Jika Anda mengelola sebuah server atau sistem Linux multi-pengguna, secara default semua pengguna, termasuk pengguna biasa, dapat melihat proses yang sedang berjalan, termasuk proses yang dijalankan oleh pengguna root dan sistem. Namun, pada server yang penting untuk keamanan, Anda mungkin ingin menyembunyikan proses dari pengguna normal.
Perilaku default ini tidak dianggap baik dari sudut pandang keamanan, karena semua pengguna dapat melihat semua proses, termasuk yang dimiliki oleh pengguna “root”.
Anda mungkin ingin mengetahui cara menyembunyikan proses Linux dari pengguna biasa, terutama untuk menyembunyikan proses yang dijalankan oleh pengguna “root”.
Cara Menyembunyikan Proses dari User Normal/Default
Jika Anda mencari di direktori /proc pada sistem Linux, Anda akan menemukan banyak file dan direktori, dimana banyak di antaranya hanya berupa angka yang mewakili informasi tentang ID proses (PID) tertentu.
Secara default, sistem Linux dikonfigurasi untuk memungkinkan semua pengguna lokal melihat semua informasi ini, termasuk informasi proses dari pengguna lain. Namun, ini dapat menjadi masalah keamanan karena informasi sensitif dapat terbuka untuk pengguna yang tidak seharusnya. Dengan melakukan beberapa penyesuaian pada konfigurasi sistem file, kita dapat mengubah perilaku ini dan meningkatkan keamanan sistem.
Jika Anda menjalankan kernel Linux yang lebih baru (versi 3.2 atau lebih tinggi), Anda dapat memanfaatkan fitur baru yaitu opsi hidepid dalam sistem file /proc.
Pemahaman /proc
Sistem file proc adalah sistem file semu yang memberikan akses ke struktur data kernel. Biasanya dipasang di /proc dan secara otomatis disertakan oleh sistem, meskipun juga bisa dipasang secara manual menggunakan perintah mount.
Kebanyakan file dalam sistem file proc hanya dapat dibaca (read-only), tetapi beberapa file dapat ditulis, memungkinkan pengguna untuk mengubah variabel kernel.
Secara default, pengaturan hidepid adalah 0, yang memperlihatkan perilaku default. Dengan nilai ini, pengguna biasa dapat melihat semua proses yang berjalan di sistem, termasuk proses dari pengguna lain dan pengguna root.
Namun, Anda bisa mengatur hidepid ke 1 atau 2 untuk menyembunyikan informasi proses dari pengguna biasa. Dengan hidepid=1, pengguna biasa hanya dapat melihat proses mereka sendiri dengan perintah seperti ps dan top, meskipun ID proses masih dapat dilihat di /proc. Dengan hidepid=2, pengguna hanya dapat melihat proses mereka sendiri, dan ID proses dari pengguna lain juga disembunyikan di /proc.
Sekarang, mari kita pasang kembali sistem file proc dengan opsi hidepid=2. Dengan demikian, pengguna biasa tidak akan memiliki akses untuk melihat proses pengguna lain, termasuk proses dari pengguna root. Ini merupakan langkah yang penting untuk meningkatkan keamanan pada server Linux.
Setelah penyelesaian proses, pengguna biasa (dalam kasus ini, pengguna alok) tidak akan memiliki kemampuan untuk melihat proses yang dimiliki oleh pengguna lain dan pengguna root.
Tentunya, Anda dapat membuat perubahan tersebut permanen dengan mengedit file /etc/fstab untuk menyertakan entri yang sesuai.
Sekarang, ketika pengguna biasa, alok, mencoba menggunakan perintah top dan ps lagi, dia hanya akan dapat melihat proses yang dimilikinya sendiri. Dengan demikian, kita telah berhasil menyembunyikan proses dari pengguna normal.
Jika anda menggunakan systemD, anda harus membuat layanan untuk skrip misalnya sync.sh anda, file ini akan menjadi:
/lib/systemd/system/sync.service
Anda dapat mengedit file ini (dengan hak ‘root’ atau ‘sudo’) sehingga berisi:
[Unit]
Description=My Shell Script for Sync
[Service]
ExecStart=/usr/bin/sync.sh
[Install]
WantedBy=multi-user.target
Kemudian, anda memuat ulang daemon systemD anda (sehingga ia mengetahui bahwa layanan telah ditambahkan):
sudo systemctl daemon-reload
Kemudian anda dapat mengaktifkan layanan anda (sehingga akan diluncurkan pada setiap permulaan sistem:
sudo systemctl enable sync.service
Kemudian anda dapat memulainya secara manual sehingga akan langsung dimulai, tanpa menunggu sistem restart berikutnya :
sudo systemctl start sync.service
Dan tentu saja, anda dapat mengubah nama layanan anda sesuai keinginan anda.
pengguna normal tidak dapat melihat proses oleh pengguna lain dan pengguna root
0 Comments