11 文件管理 #

服务器应该至少为 /、/boot、/var、/tmp 和 /home 提供独立的文件系统。如此可避免一些问题，例如，避免 /var 和 /tmp 下的日志记录空间和临时空间填满根分区。第三方应用程序也应位于独立的文件系统，例如在 /opt 下。

独立文件系统的另一项优势是，可以选择适合文件系统层次结构中某些区域的特殊挂载选项。挂载选项为：

在对分区挂载应用上述选项之前，需要仔细考虑每个选项。否则应用程序可能会停止工作，或者可能会违反支持状态。如果正确应用，挂载选项有助于抵御某些类型的安全攻击或避免错误配置。例如，无需将 set-user-ID 二进制文件置于 /tmp 中。

建议您查看第 27 章 “通用准则”。请务必了解是否需要将可能影响运行中系统的分区进行分隔（例如，日志文件会填满 /var/log，因此有必要将 /var 从 / 分区分隔出来）。另一个注意事项是需要使用 LVM 或其他卷管理器，或者至少是扩展分区类型，来解决 PC 类系统上的四个主分区的限制。

SUSE Linux Enterprise Server 中的另一项功能是将分区甚至是充当容器的单个目录或文件进行加密。有关详细信息，请参见第 12 章 “加密分区和文件”。

许多文件（尤其是 /etc 目录中的文件）是全局可读的，即，非特权用户也可以读取其内容。通常这不会造成问题，但要采取额外保护的话，可以去除敏感文件的全局可读或组可读位。

SUSE Linux Enterprise Server 提供了 permissions 软件包，可轻松应用文件权限。该软件包附带三个预定义的系统配置文件：

要自定义文件权限，请编辑 /etc/permissions.local，或者在 /etc/permissions.d/ 目录中创建一个插入式文件。

# Additional custom hardening
/etc/security/access.conf       root:root       0400
/etc/sysctl.conf                root:root       0400
/root/                          root:root       0700

第一列指定文件名。目录名必须以斜杠结尾。第二列指定所有者和组，第三列指定模式。有关配置文件格式的详细信息，请参见 man permissions。

选择 /etc/sysconfig/security 中的配置文件。要使用 /etc/permissions.local 中的 easy 配置文件和自定义权限，请设置：

PERMISSION_SECURITY="easy local"

要应用该设置，请运行 chkstat --system --set。

也可以在软件包更新期间通过 zypper 应用这些权限。还可以通过 cron 或 systemd 计时器定期调用 chkstat。

重要：自定义文件权限

虽然系统配置文件已经过全面的测试，但自定义权限可能会中断标准应用程序。SUSE 无法为这种情况提供支持。

在应用自定义文件权限之前，请始终使用 chkstat 测试这些权限，以确保一切符合预期。

默认情况下，系统上的所有用户都可以访问（读取、执行）用户主目录。这可能会导致信息外泄，因此主目录应该只能由其所有者访问。

以下命令将 /home 中所有现有主目录的权限设置为 700（只有拥有者能够访问目录）：

> sudo chmod 755 /home
> sudo bash -c 'for dir in /home/*; do \
echo "Changing permissions of directory $dir"; chmod 700 "$dir"; done'

为确保新建的主目录具有安全权限，请编辑 /etc/login.defs 并将 HOME_MODE 设置为 700。

# HOME_MODE is used by useradd(8) and newusers(8) to set the mode for new
# home directories.
# If HOME_MODE is not set, the value of UMASK is used to create the mode.
HOME_MODE      0700

如果您未设置 HOME_MODE，则会根据默认 umask 计算权限。HOME_MODE 指定使用的权限，而不是像 umask 那样指定用于去除访问权限的掩码。有关 umask 的详细信息，请参见第 11.4 节 “默认的 umask”。

可以使用 useradd -m testuser 创建一个新用户来校验配置更改。使用 ls -l /home 检查目录的权限。然后，去除为此测试创建的用户。

重要：测试权限更改

不再允许用户访问其他用户的主目录。这可能不符合用户和软件的预期。

在生产环境中使用此项更改前对其进行测试，并通知受此更改影响的用户。

umask（用户文件创建模式掩码）命令是一个外壳内置命令，决定了新建文件和目录的默认文件权限。它可被系统调用重写，但许多程序和实用程序都使用 umask。

默认情况下，umask 设置为 022。如果至少设置了一个位，则会从访问模式 777 去除此 umask。

要确定活动的 umask，请使用 umask 命令：

> umask
022

使用默认的 umask，您将会看到大多数用户预期可在 Linux 系统上看到的行为。

> touch a
> mkdir b
> ls -on
total 16
-rw-r--r--. 1 17086    0 Nov 29 15:05 a
drwxr-xr-x. 2 17086 4096 Nov 29 15:05 b

您可以指定任意 umask 值，具体取决于您的需求。

> umask 111
> touch c
> mkdir d
> ls -on
total 16
-rw-rw-rw-. 1 17086    0 Nov 29 15:05 c
drw-rw-rw-. 2 17086 4096 Nov 29 15:05 d

