Leistungsereignisse einschränken

Warum es wichtig ist

Die Schnittstelle für Performance-Ereignisse erlaubt Programmen zu messen, was CPU und Kernel tun. Sie bringt eine große Menge Kernelcode in die Reichweite gewöhnlicher Benutzer und hatte viele Schwachstellen. Sie anzuziehen verringert, was ein lokaler Angreifer berühren kann.

Wie es funktioniert

Setzt kernel.perf_event_paranoid auf 2. Nach der Kernel-Dokumentation können Benutzer ohne CAP_PERFMON dann den Kernel nicht profilen und keine rohen Tracepoints oder CPU-weiten Ereignisse nutzen, aber weiterhin ihre eigenen Programme im Userspace messen. Manche Distributionen ergänzen strengere Stufen.

Für wen es sich eignet

Gut für Desktops und Server, auf denen niemand Code profiliert. Viele Distributionen nutzen bereits 2 oder mehr. Entwickler, die perf auf dem Kernel oder systemweit einsetzen, sollten es lassen oder sudo benutzen.

Was Sie bemerken könnten

perf record für Kernel- oder systemweite Samples schlägt mit einer Meldung fehl, die perf_event_paranoid nennt. Das Profilen des eigenen Programms im Userspace funktioniert auf Stufe 2 meist weiter.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl kernel.perf_event_paranoid

Ein strengerer Wert als dieser ist ebenfalls in Ordnung.

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w kernel.perf_event_paranoid=2

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-kernel-perf-events.conf <<'EOF'
kernel.perf_event_paranoid = 2
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• Kernel-Adressen verbergen
• eBPF auf Administratoren beschränken
• Untersuchen eines Programms durch ein anderes begrenzen

Quellen

Linux Hardening Guide (madaidans)

2.2.1

Linux kernel documentation

kernel.perf_event_paranoid