Linux 安全管理：文件系统安全
文件系统安全是 Linux 系统安全管理中非常重要的组成部分，它通过控制文件和目录的访问权限、加密数据、监控系统活动来保护系统的核心数据和用户数据。确保文件系统安全可以有效防止恶意行为、数据泄露和系统破坏。
1. 文件权限与所有权
在 Linux 系统中，文件的访问控制主要通过文件权限和文件所有权来实现。每个文件和目录都有一个所有者（user）、一个组（group）和权限位（read、write、execute）。
1.1 文件权限
文件的权限分为三类：用户权限、组权限和其他用户权限。每个权限可以分为读取（r）、写入（w）、执行（x）权限。可以通过 ls -l 命令查看文件或目录的权限和所有权：
$ ls -l
-rwxr-xr-- 1 user group 4096 Sep 10 14:00 example.txt
在这个例子中：
rwx：文件所有者（user）的权限，表示可读、可写和可执行。r-x：组（group）的权限，表示只读和可执行。r--：其他用户（other）的权限，表示只读。
每个权限位还对应着一个八进制数字：
- r = 4，w = 2，x = 1。因此，
rwx表示的八进制权限为7，r-x为5，r--为4。
1.2 修改文件权限和所有权
Linux 提供了几个命令来管理文件权限和所有权：
-
chmod：修改文件或目录的权限。可以使用符号或数字方式指定权限。使用符号方式：
chmod u+x file.txt # 给文件所有者添加执行权限 chmod g-w file.txt # 移除组的写权限使用八进制方式：
chmod 755 file.txt # 设置权限为 rwxr-xr-x -
chown：更改文件或目录的所有者和所属组。chown user:group file.txt # 将文件的所有者改为 user，所属组改为 group
1.3 umask：默认权限
当用户创建新文件或目录时，系统会根据 umask 值来决定默认的权限设置。umask 是一个掩码，它从默认权限中去掉某些权限。例如，默认文件权限通常是 666（rw-rw-rw-），如果 umask 值是 022，则最终权限为 644（rw-r–r–）。
查看当前 umask 值：
umask
设置新的 umask 值：
umask 027 # 默认权限变为 rwxr-x---
2. 特殊权限位：SUID、SGID 和 Sticky 位
除了标准的读写执行权限，Linux 还有三种特殊权限位：SUID（Set User ID）、SGID（Set Group ID）和 Sticky 位，分别用于控制文件或目录的特殊行为。
2.1 SUID（Set User ID）
当文件设置了 SUID 位后，执行该文件的用户会暂时获得文件所有者的权限。这通常用于一些需要提升权限的可执行文件，如 passwd 命令。
查看 SUID 权限：
ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root 54256 Sep 10 14:00 /usr/bin/passwd
注意到文件所有者的执行权限位（rwx）中的 x 被替换为 s，表示该文件具有 SUID 属性。
设置 SUID 位：
chmod u+s file.txt
2.2 SGID（Set Group ID）
SGID 位类似于 SUID，但影响的是文件的组权限。当对目录设置 SGID 时，所有在该目录下创建的文件将继承目录的组，而不是创建者的默认组。对文件设置 SGID 时，执行该文件的用户会暂时拥有文件组的权限。
查看 SGID 权限：
ls -l /path/to/directory
drwxr-sr-x 2 user group 4096 Sep 10 14:00 mydir
设置 SGID 位：
chmod g+s mydir
2.3 Sticky 位
Sticky 位通常用于目录上，特别是共享目录。设置 Sticky 位后，只有文件的所有者或根用户才能删除该文件，即使其他用户在同一目录下也拥有写权限。常见的使用场景是 /tmp 目录。
查看 Sticky 位：
ls -ld /tmp
drwxrwxrwt 10 root root 4096 Sep 10 14:00 /tmp
设置 Sticky 位：
chmod +t /mydir
3. 文件加密
文件加密可以保护敏感数据不被未授权的用户访问。Linux 提供了多种文件加密机制，包括文件级别的加密和磁盘分区加密。
3.1 文件级加密：gpg
gpg（GNU Privacy Guard）是 Linux 上常用的文件加密工具。它支持对文件进行加密、签名等操作。
加密文件：
gpg -c file.txt # 创建 file.txt.gpg 加密文件
输入密码后，gpg 会生成加密文件，原始文件可以根据需求选择保留或删除。
