在近代的作業系統安全準則中, root 這個帳號已經盡可能被停用 (包含各大公有雲, 新建 VM 的最高權限帳號, 也都已經不用 root 了), 所有需要 root 權限的動作, 都必須先用 sudo 方式提權之後再執行. 因為 sudo 可以被記錄下指令過程 (他還可以限制那些指令能被執行), 所以這樣做, 可以讓稽核能力較低的作業系統, 保留下所有高權值命令的軌跡....
如果都讓你用 root 帳號作業, 然後作業系統又沒有安裝任何稽核工具, 大部分作業系統, 對於 root 帳號所做的事情, 都不會留下軌跡, 別人就無法得知 root 到底做過甚麼事情, 換句話說, 如果有人入侵之後, 用 root 去搞鬼的話, 也不會被發現....
當然, 如果你的主機環境中, 已經有 SIEM 團隊可以收容分析所有 Log, 有 SOAR 團隊在比對全球預警情資, 有 N-IDS 在分析所有流量的封包內容, 這麼嚴密保護的話, 用 root 直接操作的風險就低很多了....如果沒有這麼多預算建資安團隊, 改用 sudo 是成本最低的稽核方法....
iThome鐵人賽
看影片追技術