Linux进程权限设置：如何保障系统安全

在Linux系统中，保障系统安全的一个重要方面是正确设置进程权限。以下是一些关键步骤和最佳实践，可以帮助你确保系统安全：

1. 最小权限原则

• 用户权限：尽量使用普通用户账户运行应用程序，而不是root用户。只有在必要时才切换到root用户。
• 文件权限：为文件和目录设置适当的权限，确保只有授权用户可以访问或修改它们。

2. 文件权限设置

• 普通文件：
  • -rw-r--r--：所有者可读写，组用户和其他用户可读。
  • -rw-r-----：所有者可读写，组用户可读，其他用户无权限。
• 目录权限：
  • drwxr-xr-x：所有者可读写执行，组用户和其他用户可读执行。
  • drwx------：所有者可读写执行，组用户和其他用户无权限。

3. 使用ACL（访问控制列表）

ACL提供了比传统Unix权限更细粒度的访问控制。

setfacl -m u:username:rwx /path/to/file
setfacl -m g:groupname:rwx /path/to/file

4. SELinux/AppArmor

• SELinux：提供强制访问控制（MAC），可以更精细地控制进程的权限。

  setenforce 1  # 启用SELinux
  chcon system_u:object_r:httpd_sys_content_t:s0 /var/www/html
  

• AppArmor：提供基于路径的访问控制。

  aa-enforce /etc/apparmor.d/usr.sbin.httpd
  

5. 定期审计和监控

• 使用auditd进行系统审计，记录关键操作和权限变更。

  auditctl -a exit,always -F arch=b64 -S execve -k execve_audit
  

• 使用fail2ban防止暴力破解攻击。

  fail2ban-client set sshd banip 192.168.1.100
  

6. 更新和补丁管理

• 定期更新系统和应用程序，以修复已知的安全漏洞。

  sudo apt-get update && sudo apt-get upgrade
  

7. 使用防火墙

• 配置iptables或ufw来限制不必要的网络访问。

  sudo ufw allow 22/tcp
  sudo ufw enable
  

8. 安全配置文件

• 确保配置文件（如/etc/passwd, /etc/shadow, /etc/sudoers）的安全性。

  chmod 640 /etc/shadow
  visudo  # 编辑sudoers文件时使用
  

9. 使用加密

• 对敏感数据进行加密存储和传输。

  openssl enc -aes-256-cbc -salt -in file.txt -out file.enc
  

10. 备份和恢复

• 定期备份重要数据，并测试恢复过程。

  tar czvf backup.tar.gz /important/data
  

通过遵循这些步骤和最佳实践，你可以显著提高Linux系统的安全性，减少潜在的安全风险。