centos filesystem安全防护措施有哪些

CentOS文件系统安全防护措施

文件系统是CentOS系统安全的核心层级，需通过挂载配置、权限管理、加密保护、审计监控等多维度措施强化防护，以下是具体方案：

1. 禁用不必要的文件系统模块

避免加载高风险或不必要的文件系统（如CramFS、freevxfs、jffs2、hfs、squashfs、udf、FAT等），减少潜在攻击面。配置方法：创建/etc/modprobe.d/CIS.conf文件，添加blacklist <文件系统名>指令；通过modprobe -n -v <文件系统名>验证是否禁止载入，用lsmod | grep <文件系统名>确认未加载。

2. 设置安全的挂载选项（nodev/nosuid/noexec）

对临时目录（/tmp、/var/tmp）、共享内存目录（/dev/shm）及可移动介质（U盘、移动硬盘）等分区，启用nodev（禁止特殊设备文件）、nosuid（禁止setuid权限）、noexec（禁止执行二进制文件）选项，防止恶意代码通过挂载点执行。配置方法：编辑/etc/fstab文件，在对应分区挂载项添加nodev,nosuid,noexec；执行mount -o remount,<选项> <目录>重新挂载，用mount | grep <目录>验证生效。

3. 使用chattr命令锁定关键文件/目录

通过chattr命令设置文件系统属性，防止关键文件被篡改或删除：

对系统核心目录（/bin、/boot、/lib、/sbin）添加i属性（不可修改、重命名、删除）；
对日志文件（/var/log/messages、/var/log/secure）添加a属性（仅允许追加内容，禁止修改/删除）。
示例：chattr +i /bin、chattr +a /var/log/messages；用lsattr <文件/目录>验证属性是否生效。

4. 强化文件/目录权限管理

合理设置权限：用chmod限制文件访问权限（如普通文件设为644，目录设为755），避免过度授权；用chown确保文件所有者正确（如系统文件归root所有）。
最小化权限原则：仅授予用户完成工作所需的最小权限，禁止将目录权限设为777或文件设为666。
umask设置：通过/etc/profile或用户配置文件（如~/.bashrc）设置umask 027，默认创建的文件权限为644（rw-r–r–），目录为755（rwxr-xr-x），减少不必要的写权限。

5. 启用SELinux强制访问控制

SELinux通过**强制访问控制（MAC）**限制进程权限，弥补传统权限模型的不足。配置方法：

检查SELinux状态：getenforce（Enforcing为启用，Permissive为宽松模式）；
修改/etc/selinux/config文件，设置SELINUX=enforcing；
通过semanage、setsebool等命令调整SELinux策略（如允许Apache访问特定目录）。

6. 加密文件系统/分区

使用**LUKS（Linux Unified Key Setup）**对敏感分区（如/home、/var）或逻辑卷进行加密，确保数据在存储时的机密性。配置步骤：

安装cryptsetup工具：yum install cryptsetup；
初始化加密分区：cryptsetup luksFormat /dev/sdX（替换为目标分区）；
打开加密分区：cryptsetup luksOpen /dev/sdX encrypted_home；
格式化并挂载：mkfs.ext4 /dev/mapper/encrypted_home、mount /dev/mapper/encrypted_home /home。
加密后，需输入密钥才能访问数据，有效防止磁盘丢失或被盗导致的数据泄露。

7. 定期检查与审计文件系统

日志监控：启用rsyslog和auditd服务，记录文件访问、修改等操作（如/var/log/secure记录登录日志，/var/log/audit/audit.log记录审计事件）；
定期审计：用ausearch、aureport工具分析审计日志，及时发现异常行为（如未经授权的文件修改）；
漏洞扫描：使用lynis、OpenVAS等工具扫描文件系统漏洞，修复已知风险。

8. 定期备份与恢复策略

制定定期备份计划，使用tar、rsync、Bacula等工具备份重要数据（如/etc、/home、/var），存储到异地或离线介质（如磁带、NAS）；测试备份的可恢复性，确保数据丢失或系统损坏时能快速恢复。

以上措施需结合系统实际环境调整，形成“配置-监控-审计”的闭环管理，持续提升CentOS文件系统的安全性。