सिस्टम सर्व्हिस आयसोलेशन सक्षम करण्यासाठी Fedora 40 योजना

Fedora 40 रिलीझ सिस्टम्ड सिस्टम सर्व्हिसेससाठी आयसोलेशन सेटिंग्ज सक्षम करण्याचे सुचवते जे डीफॉल्टनुसार सक्षम केले जाते, तसेच पोस्टग्रेएसक्यूएल, Apache httpd, Nginx, आणि MariaDB सारख्या मिशन-क्रिटिकल ऍप्लिकेशन्ससह सेवा. हे अपेक्षित आहे की बदलामुळे डिफॉल्ट कॉन्फिगरेशनमधील वितरणाच्या सुरक्षिततेत लक्षणीय वाढ होईल आणि सिस्टम सेवांमधील अज्ञात भेद्यता अवरोधित करणे शक्य होईल. Fedora वितरणाच्या विकासाच्या तांत्रिक भागासाठी जबाबदार असलेल्या FESCO (Fedora अभियांत्रिकी सुकाणू समिती) या प्रस्तावावर अद्याप विचार केला गेला नाही. समुदाय पुनरावलोकन प्रक्रियेदरम्यान प्रस्ताव नाकारला जाऊ शकतो.

सक्षम करण्यासाठी शिफारस केलेली सेटिंग्ज:

• PrivateTmp=yes - तात्पुरत्या फाइल्ससह स्वतंत्र डिरेक्ट्री प्रदान करणे.
• ProtectSystem=yes/full/strict — फाइल सिस्टमला फक्त-वाचनीय मोडमध्ये माउंट करा (“पूर्ण” मोडमध्ये - /etc/, कठोर मोडमध्ये - /dev/, /proc/ आणि /sys/ वगळता सर्व फाइल सिस्टम).
• ProtectHome=yes—वापरकर्ता होम डिरेक्टरीमध्ये प्रवेश नाकारतो.
• खाजगी उपकरणे=होय - फक्त /dev/null, /dev/zero आणि /dev/random वर प्रवेश सोडणे
• ProtectKernelTunables=yes - /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, इ. वर फक्त-वाचनीय प्रवेश.
• ProtectKernelModules=yes - कर्नल मॉड्युल्स लोड करण्यास प्रतिबंध करा.
• ProtectKernelLogs=yes - कर्नल लॉगसह बफरमध्ये प्रवेश प्रतिबंधित करते.
• ProtectControlGroups=होय - /sys/fs/cgroup/ वर फक्त-वाचनीय प्रवेश
• NoNewPrivileges=yes - setuid, setgid आणि capabilities फ्लॅगद्वारे विशेषाधिकारांची उंची प्रतिबंधित करते.
• PrivateNetwork=yes - नेटवर्क स्टॅकच्या वेगळ्या नेमस्पेसमध्ये प्लेसमेंट.
• ProtectClock=होय—वेळ बदलण्यास मनाई करा.
• ProtectHostname=yes - होस्टचे नाव बदलण्यास मनाई करते.
• ProtectProc=invisible - इतर लोकांच्या प्रक्रिया /proc मध्ये लपवत आहे.
• वापरकर्ता = - वापरकर्ता बदला

याव्यतिरिक्त, तुम्ही खालील सेटिंग्ज सक्षम करण्याचा विचार करू शकता:

• क्षमताबाउंडिंगसेट=
• DevicePolicy=बंद
• KeyringMode=खाजगी
• लॉक पर्सनॅलिटी = होय
• MemoryDenyWriteExecute=होय
• खाजगी वापरकर्ते = होय
• काढा IPC=होय
• RestrictAddressFamilies=
• RestrictNamespaces=होय
• RestrictRealtime=होय
• RestrictSUIDSGID=होय
• SystemCallFilter=
• SystemCallArchitectures=नेटिव्ह

स्त्रोत: opennet.ru