फेडोरा ४० मा प्रणाली सेवाहरूको अलगाव समावेश गरिनेछ

फेडोरा ४० ले पूर्वनिर्धारित systemd सेवाहरूका साथै PostgreSQL, Apache httpd, Nginx, र MariaDB जस्ता महत्वपूर्ण अनुप्रयोगहरू चलाउने सेवाहरूको लागि आइसोलेसन सेटिङहरू सक्षम पार्ने प्रस्ताव गर्दछ। यो परिवर्तनले यसको पूर्वनिर्धारित कन्फिगरेसनमा वितरणको सुरक्षामा उल्लेखनीय सुधार गर्ने र प्रणाली सेवाहरूमा अज्ञात कमजोरीहरूलाई रोक्न सक्षम पार्ने अपेक्षा गरिएको छ। फेडोरा वितरणको लागि प्राविधिक विकास समिति, FESCo (फेडोरा इन्जिनियरिङ स्टीयरिङ कमिटी) द्वारा प्रस्तावको समीक्षा गरिएको छैन। समुदाय समीक्षा प्रक्रियाको क्रममा प्रस्ताव पनि अस्वीकार हुन सक्छ।

सक्षम पार्न सिफारिस गरिएका सेटिङहरू:

• PrivateTmp=yes — अस्थायी फाइलहरू सहितको छुट्टै निर्देशिकाहरू प्रदान गर्दै।
• ProtectSystem=yes/full/strict — पढ्ने-मात्र मोडमा फाइल प्रणालीहरू माउन्ट गर्नुहोस् ("पूर्ण" मोडमा — /etc/, कडा मोडमा — /dev/, /proc/ र /sys/ बाहेक सबै फाइल प्रणालीहरू)।
• ProtectHome=yes — प्रयोगकर्ताहरूको गृह निर्देशिकाहरूमा पहुँच निषेध गर्दछ।
• PrivateDevices=yes — /dev/null, /dev/zero, र /dev/random मा मात्र पहुँच छोड्दै
• ProtectKernelTunables=yes — /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, आदिमा पढ्न-मात्र पहुँच।
• ProtectKernelModules=yes — कर्नेल मोड्युलहरूको लोडिङ असक्षम पार्नुहोस्।
• ProtectKernelLogs=yes — कर्नेल लग बफरमा पहुँच असक्षम पार्छ।
• ProtectControlGroups=yes — /sys/fs/cgroup/ मा पढ्ने-मात्र पहुँच
• NoNewPrivileges=yes — setuid, setgid, र capabilities फ्ल्यागहरू मार्फत विशेषाधिकार वृद्धिलाई असक्षम पार्छ।
• PrivateNetwork=yes — छुट्टै नेटवर्क स्ट्याक नेमस्पेसमा राख्दै।
• ProtectClock=yes — समय परिवर्तन गर्न निषेध गर्दछ।
• ProtectHostname=yes — होस्ट नाम परिवर्तन गर्न निषेध गर्दछ।
• ProtectProc=अदृश्य — /proc मा अन्य प्रक्रियाहरू लुकाउँछ।
• प्रयोगकर्ता = — प्रयोगकर्ता परिवर्तन गर्नुहोस्

थप रूपमा, निम्न सेटिङहरू विचार गर्न सकिन्छ:

• क्षमता बाउन्डिङसेट=
• उपकरण नीति = बन्द
• किरिङमोड=निजी
• लक व्यक्तित्व = हो
• मेमोरीडेनीराइटएक्जिक्युट=हो
• निजी प्रयोगकर्ताहरू = हो
• IPC हटाउनुहोस् = हो
• परिवारहरूको ठेगाना प्रतिबन्धित गर्नुहोस् =
• RestrictNamespaces=हो
• प्रतिबन्धित वास्तविक समय = हो
• प्रतिबन्धितSUIDSGID=हो
• सिस्टमकलफिल्टर=
• सिस्टमकलआर्किटेक्चर=नेटिभ

स्रोत: opennet.ru