Linux: Аудит "богов". Кто и что может делать через sudo?

Вы думаете, что у пользователя www-data нет прав root. Но что лежит в /etc/sudoers.d/? Неправильная sudo-политика — это прямой путь к повышению привилегий (Privilege Escalation).

Как ПРАВИЛЬНО проводить аудит sudo:

Проверить конкретного пользователя: Самая важная команда. Она показывает эффективные права пользователя, собранные из всех файлов.
Bash

# Показать, что может делать www-data
sudo -l -U www-data

# Вывод:
# (ALL) NOPASSWD: /usr/sbin/service nginx reload  <-- (ХОРОШО)
# (ALL) NOPASSWD: /bin/bash                       <-- (ОЧЕНЬ ПЛОХО!)

Посмотреть все активные правила "вживую": Этот grep отсечет все комментарии (#) и пустые строки ($) и покажет только действующие правила из всех файлов.
Bash

sudo grep -vE '^(#|$)' /etc/sudoers /etc/sudoers.d/*

Посмотреть, кто и что уже делал: sudo логирует каждое свое выполнение (обычно в /var/log/secure или /var/log/auth.log).
Bash

# Показать 20 последних команд, выполненных через sudo
sudo cat /var/log/auth.log | grep "sudo:" | tail -n 20

Взгляд архитектора: Principle of Least Privilege (PoLP). sudo — это не просто "дать root". Это гранулированный инструмент. Архитектор никогда не дает ALL=(ALL) ALL. Он дает dev-user ALL=(ALL) /usr/sbin/systemctl restart myapp.service. Это и есть проектирование безопасности.

#linux #security #sudo #audit #cybersecurity #sysadmin #гайд

Защита от "самого себя": Как обезопасить критичные конфиги в Linux

Проблема: Один rm -rf по ошибке. Одна неудачная правка nginx.conf в 3 часа ночи. И prod лежит. "Админ" надеется на бэкапы (восстановление). "Архитектор" предотвращает саму возможность ошибки.

Вот 3 уровня эшелонированной обороны для ваших самых важных файлов (конфигов, скриптов, сертификатов).

Уровень 1: "Бетонный бункер" (chattr)
Это — ваш immutable (неизменяемый) флаг. Самая сильная защита, даже от root.

⏺ Как включить: sudo chattr +i /etc/nginx/nginx.conf

Теперь этот файл нельзя удалить, изменить, переименовать или даже создать на него ссылку. Совсем.

⏺ Как выключить (для плановых правок): sudo chattr -i /etc/nginx/nginx.conf

#АрхитекторскийЛайфхак: Сделали правки -> немедленно включили защиту обратно! Это лучшая защита от случайного rm или sed -i.

Уровень 2: "Гибкий контроль" (ACL)
Стандартных rwx (владелец/группа/остальные) часто не хватает. ACL (Access Control Lists) дают гранулярный доступ.

Задача: Дать юзеру deploy право только читать конфиг, но не менять.

⏺ Назначаем права: sudo setfacl -m u:deploy:r /etc/nginx/nginx.conf

⏺ Проверяем права: getfacl /etc/nginx/nginx.conf

Это намного чище, чем добавлять deploy в группу root (чего делать нельзя никогда).

Уровень 3: "Умный Sudo" (sudoers)
Никогда не давайте сервисным юзерам и коллегам ALL=(ALL) ALL. Это "ключи от королевства". Давайте только то, что нужно.

Задача: Дать deploy право только перезапускать Nginx, но не редактировать или удалять его файлы.

⏺ Редактируем visudo: deploy ALL=(root) NOPASSWD: /bin/systemctl restart nginx

Теперь deploy может выполнить sudo systemctl restart nginx, но sudo rm /etc/nginx/nginx.conf ему "откажет в доступе".

Итог: sudoers защищает от эскалации привилегий. ACL защищает от случайных правок другими пользователями. chattr защищает от root-ошибок (включая вас самих в 3 часа ночи).

#linux #security #sysadmin #chattr #acl #sudo #bestpractice

SUDO. ДЛЯ. WINDOWS. Официально.

Microsoft анонсировала sudo для Windows Server 2025 (и уже в Insider-сборках Windows 11).

Это фундаментальное изменение в философии администрирования Windows, которого мы ждали 20 лет.

Как это работает (по данным Microsoft): Это не runas. Это sudo.
PowerShell

# Пример: Запускаем команду в том же окне, но с правами Admin
sudo Remove-Item C:\Windows\System32\Drivers\etc\hosts

Ключевые фичи:
Три режима:
1. inline (по умолчанию): Команда запускается в текущем окне (как в Linux).
2. in a new window: Открывает новое UAC-окно.
3. disabled: Отключено.

Конфигурация: Настраивается через sudo config.

Безопасность: Запрашивает UAC-подтверждение (пока), но это уже шаг к гранулярному повышению привилегий.

Взгляд архитектора: Это не просто "копия" Linux. Это признание Microsoft, что временное, гранулярное повышение привилегий (Principle of Least Privilege) — это единственный путь к безопасности. Мы уходим от эры, где админ сидит 8 часов в сессии с правами Domain Admin. Это меняет всё в скриптах автоматизации и в подходе к безопасности.

#windows #security #sudo #powershell #architect #musthave #hotnews

👮‍♂️ Linux: Настраиваем sudo как Архитектор

Давать пользователю ALL=(ALL) ALL — это лень, граничащая с преступлением. Если разработчику нужно только перезапускать Nginx, дайте ему право только на это.

Редактируем файл (ТОЛЬКО через visudo!):

1. Создаем алиас команды (чтобы не писать пути):

Cmnd_Alias RESTART_NGINX = /usr/bin/systemctl restart nginx, /usr/bin/systemctl reload nginx

2. Даем права конкретной группе:

%web_team ALL=(root) NOPASSWD: RESTART_NGINX

Что мы сделали:
* %web_team — группа пользователей.
* (root) — от чьего имени запускаем.
* NOPASSWD — не спрашивать пароль (удобно для скриптов).
* RESTART_NGINX — разрешили только эти команды.

Теперь, если дев попытается сделать sudo rm -rf /, система вежливо его пошлет.

#linux #security #sudo #accesscontrol #bestpractice

🪟 Windows: Официальный sudo — конец эпохи лишних окон консоли

Мы только что обсуждали, как Linux избавляется от sudo в пользу run0. Иронично, но в мире Windows происходит ровно обратное. В Windows 11 и Windows Server 2025 утилита sudo стала официальной встроенной частью операционной системы.

Вы открыли обычный PowerShell, пишите скрипт, пытаетесь перезапустить службу, и получаете Access Denied. Приходилось тянуться за мышкой, искать ярлык PowerShell, нажимать «Запуск от имени администратора», копировать туда команду и выполнять.

Microsoft добавила нативный sudo. Прямо в текущем окне с правами обычного пользователя вы пишете:
sudo Restart-Service -Name W3SVC

В настройках системы (Settings — For developers — Enable sudo) админ может выбрать один из трех режимов работы:
1. В новом окне (In a new window) — классическое поведение Windows.
2. С отключенным вводом (With input disabled) — команда выполнится в этом же окне, но не сможет запрашивать у вас дополнительные данные (безопасный режим для скриптов).
3. Встроенный (Inline) — полная аналогия с Linux. Команда выполняется прямо здесь и сейчас, весь вывод идет в текущую консоль.

Для удобства и скорости. Если вы много работаете в терминале Windows Terminal, вам больше не нужно жонглировать вкладками с разными уровнями привилегий.

Границы между администрированием Windows и Linux продолжают стираться. Консоль становится универсальным и удобным местом для работы.

#windows #sudo #cli #powershell #sysadmin #admin_future