CentOS Sniffer如何管理用户权限

CentOS 上 Sniffer 的用户权限管理

一、权限模型与前置原则

• 抓包需要内核网络能力（如 CAP_NET_RAW）和对网卡的直接访问，通常只有 root 或具备相应能力的用户才能执行。为降低风险，建议采用最小权限原则、基于用户组授权、sudo 精细化授权，并在需要时结合 SELinux 做细粒度控制。
• 常见做法：创建专用的 sniffer 用户组，按需将用户加入该组，仅授予运行抓包程序的权限；必要时通过 sudo 限制可执行命令与参数，避免授予完整 root 权限。

二、用户与组管理

• 创建专用组与用户，并加入组：
  • 创建组：sudo groupadd sniffer
  • 创建用户：sudo useradd -m -s /bin/bash alice
  • 加入组：sudo usermod -aG sniffer alice
• 授予 sudo 运行抓包程序的权限（推荐白名单方式）：
  • 安全编辑：sudo visudo
  • 示例（仅允许运行 /usr/bin/tcpdump）：alice ALL=(ALL) /usr/bin/tcpdump
  • 如需免密：alice ALL=(ALL) NOPASSWD: /usr/bin/tcpdump
• 注意：许多抓包工具（如 tcpdump）默认需要 root；若以普通用户运行，需通过 sudo 或能力机制授权，避免直接赋予 root 登录。

三、文件与目录权限

• 程序与配置的最小权限：
  • 可执行程序：sudo chmod 755 /usr/bin/tcpdump（所有者 rwx，组和其他 rx）
  • 配置与日志目录：仅管理员可写，其他只读/不可访问
• 使用 ACL 精细授权（如共享目录给 sniffer 组）：
  • 设置：sudo setfacl -m g:sniffer:rx /opt/sniffer
  • 查看：getfacl /opt/sniffer
• 原则：避免使用 777，仅对必要文件授予写权限，定期审计关键目录与文件的权限与属主。

四、网络与 SELinux 控制

• 网络接口与权限：
  • 抓包依赖对网卡（如 eth0）的访问，未授权用户无法捕获数据包；必要时通过用户组 + sudo 授权，或在受控主机/镜像端口上执行抓包。
• SELinux 策略：
  • 查看状态：sestatus
  • 调试时可临时设为宽容模式：sudo setenforce 0（生产环境不建议长期关闭）
  • 永久配置：/etc/selinux/config 中设置 SELINUX=enforcing|permissive|disabled
  • 抓包相关操作可能被 SELinux 拒绝，需按需在 enforcing 模式下调整策略或保持宽容模式进行排障。

五、快速示例 以 tcpdump 为例

• 场景：允许 alice 仅能运行 tcpdump 抓包，不能执行其他 root 命令。
• 步骤：
  1. 创建组与用户并授权：
     • sudo groupadd sniffer
     • sudo useradd -m -s /bin/bash alice
     • sudo usermod -aG sniffer alice
  2. 仅授予 tcpdump 的 sudo 权限：
     • sudo visudo
     • 添加：alice ALL=(ALL) /usr/bin/tcpdump
  3. 验证：
     • 切换到 alice：su - alice
     • 抓包：sudo tcpdump -i eth0 -c 10
• 说明：若系统启用 SELinux 且抓包被拒，先排查策略或在排障阶段临时切换为宽容模式；生产环境请保持 enforcing 并通过策略修正而非长期关闭。