13 | Linux系统安全：多人共用服务器，如何防止别人干“坏事”？
该思维导图由 AI 生成，仅供参考
如何理解 Linux 中的安全模型？
荧光笔
直线
曲线- 深入了解
- 翻译
- 解释
- 总结
本文主要讨论了Linux系统和应用安全的重要性，特别是在多人共用Linux服务器的情况下，如何防止别人干“坏事”成为了一个重要问题。文章从Linux安全模型、认证、授权和审计等方面进行了探讨。强调了内核层和用户层的安全基础，介绍了Linux中的认证机制，包括密码管理和降低密码泄露的可能性。另外，还提到了使用已知的弱密码库来对Linux中的弱密码进行检测的方法。在授权机制方面，强调了最小权限原则的重要性，以及如何通过一些已知的工具来实现“最小权限”启动长驻进程的功能。最后，对Linux中的审计机制进行了介绍，包括系统日志的存储和监控工具的推荐。总的来说，本文通过对Linux系统安全的核心内容进行分析，为读者提供了一些关于多人共用Linux服务器时如何防止“坏事”的实用建议。
《安全攻防技能 30 讲》，新⼈⾸单¥59
全部留言(17)
- 最新
- 精选
- hello请教老师，您说的“为了避免进程漏洞，适当的通过 iptables 进行访问限制，也能够起到不错的保护效果”，这句话不太明白，能否例举一两个事实应用的例子，多谢！
作者回复: 可以详细了解下iptables的使用。简单来说，可以通过iptables阻止或者允许向Linux系统发起的请求。比如，我不希望ssh的22端口被随意的访问，那就通过iptables，给22端口设定几个白名单的ip。那么，对于非白名单的ip来说，本机的22端口就相当于下线了。这样一来，即使ssh存在弱密码，风险性也小很多。
2020-01-09214 
Chaos通常 Linux 发行版都会使用 User Private Group scheme 来创建用户（默认行为），也就是创建用户时，会创建一个同名的组，用户是这个组唯一成员，这个很多人不知道为什么。有兴趣的可以延伸阅读，看一下「为何 Unix-like 系统采用 User Private Group 方案」。开始用 Linux 时红帽系和 Fedora 已默认使用 UPG 方案，且基本是个人使用 Linux 桌面，没有多人使用服务器的情况，所以对 UPG 之前系统管理员所经历的权限管理菊花之痛理解不够深刻，这篇讲得很清楚，推荐阅读： https://twitter.com/terrywang/status/1259661708223606784 原文 https://security.ias.edu/how-and-why-user-private-groups-unix 另外善用 sudo 尽量不用 root 用户本身。 用容器之后，尤其是用 Docker 实现的话，会存在 rootless container 的 concern （目前只有 Podman 能解决问题）这个没有覆盖到 ;-)作者回复: 厉害～
2020-05-218
humor我们为什么可以那么相信Linux内核呢？Linux内核就一定是安全的吗？ 我们使用的Linux镜像有可能也像Windows一样被事先植入后门之类的吗？ 还有如果Linux本身不可信的话，我们检测Linux是否安全的方法是不是也行不通了呢？作者回复: 可能没说清楚，Linux内核当然不可能是完全安全的，也会不时的曝出各种高危漏洞。但是，普通的Linux使用者通常是没有能力和精力去关注Linux内核的安全。所以我们能做的就是像插件安全一样，正常的使用Linux内核，并且保持更新即可。或者悲观一点的说，除了相信Linux内核，并没有其他的选择。
2020-01-3136- humor老师好，您说“我们普通的Linux使用者通常是没有能力和精力去关注Linux内核的安全”，那么对于Linux内核的安全，业界或者大公司会有专业的团队来检测Linux内核的安全吗？如果有的话，是不是就意味着只要是在官网发布的Linux镜像，我们普通的开发者就可以认为Linux是安全的了呢？
作者回复: 大部分公司的安全团队都会检测Linux用户层各种配置是否安全，以及Linux内核是否存在已公开的漏洞。对于内核的安全检测，只有部分公司会专门招人作安全研究，比如360、腾讯、阿里的各种安全实验室，他们会主动进行挖掘，然后将发现的未知漏洞提报到CVE中去。
2020-02-072 
小晏子我的留言居然丢了…再写一下， 曾经使用过的linux服务器极少会用root账号登陆，系统管理员不会分配这个权限的，但是却有sudo用户权限，感觉sudo用户权限也是很高的权限了，个人认为给很多用户分配了sudo权限也是不安全的，应该限制，按照“最小权限”原则，应该区分用户权限，如果用户有安装软件需求，那就提交申请，不过这样会比较麻烦。作者回复: 如果只是两三个人公用的话还好，要是人多了，就容易出现问题，比如把别人的进程kill了之类的。另外，sudo启动的进程也是root的，root权限的进程过多，更容易对安全造成威胁。
2020-01-0842
弹弹君针对公司很多服务器的情况，使用Ansible这类工具批量管理密码策略，iptables，日志等，是常见的做法吗？作者回复: Ansible属于运维类的工具，对于多服务器的管理是十分高效的，是比较常见的工具。
2020-01-091
Cy23加深印象，看来我还差很多啊，基本上都给root权限了作者回复: 谨慎谨慎
2020-01-081
大坏狐狸《鸟哥私房菜》里面说可以进入目录是由w 写的权限来控制的。作者回复: have a try
2020-03-282
Teresanobody可以理解成访客登录吗？作者回复: 差不多。不过linux本身没有访客这个概念。
2020-03-26
小老鼠老师，咬字要清楚2020-01-084
