Bra tid på dagen.
Historiskt har det hänt att jag för mina små projekt har en virtuell maskin. Men eftersom jag inte använder dess resurser till 100 %, bestämde jag mig för att inte vara girig och låta några vänner umgås. Det finns inte många sajter, jag tar inte pengar för att vara värd, så jag ansåg att det var för mycket att installera något som cpanel. Dessutom är jag en av dem som föredrar att ställa in allt manuellt. Jag valde följande struktur:
/home/hostuser/vhosts/sitename.ru/(tmp,web,logs)
Och då uppstod frågan: hur förhindrar man användaren från att ta bort / byta namn på mappar i sitename.ru? Om mappen saknas webb, då kommer både apache och nginx att utfärda en varning, men kommer fortfarande att starta. Men om radera/flytta mappen loggar, då startar inte både apache och nginx på grund av ett fel (ganska konstigt beteende för mig). Mapp värdanvändare helt ägda given användare och hans personliga grupp hostuser:hostuser), vilket innebär att om så önskas kommer han att kunna radera vilken intern mapp/fil som helst, även om den tillhör superanvändaren. Så hur kan du inaktivera borttagning/omlokalisering så att användaren (av misstag eller avsiktligt) inte bryter hela värdskapet?
Efter en kort googling fann man lösningen. Förutom standardbehörigheter och acl, i filsystem som ext2, ext3, ext4, kan ytterligare attribut ställas in för en fil. Läs mer om alla attribut på Wiki, eller man chattr. Vi är intresserade av attributet oföränderlig. Detta attribut för en fil eller mapp kan endast ställas in av superanvändaren. Om tilldela attribut oföränderlig till filen, då given fil det kommer inte att vara möjligt att ändra eller ta bort (och även superanvändaren kommer inte att kunna göra detta förrän han tar bort detta attribut). Om tilldela attribut oföränderlig till mappen då denna mapp det kommer inte att vara möjligt att ta bort, och det kommer också att vara omöjligt att ändra strukturen inuti den. Således visar det sig att om vi behöver skydda mappen sitename.ru och strukturen inuti den måste vi köra ett enkelt kommando:
Chattr +i /home/hostuser/vhosts/sitename.ru
För att ta bort ett attribut måste du använda flaggan -jag.
Om du bara behöver skydda en mapp (t.ex. loggar), kan du göra följande:
Tryck på /home/hostuser/vhosts/sitename.ru/logs/.keep chattr +i /home/hostuser/vhosts/sitename.ru/logs/.keep
Det är faktiskt så här du kan sätta "skydd från en dåre" (även med superanvändarrättigheter).
Tack för din uppmärksamhet.
Är uppmärksam!
Det är viktigt att förstå att denna artikel inte om informationssäkerhet. Slottet på brevlåda- Det här Informationssäkerhet
. Glaset på brandlarmsknappen är idiotsäker.
Om du skapar en .keep-fil och ger den ett attribut -jag, kan själva mappen flyttas och filen kan flyttas. Du kan inte ta bort själva filen och mappstrukturen före den här filen.
Om du behöver en högre säkerhetsnivå, använd attributet oföränderlig tillsammans med montera --bind. Med det här paketet kan du konfigurera skydd mot avsiktliga förändringar av strukturen.
Förbudet mot radering tillåter dig att lagra data på obestämd tid på grund av juridiska eller andra skyldigheter.
Om användaren raderar uppgifter som omfattas av ett sådant förbud, de kommer att försvinna från hans mappar, men kommer att sparas i valvet. Medan förbudet gäller kan denna data hittas och exporteras.
Efter att ha skapat ett filraderingsförbud kommer de att vara synliga för användaren, även om lagringsregeln kräver att de raderas.
Omfattningen av förbudet beror på hur det är konfigurerat
Filer på delade enheter sparas inte i följande fall.
Du kan ändra individuella spärralternativ, men inte datatypen.
Bra tid på dagen.
