第二部分 本地安全 #编辑源文件

物理安全非常重要。Linux 生产服务器应位于已锁定且只有通过安全检查的人员才能访问的数据中心内。根据环境和情况，您还可以考虑启动加载程序密码。

在保护 Linux 系统时，一个重要的步骤是确定 Linux 服务器的主要功能或角色。否则，很难理解需要保护什么，并且保护这些 Linux 系统可能会证明是无效的。因此，关键在于查看默认的软件列表…

服务器应至少为 /、/boot、/var、/tmp 和 /home 分配单独的文件系统。这可以防止例如 /var 和 /tmp 下的日志空间和临时空间填满根分区。第三方应用程序也应放在单独的文件系统上，例如在 /opt 下。

加密文件、分区和整个磁盘可以防止未经授权访问您的数据，并保护您的机密文件和文档。

数据库和类似应用程序通常托管在由第三方人员维护的外部服务器上。某些数据中心维护任务需要第三方人员直接访问受影响的系统。在这种情况下，隐私要求需要磁盘加密。

重要的是锁定所有未用于登录的系统和供应商帐户。要获取系统上解锁的帐户列表，您可以检查 /etc/shadow 文件中没有以 ! 或 * 开头的加密密码字符串的帐户。如果您使用 p…锁定帐户，

本章介绍如何限制对 cron 和 at 守护程序访问以提高系统安全性。

spectre-meltdown-checker 是一个 shell 脚本，用于测试您的系统是否容易受到过去 20 年来制造的几乎所有 CPU 的几种推测执行漏洞的影响。这是一个硬件缺陷，可能允许攻击者读取系统上的所有数据。在云计算服务中，多个虚拟机位于单个物理主机上，攻击者可以访问所有虚拟机。修复这些漏洞需要重新设计和更换 CPU。在此期间，有几个软件补丁可以缓解这些漏洞。如果您已使您的 SUSE 系统保持最新，则应已安装所有这些补丁。

spectre-meltdown-checker 生成详细的报告。无法保证您的系统是安全的，但它会向您显示哪些缓解措施已到位，以及潜在的漏洞。

YaST 模块 安全中心 为 openSUSE Leap 提供了一个用于配置安全相关设置的中央控制面板。使用它来配置安全方面，例如登录过程和密码创建的设置、启动权限、用户创建或默认文件权限。从 YaST 控制中心使用 安全和用户 › 安全中心 启动它。 安全中心 对话框打开到 安全概述，左侧和右侧窗格中包含其他配置对话框。

Polkit 是图形 Linux 桌面环境使用的身份验证框架，用于对系统上的访问权限进行细粒度管理。传统上，在 Linux 中，在完全授权的管理员帐户 root 用户和系统上的所有其他帐户和组之间存在很强的权限分离。这些非管理员帐户可能具有某些额外的权限，例如通过 audio 组访问声音硬件。但是，这种权限是固定的，无法在特定情况下或特定持续时间内授予。

与其完全切换到 root 用户（使用诸如 sudo 之类的程序）以获取更高的权限，不如 Polkit 根据需要向用户或组授予特定的权限。这由配置文件控制，这些配置文件描述了需要在动态上下文中授权的单个操作。

POSIX ACL（访问控制列表）可以用作文件系统对象传统权限概念的扩展。使用 ACL，可以比传统权限概念更灵活地定义权限。

保护您的系统是任何关键任务系统管理员必须完成的强制性任务。由于不可能始终保证系统没有受到损害，因此定期进行额外的检查（例如使用 cron）以确保系统仍在您的控制之下非常重要。这就是 AIDE（高级入侵检测环境）发挥作用的地方。