Syd — Linuх uchun zamonaviy xavfsizlik vositasi

Asosiy tamoyil: kam huquq berish

Xavfsizlik sohasida eng samarali usullardan biri — bu principle of least privilege. Oddiy qilib aytganda: applikatsiyaga faqat kerakli huquqlarni ber, ortiqchasini emas.

Amaliyotda bu qiyin bo'lishi mumkin. Eski usullar murakkab sozlamalar yoki kod o'zgartirishni talab qilardi. Syd ana shu muammoni hal qiladi.

Syd nima?

Syd — bu Linuх uchun yaratilgan maxsus xavfsizlik vositasi. U system call darajasida ishlaydi. Ya'ni, applikatsiyaning yadro bilan barcha muloqotini kuzatadi va nazorat qiladi.

Tasavvur qiling: Syd — bu applikatsiyangiz va operatsion tizim o'rtasidagi qo'riqchi. Qaysi buyruqlar o'tishiga, qaysilari bloklanishiga, qaysilari logga yozilishiga o'zi qaror qiladi.

Sydning imkoniyatlari

Syd o'ziniñg filtrlash usullarini alohida guruhlarga ajratadi. Har bir guruh ma'lum bir turdagi tizim harakatlarini boshqaradi.

Fayl yo'li nazorati

walk, stat, readlink — bu kategoriyalar fayl tizimi bilan ishlashni nazorat qiladi. walk kategoriyasi juda qiziq: u yashirin papkalarga kirishga urinishlarni (masalan, .. ketma-ketligi bilan yo'l o'zgartirish) to'ldi.

Bu yondashuv OpenBSDning unveil(2) tizimidagi chaqiruvidan ilhom olgan.

Fayl operatsiyalari

Syd fayllarga kirishni mayda-mayda qismlarga bo'ladi:

• read — fayllarni o'qish va xususiyatlarini ko'rish
• write — o'zgartirish
• create, delete, rename — fayl yaratish, o'chirish, nomlash

Masalan, fayl yaratishga ruxsat berib, o'chirishni taqiqlashingiz mumkin. Aniq nazorat, shunda.

Dastur ishga tushirish

exec kategoriyasi — eng muhimi. U dastur ishga tushirish va kutubxonalarni yuklashni nazorat qiladi.

Syd faqat asosiy dasturni emas, balki bog'liq kutubxonalarning yo'llarini ham tekshiradi. Xotiraga yuklangan fayllarni ham kuzatadi.

Yangi versiyalarda yana bir qiziq funksiya bor: agar dastur takroriy xatolikka uchrasa, avtomatik ravishda bajarishni rad etadi. Bu buzilish belgisi — tizimga hujum bo'lishi mumkin.

Qurilma kirish

ioctl kategoriyasi — bu apparat bilan ishlaydigan dasturchilar uchun muhim. GPU, virtual terminal (PTY), DRM, KVM interfeyslariga nazoratli kirish beradi.

So'nggi versiyalarda raqamli kodlar o'rniga qurilma nomi bilan cheklash qo'shilgan. Aniqroq va tushunarli.

Nega muhim?

Bugungi kunda ko'pchilik container texnologiyasidan foydalanadi. Sandboxing — bu paranoiya emas, balki amaliy zarurat.

Birorta applikatsiya buzilsa, bu butun server yoki boshqa containerlarni buzmasligi kerak. Syd ana shu izolyatsiyani ta'minlaydi.

Sydning yana bir yaxshi tomoni — qatlamli himoya. Bitta nazorat usuliga tayanmaydi. Yo'l yashirish, stat tekshirish, kutubxona nazorati — barchasi birgalikda ishlaydi. Agar hujumchi bir usulni chetlab o'tsa, boshqalari hali ham himoyalab turadi.

Boshlash

Syd bilan ishlash policy file yozishdan boshlanadi. Bu fayl qaysi kategoriyani yoqish va qanday kirishga ruxsat berishni belgilaydi.

Maslahat:

1. Avval keng ruxsat bering
2. Loglarni kuzating — nimalar rad etilganini ko'ring
3. Kerakli operatsiyalarni tekshiring
4. Ruxsatni ketma-ket qisqartiring

Xavfsizlik — bu bir martalik ish emas. Applikatsiya rivojlanishi bilan uning xavfsizligi ham o'zgarishi kerak.

Siz loyihalaringizda sandboxing ishlatganmisiz? Qanday usullar samarali bo'ldi? Izohlarda baham ko'ring.