저는 일반적으로 “네트워크에서 청취 소켓을 여는 모든 것에 대해 한 명의 사용자”-Apache, Mail, DNS 등의 팬입니다.

이것은 여전히 ​​최상의 현재 관행이며, 그 뒤에 이유는 명백하고 단순한 편집증입니다.이 서비스는 누군가가 취약점을 발견하고 악용하여 패치 할 기회를 갖기 전에 악의적 인 인터넷에 노출됩니다 최소한 하나의 사용자 계정으로 제한하고 있으며 단일 서비스를 실행하는 데 필요한 권한 만 가지고 있습니다.
각 응용 프로그램은 예를 들어 취약점 (의 섬이 비록 사람이 플러그인 취약한 워드 프레스 설치하는 경우 일반적으로 내가 분리의 수준을 고려 말하는 것은, 시스템을 보호하기에 충분합니다 모든 아파치 (즉, 모든 웹 사이트에 액세스 할 수있는 것들)을 효과적으로 취약를 타협의 경우.

따라서 자체 아파치 구성 및 사용자로 공유 호스팅 클라이언트의 웹 사이트를 샌드 박싱하기 위해 해당 인수의 확장 버전을 만들 수 있습니다 (각 사이트마다 전체 웹 스택을 설치할 필요는 없으며 다른 사용자를 지정하는 별도의 아파치 구성 만 필요) ), 각 사이트에서 많은 Apache 프로세스가 실행되고 있으므로 RAM 사용량이 크게 증가했으며 단일 Apache 인스턴스 / 사용자가 손상되면 세계적으로 읽을 수있는 항목이 여전히 취약합니다.

더 많은 보안을 위해 각 아파치를 chroot (또는 BSD 시스템의 경우 감옥)에 넣는 것에 대한 논쟁을 더 확장 할 수 있지만, 이제 각 chroot / jail에 필요한 모든 소프트웨어가 필요하기 때문에 추가 디스크 공간에 대해 이야기하고 있습니다. 포함 된 사이트를 실행하고 (패치가 나올 때 서버에서 하나의 마스터 사본이 아닌 모든 사이트에 대해이 소프트웨어를 업데이트해야 함) 별도의 사용자 / 아파치 인스턴스가있을 때와 같은 RAM 요구 사항을 실행합니다.
이것은 사용자가 chroot에서 벗어날 수있게하는 OS / Kernel 버그를 제외한 모든 것을 완화시킵니다 (이것은 별도의 물리적 서버에서 모든 사이트를 실행하기위한 인수가되고 사이트를 다른 VLAN / 서브넷 등으로 분리하는 인수가됩니다).

모든 위험과 마찬가지로이를 제거 할 수는 없습니다. 잠재적 피해 / 손상 비용, 타협 가능성 및 각 완화 수준의 비용을 기준으로 위험을 허용 가능한 수준으로 완화 할 수 있습니다.
돈을 위해, 중요하지 않은 전자 상거래가 아닌 공유 호스팅 환경의 기본 “아파치 사용자 한 명, DNS 사용자 한 명, 메일 한 명 등” 안전망으로 충분합니다. 해당 수준 이상의 보안이 필요한 경우 사용자는 자신의 하드웨어를 진지하게 고려해야합니다.

답변