Historiskt har det hänt att jag för mina små projekt har en virtuell maskin. Men eftersom jag inte använder dess resurser till 100 %, bestämde jag mig för att inte vara girig och låta några vänner umgås. Det finns inte många sajter, jag tar inte pengar för att vara värd, så jag ansåg att det var för mycket att installera något som cpanel. Dessutom är jag en av dem som föredrar att ställa in allt manuellt. Jag valde följande struktur:
/home/hostuser/vhosts/sitename.ru/(tmp,web,logs)
Och då uppstod frågan: hur förhindrar man användaren från att ta bort / byta namn på mappar i sitename.ru? Om mappen saknas webb, då kommer både apache och nginx att utfärda en varning, men kommer fortfarande att starta. Men om radera/flytta mappen loggar, då startar inte både apache och nginx på grund av ett fel (ganska konstigt beteende för mig). Mapp värdanvändare helt ägd av denna användare och hans personliga grupp ( hostuser:hostuser), vilket innebär att om så önskas kommer han att kunna radera vilken intern mapp/fil som helst, även om den tillhör superanvändaren. Så hur kan du inaktivera borttagning/omlokalisering så att användaren (av misstag eller avsiktligt) inte bryter hela värdskapet?
Efter en kort googling fann man lösningen. Förutom standardbehörigheter och acl, i filsystem som ext2, ext3, ext4, kan ytterligare attribut ställas in för en fil. Läs mer om alla attribut på Wiki, eller man chattr. Vi är intresserade av attributet oföränderlig. Detta attribut för en fil eller mapp kan endast ställas in av superanvändaren. Om tilldela attribut oföränderlig till en fil, då kan denna fil inte ändras eller raderas (och även superanvändaren kan inte göra detta förrän detta attribut har tagits bort). Om tilldela attribut oföränderlig på en mapp kan den här mappen inte raderas, och det kommer också att vara omöjligt att ändra strukturen i den. Således visar det sig att om vi behöver skydda mappen sitename.ru och strukturen inuti den måste vi köra ett enkelt kommando:
Chattr +i /home/hostuser/vhosts/sitename.ru
För att ta bort ett attribut måste du använda flaggan -jag.
Om du bara behöver skydda en mapp (t.ex. loggar), kan du göra följande:
Tryck på /home/hostuser/vhosts/sitename.ru/logs/.keep chattr +i /home/hostuser/vhosts/sitename.ru/logs/.keep
Det är faktiskt så här du kan sätta "skydd från en dåre" (även med superanvändarrättigheter).
Tack för din uppmärksamhet.
Är uppmärksam!
Det är viktigt att förstå att denna artikel inte om informationssäkerhet. Låset på brevlådan är Informationssäkerhet. Glaset på brandlarmsknappen är idiotsäker.
Om du skapar en .keep-fil och ger den ett attribut -jag, kan själva mappen flyttas och filen kan flyttas. Du kan inte ta bort själva filen och mappstrukturen före den här filen.
Om du behöver en högre säkerhetsnivå, använd attributet oföränderlig tillsammans med montera --bind. Med det här paketet kan du konfigurera skydd mot avsiktliga förändringar av strukturen.
Behovet av att sätta ett förbud mot att ta bort applikationer från iPhone och iPad kan uppstå i en mängd olika situationer. Oftast tänker föräldrar på det, vems Mobil enheter används av barn som då och då strävar efter att av misstag radera en av de viktiga applikationerna. Lyckligtvis är ett sådant förbud bara en fråga om några klick.
Steg 1. Gå till menyn " inställningar» → « Main» → « Restriktioner».
Steg 2. Klicka på " Aktivera begränsningar” och ange lösenordet du angav tidigare. Om du inte har använt den här funktionen tidigare, ange ett nytt lösenord. Om du har glömt ditt begränsningslösenord, kontakta oss för att återställa det.
Steg 3. I avsnittet " Tillåta» flytta omkopplaren « Avinstallera program» till inaktiv position.
Steg 4. Gå tillbaka till menyn " inställningar"genom att klicka på pilen" Main» för att spara inställningarna.
Redo! Nu är det omöjligt att radera från din iPhone eller iPad installerade applikationer. När du växlar till läget för att ta bort applikationer visas inte kryss nära ikonerna.
När du behöver avinstallera ett av programmen, gå till menyn " inställningar» → « Main» → « Restriktioner"och slå på strömbrytaren" Avinstallera program" eller klicka " Stäng av begränsningar».
Komponent av säkerhet i operativ systemär att säkerställa att filer eller kataloger inte raderas. Dessa åtgärder innebär att dölja, förbjuda redigering, visning eller tillägg av behörigheter för att bearbeta filobjekt.
