวแก่ผู้ที่คุณไว้วางใจอย่างเต็มที่เท่านั้น หากมีคำสั่งพิเศษบางคำสั่งที่ยังจำเป็นต้องดำเนินการ ให้เปิดใช้งาน sudo สำหรับคำสั่งเหล่านั้นเท่านั้น:

+netmgr /usr/sbin/ifup, /usr/sbin/ifdown

(ใช้ visudo -f /etc/sudoers.d/netmgr เพื่อใส่ลงในไฟล์เสริม sudoers)

ด้วยวิธีนี้คุณสามารถอนุญาตให้ผู้ใช้เรียกใช้เท่านั้น sudo /usr/sbin/ifup และ sudo /usr/sbin/ifdownแต่ไม่มีคำสั่ง sudo อื่น ๆ มีตัวอย่าง คำแนะนำ และข้อควรพิจารณาด้านความปลอดภัยอื่นๆ มากมาย ผู้ชาย. อ่านมัน!

การตรวจสอบมักจะทำด้วยวิธีอื่น โดยเฉพาะอย่างยิ่งคุณตั้งค่า อื่น เครื่อง กำหนดค่า syslog ให้ยอมรับบันทึกจากสถานีระยะไกล บนเครื่องที่มีปัญหา คุณได้ตั้งค่าการบันทึก ดังนั้นระบบจะส่งบันทึกทั้งหมดไปยังเครื่องบันทึก นอกเหนือจากการจัดเก็บในเครื่อง แม้ว่าจะมีคนปิดใช้งานการส่งบันทึกนี้ การดำเนินการปิดตัวเองจะถูกบันทึก ดังนั้นอย่างน้อยคุณก็จะรู้ว่าใครคือผู้กระทำความผิด

คุณไม่สามารถให้อำนาจใครแล้วห้ามไม่ให้ใช้มันได้ คุณต้องเน้นพลังที่คุณให้พวกเขาอย่างแคบลงเพื่อรวมเฉพาะสิ่งที่คุณต้องการให้มี

ในความคิดเห็น คุณพูดว่า:

ฉันต้องยอมให้ใช้ ฆ่า หรือ systemctl หยุด เพราะ มีบางแอปพลิเคชันที่ต้องการสิทธิพิเศษเหล่านี้ ทำงานของพวกเขา

ไม่ได้หมายถึงสิ่งเหล่านั้น ผู้ใช้ ต้องการเข้าถึงคำสั่งเหล่านั้นเท่านั้น แอพพลิเคชั่น. ผู้ใช้มีสิทธิ์จำกัดในการเรียกใช้ sudo ./someprogram และเมื่อโปรแกรมนั้นทำงานในฐานะรูทก็สามารถใช้งานได้ ฆ่าฯลฯ ตามความจำเป็น ผู้ใช้ไม่มีสิทธิ์เข้าถึงคำสั่งภายในเหล่านั้นโดยตรง

โดยพื้นฐานแล้ว ผู้ใช้ไม่จำเป็นต้องเข้าถึง คำสั่งพวกเขาจำเป็นต้องเข้าถึง ฟังก์ชันการทำงาน. ถ้า ฆ่า มีความเสี่ยงเกินไป ให้บล็อกการเข้าถึงและจัดหาวิธีอื่นที่ปลอดภัยกว่าเพื่อให้ได้ผลลัพธ์เดียวกัน บางทีคุณอาจสร้างยูทิลิตี้เล็กๆ เซฟคิล ที่ทำหน้าที่เหมือน ฆ่า แต่ปฏิเสธคำขอให้ฆ่ากระบวนการบางอย่าง ให้ผู้ใช้ของคุณเข้าถึง sudo เซฟคิล แต่ไม่ใช่ของจริง ฆ่า. หากผู้ใช้มักจะใช้คำสั่งเหล่านี้เพื่อทำสิ่งเดียวกัน ให้สรุปกระบวนการทั้งหมดนั้นในโปรแกรมขนาดเล็ก และให้พวกเขาใช้แทนการดำเนินการด้วยตนเอง (เช่น พวกเขาจะเรียกใช้ sudo restart_webservers แทนที่จะฆ่าและรีสตาร์ทกระบวนการต่างๆ ของเซิร์ฟเวอร์ทีละรายการ) ผู้ใช้ของคุณยังคงสามารถเข้าถึงฟังก์ชันที่ต้องการได้ แต่ไม่สามารถใช้อาวุธอันตรายได้โดยตรง

