Mövzunu Açan
#1
Tüm sistem yöneticileri için dosya izinlerini doğru şekilde denetlemek, güvenlik ve operasyonel istikrar için kritik bir beceridir. Özellikle tar ile geçmiş yedekleri doğrularken veya güvenlik politikalarını denetlerken, izinlerin hangi kullanıcılar ve gruplar tarafından nasıl erişildiğini anlamak gerekir. Bu yazıda, temel kavramları netleştirecek ve güvenilir denetim için uygulanabilir adımlar önereceğiz.
İzin kavramları ve temsil şekli
Denetim için temel adımlar
Tar arşivinin izinlerini incelemek: tar tf archive.tar komutuyla dosya listesini çekin ve izin sütunlarını kontrol edin. Eğer arşiv içinde izinsiz evrensel erişim varsa, sonraki işlemlerde bu durum risk oluşturabilir.
İçerik ile dışa aktarılan izin farklarını karşılaştırın: tar xvf archive.tar ile çıkarmadan önce izin durumunu güvenli bir şekilde karşılaştırın. -C hedef dizininde çıkarmak gerektiğinde hedef dizinin mevcut izinleriyle uyumlu olduğundan emin olun.
Yedekleme güvenliği: yedekleri güvenli bir yerde saklarken yalnızca gerekli izinlere sahip kullanıcıların arşive erişmesi için hedef kullanıcı/grup eşleşmesini doğrulayın. Özellikle kök kullanıcı haklarıyla tar çalıştırılırken -z veya -j ile sıkıştırılmış arşivlerin güvenlik etkileri düşünülmelidir.
Yetki yayınını izlemek: tar işlemi sırasında hangi kullanıcıların hangi dosyalara eriştiğini izlemek için auditd ya da benzeri izleme araçları kullanın. Bu, özellikle otomatik yedekleme görevlerinde denetlenebilirlik sağlar.
Kurtarma senaryoları: bir arşivden dosyaları geri yüklerken, izinlerin yeniden oluşturulması gerektiğini hesaplayın. Özellikle kök dizinler veya gizli konumlar söz konusuysa, çıkarma sonrasında chmod/chown ile uygun sınırları yeniden uygulayın.
Güvenli kullanım önerileri
Örnek senaryo
Bir tonlama sistemi için haftalık yedek tar arşiviniz var. archive-20241101.tar.gz dosyasını güvenli bir dizine kopyaladıktan sonra, izinleri kontrol etmek için şu adımları izlersiniz:
Bu konudaki deneyimlerinizi ve karşılaştığınız tipik izin sorunlarını paylaşabilir misiniz? Tar ile dosya izinlerini denetlemede kullandığınız özel araçlar veya iş akışlarınız nelerdir?
İzin kavramları ve temsil şekli
- Unix dosya izinleri kullanıcı (owner), grup ve diğerleri için okunabilir (r), yazılabilir (w) ve çalıştırılabilir (x) haklarını belirtir. Tar arşivleri ise metainformasyonla birlikte tüm bu izinleri taşıyabilir.
- Bir tar dosyasının içindeki dosyaların izinleri, arşiv oluşturulurken nasıl tutulduğuna bağlıdır. -p veya --preserve-permissions bayrakları izin bilgisini korur; -p olmadan tar, bazı sistemlerde varsayılan izinleri uygulayabilir.
- Aklınızda bulundurmanız gereken iki kavram: umask (yeni oluşturulan dosyaların varsayılan izinleri) ve chmod ile chown komutlarının etkisi.
Denetim için temel adımlar
Güvenli kullanım önerileri
- Her zaman -p veya --preserve-permissions ile izinleri korumayı düşünün ve hedef sistemin varsayılan güvenlik politikalarıyla uyumlu olduğundan emin olun.
- Çıkarmayı güvenli bir kullanıcı altına sınırlandırın; tar işlemi root dışı hesaplarla yapılmalıysa ihtiyacınıza göre seçin.
- Büyük tar arşivlerinde madde madde çıkarmak için --checkpoint veya –checkpoint-action kullanarak süreçteki izin sorunlarını tespit edin.
- İçerik güvenliği için tar arşivlerini imza ile doğrulayın; mekanizma olarak açık anahtar doğrulaması ve güvenilir bir kaynak kullanın.
Örnek senaryo
Bir tonlama sistemi için haftalık yedek tar arşiviniz var. archive-20241101.tar.gz dosyasını güvenli bir dizine kopyaladıktan sonra, izinleri kontrol etmek için şu adımları izlersiniz:
- tar tzf archive-20241101.tar.gz | less ile içeriğin izinlerini inceleyin.
- Dosya listesindeki izinler 0644 ve 0755 gibi beklenen aralıkta mı diye kontrol edin.
- Geri yükleme sırasında hedef dizinde gerekli kullanıcı/grup sahipliğini oluşturun ve dosyaları çıkarırken -p ile izinlerin korunmasını sağlayın.
Bu konudaki deneyimlerinizi ve karşılaştığınız tipik izin sorunlarını paylaşabilir misiniz? Tar ile dosya izinlerini denetlemede kullandığınız özel araçlar veya iş akışlarınız nelerdir?
