CageFS

CageFS nedir?

CageFS, CloudLinux işletim sisteminde her hosting hesabını kendine ait sanal bir dosya sistemi içine hapseden yalıtım teknolojisidir. Kullanıcı yalnızca kendi dosyalarını ve çalışması için gereken sistem parçalarını görür; diğer hesapların dizinlerini, sistem yapılandırmalarını ve başka kullanıcıların süreçlerini göremez.

Paylaşımlı hostingde yüzlerce hesap aynı sunucuyu kullanır. Yalıtım olmadığında ele geçirilen tek bir site, aynı makinedeki komşu sitelerin dosyalarını okumak için kullanılabilir. CageFS bu yatay yayılımın önüne geçmek için tasarlanmıştır.

Nasıl çalışır?

Kullanıcı SSH, cron, PHP ya da CGI üzerinden bir komut çalıştırdığında süreç, o kullanıcının sanal kafesine alınır. Kafesin içinde yalnızca izin verilen dizinler ve araçlar bulunur; kullanıcının ev dizini ise kendi görünümüne bağlanır.

• Diğer kullanıcıların ev dizinleri ve /etc altındaki hassas dosyalar görünmez.
• ps gibi araçlar yalnızca kullanıcının kendi süreçlerini listeler.
• Sistemde kurulu hangi komutların kafese dahil edileceği yönetici tarafından belirlenir.

Sunucu ve hosting ortamında

CageFS; cPanel, Plesk ve DirectAdmin ile entegre çalışır ve genellikle CloudLinux’un kaynak sınırlama özelliği LVE ile birlikte kullanılır. Böylece hem dosya erişimi hem de CPU, bellek ve G/Ç tüketimi hesap bazında sınırlanır. Hosting sağlayıcıları genellikle yeni açılan tüm hesapları varsayılan olarak kafese alır.

Yönetici tarafında temel işlemler cagefsctl aracıyla yapılır. Örneğin kafesi ilk kez oluşturmak için cagefsctl --init, sistemdeki değişiklikleri kafese yansıtmak için cagefsctl --update kullanılır. Yeni bir paket kurulduğunda kafesin güncellenmesi gerekebilir.

Nasıl korunulur?

• Yeni açılan tüm hesapların kafese alındığından emin olun; yeni kullanıcılar için varsayılan mod etkin olmalı.
• Bir paket ya da PHP sürümü ekledikten sonra kafesi güncelleyin ve uygulamaların hâlâ çalıştığını doğrulayın.
• Kafesin dışında bırakılan kullanıcıları düzenli olarak gözden geçirin; istisnalar kalıcı hale gelmemeli.
• CageFS’yi sembolik bağ koruması ve LVE sınırlarıyla birlikte kullanın; tek başına tüm riskleri kapatmaz.
• Kafese eklenen bağlama noktalarını ve izinleri asgari düzeyde tutun.

Sık yapılan hatalar

• CageFS’yi kurup yeni hesapları kafese eklemeyi unutmak.
• Bir uygulama çalışmadığında hesabı topluca kafesten çıkarmak; asıl çözüm gerekli aracı kafese eklemektir.
• Kafesi güvenlik duvarı ya da zararlı yazılım tarayıcısının yerine koymak.
• Sistem güncellemesinden sonra cagefsctl --update adımını atlamak.