57、Linux系统安全与图形化脚本操作指南

Linux系统安全与图形化脚本操作指南

1. 使用LIDS控制文件访问

LIDS（Linux Intrusion Detection System）可用于控制文件访问，在其访问控制列表（ACE）中，各列有不同含义：
-Inherit：若子进程可继承该ACE，则显示1；不可继承则显示0。
-Time：显示该ACE生效的时间段。
-Object：显示要保护的对象，它可以是文件、目录或某种能力。若同一对象多次列出，首个ACE通常限制所有主体的访问，其他ACE为特定程序提供例外。保护目录时，该目录下的所有内容也会被保护。
-Parameters：列出ACE参数，仅在创建CAP_BIND_NET_SERVICEACE时可能需要，用于指定端口号范围。

创建新的ACE需要知道以下三点：
- 要管理的程序的完整路径名（若要限制所有程序则无需指定）。
- 要保护的文件（或目录）的完整路径名。
- 要授予（或拒绝）的访问类型。

可为对象分配四种安全级别：
| 安全级别 | 描述 |
| ---- | ---- |
| WRITE | 不保护对象，拥有超级用户权限的用户可对其进行任何操作。 |
| APPEND | 授予读取权限，可向对象追加内容，但不能删除或修改。适用于所有日志文件。 |
| READONLY | 授予读取权限，对象不能被修改或删除。适用于所有系统配置文件和程序。 |