RevoEPKO 2017-04

top를 제외한 모든 명령의 권한을 100으로 바꾸시면 되지않을까요?
너무 단순한가요? 쩝..

https://docs.google.com/spreadsheets/d/1_yJYAW3so_vQFeOgqo9d972qtW0gCvj68xNoUVlr_HA/edit?usp=sharing

이렇게 이력을 관리하긴 했습니다. 아마 SetUID까지 빠지면 더 완벽하지않을까.. 생각해봅니다.

회원K 2017-04

기본적인 모니터링 명령만 먹고 다른 디렉토리 이동부터 하나도 못하게 하려고 합니다.

pika 2017-04

http://stackoverflow.com/questions/21498667/how-to-limit-user-commands-in-linux

이런식으로 bashrc에다가 몽땅 노가다를 해버리는 방법도 있나봐요

화란 2017-04

허억, 모든 명령어에 alias를 강제로 먹이는 방법인가요 ?

pika 2017-04

위에 권한 변경이랑 더해서... sudoers 파일에서

User ALL= NOPASSWD: /usr/sbin/top, /usr/sbin/htop, ...

이런식으로 원하는 바이너리를 추가를 해주면 패스워드 없이 루트권한으로 실행해야 하는 파일들을 sudo 권한 이용해서 실행을 할 수 있지 않을까 싶습니다

회원K 2017-04

-..-... 좀 간결한 경우는 없을까요???

파닥파닥 2017-04

ssh chroot 설정은 어떨까요

회원K 2017-04

CentOS에서 chroot 설정은 좀 난이도가... -..-...

파닥파닥 2017-04

결국 기존 posix 권한 설정으로 RBAC 을 구현하느냐, 아니면 있는 구현체 (SELinux) 을 쓰느냐, 또는 제한된 Shell 을 만들어 쓰느냐의 선택 같은데요.
어느 방향도 쉽지는 않을 듯 합니다.

회원K 2017-04

-..-... 그런가요?
모니터링 사용자를 login 불가로 해주고, 원격으로 데이터를 가져와야 할까요?

파닥파닥 2017-04

근데, 모니터링 유저를 root 만 안주고, 권한없는 유저로만 헀을 때, 이슈가 있을까요?
정말 민감한 서비스라면 말씀하신데로, 원격지에서 데이터를 긁어서 보는게 답이지 않을까 합니다.

이미 서버에 원격으로 shell 을 연 순간, 그 유저가 할 수 있는 일은 무궁무진 하니까요.
(ex: /tmp 에 파일 업로드 후 뭔가 한다던가...)

회원K 2017-04

서버를 뒤적일 수 있더라구요...

프리용 2017-04

저도 궁금해서 찾아보니 rbash 를 이용한 방법도 있다고 합니다. 참고하시기 바랍니다.

https://access.redhat.com/solutions/65822