호스팅 스택
CloudLinux CageFS 격리
CloudLinux의 CageFS(가상 파일 시스템)를 사용하여 모든 사용자 계정을 격리합니다. CageFS는 각 사용자에게 자체 가상 파일 시스템을 제공하여 사용자가 다른 계정의 파일, 시스템 구성 파일, /tmp에 남아 있는 공격 도구를 보지 못하게 합니다. 공유 호스팅 서버에서 계정 간 엿보기 및 권한 상승을 일상적인 위협에서 예외 상황으로 바꿉니다.
핵심 내용
- 새 계정마다 CageFS를 기본으로 켜십시오. 격리를 꺼 두면 결국 흐지부지하게 돌아옵니다.
- 계정 간 읽기를 시도하는 cagefsctl 검사로 격리가 실제로 되는지 확인하십시오.
- CageFS를 커널과 함께 최신으로 유지하십시오. 버전이 어긋나면 가림이 조용히 깨집니다.
- 계정별 PHP 버전과 함께 쓰십시오. 그래야 레거시 앱이 공용 바이너리를 오염시킬 수 없습니다.
- CageFS 오류 로그를 감시하십시오. 반복 위반은 침해된 계정이 주변을 탐색하고 있다는 신호일 때가 많습니다.
- 문서화된 사유와 만료 날짜 없이 케이지에서 무엇도 제외하지 마십시오.
- LVE 제한과 짝지으십시오. 격리에 자원 상한을 더해야 완전한 구속이 됩니다.
- /tmp와 /var/tmp 처리 방식을 감사하십시오. CageFS가 사용자별로 이들을 가상화하는 데는 이유가 있습니다.
현장 노트
CloudLinux CageFS 격리에서는 모든 사용자 계정에 활성화하는 것이 중요합니다.
자주 묻는 질문
CageFS가 사이트를 느리게 합니까?
거의 아닙니다. 얻어내는 이웃 사용자 방어에 비해 가상화 오버헤드는 매우 작습니다.
사용자는 여전히 시스템 파일을 볼 수 있나요?
정화된 겉모습만 보입니다. 자기 바이너리와 안전한 설정만이고, 진짜 시스템이나 이웃 데이터는 아닙니다.
악성코드 스캐닝을 대체하나요?
아닙니다. 격리는 발생을 가두는 역할이고, 스캐닝이 찾아서 치웁니다.
CageFS 아래서 무엇이 깨집니까?
시스템 경로를 하드코딩한 어설픈 스크립트입니다. 온보딩 중에 올바르게 한 번 고치면 됩니다.
호스팅 스택에 대한 Kinetikatech의 지원
저희는 이것을 수백 번 처리했습니다: 클라우드 리눅스, cPanel/WHM, 라이트스피드, 이뮤니티360, 엑심 등 호스팅 스택 구성 요소. 서버 관리 및 Linux 서버 보안와 함께하면 평가, 구현, 24시간 연중무휴 모니터링, 그리고 중요한 때에 30분 이내 대응이라는 완전한 사이클을 제공합니다.