系统安全之保障 UNIX 文件系统的安全

文件系统安全应能保障用户只能执行管理员所要求的操作。也就是说，管理员必须要保障系统程序的安全并且用户只能在他们被要求的地方执行写操作。

NFS安全

一定只运行所需要的NFS，并且要打上最新的补丁。在创建你的/etc/exports文件时，一定要尽可能地使用限制访问标记，如readonly或nosuid。通过全面运用有限资格的主机名，就确保了只有你想要访问其文件系统的主机可以访问。

设备安全

设备文件/dev/null, /dev/tty & /dev/console应能完全可写但却绝对不可执行。大多数其它设备文件对于普通用户来说应该是不可读的且不可写的。

命令过程安全

用户万万不可执行setuid/setgid安全外壳的写操作。相反地，用户应该使用一种语言（如C语言）写一个编译的程序。命令过程或脚本应具有完整的路径名。

程序安全

用户应该从一个知名的源站点获得（下载）程序，并确保它没有被破坏。如果你正编译你自己的程序，一定要保障你的编译器没有被破坏。

基本安全措施

您应该创建最少的可写入的文件系统（特别是文件或目录）。一般来说，用户应该只能在其自己的目录和/tmp目录写入。此外，还要有只能特定用户组可以写入的目录。用这种方法，你就可以控制每一个用户如何访问系统的特定区域。

要确保重要的文件只能对授权的人员访问。 只能在必要的地方使用setuid/setgid。