proto.lib

fanotify: giám sát toàn bộ mount và có quyền chặn truy cập

Khác với inotify theo dõi từng thư mục, fanotify có thể giám sát toàn bộ một MOUNT và phát PERMISSION EVENT — handler phải cho phép hoặc từ chối open() trước khi nó thực sự xảy ra bằng fanotify_write(FAN_ALLOW/FAN_DENY); đây là cơ chế nền cho on-access antivirus và các policy agent chặn truy cập theo thời gian thực.

Operating SystemsNâng cao2026-08-24
fanotify: giám sát toàn bộ mount và có quyền chặn truy cập

Tags

#fanotify#mount-monitoring#permission-events#on-access-scan#lsm#security-agent

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Operating SystemsNâng cao

Landlock: tiến trình tự giới hạn chính mình không cần root

Landlock cho phép một tiến trình không đặc quyền khai báo ruleset (đường dẫn nào được đọc/ghi/thực thi, phiên bản mới hơn còn kiểm soát bind/connect theo cổng) rồi tự áp dụng lên chính nó; mọi thứ chạy sau đó — kể cả code được load hoặc exec — đều bị giới hạn, và ruleset chỉ có thể siết chặt thêm chứ không bao giờ nới lỏng.

#landlock#sandbox#unprivileged#lsm
Operating SystemsCơ bản

systemd Timer thay Cron cho Job Định Kỳ

systemd timer dùng cặp unit .timer + .service thay cho crontab: OnCalendar định nghĩa lịch chạy, Persistent bù lại lần chạy bị bỏ lỡ khi máy tắt lúc đến giờ, RandomizedDelaySec né dồn tải khi nhiều máy cùng lịch, log đi thẳng vào journal thay vì mail, và cần WantedBy/After phù hợp để tránh hai phiên chạy chồng lấn.

#systemd#systemd-timer#cron#oncalendar
Operating SystemsNâng cao

Siết systemd service bằng unit file: namespace + seccomp trước khi exec

Các directive như ProtectSystem, ProtectHome, PrivateTmp, NoNewPrivileges, CapabilityBoundingSet, SystemCallFilter khiến systemd dựng sẵn mount namespace riêng và nạp bộ lọc seccomp-bpf cho tiến trình trước khi gọi execve; systemd-analyze security chấm điểm mức lộ diện còn lại để vá dần.

#systemd#hardening#seccomp#namespaces