Buena hora del día.
Históricamente, sucedió que para mis pequeños proyectos mantengo una máquina virtual. Sin embargo, dado que no uso sus recursos al 100%, decidí no ser codicioso y dejar que algunos amigos pasaran el rato. No hay muchos sitios, no acepto dinero para alojamiento, así que consideré demasiado instalar algo como cpanel. Además, soy de los que prefieren configurarlo todo manualmente. Elegí la siguiente estructura:
/home/usuariohost/vhosts/nombredelsitio.ru/(tmp,web,logs)
Y luego surgió la pregunta: ¿cómo evitar que el usuario elimine / cambie el nombre de las carpetas en sitename.ru? Si falta la carpeta web, tanto apache como nginx emitirán una advertencia, pero seguirán arrancando. Pero si elimina/mueve la carpeta registros, entonces tanto apache como nginx no se iniciarán debido a un error (comportamiento bastante extraño para mí). Carpeta usuariohost propiedad en su totalidad usuario dado y su grupo personal usuariohost:usuariohost), lo que significa que si lo desea, podrá eliminar cualquier carpeta/archivo interno, incluso si pertenece al superusuario. Entonces, ¿cómo puede deshabilitar la eliminación/reubicación para que el usuario (accidentalmente oa propósito) no rompa todo el alojamiento?
Después de una breve búsqueda en Google, se encontró la solución. Además de los permisos estándar y ACL, en sistemas de archivos como ext2, ext3, ext4, se pueden establecer atributos adicionales para un archivo. Lea más sobre todos los atributos en Wiki, o man chattr. Nos interesa el atributo inmutable. Este atributo para un archivo o carpeta solo lo puede establecer el superusuario. Si asigna un atributo inmutable al archivo, entonces archivo dado no será posible cambiar o eliminar (e incluso el superusuario no podrá hacerlo hasta que elimine este atributo). Si asigna un atributo inmutable a la carpeta, entonces esta carpeta no será posible eliminarlo, y tampoco será posible cambiar la estructura dentro de él. Así, resulta que si necesitamos proteger la carpeta nombredelsitio.ru y la estructura en su interior, necesitamos ejecutar un comando simple:
Chattr +i /home/usuariohost/vhosts/nombredelsitio.ru
Para eliminar un atributo, debe usar la bandera -i.
Si solo necesita proteger una carpeta (por ejemplo, registros), puede hacer lo siguiente:
Toque /home/hostuser/vhosts/sitename.ru/logs/.keep chattr +i /home/hostuser/vhosts/sitename.ru/logs/.keep
En realidad, así es como puedes poner "protección contra un tonto" (incluso con derechos de superusuario).
Gracias por su atención.
¡Prestar atención!
Es importante entender que este artículo no sobre seguridad de la información. Castillo en buzón- Este Seguridad de información
. El cristal del botón de alarma contra incendios está infalible.
Si crea un archivo .keep y le asigna un atributo -i, la carpeta en sí se puede mover y el archivo se puede mover. No puede eliminar el archivo en sí y la estructura de carpetas antes de este archivo.
Si necesita un mayor nivel de seguridad, utilice el atributo inmutable Juntos con montar --enlazar. Con este paquete, puede configurar la protección contra cambios intencionales en la estructura.
La prohibición de supresión le permite almacenar datos indefinidamente debido a obligaciones legales o de otro tipo.
Si el usuario borra datos sujetos a tal prohibición, desaparecerán de sus carpetas, pero se guardará en la Bóveda. Mientras la prohibición esté vigente, estos datos se pueden encontrar y exportar.
Después de crear una prohibición de eliminación de archivos, estos serán visibles para el usuario, incluso si la regla de retención requiere su eliminación.
El alcance de la prohibición depende de cómo se configure
Los archivos en unidades compartidas no se guardan en los siguientes casos.
Puede cambiar las opciones de restricción individuales, pero no el tipo de datos.
Buena hora del día.
