Procesos, usuarios y capacidades

Tradicionalmente, un proceso era «root» (todo permitido) o no lo era. Las capacidades de Linux dividen ese poder en piezas que se conceden por separado: CAP_NET_BIND_SERVICE permite abrir puertos por debajo de 1024, CAP_NET_RAW permite usar conexiones en bruto y CAP_SYS_ADMIN es una pieza enorme que agrupa muchas operaciones de administración, tanto que se la conoce como «el nuevo root».

Una capacidad se puede asignar a un programa concreto (se lista con getcap), de modo que no hace falta ejecutarlo como root ni darle setuid. Para un auditor, cada capacidad es una pregunta: ¿necesita realmente esa pieza este programa?

La columna de usuario de ps es la primera fuente de un auditor: el ejecutor corre sus trabajos como svc-ejecutor, una cuenta sin privilegios. Un trabajo que aparece con otro usuario merece una explicación. Ejecuta ps y compara los procesos ejecutor-trabajo.

Las reglas de sudo se guardan en /etc/sudoers.d, un archivo por regla. Una buena regla nombra el comando exacto: svc-ejecutor puede reiniciar un servicio, y nada más. Una regla ALL en la columna del comando equivale a darle root a esa cuenta, y los parches «temporales» se olvidan.

Lee los archivos de la carpeta y compara lo que permite cada uno.

getcap -r /usr/local/bin lista los programas con capacidades asignadas. Cada línea trae el programa y las capacidades (=ep significa que están efectivas y permitidas). Lee el archivo con la revisión del 5 de octubre y pregúntate para cada una si el nombre del programa justifica la capacidad.

Un paso del pipeline necesita que su servidor de pruebas escuche en el puerto 443, algo que Linux reserva por defecto a procesos con privilegio. Hay tres maneras de resolverlo en la revisión, y solo una respeta el mínimo privilegio.