Utwórz regułę iptables dla procesu/usługi

-m owner --pid-owner PID

Zobacz http://linuxpoison.blogspot.com/2010/11/how-to-limit-network-access-by-user.html i http://linux.die.net/man/8/iptables

Zauważ, że potrzebujesz modułu ipt_owner, ponieważ --pid-owner nie jest obsługiwany przez xt_owner.

Na przykład (jest to tylko przybliżenie)

#!/bin/bash
$@ &
iptables -m owner --pid-owner %1 -j REJECT

Jeśli istnieje sposób na uzyskanie pid procesu przed jego rozpoczęciem, To nigdy o nim nie słyszałem.

Możesz napisać wrapper, który najpierw rozwidla, a następnie dodaje regułę i wykonuje proces (zakładając, że program, który uruchamiasz, nie rozwidla ponownie), ponieważ PID nie jest zmieniany przez wywołanie exec(3).

/* NOTE this contains zero error checking */
int main(int argc, char **argv) {
    /* Eat argv[0] the name of the wrapper script */
    argv++;
    argc--;

    pid_t my_pid = getpid();

    char *iptables_cmd = NULL;
    asprintf(&iptables_cmd, "/sbin/iptables -A INPUT -m owner --pid_owner %d -j ACCEPT", my_pid);

    system(iptables_cmd);

    execv(argv[0], argv);
}

Francuska Strona Wikipedii o iptables https://fr.wikipedia.org/wiki/Iptables stwierdza, że możliwość filtrowania za pomocą --pid-owner lub -- cmd-owner została usunięta począwszy od jądra 2.6.14... i linki do dziennika zmian jądra, gdzie nie mogłem sprawdzić tego twierdzenia, ponieważ nie jestem specjalistą od tego, do czego służą wewnętrzne struktury jądra!

Równoważna strona w języku angielskim nie wchodzi w taki poziom szczegółowości.

Filtrowanie z UID/GID nadal działa.

Bazując na odpowiedzi @ Bgs, zrobiłbym to tak:

1. Dodaj nową grupę systemową, np. snitch

sudo addgroup --system snitch

1. Dodaj siebie do tej grupy, aby nie zostać poproszonym o hasło do uruchamiania procesów z ustawioną na nią podstawową grupą:

sudo adduser $USER snitch

1. Dodaj reguły IPv4 i IPv6 do logowania i odrzucania pakietów generowanych przez procesy należące do tej grupy:

sudo iptables  -A OUTPUT -m owner --gid-owner snitch -j LOG --log-prefix 'Snitch: '
sudo ip6tables -A OUTPUT -m owner --gid-owner snitch -j LOG --log-prefix 'Snitch: '
sudo iptables  -A OUTPUT -m owner --gid-owner snitch -j REJECT
sudo ip6tables -A OUTPUT -m owner --gid-owner snitch -j REJECT

1. Otwórz zegarek ogonowy na jądrze wiadomości:

dmesg -w

1. Uruchom proces docelowy za pomocą sg lub innych podobnych środków:

sg snitch 'your target program'