มีกลไกการบังคับใช้ที่เข้มงวดมากขึ้นอีกแบบหนึ่งที่อาจมีให้ใช้งาน ทั้งนี้ขึ้นอยู่กับการตั้งค่าเฉพาะของคุณ โปรเซสเซอร์บางตัวมี ตัวจับเวลาจ้องจับผิด มีอยู่. ปรับเปลี่ยนโปรแกรมตรวจสอบกิจกรรมของคุณเพื่อเริ่มการเฝ้าระวังและรีเซ็ตทุก ๆ สองสามวินาที หากมีคนจัดการเพื่อฆ่าจอภาพของคุณ ตัวจับเวลาจ้องจับผิดจะหมดอายุและระบบจะรีบูตตัวเอง เปิดโปรแกรมจอภาพใหม่เมื่อเริ่มต้น การดำเนินการนี้จะไม่ป้องกันการปิดใช้งานจอภาพอย่างเคร่งครัด แต่จะห้ามมิให้ผู้อื่นทำสิ่งใดที่มีความหมายหลังจากปิดใช้งาน สิ่งนี้จะสร้างธงสีแดงขนาดใหญ่ที่สวยงามในบันทึกระบบของคุณ ระบบส่วนใหญ่ที่มี watchdogs จะรายงานเมื่อมีการรีบูตเฉพาะโดย watchdog การรีบูตที่ทริกเกอร์จ้องจับผิดซึ่งเกิดขึ้นในขณะที่ผู้ใช้เข้าสู่ระบบเชลล์ควรถูกมองว่าเป็น มาก สงสัย.

ลินุกซ์ noob ที่นี่ คุณช่วยพิจารณาเขียนโปรแกรมหรือสคริปต์ที่ทำเฉพาะสิ่งที่คนเหล่านี้ควรทำ จากนั้นให้พวกเขาเป็นเจ้าของรูทและเพิ่ม setuid bit ให้พวกเขา แน่นอน ปัญหาใหญ่ประการหนึ่งคือคุณอาจไม่ต้องการให้คนอื่นเรียกใช้คำสั่งเหล่านี้ ฉันไม่แน่ใจว่าคุณจะรับข้อมูลผู้ใช้เดิมได้หรือไม่ และแน่นอน การดูแลเป็นพิเศษสำหรับ setuid/setgid นั้นจำเป็นเสมอ

หากคุณให้สิทธิ์ root แก่ผู้ใช้ฟรี ผู้ใช้นั้นสามารถฆ่าเกือบทุกอย่างได้ สำหรับการสนทนาเชิงลึกและวิธีแก้ไขที่เป็นไปได้ โปรดดู: การสนทนา sigkill ของสแต็กยูนิกซ์.

โซลูชัน watchdog ที่กล่าวถึงโดย @bta ก็น่าสนใจเช่นกัน ในความเป็นจริงมีแพ็คเกจซอฟต์แวร์เฝ้าระวังที่สามารถกำหนดค่าให้ตรวจสอบการเปลี่ยนแปลงของไฟล์หรือเรียกใช้สคริปต์ผู้ใช้ อย่างไรก็ตามในเคอร์เนลมาตรฐานส่วนใหญ่ watchdog นี้สามารถหยุดได้โดยผู้ใช้ root หรือคุณสามารถเปลี่ยนการกำหนดค่าได้ แต่ผู้ใช้รายอื่นจะต้องตระหนักถึงสิ่งนี้เพื่อหลีกเลี่ยง ดู: https://linux.die.net/man/8/watchdog

แต่ถ้าคุณไม่ต้องอนุญาตการเข้าถึงรูทแบบเต็ม แต่สามารถจัดการการเข้าถึงด้วยกลไก sudo คุณสามารถตั้งค่าคำสั่งบางคำสั่งพร้อมอาร์กิวเมนต์ที่ชัดเจนเพื่อให้ดำเนินการและไม่อนุญาตสิ่งอื่นใดนอกเหนือจากสิทธิ์ผู้ใช้เริ่มต้น

ตัวอย่างเช่นคุณสามารถใส่ /bin/คิล ใน /etc/sudoers ไฟล์ แต่อนุญาตเฉพาะอาร์กิวเมนต์ที่ระบุเท่านั้น

บ๊อบ ALL=(root) /bin/kill -sigTERM [1-9][0-9][0-9][0-9]

สิ่งนี้จะช่วยให้ผู้ใช้ บ๊อบ เพื่อดำเนินการ /bin/คิลแต่จะฆ่าเฉพาะกระบวนการที่มี PID ระหว่าง 1,000 ถึง 9999 เท่านั้น หากคุณเรียกใช้จอภาพของคุณเร็วพอ มันจะมี PID ต่ำและไม่สามารถฆ่าด้วยวิธีนี้ได้ ผู้ใช้ บ๊อบ ยังสามารถรบกวนคุณโดยการฆ่ากระบวนการผู้ใช้ของคุณเองแน่นอน .... และการห่อ PID นี้อาจไม่มีประโยชน์มากนัก

