Linux系统文件权限优化指南

核心权限原则

1. 最小权限原则：只授予必要的权限
2. 用户隔离：不同用户/服务使用不同账户
3. 定期审计：周期性检查权限设置

关键文件权限设置

系统关键文件

chmod 600 /etc/shadow
chmod 644 /etc/passwd
chmod 600 /etc/ssh/sshd_config
chmod 700 /root

日志文件

chmod 640 /var/log/auth.log
chmod 640 /var/log/syslog
chown root:adm /var/log/*

用户目录

chmod 750 /home/*
chmod 700 /home/username/.ssh
chmod 600 /home/username/.ssh/authorized_keys

特殊权限管理

1. SUID/SGID检查：

   find / -perm /4000 -ls
   find / -perm /2000 -ls
   

   移除不必要的SUID/SGID位：

   chmod u-s /path/to/file
   chmod g-s /path/to/file
   

2. 粘滞位设置：

   chmod +t /tmp
   chmod +t /var/tmp
   

实用工具

1. 使用umask：

   umask 027  # 默认创建文件权限750
   

2. ACL高级控制：

   setfacl -m u:username:r-x /path/to/directory
   getfacl /path/to/directory
   

3. 自动化审计脚本：

   #!/bin/bash
   for file in $(find / -perm /4000); do
    echo "SUID文件: $file"
   done
   

最佳实践

1. 定期运行chkrootkit和rkhunter检查
2. 使用auditd监控关键文件变更
3. 对敏感数据考虑加密存储
4. 限制sudo权限，使用visudo编辑配置

通过合理设置文件权限，可以有效减少系统被入侵的风险，同时保持系统的可用性和功能性。