資安稽核要求service不能以root啟動....

non-root user service privilege port

cmwang 2020-08-06 16:45:00 ‧ 2756 瀏覽

分享至

鵝今天被考倒了,user端承辦說資安稽核要求service不能以root啟動....

鵝想到以下幾點....

1:Unix會限制非root user不能bind 1024以下的port,但啟動完會su成一般user或是以一般user的身份fork出實際提供service的process....
2:不是所有程式都可以改startup的user,再說權限和root一樣大的話,那和直接用root啟動根本是一樣的....
3:提供service的程式如果須要access user的homedir的話,正常來說都是轉換成那個user的身份執行,而這一點本來就是root的特權,不然就是程式要suid了....

不過承辦說不管怎麼弄,只要別讓稽核的人看到root就好,請問一下還有啥比較好的說法,可以擺脫這個無釐頭的問題啊....

看更多先前的討論...收起先前的討論...

froce iT邦大師 1 級 ‧ 2020-08-06 23:11:08 檢舉

1.https://www.geeksforgeeks.org/bind-port-number-less-1024-non-root-access/
sudo setcap CAP_NET_BIND_SERVICE=+eip /path/to/binary

2.包含系統service？很多service是綁死「root」的啊，改root你也得去改程式設定或程式碼甚至重編...
自己架的要做到就比較簡單了。

3.https://serverfault.com/questions/17814/how-can-i-allow-one-user-to-su-to-another-without-allowing-root-access
最後一個回答可以參考。

基本上我會請稽核找作到這點的人來教，或是請他自己來教我怎麼改。
有些稽核是只管建議，做不做的到不關他的事的...