5.2 Linux权限与安全——《跟老吕学Linux》

5.2 Linux权限与安全

在Linux系统中，权限管理是确保系统安全的关键组成部分。正确地配置和管理权限可以帮助防止未授权访问和潜在的安全威胁。

5.2.1 理解Linux权限模型

Linux系统中的每个文件和目录都有三组权限：读（r）、写（w）和执行（x），分别对应于文件所有者、所属组和其他用户。

• 读（r）：允许查看文件内容或列出目录中的文件。
• 写（w）：允许修改文件内容或向目录中添加/删除文件。
• 执行（x）：允许执行文件或进入目录。

5.2.2 更改文件权限

使用chmod命令可以更改文件和目录的权限。以下是一些常用的chmod用法：

• 为所有用户设置读权限：

  chmod a+r filename
  

• 为文件所有者添加执行权限：

  chmod u+x filename
  

• 使用八进制数设置权限（读取权限为4，写入权限为2，执行权限为1）：

  chmod 755 filename  # 所有者全部权限，组和其他用户读执行权限
  

5.2.3 更改文件所有者和组

使用chown和chgrp命令可以更改文件的所有者和所属组：

• 更改文件所有者：

  sudo chown newowner filename
  

• 更改文件所属组：

  sudo chgrp newgroup filename
  

5.2.4 设置特殊权限

Linux还提供了一些特殊权限，如：

• setuid：允许用户以文件所有者的身份执行文件。
• setgid：设置后，文件的组ID将设置为文件所属组，对于目录而言，新创建的文件将继承父目录的组。
• sticky bit：通常用于/tmp等临时目录，防止其他用户删除或移动目录中的文件。

设置特殊权限：

chmod u+s filename  # 设置setuid位
chmod g+s directory  # 设置setgid位
chmod o+t directory  # 设置sticky位

5.2.5 使用访问控制列表（ACL）

ACL提供了比标准权限更细粒度的权限控制。可以使用setfacl命令来管理ACL：

• 查看文件的ACL：

  getfacl filename
  

• 设置ACL：

  setfacl -m u:username:rwx filename  # 给特定用户设置读写执行权限
  

5.2.6 密码和账户安全

• 定期更改密码：使用passwd命令定期更改用户密码。
• 使用强密码：鼓励或强制使用复杂的密码。

5.2.7 审计和监控

• 查看登录记录：使用last命令查看用户的登录记录。
• 监控文件更改：使用auditd服务来监控文件和目录的更改。

5.2.8 防火墙和网络安全

• 配置iptables：使用iptables来设置防火墙规则，控制进出的网络流量。
• 使用ufw：UFW（Uncomplicated Firewall）是一个用户友好的前端，用于管理iptables。

5.2.9 系统更新和补丁管理

• 定期更新系统：使用包管理器定期更新系统和软件包，以修复安全漏洞。

5.2.10 应用安全最佳实践

• 最小权限原则：只授予用户完成其工作所必需的最小权限。
• 使用安全配置文件：为服务和应用程序使用安全配置文件。

通过实施这些权限和安全措施，可以显著提高Linux系统的安全性，减少潜在的安全风险。