Эксплуатация Linux

du -sh /home/ubuntu показывает суммарный размер одной директории. Чтобы отранжировать несколько, выполните du -sh * | sort -h — du -s суммирует каждый элемент, -h печатает человекочитаемые единицы, а sort -h сортирует эти размеры, и самая большая директория оказывается в конце.

/etc/sudoers задаёт, какие пользователи могут запускать какие команды от имени другого пользователя (обычно root) через sudo — правится безопасно через visudo. Sticky bit на директории (chmod 1777, показывается как t) ограничивает удаление: в доступной всем на запись директории вроде /tmp удалить файл может только его владелец или root.

LVM (Logical Volume Manager) — это абстракция хранения между дисками и ФС. Physical volume (PV) — сырой диск или раздел; один или несколько PV образуют volume group (VG), пул хранения; logical volume (LV) выделяется из VG и получает ФС, и его можно менять в размере или растягивать по дискам на лету.

free -h показывает всю, занятую и доступную RAM плюс swap. Память по процессам смотрят через top (или htop), сортируя по колонке RES — резидентному набору в RAM. VIRT — это виртуальное адресное пространство (часто огромное и разделяемое), а SHR — разделяемая часть, поэтому они не отражают реальную RAM.

systemd — это система инициализации и менеджер сервисов на современном Linux. Ядро запускает его первым, поэтому он работает как PID 1 и становится родителем всех остальных процессов. Юнитом управляют через systemctl: systemctl restart nginx останавливает и запускает сервис, а systemctl status nginx показывает его состояние.

Процессу шлют сигнал по PID: kill <pid> отправляет SIGTERM (15) — запрос, который процесс может перехватить и выйти. kill -9 <pid> отправляет SIGKILL (9), и ядро применяет его сразу — перехватить, заблокировать или проигнорировать нельзя, поэтому очистка не выполняется. Сначала шлют SIGTERM, а SIGKILL — для зависших процессов.

Swap — это место на диске (раздел или файл), куда ядро вытесняет неактивные страницы памяти при нехватке RAM. Его добавляют на лету через swapon и отключают через swapoff, но swapoff сначала обязан вернуть выгруженные страницы в RAM — и падает, если их больше свободной RAM. Swap по процессам — в /proc/<pid>/status (VmSwap) или smem.

По соглашению логи лежат в /var/log, а конфиги — в /etc, хотя сервисы могут использовать другие пути. Inode — это структура на диске с метаданными файла: размер, владелец, права, метки времени, указатели на блоки, но не имя, которое живёт в записи каталога, ссылающейся на inode.

ip addr add 10.0.0.5/24 dev eth0 добавляет адрес сразу, но он теряется при перезагрузке, так как не сохранён. Чтобы сделать его постоянным, его прописывают в конфиг дистрибутива: YAML Netplan в /etc/netplan на современной Ubuntu, профили NetworkManager или /etc/network/interfaces на старом Debian — затем применяют.

Время синхронизируется по NTP демоном: chrony (chronyd) на современных дистрибутивах или более старый ntpd. На systemd-хостах timedatectl показывает, синхронизированы ли часы и какая служба этим занята, а chronyc tracking сообщает смещение и вышестоящий источник. Точное время важно для логов и TLS.

OOM-killer (out-of-memory) — это механизм ядра, освобождающий память завершением процесса, когда RAM и swap кончились и выделение памяти невозможно. Он оценивает каждый процесс через oom_score — в основном по объёму памяти, настраивается через oom_score_adj — и убивает набравшего наибольший балл, чтобы вернуть больше всего памяти.

iptables (и его преемник nftables) — это пакетный фильтр ядра, то есть правила хостового файрвола; firewalld — высокоуровневый интерфейс, управляющий ими через зоны. SELinux и AppArmor — слои Mandatory Access Control, ограничивающие процессы сверх прав на файлы: SELinux использует метки и политику, AppArmor — профили по путям. Файрвол фильтрует трафик; MAC ограничивает скомпрометированный процесс.

Репозиторий — это сервер с подписанными пакетами и подписанным индексом, который пакетный менеджер забирает и перед установкой проверяет по доверенному ключу. В Debian/Ubuntu источники лежат в /etc/apt/sources.list и /etc/apt/sources.list.d/; в RHEL — в /etc/yum.repos.d/. Чтобы поднять свой, зеркалируют или собирают репозиторий и отдают по HTTP — это делают Aptly, Pulp или Nexus.

Отдельного выключателя на пользователя нет, но у cron есть гейт разрешений: /etc/cron.allow и /etc/cron.deny. Если cron.allow существует, использовать crontab могут только перечисленные в нём; иначе — все, кого нет в cron.deny. Поэтому пользователя вносят в cron.deny (или не вносят в cron.allow) и удаляют его запись в /var/spool/cron, так как deny не останавливает уже запланированные задачи.

PAM — это фреймворк, позволяющий программам делегировать аутентификацию стеку подключаемых модулей вместо жёсткого кодирования. Службы вроде login, sshd и sudo работают через PAM; их конфиг в /etc/pam.d/ перечисляет модули по группам auth, account, password, session. Управляющий флаг (required, sufficient) решает итог, так что 2FA или LDAP добавляются без пересборки службы.

Процесс держит открытый дескриптор на файл, удалённый из каталога. du обходит имена и больше его не видит, но блоки inode живут, пока открыт хоть один дескриптор, поэтому df всё ещё считает место. Найдите через lsof | grep deleted; верните место перезапуском или сигналом держащего процесса либо обнулив его дескриптор через /proc/<pid>/fd.

Слой под каждую угрозу. Загрузка/прошивка: Secure Boot и пароль на GRUB/BIOS, чтобы атакующий не загрузил чужой носитель и не правил параметры ядра. Диск: полнодисковое шифрование (LUKS), чтобы украденный ноутбук не отдал данные. ОС/рантайм: слой MAC (SELinux/AppArmor), хостовый файрвол, блокировка USB, обновления и защита конечной точки (AV/EDR). Организационно: централизованный конфиг, минимум привилегий и аудит-логи вне хоста.