Предотвращение выполнения программ в Linux?

Question

[Александр]

Необходимо написать некое ПО для Linux, которое бы отслеживало запуск пользователем исполняемых файлов, проверяло эти исполняемые файлы по какому-либо критерию (не суть важно) и либо разрешало их исполнение, либо блокировало запуск и уведомляло пользователя. В связи с чем возникает вопрос — как такое реализуется в Linux и с чего начать копать?

Comments

[Влад Животнев]

> по какому-либо критерию (не суть важно)
Ну да, совсем неважно, ага =)

[Александр]

Влад Животнев: ну а какая разница? Все равно проверка должна выполняться в коде модуля.
Могу сказать, в принципе — проверка должна проводиться по хэшу исполняемого файла. Если хэш файла изменился (относительно эталонных данных в БД) — в исполнении должно быть отказано.

Answer 1

[Влад Животнев]

Можно написать so-шку и в LD_PRELOAD её, но это легко обходится (ну если знаешь про это).
Можно модулем ядра перехватывать вызов exec(), но это сложно реализуемо.

Comments

[Александр]

Можно подробнее про первый вариант?

[Влад Животнев]

Пример библиотеки с убиванием процессов - https://www.gnu.org/software/libc/manual/html_node...
www.catonmat.net/blog/simple-ld-preload-tutorial - а здесь про сам LD_PRELOAD

Answer 2

[Иван]

К слову я встречал костыль, который парсил вывод top и прибивал неугодных.

Comments

[Валерий Рябошапко]

oprichnik.sh? ;-) Тогда уж логичнее ps

Answer 3

[MrFrizzy]

apparmor, selinux профайлы не смотрели?