最佳安全性做法是確保應用程式資源受到保護。
請執行以下步驟,確保應用程式資源受到保護。
程序
- 執行 find / -path /proc -prune -o -type f -perm /6000 -ls 指令,驗證檔案已設定定義完善的 SUID 及 GUID 位元集。
您會看到以下清單:
584208 44 -rwsr-xr-x 1 root root 44696 Feb 4 2019 /usr/bin/su 584210 60 -rwsr-xr-x 1 root root 54112 Feb 4 2019 /usr/bin/chfn 584646 56 -rwsr-x--- 1 root root 51872 Feb 4 2019 /usr/bin/crontab 584216 40 -rwsr-xr-x 1 root root 37128 Feb 4 2019 /usr/bin/newgidmap 584206 68 -rwsr-xr-x 1 root root 63736 Feb 4 2019 /usr/bin/passwd 584211 44 -rwsr-xr-x 1 root root 44544 Feb 4 2019 /usr/bin/chsh 584218 40 -rwsr-xr-x 1 root root 37128 Feb 4 2019 /usr/bin/newuidmap 587446 144 -rwsr-xr-x 1 root root 140856 Feb 4 2019 /usr/bin/sudo 585233 36 -rwsr-xr-x 1 root root 36144 Feb 4 2019 /usr/bin/umount 584212 32 -rwsr-xr-x 1 root root 31048 Feb 4 2019 /usr/bin/expiry 584209 76 -rwsr-xr-x 1 root root 71848 Feb 4 2019 /usr/bin/chage 585231 56 -rwsr-xr-x 1 root root 52968 Feb 4 2019 /usr/bin/mount 583901 36 -rwsr-xr-x 1 root root 34944 Feb 4 2019 /usr/bin/fusermount 586675 36 -rwsr-xr-x 1 root root 34952 Feb 4 2019 /usr/bin/fusermount3 584217 44 -rwsr-xr-x 1 root root 44472 Feb 4 2019 /usr/bin/newgrp 584214 80 -rwsr-xr-x 1 root root 75776 Feb 4 2019 /usr/bin/gpasswd 582975 428 -rwsr-xr-x 1 root root 432512 Mar 6 2019 /usr/libexec/ssh-keysign 587407 80 -rwsr-x--- 1 root root 76224 Feb 4 2019 /usr/libexec/dbus-daemon-launch-helper 587109 16 -rwsr-xr-x 1 root root 14408 Feb 4 2019 /usr/sbin/usernetctl 587105 16 -rwxr-sr-x 1 root root 14384 Feb 4 2019 /usr/sbin/netreport 582750 40 -rwsr-xr-x 1 root root 38960 Feb 4 2019 /usr/sbin/unix_chkpw
- 執行 find / -path */proc -prune -o -nouser -print -o -nogroup -print 命令,確認 vApp 中所有的檔案都有擁有者。
如果沒有出現任何結果,表示所有檔案都有擁有者。
- 執行 find / -name "*" -type f -not -path "*/sys*" -not -path "*/proc*" -not -path "*/dev*" -perm -o+w | xargs ls -lb 命令,檢閱 vApp 上所有檔案的權限,以確認任何檔案不是任何人都能寫入的檔案。
Others
不應具有寫入權限。這些檔案的權限應為 ##4 或 ##5,其中 # 等於擁有者和群組的預設權限,例如 6 或 7。 - 執行 find / -path */proc -prune -o ! -user root -o -user admin -print 命令,確認這些檔案的擁有者都是正確的使用者。
如果沒有出現任何結果,表示所有檔案都屬於
root
或admin
。 - 執行
find /usr/lib/vmware-casa/ -type f -perm -o=w
命令,確保 /usr/lib/vmware-casa/ 目錄中的檔案不是任何人都能寫入的。執行完畢後不應出現任何結果。 - 執行
find /usr/lib/vmware-vcops/ -type f -perm -o=w
命令,確保 /usr/lib/vmware-vcops/ 目錄中的檔案不是任何人都能寫入的。執行完畢後不應出現任何結果。 - 執行
find /usr/lib/vmware-vcopssuite/ -type f -perm -o=w
命令,確保 /usr/lib/vmware-vcopssuite/ 目錄中的檔案不是任何人都能寫入的。執行完畢後不應出現任何結果。