Linux-sandboxing for nettverk: Slik isolerer du trafikken med Childflow
Nettverksbegrensning på kommandonivå
De fleste utviklere har vært der: du skal kjøre et script eller et program, men du vet ikke helt hva det kommer til å gjøre mot nettverket. Kanskje det er en avhengighet med uklar historikk. Kanskje det er et tredjepartsverktøy du vurderer. Eller kanskje det er din egen kode under testing, og du vil unngå at den plutselig kobler seg til eksterne servere.
I stedet for å velge mellom full nettverkstilgang og total isolasjon, kan du nå begrense nettverkstrafikk på selve kommandonivået.
Hva er nettverksbegrensning på kommandonivå?
Verktøy for nettverkssandboxing lar deg kjøre kommandoer i avgrensede miljøer der du styrer hva programmet og dets barneprosesser kan gjøre mot nettverket. Det er ikke snakk om å kjøre i en container eller virtuell maskin, men om å legge begrensninger direkte på prosessnivå.
Tenk på det som en nettverksfiltrering som gjelder akkurat den kommandoen du kjører. Alt annet i miljøet forblir uendret.
Hvorfor kommandonivå er praktisk
Minimalt ekstraarbeid: Du slipper å starte containere eller virtuelle maskiner. Begrensningene legges på uten å kreve store endringer i systemet.
Enkel testing: Du kan raskt teste et script eller en ny pakke uten å måtte sette opp komplekse miljøer.
Godt sporbarhet: Hver gang du kjører en kommando gjennom en slik løsning, er det tydelig hva som ble kjørt og når. Dette gjør det lettere å følge opp i sikkerhetsgjennomganger.
Sikker testing av ukjent kode: Du kan kjøre tredjepartsskript eller nyinstallerte pakkeverktøy uten at de får lov til to
Testing av ukjente pakker: Når du tester en ny npm- eller pip-pakke, kan du sikre at den ikke ringer hjem til ukjente servere.
CI/CD-sikkerhet: Du kan tvinge byggeskridtene til å kun kontakte godkjente tjenester.
Flere brukere: Når du kjører kode fra ulike team eller klienter, kan du forhindre at de påvirker hverandre gjennom nettverket.
Utviklingsarbeid: Utviklere kan eksperimentere med scripts og al
Slik passer det inn i en moderne stack
Nettverkssandboxing på kommandonivå kan kombinere med de fleste moderne utviklingspraksiser:
- Docker og Kubernetes: Du can