Repolode
Enviar
Zouuup

Zouuup/landrun

Uma CLI leve que executa qualquer processo Linux em um sandbox sem privilégios, usando Landlock para controlar com precisão o acesso ao sistema de arquivos e à rede.

Alternativa open source a:Firejail

Ver no GitHub
Estrelas
2,322
Forks
55
Issues abertas
4
Último commit
há 6 dias

O que é?

Landrun é uma ferramenta de linha de comando que executa um processo Linux em um sandbox baseado no Landlock, um módulo de segurança nativo do kernel que permite que processos sem privilégios restrinjam a si próprios. Não exige privilégios de root, containers nem arquivos de política do SELinux ou do AppArmor. Basta executar um comando com landrun e listar os caminhos e as portas que ele pode usar.

As regras de acesso são definidas por caminho, usando flags como --ro, --rw, --rox e --rwx, e por porta, com --bind-tcp, --connect-tcp, --bind-udp e --connect-udp. A ferramenta também oferece controle de conexões a sockets UNIX com nome, escopo para sockets UNIX abstratos e sinais, além de logs de auditoria das operações negadas pelo Landlock. O suporte depende do kernel: as restrições de TCP exigem Linux 6.7 ou posterior, e as de UDP, a versão 7.2 ou posterior. A flag --best-effort permite recorrer aos recursos compatíveis com kernels mais antigos.

Se nenhuma regra for definida e nenhuma flag de acesso irrestrito for usada, landrun nega todo acesso. As variáveis de ambiente não são repassadas ao processo filho, a menos que isso seja solicitado com --env.

Recursos principais

  • 01Executa qualquer comando Linux em um sandbox do Landlock, sem root nem containers.
  • 02Controla o acesso de leitura, escrita e execução por arquivo ou diretório.
  • 03Restringe operações de bind e conexão TCP e UDP por porta ou intervalo de portas.
  • 04Oferece controle de acesso a sockets UNIX com nome e delimitação de IPC.
  • 05Registra operações negadas pelo Landlock para auditoria, em kernels compatíveis.
  • 06Usa --best-effort para se adaptar sem interromper a execução em kernels mais antigos.

Casos de uso

  • Confinar uma etapa de build não confiável, um script ou um binário de terceiros para impedir que leia segredos ou acesse a rede.
  • Executar um servidor web ou daemon com acesso limitado aos diretórios de configuração, logs e raiz do site.
  • Restringir uma ferramenta CLI a portas específicas ou a um único socket de banco de dados.
  • Reforçar a segurança de serviços do systemd sem criar um container completo nem escrever uma política MAC.

Tópicos

#sandbox#landlock#linux#security#process-isolation#cli#least-privilege#golang#kernel#sandbox-environment

Perguntas frequentes

O que é landrun?
Uma CLI leve que executa qualquer processo Linux em um sandbox sem privilégios, usando Landlock para controlar com precisão o acesso ao sistema de arquivos e à rede. Landrun é uma ferramenta de linha de comando que executa um processo Linux em um sandbox baseado no Landlock, um módulo de segurança nativo do kernel que permite que processos sem privilégios restrinjam a si próprios. Não exige privilégios de root, containers nem arquivos de política do SELinux ou do AppArmor. Basta executar um comando com landrun e listar os caminhos e as portas que ele pode usar.
landrun é gratuito? Qual é a licença?
landrun é open source sob a licença MIT. Confira os termos da licença antes de usá-lo em produtos comerciais.
landrun ainda é mantido?
Manutenção ativa. O último commit de landrun foi em 16 de out. de 2026.
Para que posso usar landrun?
Confinar uma etapa de build não confiável, um script ou um binário de terceiros para impedir que leia segredos ou acesse a rede. Executar um servidor web ou daemon com acesso limitado aos diretórios de configuração, logs e raiz do site. Restringir uma ferramenta CLI a portas específicas ou a um único socket de banco de dados. Reforçar a segurança de serviços do systemd sem criar um container completo nem escrever uma política MAC.
Onde consigo landrun?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/Zouuup/landrun

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados