Aplicativos da Web de sandboxing

Question

Eu quero proteger vários aplicativos da Web hospedados no mesmo servidor. Para testar meu cenário, configuro um servidor da web Apache em uma máquina local com aplicativos da Web hospedados nessas máquinas. Um dos aplicativos da Web é vulnerável e quero conter o aplicativo da Web vulnerável em seu próprio shell e não interferir no restante dos aplicativos da Web hospedados no mesmo servidor.

Como posso conseguir isso, o que são opções, ou seja, políticas de controle de acesso obrigatórias como apparmor, selinux ou chroot? Isso é uma boa prática e quais são as práticas atuais?

    

Answer 1

Existem muitas opções em diferentes níveis:

• MAC, kernel e amp; Forças de segurança do sistema, como você afirmou. Você pode adicionar o Grsecurity à lista.
• isolamento interpretor / process: SuPHP, SuExec, PHP-FPM pools ...: o site é executado sob seu próprio usuário
• isolamento do sistema: chroot, ou muito melhor, containers / namespaces (LXC, OpenVZ, Vserver, Jails, Zones)
• Ou até mesmo virtualização completa ...

É comum trabalhar em mais de um nível. Por exemplo, acredito que o Grsec + (SuPHP ou SuExec) é bastante comum.