Linux Labs
Linux Labs
RU

Безопасность сервера / Ступень 7 из 10

Служба с минимальными правами

Не запущена Запускается обычно ~20 с
Выйти из урока

Шаг 6 из 6 · итог · 2 мин

Итог

  • Юнит без User= работает от root; отдельная запись в User= отбирает у службы права, которые ей не нужны.
  • ProtectSystem=strict, ProtectHome=yes и NoNewPrivileges=yes закрывают диск, домашние каталоги и повышение прав, не трогая код службы.
  • systemd-analyze security <юнит> ставит оценку ограничений, а --threshold=N годится для проверки в скрипте.
  • Службе с узкой задачей выдают одну возможность (CAP_NET_BIND_SERVICE) вместо всей власти root.
  • lab-preview из начала урока читала /etc/shadow только потому, что работала от root: User=preview закрыл ей этот доступ.

Есть неточность? Сообщить об ошибке в уроке

Справочник по уроку

Статьи

  • useradd — создать пользователя — Команда useradd создаёт учётную запись: домашний каталог, оболочку, группы и UID; пароль задаёт passwd.
  • Особые биты прав: setuid, setgid, sticky — Особые биты прав: setuid и setgid запускают программу с правами владельца, setgid и sticky — для общих каталогов.
  • Capabilities: права root по частям — Права root, разделённые ядром на части: CAP_NET_BIND_SERVICE — порт ниже 1024, CAP_DAC_OVERRIDE — обход прав файлов. Процесс или файл (setcap) получает только нужную часть вместо всего root.
  • Ограничения службы: User=, ProtectSystem, NoNewPrivileges — Ключи юнита, которые отбирают у службы лишние права: User= вместо root, ProtectSystem= (система только для чтения), NoNewPrivileges=, CapabilityBoundingSet=. Насколько служба открыта, оценивает systemd-analyze security.
  • systemd — Init-система и менеджер служб современных Linux: поднимает и контролирует юниты, цели, сокеты, таймеры.
  • systemctl — управление службами systemd — Утилита управления службами systemd — start/stop/restart/status/enable/disable.
Ubuntu 24.04
Загрузка…