เป็นไปได้ที่จะลบตัวเลือกบางอย่างออกจากชุดทั้งหมด ตัวอย่างเช่น ฆ่า PID ที่ไม่ใช่ค่าลบทั้งหมด แต่ไม่อนุญาตให้ส่งสัญญาณ PID ​​ที่มี 1337 และไม่อนุญาตให้มีการฆ่า -1

bob ALL=(root) /bin/kill -sigTERM *,!/bin/kill *1337*,!bin/kill *-1*

แต่นั่นอาจเป็นเรื่องที่น่าอึดอัดใจเล็กน้อย และคุณจะต้องแน่ใจว่าโปรแกรมไม่ได้ปิด ints ไว้ Procps kill ไม่ไกลเท่าที่ฉันเห็น แต่ตัวอย่างนี้ยังคงอนุญาตให้ฆ่ากระบวนการด้วย pid 1337 หากเป็นส่วนหนึ่งของกลุ่มกระบวนการที่ไม่ได้เป็นผู้นำ นี่แสดงให้เห็นว่าการทำงานกับฟิล์มเนกาทีฟหรือแบล็กลิสต์นั้นยากเพียงใด

ตัวเลือกที่ดีกว่า อนุญาตให้ฆ่ากระบวนการบางอย่างตามชื่อเท่านั้น

bob ALL=(root) /usr/bin/pkill -sigTERM -f กระบวนการที่ตั้งชื่อ

หรือเริ่มบริการเฉพาะใหม่เท่านั้น

bob ALL=(รูท) /bin/systemctl รีสตาร์ท a-service

ผู้ใช้สามารถดูคำสั่ง sudo ที่มีได้ด้วย sudo -l

เป็นสิ่งสำคัญหากคุณอนุญาตให้บางโปรแกรมระบุเส้นทางแบบเต็ม และผู้ใช้ต้องไม่มีสิทธิ์ยกเลิกการเชื่อมโยงหรือแก้ไขโปรแกรมนั้น หรืออาจถูกแทนที่ด้วยสิ่งอื่น

ฉันได้มาพร้อมกับ A Start!

ราก สามารถตั้งค่า DEFAULT SHELL ให้กับผู้ใช้ได้ดังนี้:

useradd [someuser] -s [ปฏิบัติการบางอย่าง]

ถ้าปฏิบัติการบางอย่าง = สคริปต์เซ็นเซอร์ที่:

1. เซ็นเซอร์คำสั่งบางอย่างไม่ให้ถูกดำเนินการโดยอัตโนมัติ เช่น หยุด & rsyslog รวมกัน

2. แบนคำสั่งเพื่อหลีกเลี่ยงเชลล์นี้และใช้อันอื่นแม้กระทั่งของดั้งเดิม ทุบตี

3. แบนคำสั่งเพื่อป้องกันไม่ให้ผู้ใช้ได้รับบทบาท ราก เช่นเดียวกับสิ่งที่ @ user253751 กล่าวถึงข้างต้น

4. ส่งคำสั่งที่เหลือไปที่ /ถัง/ทุบตี

จากนั้นเพียงตั้งค่า r+x สำหรับผู้ใช้ใดๆ

ข้อเสนอแนะใด ๆ ที่ชื่นชมภายใต้คำตอบนี้ โดยเฉพาะอย่างยิ่งสำหรับ 2 & 3 ดูเหมือนว่าวิธีการต่างๆ

Bash จะโหลดการตั้งค่าเข้ามา /etc/profile และ /etc/bashrc แรก. ฉันได้สังเกตเห็นข้อตกลงหลังกับ PROMPT_COMMAND ตัวแปร. เป็นไปได้ที่จะจี้สิ่งนี้ที่บรรทัดสุดท้ายของมันเพื่อเพิ่มในสคริปต์การเซ็นเซอร์ แต่จำเป็นต้องมีชื่อผู้ใช้ที่ได้รับการยกเว้นสำหรับบางระบบ เนื่องจากโดยค่าเริ่มต้นไม่มีใครมีสิทธิ์รูทในการเปลี่ยนกลับ

การเซ็นเซอร์ที่สมบูรณ์ซึ่งเป็นไปตาม 4+1 ข้างต้นจะถูกทำเครื่องหมายว่าเป็นคำตอบที่ถูกต้อง

ฉันจะไม่ทำเครื่องหมายว่าคำตอบ "คุณจะต้องยอมแพ้" เป็นคำตอบที่ถูกต้อง

คำถามที่เกี่ยวข้องคือ:

ฉันจะบันทึกคำสั่งทุบตีของผู้ใช้ได้อย่างไร

ฉันจะสร้าง bash เพื่อบันทึกคำสั่งเชลล์ไปยัง syslog ได้อย่างไร

เข้าสู่ระบบโดยไม่ต้องเรียกใช้ bash_profile หรือ bashrc