Parece que la mayoría de los sistemas Linux usan /sbin/nologin o /bin/false como shell predeterminado para las cuentas de servicio. Muchas guías de fortalecimiento, como los puntos de referencia de CIS, recomiendan cambiar el shell predeterminado para estas cuentas a /dev/null . Si bien muchas recomendaciones tienen un anslysis adjunto, esta es una que nunca he visto justificada. ¿Qué preocupaciones están impulsando estas recomendaciones y qué amenaza intenta mitigar?
La única razón técnica verdadera que conozco es la posibilidad de una sustitución de archivos maliciosa. Considere un atacante que encuentra una manera de escribir en archivos arbitrarios. Si pueden sobrescribir / sbin / nologin o / bin / false con una copia de / bin / bash, entonces es probable que puedan encontrar una manera de iniciar sesión como usuario del servicio y continuar elevando su privilegio desde allí.
Sin embargo, / dev / null no se puede reemplazar de forma trivial de esta manera, por varias razones:
También hay una razón no técnica, que es que muchos administradores están obligados por la tradición y / o los hábitos que aprendieron hace mucho tiempo, y / dev / null fue una vez una opción más común para este uso (soy bastante seguro / sbin / nologin no existía hace 20 años). Haz de eso lo que quieras.
No soy un gurú de Linux, pero si comparo esto con las recomendaciones para cuentas de servicio en Windows, creo que esto es comparable a eliminar todos los privilegios, incluida la posibilidad de un inicio de sesión interactivo.
Probablemente sea solo una cuestión de minimizar la superficie de ataque / privilegio mínimo ...:
Si no lo necesita, apáguelo.
El uso de / dev / null no generaría un registro de auditoría de seguridad de un intento de inicio de sesión interactivo no autorizado.