2

Имеется VDS под битрикс/CentOS-7. Необходимо дать к нему доступ стороннему подрядчику. Задачи подрядчика: установка и настройка необходимого для битрикса стека, почты, гита/фтп, заливка сайта и бд, настройка прав доступа к файлам.

Каким образом можно максимально исключить вредоносные действия подрядчика и/или иметь достоверную информацию о его действиях без ограничения его в необходимых функциях(sudo)?

пока склоняюсь к варианту забекапить /etc(и может что-то еще?) и потом сравнить архивы на предмет изменений, но может есть более адекватный способ.

6
  • 2
    Если выполняемые действия подразумевают выдачу root-доступа (sudo), то видимо только бекапом и проверять. Причём не только /etc, а вообще всех файлов, если паранойя так зашкаливает
    – andreymal
    9 авг 2019 в 20:18
  • Docker/lxc контейнеры не думали использовать?
    – Hellseher
    9 авг 2019 в 21:50
  • @Hellseher Хостеры VDS, обычно, препятствуют использованию контейнеров внутри VDS. Более того, если такой вариант подходит (а это еще не факт), то проще арендовать еще одну VDS, как я и написал в ответе. 9 авг 2019 в 23:53
  • @AntonAbrosimov, можно потребовать dockerfile (а не готовый образ) со всеми использующимися (если таковые есть) при его сборке скриптами. т.е., из внешнего мира при сборке могут скачиваться только пакеты из оф. репозиториев базового дистрибутива (того же, что стоит у автора вопроса). тестировать работоспособность собираемого образа можно и на локальном компьютере. а после оценки на отсутствие вредоносности команды из dockerfile можно выполнить уже на целевой системе. 11 авг 2019 в 13:07
  • @aleksandrbarakin Если развернуть все в отдельном окружении - технически возможно и допустимо, то это первое о чем следует думать. Ansible ИМХО удобнее Docker, в плане написания сценариев установки. 11 авг 2019 в 13:15

1 ответ 1

6

В теории, с хорошим пониманием, как своих действий, так и привилегий необходимых подрядчику, можно использовать SELinux. Технология позволяет разграничить права администраторов.

Ваша проблема, учитывая что вы задаете подобный вопрос, состоит в том, что у вас нет четкого перечня всех действий, которые необходимо выполнить подрядчику. Более того, с учетом VDS, вы легко можете "отрезать себе руки", при неаккуратных действиях.

Вторая ваша проблема в том, что вы не сможете провести аудит того, что вам установили. Соответственно, злонамеренный код можно убрать в легитимное ПО, которое должно быть установлено. Соответственно, вам надо ограничить и все устанавливаемое окружение. И систему доставки обновлений. Опять SELinux, или chroot, или docker (но это не про VM).


Что делал бы я, при условии, что не знаю, как работает SELinux и не хочу разбираться с правами, необходимыми подрядчику?

Воспользовался бы md5sum и получил контрольные суммы всех файлов на сервере. А по завершении работ - сверил.

Для резервного копирования (если они просто "все сломают"), обратился бы к хостеру и попросил сделать снимок моей VM.

С целью изоляции устанавливаемого ПО, согласовал бы с подрядчиком изоляцию их ПО с помощью SELinux. Естественно, я или доверенное лицо, должны за этим проследить. Как минимум, засунул бы их в chroot, но это не всегда возможно и не всегда помогает (ПО может потребовать монтирования того, что позволяет покинуть окружение).

Для предотвращения утечки данных, вылил бы все базы и временно заменил их тестовыми (фейковыми).

Ну и рассмотрел бы возможность развернуть их "зоопарк" на отдельной VDS, в первую очередь.


P.S. В реальной жизни, я бы отправил их вместе со своими админами роль для Ansible писать. А там, пока docker'ов мучают, уже было бы понятно, какие будут потенциальные проблемы, как их решать, а заодно и откуда у подрядчика "руки растут".

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.