根据您的威胁模型，可以使用 037 等更严格的 umask，以防止意外的数据泄漏。

> umask 037
> touch e
> mkdir f
> ls -on
total 16
-rw-r-----. 1 17086    0 Nov 29 15:06 e
drwxr-----. 2 17086 4096 Nov 29 15:06 f

提示：最高安全性

为获得最高安全性，请使用 umask 077。这会强制针对组和其他用户新建没有权限的文件和目录。

这可能不符合用户和软件的预期，并可能会给支持团队带来额外的负担。

# Default initial "umask" value used by login(1) on non-PAM enabled systems.
# Default "umask" value for pam_umask(8) on PAM enabled systems.
# UMASK is also used by useradd(8) and newusers(8) to set the mode for new
# home directories.
# 022 is the default value, but 027, or even 077, could be considered
# for increased privacy. There is no One True Answer here: each sysadmin
# must make up their mind.
UMASK           022

tux:x:1000:100:Tux Linux,UMASK=022:/home/tux:/bin/bash

如果在可执行文件上设置 SUID（设置用户 ID）位或 SGID（设置组 ID）位，它会以可执行文件拥有者的 UID 或 GID 来执行，而不是以执行人员的 UID 或 GID 来执行。举例来说，这意味着会以 root 的 UID 执行设置了 SUID 位且由 root 拥有的所有可执行文件。passwd 命令就是一个典型的示例，它允许普通用户更新由 root 拥有的 /etc/shadow 文件中的口令字段。

当可执行文件存在安全漏洞时，SUID/SGID 位可能会被滥用。因此，您应该搜索并记录整个系统中的 SUID/SGID 可执行文件。要搜索整个系统中的 SUID 或 SGID 文件，您可以运行以下命令：

# find /bin /boot /etc /home /lib /lib64 /opt /root /sbin \
  /srv /tmp /usr /var -type f -perm '/6000' -ls

如果您有其他文件系统结构，则可能需要扩展搜索的目录列表。

SUSE 会在确实需要时在二进制文件上设置 SUID/SGID 位。不是绝对必要的情况下，请确保代码开发人员未在其程序上设置 SUID/SGID 位。通常，您可以使用诸如去除世界/其他可执行文件位等解决方法。但更好的方法是更改软件设计或使用权限。

SUSE Linux Enterprise Server 支持文件权限，可授予程序更精细的特权，而不是 root 的全部权限：

# getcap -v /usr/bin/ping
/usr/bin/ping = cap_new_raw+eip

以上命令向执行 ping 的用户授予 CAP_NET_RAW 功能。如果 ping 的内部存在漏洞，攻击者最多可以获得此权限，而不是 root 的全部权限。可能的情况下，应选择文件权限以支持 SUID 位。但当二进制文件的 SUID 设置为 root，而不是其他 news、lp 等类似用户时，这一条才适用。

全局可写文件存在安全风险，因为系统上的任何用户都可以对其进行修改。此外，全局可写目录允许任何人添加或删除文件。要查找全局可写文件和目录，您可以使用以下命令：

# find /bin /boot /etc /home /lib /lib64 /opt /root /sbin \
  /srv /tmp /usr /var -type f -perm -2 ! -type l -ls

如果您有其他文件系统结构，则可能需要扩展搜索的目录列表。

! -type l 参数会跳过所有符号链接，因为符号链接始终为全局可写。但如果链接的目标不是全局可写（由上述查找命令进行检查），就不会发生问题。

带有粘滞位的全局可写目录（例如 /tmp 目录）不允许任何人（文件拥有者除外）在此目录中执行文件删除或重命名操作。粘滞位使文件与其创建用户相关联，可防止其他用户删除或重命名这些文件。因此，带有粘滞位的全局可写目录不会发生问题，具体视目录的用途而定。例如 /tmp 目录：

> ls -ld /tmp
drwxrwxrwt 18 root root 16384 Dec 23 22:20 /tmp

输出中的 t 模式位表示粘滞位。

未被任何用户或组拥有的文件本身不一定会发生安全问题。但无拥有者的文件可能会在将来发生安全问题。例如，如果创建了新用户，并且该新用户获得的 UID 刚好与无拥有者文件的 UID 相同，则该新用户将自动成为这些文件的拥有者。

要查找未被任何用户或组拥有的文件，请使用以下命令：

# find /bin /boot /etc /home /lib /lib64 /opt /root /sbin /srv /tmp /usr /var -nouser -o -nogroup

如果您有其他文件系统结构，则可能需要扩展搜索的目录列表。

另一个问题是某些文件不是通过打包系统安装的，因而不会收到更新。您可以使用以下命令检查此类文件：

> find /bin /lib /lib64 /usr -path /usr/local -prune -o -type f -a -exec /bin/sh -c "rpm -qf {} &> /dev/null || echo {}" \;

请以不可信用户（例如“nobody”）的身份运行此命令，因为经过设计的文件名可能会导致命令执行。这应该不会产生问题，因为这些目录应由 root 写入，不过仍不失为一项比较好的安全预防措施。

此命令会显示 /bin、/lib、/lib64 和 /usr 下的所有文件（/usr/local 中的文件除外），这些文件不受软件包管理器跟踪。这些文件不一定代表安全问题，但您应注意未跟踪的文件，并执行必要的预防措施确保这些文件是最新的。