Как заблокировать пользователей от просмотра других процессов?
Обычно это одна из функций (например) grsecurity - пользователь видит только свои собственные процессы, а не все остальные.
Но - я бы предпочел не устанавливать grsecurity - возможно, что-то подобное можно сделать более простым способом?
Я использую Linux Debian.
2 ответа
Нет необходимости в контейнерах, просто используйте новейшую ОС https://linux-audit.com/linux-system-hardening-adding-hidepid-to-proc/
https://www.linux-dev.org/2012/09/hide-process-information-for-other-users/
hidepid - это новая опция монтирования для procfs (/proc), с помощью которой вы можете скрыть процессы и их информацию для других пользователей, таких как другие пользователи оболочки и для веб-скриптов.
hidepid принимает три разных значения:
hidepid = 0 (по умолчанию): это настройка по умолчанию и дает вам поведение по умолчанию.
hidepid = 1: с этой опцией обычный пользователь не будет видеть другие процессы, кроме своих собственных о ps, top и т. д., но он все еще сможет видеть идентификаторы процессов в / proc
hidepid = 2: пользователи тоже могут видеть только свои собственные процессы (например, с hidepid=1), но и другие идентификаторы процессов скрыты для них в /proc!
Кроме того, вы можете указать идентификатор пользователя / группы, который все еще может искать процессы с помощью опции gid. Поэтому, если вы хотите скрыть все процессы для других пользователей, кроме root (uid=0) и в этом примере gid=1001 (в данном примере это полу-административный пользователь), ваш /etc/fstab должен выглядеть следующим образом:
proc / proc proc по умолчанию,hidepid=2,gid=1001 0 0
В зависимости от того, чего вы пытаетесь достичь, вы можете посмотреть на контейнеры Linux:
Это легкий механизм виртуализации, который позволяет вам создавать изолированные группы ресурсов в вашей системе Linux. Контейнеры Linux (LXC) используют поддержку пространства имен, которая была в ядре Linux в течение последних нескольких лет; эта страница:
Имеет ссылки на статьи, обсуждающие различные аспекты этой работы.
Это может оказаться большим решением, чем вы ищете, но это очень интересная технология.