Skapat ett stort antal mjukvaruprodukter, utformad för att organisera skyddet av filer, mappar, men oftare löser de problemet med att radera filer på ett komplext sätt, vilket gör dem dolda eller nekar åtkomst.
Alla kataloger, filer, processer i Windows skapas av en specifik användare. Skaparna av Windows har försökt utveckla ett sådant skyddssystem att varje användare har ett mycket specifikt fall av rättigheter. Detta fall innehåller alternativ av förbjudande eller tillåtande karaktär för att manipulera processer, arkivera objekt.
Det är möjligt att genomföra ett förbud på nivån konto. Genom att skapa till exempel en katalog eller en fil på administratörskontot med samtidig öppning av åtkomst på nivån för gästkonton, lämna dem skriv-, läs-, flytträttigheter. Däremot behöver du oftare göra ett förbud på nivån för det aktuella (eget) kontot.
Vi måste vända oss till Windows säkerhetssystem. Denna metod förutsätter att objektets platsdiskfilsystem initialt är NTFS. Det är hon som tillhandahåller en mekanism för att distribuera förbjudande och tillåtande alternativ för alla användare. FAT-system kan inte erbjuda sådana distinktioner.
Dessutom gäller de ålagda restriktionerna inte själva föremålet utan dess placering. Om dess plats ändras kommer åtkomsten att återupptas. Det bör också förstås att förbjudande alternativ har högre prioritet än att tillåta sådana, så om samma tillstånd och förbudsinställningar väljs, så exekveras förbudsrättigheterna först.
En sådan begränsning kommer dock att vara bredare, eftersom den måste begränsa full tillgång.
Först och främst, låt oss öppna innehållsmeny den valda filen och hitta egenskapsobjektet i den.
I fönstret som öppnas, gå till fliken "Säkerhet".
I fältet grupper och användare väljer du önskad användare.
Klicka på knappen "Ändra" och, i fönstret som visas, i listan över gruppbehörigheter, markera rutorna för att förbjuda inställningar.
Låt oss nu spara ändringarna som gjorts.
Låt oss fortsätta verksamheten
Nu ser vi att vi har markerat de oöverkomliga alternativen
Så vi kommer att sätta begränsningar för full åtkomst, vilket också inkluderar förbudet att ta bort objektet.
Ett försök gjordes att öppna en bildfil från en förbjuden plats. Låt oss nu försöka ta bort det.
Vi håller med om varningen
Men följande fönster dyker upp. Klicka på "Fortsätt".
Systemet tillåter fortfarande inte att objektet tas bort.
Samma begränsningsmekanism kan tillämpas på ett stort antal objekt som finns i en enda katalog. I det här fallet kan förbudet införas för alla användare av systemet. Denna typ av begränsning (för alla) kan göras för en enda fil. I det här fallet måste vi lägga till en ny användargrupp ("Alla"). Sedan måste du markera kryssrutorna för de oöverkomliga alternativen.
Gå tillbaka till säkerhetsfliken
Klicka på knappen "Avancerat" för att öppna fönstret för avancerade inställningar.
Välj sedan "Ändra behörigheter":
I det här fönstret väljer du "Lägg till".
I fönstret för val av grupper och användare kommer vi att skriva en ny kategori "Alla" och kontrollera namnen.
Efter denna procedur kommer systemet att visa platsen för vilken i det här ögonblicket restriktioner verkställs. Därefter behöver du bara klicka på "OK" och godkänna popup-varningarna.
Vi är överens om att fortsätta verksamheten
Som ni ser har vi en ny grupp med särskilda rättigheter.
Här syns även dessa särskilda rättigheter.
Låt oss försöka ta bort något från den här katalogen.
Vi håller med om att flytta till korgen.
Däremot ser vi ett välbekant fönster som kräver höjning av rättigheter.
Systemet tänker lite...
Men det rapporterar sedan att det inte finns något sätt att ta bort filen från den här platsen.
Sammanfattning
Många programvaruverktyg har skapats för att begränsa användaråtkomst till filsystemobjekt. Windows har dock sina egna inbyggda verktyg. Fil NTFS-system låter dig ställa in restriktiva inställningar för platsen för en specifik användare eller för alla platser samtidigt. Sådana begränsningar kan dock förbjuda fullständig åtkomst eller endast radering av en eller flera kataloger och filer.