解密文件：
gpg file.txt.gpg # 需要输入解密密码
3.2 磁盘加密：LUKS
LUKS（Linux Unified Key Setup）是一种常见的磁盘加密方案，适用于对整个磁盘分区进行加密。LUKS 在 Linux 中与 dm-crypt 结合使用，实现透明的磁盘加密。
创建 LUKS 加密分区的基本步骤：
-
安装
cryptsetup工具：sudo apt install cryptsetup -
设置加密分区：
sudo cryptsetup luksFormat /dev/sdX -
打开加密分区：
sudo cryptsetup luksOpen /dev/sdX encrypted_partition -
格式化并挂载加密分区：
sudo mkfs.ext4 /dev/mapper/encrypted_partition sudo mount /dev/mapper/encrypted_partition /mnt
通过这种方式，可以确保整个分区的数据在物理存储介质上是加密的。
4. 文件审计与访问控制
审计系统活动和使用访问控制机制是增强文件系统安全的重要措施。Linux 提供了多种工具用于跟踪文件操作和访问权限。
4.1 auditd：审计系统
auditd 是 Linux 系统审计守护进程，可以记录系统调用、文件访问和其他安全相关的操作。
安装 auditd：
sudo apt install auditd
创建审计规则。例如，监控 /etc/passwd 文件的修改：
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
-w /etc/passwd：指定要监控的文件。-p wa：监控写和属性更改。-k passwd_changes：为规则指定一个标签，以便后续查找。
查看审计日志：
sudo ausearch -k passwd_changes
4.2 SELinux 和 AppArmor
SELinux 和 AppArmor 是 Linux 上的两种强制访问控制（MAC）系统，它们通过定义严格的安全策略，限制用户和进程对系统资源的访问。
-
SELinux：通常在 Red Hat 系列的发行版（如 CentOS、Fedora）中默认启用，提供了详细的安全策略和基于标签的访问控制。
查看 SELinux 状态：
sestatus设置文件的 SELinux 上下文：
chcon -t httpd_sys_content_t /var/www/html/index.html -
AppArmor：通常在 Debian 系列的发行版（如 Ubuntu）中使用，通过配置文件来定义哪些程序可以访问哪些文件。
查看 AppArmor 状态：
sudo apparmor_statusAppArmor 使用的配置文件位于
/etc/apparmor.d/目录中，可以通过修改这些文件来定义新的安全策略。
5
. 文件系统监控
除了设置权限和加密，监控文件系统的活动是发现异常行为的重要手段。
5.1 inotify：文件系统事件监控
inotify 是 Linux 内核中的文件系统监控机制，可以实时监控文件或目录的变化。
使用 inotifywait 工具监控目录：
inotifywait -m /var/log
这将持续监控 /var/log 目录中的文件变更情况，包括创建、删除、修改等操作。
5.2 tripwire：完整性检查
tripwire 是 Linux 上常用的文件完整性检查工具，可以检测系统中是否有文件被篡改。它通过记录文件的哈希值、权限等信息来监控文件的完整性。
安装 tripwire：
sudo apt install tripwire
初始化数据库并运行检查：
sudo tripwire --init
sudo tripwire --check
通过定期运行 tripwire，可以及时发现系统文件是否被恶意修改。
6. 文件系统安全的最佳实践
- 最小权限原则：始终应用最小权限原则，确保用户和进程只拥有执行其任务所需的最低权限。
- 定期检查权限和所有权：通过脚本或工具定期检查关键文件的权限和所有权，发现不合理的设置及时调整。
- 加密敏感数据：无论是文件级别加密还是磁盘加密，对于敏感数据，使用加密技术是有效的保护措施。
- 启用强制访问控制：在需要高度安全的环境中，启用 SELinux 或 AppArmor 进行强制访问控制，可以为系统增加额外的安全层。
- 监控系统活动：通过审计和监控工具，如
auditd、inotify等，实时跟踪系统中的文件操作，快速响应潜在的安全威胁。
7. 总结
文件系统安全是 Linux 安全管理的核心部分，它涵盖了权限管理、加密、强制访问控制和系统审计等多个方面。通过合理设置文件权限、使用加密技术、启用审计机制和监控文件活动，可以有效提升系统的安全性，防止未经授权的访问和操作。