Идеальная настройка ACL для Ransomware

CAVEAT: Это в основном интеллектуальное упражнение, поскольку в случае, если мой пользователь будет скомпрометирован, есть целый каскад событий, которые могут сделать этот механизм защиты совершенно бесполезным. Тем не менее, я думаю, что это интригующий случай.

Из-за недавних новостей ransomware мне стало любопытно о тонком управлении разрешениями файлов на Linux для моих рабочих станций. Недавно Microsoft объявила, что будущие версии Windows будут иметь механизм защиты разрешений, который запретит всем приложениям доступ ко всем файлам независимо от конкретных прав пользователя.

Это заставило меня задуматься, возможно ли реализовать этот механизм в Linux с помощью ACL.

Скажем, у меня есть машина с внешним жестким диском, который используется для резервного копирования, который устанавливается каждую ночь в 2 утра до начала резервного копирования. У моего пользователя есть права на запись на этот диск, и файлы, написанные там, принадлежат мне. Поэтому, если мой пользователь заразится ransomware, который будет работать после 2AM, он сможет видеть и шифровать резервный диск.

Одним из тривиальных решений, которые, как я думал, было бы выполнение резервного копирования с помощью выделенного пользователя (например, резервного копирования), который может читать мои файлы. Затем программа резервного копирования создает резервные копии (т. Е. Сохраняя мое первоначальное право собственности) внутри каталога, для которого у моего пользователя нет разрешений. Основная схема разрешений Unix запретит моему пользователю получать доступ к любым файлам внутри каталога, для которого у меня нет разрешений, хотя это выглядит не так элегантно.

Можно ли, например, установить определенные разрешения ACL, которые не позволят пользователю читать файлы, принадлежащие ему / ей?

Или есть совершенно другой подход, который даже лучше этого? (не обманывать удаленные резервные копии ssh / sftp 🙂