Ders 4.50: systemd ile hizmet başına ağ politikası
Bir makine güvenlik duvarı tüm makinenin nereye ulaşabileceğine karar verir. systemd daha ince gidebilir: IPAddressAllow= ve IPAddressDeny= tek bir hizmetin cgroup'una bir süzgeç ekler; böylece bir rapor oluşturucu, eklentileri ne denerse denesin, veritabanıyla konuşabilir ve başka hiçbir şeyle konuşamaz. Laboratuvarda Northwind'in raporlama işçisi dün bir satıcı eklentisi güncellemesi aldı ve güncelleme her gece bilinmeyen bir adrese ev arıyor. İki programın bağlantılarını izliyor, systemd-run ile bir izin listesini sınıyor, gerçek işin hâlâ başarılı olduğunu doğruluyor, politikayı kalıcı yapıyor ve yazıya döküyorsun.
18 dk
Bu derste öğreneceklerin
- IPAddressAllow/IPAddressDeny'yi ve bir makine güvenlik duvarından farkını açıklamak
- Bir hizmetin dışa bağlantılarını strace ile bulmak
- Bir izin listesini systemd-run ile sınamak
- Soket ailelerini RestrictAddressFamilies ile kısıtlamak
- Ağ politikasını birimin parçası yapmak
Temel terimler
- IPAddressDeny= / IPAddressAllow=
- Bir birimin cgroup'una adres süzgeci ekleyen systemd ayarları; izin yasağa üstün gelir.
- RestrictAddressFamilies=
- Bir hizmetin hangi soket ailelerini oluşturabileceği.
- İşaretleşme
- Uzak bir sunucuya düzenli ev arama trafiği.
- Tedarik zinciri değişikliği
- Bir saldırganın girişi yerine güvenilen bir satıcının güncellemesiyle gelen kod.
- Çıkış denetimi
- Sistemlerin dışarıya nereye bağlanabileceğini sınırlamak.
← sudo oturum kaydı ve güvenli sudo kuralları · Tüm dersler · Docker için kullanıcı ad alanı eşlemesi →