topは現在のユーザープロセスのみを表示します

Question 1

1 つの可能性は、またはの/procいずれかを使用してマウントすることです。このマウントオプションは、最近の Linux カーネルで追加され、CentOS 5.9 および 6.3 の頃にバックポートされました。 hidepid=1hidepid=2

Mount options
   The proc filesystem supports the following mount options:

   hidepid=n (since Linux 3.3)
          This option controls who can access the information in
          /proc/[pid] directories.  The argument, n, is one of the
          following values:

          0   Everybody may access all /proc/[pid] directories.  This is
              the traditional behavior, and the default if this mount
              option is not specified.

          1   Users may not access files and subdirectories inside any
              /proc/[pid] directories but their own (the /proc/[pid]
              directories themselves remain visible).  Sensitive files
              such as /proc/[pid]/cmdline and /proc/[pid]/status are now
              protected against other users.  This makes it impossible
              to learn whether any user is running a specific program
              (so long as the program doesn't otherwise reveal itself by
              its behavior).

          2   As for mode 1, but in addition the /proc/[pid] directories
              belonging to other users become invisible.  This means
              that /proc/[pid] entries can no longer be used to discover
              the PIDs on the system.  This doesn't hide the fact that a
              process with a specific PID value exists (it can be
              learned by other means, for example, by "kill -0 $PID"),
              but it hides a process's UID and GID, which could
              otherwise be learned by employing stat(2) on a /proc/[pid]
              directory.  This greatly complicates an attacker's task of
              gathering information about running processes (e.g.,
              discovering whether some daemon is running with elevated
              privileges, whether another user is running some sensitive
              program, whether other users are running any program at
              all, and so on).

もう一つの可能性（投稿者が発見し、参考情報としてこの回答に追加したもの）はgrセキュリティこれには、他のユーザーのプロセスを権限のないユーザーから隠す機能があります。ファイルシステムの強化。

権限のないユーザーに対して他のユーザーのプロセスを非表示にする

アップストリームカーネルは現在、他の権限のないユーザーのプロセスを非表示にするために /proc のマウントオプションを提供していますが、grsecurity はこれを超えて、そのような情報をデフォルトで非表示にし、/proc 内のカーネルによって提供される機密情報の追加ソースを非表示にし、すべてのユーザーのプライベートネットワーク関連情報を非表示にします。ネットワーク情報は、システム上の他のユーザーのプライバシーを侵害するだけでなく、過去には TCP ハイジャック攻撃にも役立ってきました。

Answer

1 つの可能性は、またはの/procいずれかを使用してマウントすることです。このマウントオプションは、最近の Linux カーネルで追加され、CentOS 5.9 および 6.3 の頃にバックポートされました。 hidepid=1hidepid=2

Mount options
   The proc filesystem supports the following mount options:

   hidepid=n (since Linux 3.3)
          This option controls who can access the information in
          /proc/[pid] directories.  The argument, n, is one of the
          following values:

          0   Everybody may access all /proc/[pid] directories.  This is
              the traditional behavior, and the default if this mount
              option is not specified.

          1   Users may not access files and subdirectories inside any
              /proc/[pid] directories but their own (the /proc/[pid]
              directories themselves remain visible).  Sensitive files
              such as /proc/[pid]/cmdline and /proc/[pid]/status are now
              protected against other users.  This makes it impossible
              to learn whether any user is running a specific program
              (so long as the program doesn't otherwise reveal itself by
              its behavior).

          2   As for mode 1, but in addition the /proc/[pid] directories
              belonging to other users become invisible.  This means
              that /proc/[pid] entries can no longer be used to discover
              the PIDs on the system.  This doesn't hide the fact that a
              process with a specific PID value exists (it can be
              learned by other means, for example, by "kill -0 $PID"),
              but it hides a process's UID and GID, which could
              otherwise be learned by employing stat(2) on a /proc/[pid]
              directory.  This greatly complicates an attacker's task of
              gathering information about running processes (e.g.,
              discovering whether some daemon is running with elevated
              privileges, whether another user is running some sensitive
              program, whether other users are running any program at
              all, and so on).

もう一つの可能性（投稿者が発見し、参考情報としてこの回答に追加したもの）はgrセキュリティこれには、他のユーザーのプロセスを権限のないユーザーから隠す機能があります。ファイルシステムの強化。

権限のないユーザーに対して他のユーザーのプロセスを非表示にする

アップストリームカーネルは現在、他の権限のないユーザーのプロセスを非表示にするために /proc のマウントオプションを提供していますが、grsecurity はこれを超えて、そのような情報をデフォルトで非表示にし、/proc 内のカーネルによって提供される機密情報の追加ソースを非表示にし、すべてのユーザーのプライベートネットワーク関連情報を非表示にします。ネットワーク情報は、システム上の他のユーザーのプライバシーを侵害するだけでなく、過去には TCP ハイジャック攻撃にも役立ってきました。

Question 2

以下の投稿の情報に基づいて、3 つの解決策を特定しました。

grsecurty により、ユーザーが他のユーザーの pid を表示できなくなる可能性があり/proc/、OVH (私のホスティング会社) は Grsecurity でコンパイルされたカスタムカーネルを使用していると述べています。

$ uname -r
3.14.32-xxxx-grs-ipv6-64

可能な解決策は次のとおりです:

grsecurityを削除する
そのような使用を許可するようにポリシーを編集する
他の管理者に新しいセキュリティ対策を周知させる

私にとっては、セキュリティが第一なので、他の管理者を教育することが最善の選択肢です。それでも、このようなことについて彼らが私たちに知らせてくれたらよかったのにと思います。ご協力ありがとうございました!

Answer