Ensure Appropriate Core Dump Limits Are Set

낮음레벨 2수동 검토tdsql

설명

Core dumps of TDSQL processes may contain sensitive data (encryption keys, passwords, query data). Core dump generation should be restricted in production. Note: TDSQL's start.sh sets ulimit -c unlimited by default.

점검 방법

감사 방식: 수동 검토

이 권장 사항은 자동으로 점검할 수 없습니다. --include-manual 옵션을 전달하면 스캔 결과에 이 지침과 함께 표시됩니다.

Run ulimit -c for the TDSQL service account, cat /proc/sys/kernel/core_pattern and grep -r 'ulimit.*-c' <tdsql>/bin/start.sh (TDSQL start.sh sets unlimited). Core dumps must either be disabled or written only to a restricted directory (e.g. /var/core/tdsql, mode 700, owned by tdsql) with a size limit set by policy.

조치 방법

조치 방식: 가이드 또는 인프라 패치

# Create a restricted core dump directory mkdir -p /var/core/tdsql chmod 700 /var/core/tdsql chown tdsql:tdsql /var/core/tdsql echo 'kernel.core_pattern = /var/core/tdsql/core.%e.%p.%t' >> /etc/sysctl.conf sysctl -p # Modify start.sh for production: # From: ulimit -c unlimited # To: ulimit -c 0 (or a reasonable limit)

속성

운영 체제: 모두
태그: tdsqlos
참고 자료: CIS Tencent TDSQL 10.3.22 Benchmark v1.0.0 - 1.7 Ensure Appropriate Core Dump Limits Are Set