Históricamente, sucedió que para mis pequeños proyectos mantengo una máquina virtual. Sin embargo, dado que no uso sus recursos al 100%, decidí no ser codicioso y dejar que algunos amigos pasaran el rato. No hay muchos sitios, no acepto dinero para alojamiento, así que consideré demasiado instalar algo como cpanel. Además, soy de los que prefieren configurarlo todo manualmente. Elegí la siguiente estructura:
/home/usuariohost/vhosts/nombredelsitio.ru/(tmp,web,logs)
Y luego surgió la pregunta: ¿cómo evitar que el usuario elimine / cambie el nombre de las carpetas en sitename.ru? Si falta la carpeta web, tanto apache como nginx emitirán una advertencia, pero seguirán arrancando. Pero si elimina/mueve la carpeta registros, entonces tanto apache como nginx no se iniciarán debido a un error (comportamiento bastante extraño para mí). Carpeta usuariohost propiedad total de este usuario y su grupo personal ( usuariohost:usuariohost), lo que significa que si lo desea, podrá eliminar cualquier carpeta/archivo interno, incluso si pertenece al superusuario. Entonces, ¿cómo puede deshabilitar la eliminación/reubicación para que el usuario (accidentalmente oa propósito) no rompa todo el alojamiento?
Después de una breve búsqueda en Google, se encontró la solución. Además de los permisos estándar y ACL, en sistemas de archivos como ext2, ext3, ext4, se pueden establecer atributos adicionales para un archivo. Lea más sobre todos los atributos en Wiki, o man chattr. Nos interesa el atributo inmutable. Este atributo para un archivo o carpeta solo lo puede establecer el superusuario. Si asigna un atributo inmutable a un archivo, entonces este archivo no se puede cambiar ni eliminar (e incluso el superusuario no puede hacer esto hasta que se elimine este atributo). Si asigna un atributo inmutable en una carpeta, entonces esta carpeta no se puede eliminar, y tampoco será posible cambiar la estructura dentro de ella. Así, resulta que si necesitamos proteger la carpeta nombredelsitio.ru y la estructura en su interior, necesitamos ejecutar un comando simple:
Chattr +i /home/usuariohost/vhosts/nombredelsitio.ru
Para eliminar un atributo, debe usar la bandera -i.
Si solo necesita proteger una carpeta (por ejemplo, registros), puede hacer lo siguiente:
Toque /home/hostuser/vhosts/sitename.ru/logs/.keep chattr +i /home/hostuser/vhosts/sitename.ru/logs/.keep
En realidad, así es como puedes poner "protección contra un tonto" (incluso con derechos de superusuario).
Gracias por su atención.
¡Prestar atención!
Es importante entender que este artículo no sobre seguridad de la información. La cerradura del buzón es Seguridad de información. El cristal del botón de alarma contra incendios está infalible.
Si crea un archivo .keep y le asigna un atributo -i, la carpeta en sí se puede mover y el archivo se puede mover. No puede eliminar el archivo en sí y la estructura de carpetas antes de este archivo.
Si necesita un mayor nivel de seguridad, utilice el atributo inmutable Juntos con montar --enlazar. Con este paquete, puede configurar la protección contra cambios intencionales en la estructura.
La necesidad de prohibir la eliminación de aplicaciones de iPhone y iPad puede surgir en una variedad de situaciones. La mayoría de las veces, los padres piensan en ello, cuyo dispositivos móviles utilizado por niños que de vez en cuando se esfuerzan por eliminar accidentalmente una de las aplicaciones importantes. Afortunadamente, establecer una prohibición de este tipo es solo cuestión de unos pocos clics.
Paso 1. Ve al menú " Ajustes» → « Principal» → « Restricciones».
Paso 2. Haga clic en " Permitir restricciones” e ingrese la contraseña que estableció anteriormente. Si no ha utilizado esta función antes, introduzca una nueva contraseña. En caso de que haya olvidado su contraseña de restricciones, contáctenos para restablecerla.
Paso 3. En la sección " permitir» mover el interruptor « Desinstalar programas» a la posición inactiva.
Paso 4. Volver al menú " Ajustes"haciendo clic en la flecha" Principal» para guardar la configuración.
¡Listo! Ahora es imposible borrar de tu iPhone o iPad aplicaciones instaladas. Al cambiar al modo de eliminación de aplicaciones, no aparecerán cruces cerca de los iconos.
Cuando necesite desinstalar una de las aplicaciones, vaya al menú " Ajustes» → « Principal» → « Restricciones"y enciende el interruptor" Desinstalar programas" o haga clic en " Desactivar restricciones».
Componente de seguridad en Sistema operativo es asegurarse de que los archivos o directorios no se eliminen. Estas medidas implican ocultar, prohibir editar, ver o agregar permisos para procesar objetos de archivo.
