4. týždeň

Týždeň 4 – Pokročilá správa používateľov, oprávnení a hardening

Prednáška

Ciele

    Po tejto prednáške budeš vedieť:
  1. nakonfigurovať jemnozrnné oprávnenia pomocou sudo a ACL nad rámec základných práv
  2. vysvetliť princíp najmenších oprávnení a aplikovať ho pri návrhu používateľských účtov a skupín
  3. vykonať základný hardening novo nainštalovaného systému

Obsah

Základné vlastníctvo a práva súborov (chmod, chown, skupiny) sa predpokladajú. Tento týždeň ideme ďalej – k jemnozrnnejšiemu a bezpečnostne uvedomelejšiemu riadeniu prístupu.

Sudo a princíp najmenších oprávnení

Namiesto zdieľania hesla root alebo prihlasovania priamo ako root sa v praxi používa sudo – používateľ dostane v súbore /etc/sudoers (upravovanom cez visudo) explicitné, čo najužšie oprávnenie vykonať iba konkrétne príkazy ako root (napr. iba reštart jednej služby), nie neobmedzený prístup. Toto je priama aplikácia princípu najmenších oprávnení (least privilege): každý účet/proces má mať iba také oprávnenia, aké nevyhnutne potrebuje na svoju úlohu, nič navyše.

ACL (Access Control Lists)

Klasické unixové práva (vlastník/skupina/ostatní) neumožnia priradiť odlišné práva viacerým konkrétnym používateľom na ten istý súbor naraz. Na to slúžia ACL (getfacl, setfacl) – umožňujú napríklad povoliť zápis konkrétnemu ďalšiemu používateľovi bez toho, aby musel byť členom vlastniacej skupiny.

Základný hardening systému

Po inštalácii nasleduje v praxi hardening – zúženie útočnej plochy systému: vypnutie/odinštalovanie nepoužívaných služieb, zákaz priameho SSH prihlásenia ako root (PermitRootLogin no), prihlasovanie cez SSH kľúče namiesto hesla, automatické bezpečnostné aktualizácie, a základné pravidlá firewallu (ufw/firewalld) povoľujúce iba nevyhnutné porty. Toto je praktická aplikácia princípu „secure by default“ – systém by mal byť po inštalácii nastavený čo najbezpečnejšie, nie čo najotvorenejšie.

Praktické príklady a demonštrácie

  • Ukážka konfigurácie sudoers pravidla, ktoré povolí konkrétnemu používateľovi reštartovať iba jednu konkrétnu službu, bez plných root práv.
  • Porovnanie výstupu ls -l a getfacl na súbore, ktorý má nastavené ACL – prečo ls -l samo osebe nestačí na úplný obraz o právach.

Čo si zapamätaj

  • Princíp najmenších oprávnení a ako ho realizuje sudo.
  • Rozdiel medzi klasickými unixovými právami a ACL.
  • Základné kroky hardeningu: SSH kľúče namiesto hesla, zákaz root loginu, firewall na nevyhnutné porty.

Zdroje

  • man sudoers, man setfacl/getfacl.