Fedora 40 সিস্টেম সার্ভিস আইসোলেশন সক্রিয় করার পরিকল্পনা করছে

Fedora 40 রিলিজ সিস্টেমড সিস্টেম পরিষেবাগুলির জন্য আইসোলেশন সেটিংস সক্রিয় করার পরামর্শ দেয় যা ডিফল্টরূপে সক্রিয় করা হয়, সেইসাথে PostgreSQL, Apache httpd, Nginx এবং MariaDB-এর মতো মিশন-সমালোচনামূলক অ্যাপ্লিকেশনগুলির সাথে পরিষেবাগুলি। এটি প্রত্যাশিত যে পরিবর্তনটি ডিফল্ট কনফিগারেশনে বিতরণের সুরক্ষা উল্লেখযোগ্যভাবে বৃদ্ধি করবে এবং সিস্টেম পরিষেবাগুলিতে অজানা দুর্বলতাগুলিকে ব্লক করা সম্ভব করবে৷ FESCO (Fedora ইঞ্জিনিয়ারিং স্টিয়ারিং কমিটি) এই প্রস্তাবটি এখনও বিবেচনা করেনি, যেটি Fedora বিতরণের প্রযুক্তিগত অংশের জন্য দায়ী। সম্প্রদায় পর্যালোচনা প্রক্রিয়া চলাকালীন একটি প্রস্তাব প্রত্যাখ্যান করা যেতে পারে।

সক্ষম করার জন্য প্রস্তাবিত সেটিংস:

• PrivateTmp=yes - অস্থায়ী ফাইলের সাথে আলাদা ডিরেক্টরি প্রদান করে।
• ProtectSystem=yes/full/strict — ফাইল সিস্টেমকে শুধুমাত্র-পঠন মোডে মাউন্ট করে (“পূর্ণ” মোডে - /etc/, কঠোর মোডে - /dev/, /proc/ এবং /sys/ ছাড়া সমস্ত ফাইল সিস্টেম)।
• ProtectHome=yes—ব্যবহারকারীর হোম ডিরেক্টরিতে অ্যাক্সেস অস্বীকার করে।
• PrivateDevices=yes - শুধুমাত্র /dev/null, /dev/zero এবং /dev/random-এ অ্যাক্সেস রেখে
• ProtectKernelTunables=yes - /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, ইত্যাদিতে শুধুমাত্র পঠনযোগ্য অ্যাক্সেস।
• ProtectKernelModules=yes - কার্নেল মডিউল লোড করা নিষিদ্ধ।
• ProtectKernelLogs=yes - কার্নেল লগ সহ বাফার অ্যাক্সেস নিষিদ্ধ করে।
• ProtectControlGroups=হ্যাঁ - /sys/fs/cgroup/-এ শুধুমাত্র পঠনযোগ্য অ্যাক্সেস
• NoNewPrivileges=yes - setuid, setgid এবং capabilities ফ্ল্যাগের মাধ্যমে বিশেষাধিকারের উচ্চতা নিষিদ্ধ করা।
• PrivateNetwork=yes - নেটওয়ার্ক স্ট্যাকের একটি পৃথক নামস্থানে বসানো।
• ProtectClock=হ্যাঁ—সময় পরিবর্তন করা নিষেধ।
• ProtectHostname=yes - হোস্টের নাম পরিবর্তন করা নিষিদ্ধ।
• ProtectProc=invisible - /proc-এ অন্য লোকেদের প্রসেস লুকিয়ে রাখা।
• ব্যবহারকারী = - ব্যবহারকারী পরিবর্তন করুন

অতিরিক্তভাবে, আপনি নিম্নলিখিত সেটিংস সক্ষম করার কথা বিবেচনা করতে পারেন:

• ক্যাপাবিলিটি বাউন্ডিং সেট=
• DevicePolicy=বন্ধ
• কীরিংমোড=প্রাইভেট
• লক ব্যক্তিত্ব = হ্যাঁ
• MemoryDenyWriteExecute=হ্যাঁ
• ব্যক্তিগত ব্যবহারকারী = হ্যাঁ
• রিমুভআইপিসি=হ্যাঁ
• RestrictAddressFamilies=
• RestrictNamespaces=হ্যাঁ
• RestrictRealtime=হ্যাঁ
• RestrictSUIDSGID=হ্যাঁ
• সিস্টেমকলফিল্টার=
• সিস্টেমকলআর্কিটেকচার=নেটিভ

উত্স: opennet.ru