严格管理文件权限，使用chmod、chown设置合理访问控制，避免777权限，定期查找其他用户可写文件。2. 启用SELinux或AppArmor强制访问控制，避免长期处于宽容模式，定期审查审计日志优化策略。3. 对敏感数据实施加密，使用LUKS全盘加密、GPG文件加密，并为/tmp等分区设置noexec、nodev、nosuid挂载选项。4. 配置auditd审计关键文件操作，集中存储日志至远程服务器，监控登录与sudo行为。5. 遵循最小权限原则，禁用root直接登录，使用sudo限制命令执行，配置强密码策略和SSH密钥认证。持续维护权限、加密、审计与访问控制可显著降低数据泄露风险。
在Linux系统中防止数据泄露，关键在于合理配置权限、加密敏感数据、启用审计机制以及加强用户访问控制。以下是一些实用的安全配置建议，帮助系统管理员降低数据泄露风险。
1. 严格管理文件和目录权限
Linux的文件权限机制是防止未授权访问的第一道防线。应定期检查关键文件和目录的权限设置，确保只有必要用户才能访问。
- 使用 chmod 设置合理的权限，避免使用777这类完全开放的权限。
- 敏感文件（如配置文件、日志、数据库文件）应设为600或640，仅限所有者或特定组访问。
- 使用 chown 和 chgrp 正确设置文件所有者和所属组。
- 定期运行 find / -type f -perm -o+w -exec ls -l {} \; 查找对其他用户可写的文件。
2. 启用SELinux或AppArmor强化访问控制
强制访问控制（MAC）系统可以限制进程和用户的操作范围，即使账户被攻破也能减少影响。
- 启用SELinux（CentOS/RHEL）或AppArmor（Ubuntu/Debian），并配置合适的策略。
- 定期查看审计日志（如 /var/log/audit/audit.log）中的拒绝记录，优化策略规则。
- 避免长期运行在“宽容模式”（Permissive Mode），应尽量进入“强制模式”（Enforcing Mode）。
3. 加密敏感数据
静态数据加密可在硬盘丢失或被盗时保护信息不被读取。
- 对包含敏感信息的分区使用LUKS进行全盘加密（cryptsetup 工具）。
- 使用GPG加密重要文件或备份，尤其是跨网络传输前。
- 启用/tmp、/var/tmp的独立分区并挂载为noexec、nodev、nosuid，防止临时文件泄露或执行恶意代码。
4. 配置审计与日志监控
通过审计关键操作，可以及时发现异常行为并追溯责任。
- 启用auditd服务，添加监控规则，例如：
auditctl -w /etc/passwd -p wa -k passwd_access
监控对敏感文件的写入和属性更改。 - 将日志集中发送到远程日志服务器，防止本地日志被篡改或删除。
- 定期检查 /var/log/auth.log 或 /var/log/secure 中的登录尝试和sudo使用记录。
5. 限制用户权限与会话安全
最小权限原则是防泄露的核心。每个用户和进程只应拥有完成任务所需的最低权限。
- 禁用root直接登录，使用普通用户配合sudo执行管理命令。
- 配置 /etc/sudoers 使用visudo，限制用户可执行的命令。
- 设置密码策略（通过PAM模块），要求复杂度、定期更换和失败尝试锁定。
- 使用SSH密钥认证替代密码，并禁用密码登录（PasswordAuthentication no）。
