A une époque, le module owner permettait de rajouter dans une règle quelque chose du type
-m owner --cmd-owner 'http'
J'utilsais cela sur mes serveurs debian pour que seul apt-get (et donc le sous processus de nom 'http') puisse allez sur le net chercher les mises à jour.
Certes, un utilisateur pouvait renommer lynx en http mais en pratique, il ne le faisait pas.
Bref, même si ce n'était pas super bien carré, je trouve que cela limitait pas mal ce qui était possible et donc ne pouvait qu'améliorer la sécurité tout en restant simple et clair.
Dommage que celui-ci ne fonctionne plus de nos jours. Je n'ai pas trouvé d'équivalent pour le moment.
# Module owner
Posté par Sytoka Modon (site web personnel) . En réponse à la dépêche Compte rendu en temps réel de l'atelier Netfilter 2007. Évalué à 2.
-m owner --cmd-owner 'http'
J'utilsais cela sur mes serveurs debian pour que seul apt-get (et donc le sous processus de nom 'http') puisse allez sur le net chercher les mises à jour.
Certes, un utilisateur pouvait renommer lynx en http mais en pratique, il ne le faisait pas.
Bref, même si ce n'était pas super bien carré, je trouve que cela limitait pas mal ce qui était possible et donc ne pouvait qu'améliorer la sécurité tout en restant simple et clair.
Dommage que celui-ci ne fonctionne plus de nos jours. Je n'ai pas trouvé d'équivalent pour le moment.