İleri erişim denetimi: ACL, öznitelikler, yetenekler ve sudoers
Klasik izinlerin yetmediği yerde ACL, değiştirilemez öznitelik, dosya yetenekleri ve ayrıntılı sudoers kurallarıyla en az yetki ilkesini uygularsın.
Seviye 201 · 16 ders · 15 pratik lab
Dersler
ACL
- ACL maskesi ve varsayılan ACL
- ACL'leri yedeklemek ve geri yüklemek
- ACL'nin beklenmedik sonuçlarını çözmek
- Kısa görev: üç ekibin farklı haklarla paylaştığı proje klasörü
Öznitelikler ve yetenekler
- chattr: değiştirilemez ve yalnızca ekleme
- Dosya yetenekleri: SUID yerine setcap
- Yetenek taşıyan dosyaları ve süreçleri denetlemek
- Kısa görev: bir aracı SUID'den yeteneğe taşı
sudoers
- sudoers sözdizimi: takma adlar ve visudo
- Komut bazında sudo ve joker karakter tuzakları
- sudo günlükleri ve oturum kaydı
- sudoers.d ile düzenli yönetim
- Kısa görev: yardım masası, veritabanı ve web ekipleri için sudo rolleri
Kapanış
- polkit: grafik ve D-Bus işlemlerinde yetki
- Erişim gözden geçirmesi: kim neye yetkili raporu
- Bitirme görevi: devralınan sunucuda en az yetki ilkesini baştan kur
Pratik lablar
- ACL maskesinin engellediği izni bul: ACL ile yazma izni verildiği halde yazamayan kullanıcının sorununu maske değerinden bul ve düzelt.
- Yeni dosyaların ACL'i miras almasını sağla: Proje klasöründe yeni oluşturulan dosyaların da ekip ACL'ini alması için varsayılan ACL tanımla.
- Üç ekibe farklı haklarla ortak klasör kur: Geliştirme okuyup yazsın, test yalnızca okusun, destek yalnızca bir alt klasörü görsün diye ACL'leri kur ve yedeğini al.
- sudo günlüğünden yetkisiz denemeyi bul: sudo günlük kayıtlarından yetkisi olmayan bir komutu çalıştırmaya çalışan kullanıcıyı ve komutu bul.
- Yetenek taşıyan dosyaları denetle: Sistemdeki yetenek taşıyan dosyaları getcap ile listele ve gereksiz geniş yetenek verilmiş olanı bulup düzelt.
- Kopyalamada kaybolan ACL'leri geri yükle: Yanlış kopyalama sonrası kaybolan ACL'leri getfacl yedeğinden setfacl --restore ile geri yükle.
- Silinemeyen dosyanın nedenini bul: root bile silemediği dosyadaki özniteliği lsattr ile bul, kaldır ve dosyayı arşivle.
- Denetim günlüğünü yalnızca eklenebilir yap: Uygulamanın denetim günlüğüne append-only özniteliği ver ve satır silmenin engellendiğini doğrula.
- SUID aracını yeteneğe taşı: Düşük portu dinlemek için SUID verilmiş aracın SUID bitini kaldır ve yalnızca gereken yeteneği setcap ile ver.
- sudoers'daki joker karakter açığını kapat: Günlük okumaya izin veren joker karakterli sudo kuralının nasıl kötüye kullanılabileceğini göster ve kuralı daralt.
- Bozulmuş sudoers dosyasını kurtar: Sözdizimi hatası yüzünden sudo'yu kilitleyen sudoers.d dosyasını bul ve visudo -c ile doğrulayarak onar.
- Üç ekip için sudo rolleri kur: Yardım masası, veritabanı ve web ekipleri için sudoers.d altında takma adlı, ayrı dosyalı ve yalnızca gereken komutlu kurallar yaz.
- Kim ne yapabilir raporu çıkar: sudo kurallarını, grup üyeliklerini ve SUID dosyalarını birleştirerek her kullanıcının yetkilerini tek tabloda raporla.
- polkit kuralıyla yalnızca bir eyleme izin ver: Operatör grubunun parolasız yalnızca belirli bir servisi yeniden başlatabileceği bir polkit kuralı yaz.
- Devralınan sunucuda en az yetkiyi yeniden kur: Fazla sudo, gereksiz SUID ve açık ACL'lerle dolu devralınan sunucuyu en az yetki ilkesine göre toparla ve değişiklik listesini yaz.
Kurs hakkında
Klasik izinlerin yetmediği yerde ACL, değiştirilemez öznitelik, dosya yetenekleri ve ayrıntılı sudoers kurallarıyla en az yetki ilkesini uygularsın.
Ne öğreneceksin
- ACL
- Öznitelikler ve yetenekler
- sudoers
- Kapanış
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.