Следим за новостями Linux, DevOps и ИБ, чтобы быть готовым к любым факапам.
Бонусом — плотные шпаргалки и чеклисты для ежедневной работы в терминале.
📩 По всем вопросам: @chorapov
Зеркало в MAX: https://max.ru/LinuxSkill
РКН https://vk.cc/cMUwm4
Post #792
3.9K
🛡️ Защита системы: как разрешить запуск бинарника только службе systemd
Привет! Сегодня поговорим о том, как надёжно ограничить запуск подозрительных или потенциально небезопасных программ в Linux.
Если ты хочешь, чтобы приложение запускалось только через
🔹 SELinux
Создай отдельный SELinux-домен для бинарника. Только
Не забудь правильно промаркировать файл через
🔹 Изменение прав доступа
Можно убрать права на исполнение:
А запускать его через:
❗ Но с потерей некоторых
🔹 Контейнеризация через Podman
Запускай приложение в контейнере, ограничивая его окружение:
Или с генерацией сервис-файлов через
Так ты минимизируешь риски и защищаешь систему от случайного или несанкционированного запуска.
🌐 Источник: unix.stackexchange.com
________________
Дополнительный материал:
🧠 - GRUB: Командный мостик космического корабля вашего ПК
🧠 - Утренний будильник для вашего ПК: Включение по расписанию с UEFI
🧠 - GRUB Menu Reveal: Как пригласить скрытое меню на ужин
#stackoverflow #Linux #Systemd #SELinux #Безопасность #Fedora #Администрирование #Bash #DevOps
Unix & Linux Stack Exchange Prevent application from being executed by any local user except systemd I need to run the binary that I don't fully trust.
I've created a systemd unit for it where it's locked down as much as humanly possible, it works great.
Now it's still on my system (Fedora) and I ... Привет! Сегодня поговорим о том, как надёжно ограничить запуск подозрительных или потенциально небезопасных программ в Linux.
Если ты хочешь, чтобы приложение запускалось только через
systemd, без возможности запуска вручную — вот несколько решений:🔹 SELinux
Создай отдельный SELinux-домен для бинарника. Только
init_t сможет инициировать его запуск:allow init_t myapp_t:process { transition };
type_transition init_t myapp_exec_t:process myapp_t;
Не забудь правильно промаркировать файл через
chcon!🔹 Изменение прав доступа
Можно убрать права на исполнение:
chmod 644 /path/to/binary
А запускать его через:
/lib64/ld-linux-x86-64.so.2 /path/to/binary
❗ Но с потерей некоторых
capabilities — учитывай это.🔹 Контейнеризация через Podman
Запускай приложение в контейнере, ограничивая его окружение:
podman run --rm -p 80:80 your_container_image
Или с генерацией сервис-файлов через
podman generate systemd.Так ты минимизируешь риски и защищаешь систему от случайного или несанкционированного запуска.
🌐 Источник: unix.stackexchange.com
________________
Дополнительный материал:
🧠 - GRUB: Командный мостик космического корабля вашего ПК
🧠 - Утренний будильник для вашего ПК: Включение по расписанию с UEFI
🧠 - GRUB Menu Reveal: Как пригласить скрытое меню на ужин
#stackoverflow #Linux #Systemd #SELinux #Безопасность #Fedora #Администрирование #Bash #DevOps
- 👍 9
- 👎 1














