Einen unbekannten Linux-Host identifizieren, bevor etwas daran geändert wird

Ziel

Ein genaues Bild eines Linux-Hosts gewinnen – Distribution, Kernel, Virtualisierung, Init-System, Paketmanager, Mandatory Access Control –, bevor ein Befehl ausgeführt wird, der eines davon voraussetzt. Dabei kommen ausschliesslich lesende Befehle zum Einsatz.

Voraussetzungen

Eine Shell-Sitzung auf dem Zielhost. Für keinen der folgenden Schritte sind besondere Rechte nötig, ausser für aa-status: Dieser Befehl braucht auf vielen Systemen Root-Rechte, um die geladenen Profile zu lesen (sestatus funktioniert ohne Privilegien).

Schritte

1. Identität der Distribution auslesen: cat /etc/os-release. Die Datei definiert maschinenlesbar ID= und VERSION_ID= sowie einen menschenlesbaren PRETTY_NAME=. Sie ist eigens dafür über Distributionen hinweg standardisiert, dass Skripte nicht anhand release-spezifischer Dateien raten müssen.
2. Version des laufenden Kernels auslesen: uname -r. Der Wert lässt sich später mit dem neuesten installierten Kernel-Paket vergleichen, um eine Abweichung zu erkennen, die auf einen ausstehenden Neustart hinweist.
3. Auf einem systemd-Host eine zusammenfassende Übersicht mit einem einzigen Befehl abrufen: hostnamectl status (bei älteren Versionen genügt hostnamectl). Der Befehl gibt den Hostnamen und weitere Systeminformationen aus, die systemd-hostnamed zusammenträgt.
4. Virtualisierung oder Ausführung in einem Container erkennen: systemd-detect-virt gibt den Namen des Hypervisors oder der Container-Technologie aus, andernfalls none. systemd-detect-virt --container und --vm beschränken die Prüfung auf jeweils eine Kategorie und beenden sich mit einem Exit-Code ungleich null, wenn diese Kategorie nicht zutrifft. Zur Gegenprüfung dienen [ -f /.dockerenv ] oder der Inhalt von /proc/1/cgroup, da nicht jede Container-Runtime von jeder Werkzeugversion gleich erkannt wird.
5. Prüfen, welches Init-System den Host tatsächlich verwaltet, statt systemd einfach anzunehmen: readlink /proc/1/exe (oder ps -p 1 -o comm=). Auf einem systemd-Host verweist der Link auf .../systemd.
6. Den Paketmanager anhand der tatsächlich vorhandenen Werkzeuge bestimmen, nicht allein am Namen der Distribution (manche Images entfernen Paketmanager): mit command -v nach dpkg, rpm, apk oder pacman suchen.
7. Zustand der Mandatory Access Control auslesen: Auf einer Distribution mit SELinux meldet sestatus den SELinux-Status und den aktuellen Modus (enforcing, permissive, disabled). Auf einer Distribution mit AppArmor meldet aa-status, ob das Modul geladen ist, wie viele Profile geladen sind und in welchem Modus.

Erwartetes Ergebnis

Ein kurzes Datenblatt mit Distribution und Version, Kernel-Version, Virtualisierungs-/Container-Status, Init-System, Paketmanager sowie MAC-Framework und -Modus – erhoben, ohne den Host zu verändern.

Grenzen und Prüfbasis

Grundlage sind os-release(5), hostnamectl(1), systemd-detect-virt(1), sestatus(8) und aa-status(8). Keiner dieser Schritte erfordert ein Rollback, da keiner etwas schreibt. Ist auf einem Host weder sestatus noch aa-status installiert, ist schlicht keine Mandatory-Access-Control-Schicht aktiv, die über die üblichen diskretionären Zugriffsrechte hinausgeht – auch das ist eine nützliche Information.