Cách giới hạn quyền truy cập vào lệnh su trong Linux

Nếu bạn đã thêm Linux vào trung tâm dữ liệu hoặc chỉ đang sử dụng một máy Linux duy nhất cho doanh nghiệp của mình, bạn cần đảm bảo rằng nó được bảo mật tốt nhất có thể. Tất nhiên, mọi người đều cho rằng Linux là một trong những nền tảng an toàn nhất trên hành tinh. Mặc dù điều này có thể đúng, nhưng bạn vẫn có thể làm nhiều điều để cải thiện hơn nữa tính bảo mật cho máy tính Linux đang sử dụng.

Một mẹo nhỏ là hạn chế quyền truy cập vào lệnh su. Bằng cách sử dụng lệnh su, người dùng có thể thay đổi từ tài khoản user này sang user khác (nếu có mật khẩu của tài khoản user đó). Giả sử bạn có một số người dùng trong nhóm admin có quyền truy cập đầy đủ vào một số thư mục nhất định (có thể chứa dữ liệu nhạy cảm) và bạn không muốn người dùng không nằm trong nhóm được quyền chuyển sang tài khoản user khác (bằng cách sử dụng lệnh su), và sau đó có được quyền truy cập vào những thông tin nhạy cảm đó.

Thủ thuật này có thể được thực hiện trên bất kỳ bản phân phối Linux nào. Ví dụ hôm nay sẽ sử dụng Ubuntu Server. Bài viết sẽ tạo một nhóm mới, thêm người dùng vào nhóm đó và rồi hạn chế quyền truy cập vào lệnh su đối với nhóm này.

Nhưng làm thế nào để giới hạn quyền truy cập vào lệnh su? Việc này thực sự khá dễ dàng. Cùng tìm hiểu ngay sau đây nhé!

Tạo nhóm

Trước tiên, ta sẽ tạo một nhóm mới trên máy chủ (hoặc desktop). Để thực hiện việc này, hãy mở một cửa sổ terminal và nhập lệnh:

sudo groupadd admin

Bây giờ bạn có một nhóm mới được thêm vào hệ thống. Nếu thấy rằng nhóm admin đã tồn tại, bạn có thể phải tạo một nhóm có tên khác.

Thêm người dùng vào nhóm mới

Giả sử ta có người dùng Jack và muốn thêm anh ta vào nhóm mới, để Jack có quyền truy cập vào lệnh su. Hãy nhập lệnh sau:

sudo usermod -a -G admin jack

Khi chạy lệnh này, người dùng Jack sẽ là thành viên của nhóm admin.

Hạn chế truy cập lệnh su

Bây giờ, ta cần cho phép những người trong nhóm admin truy cập vào lệnh su. Thực hiện việc này bằng một lệnh duy nhất. Quay lại cửa sổ terminal và nhập lệnh sau:

sudo dpkg-statoverride --update --add root admin 4750 /bin/su

Từ cửa sổ terminal, đăng nhập vào tài khoản user Jack. Nếu bạn thử sử dụng lệnh su với tư cách của người dùng đó, yêu cầu sẽ được cho phép. Bởi vì Jack là thành viên của nhóm admin, có quyền truy cập vào lệnh su. Tuy nhiên, nếu bạn đăng nhập với tư cách một người dùng khác và thử sử dụng lệnh su, yêu cầu sẽ bị từ chối. Bởi vì chỉ những người trong nhóm admin mới có quyền truy cập vào su.

Và đó là tất cả những gì cần làm để hạn chế quyền truy cập vào lệnh su trong Linux. Mặc dù đây không phải là bước duy nhất bạn cần thực hiện để tăng cường bảo mật cho hệ thống Linux, nhưng chắc chắn nó sẽ ngăn người dùng truy cập vào công cụ có thể nâng quyền của họ lên mức không cần thiết.

Chúc bạn thực hiện thành công!