É possível limitar os acessos de administração remota de um administrador usando o Selinux?

Question

Suponha que o admin precise acessar uma máquina remotamente. Os logins do root estão desabilitados, mas ele pertence à lista de sudoers. Eu li que "comando sudo" é uma boa prática porque você não se esquece que você está usando root e também, comandos sudo logs (essa foi a parte surpreendente para mim). Eu preciso manter o controle de comandos de administração, mas o fato de ele poder escalar para root torna a tarefa complicada, porque ele pode simplesmente excluir os logs. Eu estava pensando em usar o selinux para me ajudar aqui. Eu sei que essa pergunta parece estranha, mas:

Existe uma maneira de limitar alguns acessos a um administrador que pertença à lista de sudoers ou pelo menos proteger os registros de suas ações?

O administrador só pode acessar remotamente e nenhum acesso root é permitido diretamente. Eu dou essas regras porque pode ser possível limitar os acessos ao administrador com base no shell gerado.

Atenciosamente

    

Answer 1

A coisa é, se você der privilégios de sudo, eles podem se tornar root com:

• sudo -i
• sudo su
• sudo sh
• sudo bash
• sudo {qualquer shell que eles queiram}
• sudo vi (sério)
• python sudo

O bom é que você pode limitar os privilégios de sudo de uma forma semi-granular. Aqui está a página de manual do sudoers para elaborar um pouco mais sobre isso. man sudoers pode fornecer as mesmas informações.

O bloqueio do acesso a su é um pouco mais trivial. Aqui está uma postagem em U & L que mostra como fazer isso. Basicamente, você cria um grupo chamado "becomeroot" e diz ao PAM para verificar se um usuário está nesse grupo antes de permitir o su. Não adicione o administrador a este grupo e você é de ouro. No entanto, eles terão as permissões para mudar isso, porque eles têm sudo!

Você precisa confiar no seu administrador ou remover o sudo deles. Se a criação de log é a principal preocupação, exporte os arquivos .bash_history e registre-os externamente. Aqui está outro post de U & L (cara, esses caras são espertos ) que descreve o uso de auditd e um servidor syslog. Depois que os registros saírem da caixa, seu administrador não terá condições de interrompê-lo, porque eles já foram delatados!