원하는 것을 완전히 수행하려면 다음 세 가지가 필요합니다.

1. 관심있는 명령이없는 사용자 정의 쉘 . 이것은 어려운 일이지만, 실제로 사용자가 일부 쉘 프리미티브에 액세스하지 못하게하려는 경우이를 제거하는 유일한 방법입니다.
2. 파일 권한을 올바르게 설정하십시오 . 사용자가 시스템을 손상시키지 않게 하시겠습니까? 올바른 도구가 있어도 시스템이 손상되지 않도록 권한을 설정하십시오. 이 세 단계 중 가장 쉬운 단계입니다.
3. AppArmor와 같은 필수 액세스 제어 기술을 사용하십시오 . AppArmor 및 SELinux와 같은 MAC은 커널에 권한을 포함합니다. 이를 통해 사용자는 어딘가에있는 도구를 찾더라도 올바른 도구를 실행할 수 없습니다 (파일 권한과 같이 제한된 상자 외부에서 도구를 사용하지 못하도록 방지).

벨트, 멜빵 및 스테이플 건을 잘 측정하십시오. 거기에 잘못 가기가 어렵습니다.

AppArmor는 특정 실행 파일의 MAC이 모든 하위 항목에서 상속되므로 흥미 롭습니다. 사용자의 로그인을로 /bin/bash-bob설정하고 해당 특정 바이너리 권한에 대한 AppArmor 프로파일을 설정하십시오.이 권한을 벗어나는 유일한 방법은 커널 악용을 통한 것입니다. 게으른 설치 스크립트가 /var/opt/vendor/tmp어리석은 이유로 전역 쓰기 가능으로 남겨둔 경우 , /bin/bash-bob쉘로 사용하는 사용자 는 거기에서 쓸 수 없습니다 . 홈 디렉토리에 쓰기 만 허용하도록 bash-bob 프로필을 설정하면 /tmp이러한 권한 실수를 활용할 수 없습니다. 그들은 어떻게 든 루트 암호를 발견하더라도, 대한 AppArmor의 프로파일은 /bin/bash-bob여전히 후에도 적용됩니다 su이후까지 su와 bash과정이 급부상이의 자녀입니다 /bin/bash-bob.

어려운 부분은 그 AppArmor 프로파일을 구축하는 것입니다.

1. / bin / bash-bob에 대한 AppArmor 프로파일을 작성하고 감사 모드로 설정하십시오.
2. Bob의 login-shell을 / bin / bash-bob으로 설정
3. Bob으로 로그인하십시오. Bob이 할 수있는 모든 것을하십시오.
4. 감사 로그를 사용하여 AppArmor 프로파일을 빌드하십시오 (SUSE에는이를위한 도구가 있지만 다른 Linux 배포판에 대해서는 확실하지 않음). 이것은 매우 지루하지만이 수준의 보안이 필요한 경우 발생해야합니다.
   1. 당신은 다음과 같은 일을 할 것입니다 :
      • 대부분의 시스템 라이브러리에 대한 읽기 액세스 승인
      • 선택된 몇 개의 허용 된 시스템 명령에 대한 읽기 및 실행 권한 승인
      • 임시 공간에 대한 쓰기 액세스 승인
      • 필요한 경우 소켓 생성 승인
5. 시행 할 정책을 설정하십시오.
6. Bob으로 로그인하여 작업을 수행하십시오.
7. 조정하십시오.

제 생각에는 2 단계와 3 단계 만 필요합니다. 두 단계 모두 신중하게 구성된 상자 외부에서 해로운 것을 수행 할 수 없기 때문에 두 단계 모두 필요합니다.

답변