Creó un gran número productos de software, diseñado para organizar la protección de archivos, carpetas, pero con mayor frecuencia resuelven el problema de eliminar archivos de manera compleja, ocultándolos o denegando el acceso.
Todos los directorios, archivos, procesos en Windows son creados por un usuario específico. Los creadores de Windows han intentado desarrollar un sistema de protección tal que cada usuario tenga un caso de derechos muy concreto. Este caso contiene opciones de naturaleza prohibitiva o permisiva para manipular procesos, objetos de archivo.
Es posible implementar una prohibición a nivel cuenta. Creando, por ejemplo, un directorio o un archivo en la cuenta de administrador con la apertura simultánea de acceso a nivel de cuentas de invitados, dejándoles derechos de escritura, lectura, movimiento. Sin embargo, con mayor frecuencia debe realizar una prohibición a nivel de la cuenta actual (propia).
Tenemos que recurrir al sistema de seguridad de Windows. Este método supone que el sistema de archivos del disco de ubicación del objeto es inicialmente NTFS. Es ella quien proporciona un mecanismo para distribuir prohibir y permitir opciones para todos los usuarios. Los sistemas FAT no pueden ofrecer tales distinciones.
Además, las restricciones impuestas no se refieren al objeto en sí, sino a su ubicación. Si se cambia su ubicación, se reanudará el acceso. También debe entenderse que las opciones de prohibición tienen una prioridad más alta que las de permiso, por lo que si se seleccionan las mismas configuraciones de permiso y prohibición, los derechos de prohibición se ejecutan primero.
Sin embargo, dicha restricción será más amplia, ya que tendrá que restringir el acceso completo.
En primer lugar, vamos a abrir Menú de contexto el archivo seleccionado y busque el elemento de propiedades en él.
En la ventana que se abre, vaya a la pestaña "Seguridad".
En el campo de grupos y usuarios, seleccione el usuario deseado.
Haga clic en el botón "Cambiar" y, en la ventana que aparece, en la lista de permisos de grupo, marque las casillas para prohibir configuraciones.
Ahora vamos a guardar los cambios realizados.
Sigamos con la operación
Ahora, vemos que hemos marcado las opciones prohibitivas
Por lo tanto, estableceremos restricciones en el acceso completo, que también incluyen la prohibición de eliminar el objeto.
Se intentó abrir un archivo de imagen desde una ubicación prohibida. Ahora intentemos eliminarlo.
Estamos de acuerdo con la advertencia.
Sin embargo, aparece la siguiente ventana. Haga clic en "Continuar".
El sistema sigue sin permitir que se elimine el objeto.
El mismo mecanismo de restricción se puede aplicar a una gran cantidad de objetos ubicados en un solo directorio. En este caso, la prohibición puede imponerse a todos los usuarios del sistema. Este tipo de restricción (para todos) se puede hacer para un solo archivo. En este caso, necesitamos agregar un nuevo grupo de usuarios ("Todos"). Luego, deberá marcar las casillas de verificación de las opciones prohibitivas.
Volver a la pestaña de seguridad
Haga clic en el botón "Avanzado" para abrir la ventana de configuración avanzada.
Luego seleccione "Cambiar permisos":
En esta ventana, seleccione "Agregar".
En la ventana de selección de grupos y usuarios, escribiremos una nueva categoría "Todos" y comprobaremos los nombres.
Después de este procedimiento, el sistema mostrará la ubicación para la cual en este momento se imponen restricciones. A continuación, solo tiene que hacer clic en "Aceptar" y aceptar las advertencias emergentes.
Acordamos continuar con la operación.
Como puedes ver, tenemos un nuevo grupo con derechos especiales.
Aquí, estos derechos especiales también son visibles.
Intentemos eliminar algo de este directorio.
Estamos de acuerdo con pasar a la canasta.
Sin embargo, vemos una ventana familiar que requiere elevación de derechos.
El sistema piensa un poco...
Sin embargo, luego informa que no hay forma de eliminar el archivo de esta ubicación.
Resumen
Se han creado muchas herramientas de software para restringir el acceso de los usuarios a los objetos del sistema de archivos. Sin embargo, Windows tiene sus propias herramientas integradas. Archivo sistema NTFS le permite establecer configuraciones restrictivas para la ubicación de un usuario específico o para todas las ubicaciones a la vez. Sin embargo, tales restricciones pueden prohibir el acceso completo o solo la eliminación de uno o más directorios y archivos.
