Во многих файловых системах linux есть один механизм - атрибут
immutable. Если установить его на файл или директорию, они становятся неизменяемыми: нельзя удалить, переименовать, записать, изменить права. Только root может установить и снять этот флаг.▪️ Пример 1
Допустим, у вас есть директория
/data/upload, куда разные сервисы записывают загружаемые файлы. Иногда часть приложений падает, начинает зацикливаться или выстреливает в ногу и создает сотни временных файлов, заполняя весь диск. Чтобы защититься от такого поведения, можно сделать директорию незаписываемой до тех пор, пока ее вручную не разблокируют администраторы.Блокируем запись:
chattr +i /data/upload
Теперь попытка записи провалится:
echo test > /data/upload/test.txt
bash: /data/upload/test.txt: Operation not permitted
Разблокируем:
chattr -i /data/upload
echo test > /data/upload/test.txt # теперь работает
Проверить наличие бита:
lsattr -a /data/upload
----i---------e------- /data/upload/.
▪️ Защита критичных конфигов. Например, чтобы никто (и никакие процессы) не трогал
sshd_config:
chattr +i /etc/ssh/sshd_config
▪️ Защита системных файлов
Можно защитить
/etc/fstab, /boot/grub/grub.cfg или любые конфиги, которые менять должен только админ.▪️ Блокировка смены паролей. Установка immutable на
/etc/shadow полностью остановит любые попытки смены пароля:
chattr +i /etc/shadow
passwd root # не сработает
▪️ Нюансы
обновления системы могут ломаться, если immutable стоит на системных файлах;
для root это единственный простой пример, когда он не может удалить файл - хорошая загадка на собесах
#linux #filesystem
🧑💻 NetworkAdmin