Linux - fanotify，但对于exec（）？

Question

有没有像fanotify这样的工具，但对于exec（）操作？ 像MacOS中的kauth ，但是在用户区域。

fanotify似乎只通知（和允许/拒绝）文件打开/关闭/读/写。

我已经看到了可以通过其他方式 （也在这里 ）通过fork和exec通知的代码，但是没有办法允许或拒绝exec。 此外，这种方法似乎存在缺陷，因为并非所有内核都使用netlink / proc连接器编译，并且它可能会被事件所淹没。

Answer 1

也许您正在寻找SELinux ，这是一个Linux内核模块，它提供了细粒度的安全策略的实施，比如谁或什么来执行某个文件。

Answer 2

我相信“Process Events Connector”正是您所寻找的。 此接口将允许您接收fork，exec和setuid / setguid事件的通知。

在http://netsplit.com/the-proc-connector-and-socket-filters上阅读更多LWN（ https://lwn.net/Articles/157150/ ）和一篇很棒的博客文章（不是我的）。

Answer 3

看起来Linux终于将这个功能添加到内核5.0中的fanotify（例如在Ubuntu 19.04中提供）。

有关详细信息，请参阅man 2 fanotify_mark 。 相关标志是FAN_OPEN_EXEC和FAN_OPEN_EXEC_PERM 。