ProtectControlGroups设置 - Linux审计

概述

ProtectControlGroups属性是一个用于沙箱化的systemd单元设置，自systemd 232版本起可用。

目的：限制对/sys/fs/cgroup下控制组目录结构的写入访问

systemd单元设置ProtectControlGroups减少了对cgroup或Linux控制组的写入访问。关于cgroups的信息通常可在/sys/fs/cgroup下获得。此设置可能限制进程向此目录结构写入任何内容。

在systemd 257之前，仅接受布尔值（是/否，真/假）。在systemd 257中，添加了private和strict选项。

对于大多数服务，可以开启ProtectControlGroups。只有容器管理器需要对控制组结构进行写入访问。

1
2


[Service]
ProtectControlGroups=yes

systemd单元设置ProtectControlGroups期望布尔值（是/否或真/假）或字符串值。

取值	预期操作	可用版本
no	不限制写入访问 - 默认值
yes	限制访问并将控制组目录结构标记为只读
private	将分配新的cgroup命名空间并挂载相关的cgroupsfs	257
strict	将分配新的cgroup命名空间并将其cgroupfs挂载为只读	257

显示ssh服务ProtectControlGroups当前值的示例：

1

systemctl show --property=ProtectControlGroups ssh.service

使用’systemctl’命令和’edit’子命令及服务名称：

1

systemctl edit UNIT.service

提高系统服务和进程的安全性。使用Lynis执行系统审计，包括systemd单元和服务的配置测试。

Lynis：Lynis是一个经过实战检验的基于Unix系统的技术安全审计工具。它是开源的，免费可用，被全世界的系统管理员使用。其他用户包括安全专业人员、渗透测试人员和IT审计员。

工具信息