通过权限控制、ACL、加密和审计四层防护可有效防止Linux敏感文件泄露。首先合理设置文件权限，如chmod 600 /etc/shadow限制访问；使用find命令定期检查异常权限。其次启用ACL实现精细化控制，如setfacl -m u:dev_user:r /config/secrets.conf授权特定用户，避免滥用并及时清理规则。再者对敏感文件加密，gpg -c加密单文件，eCryptfs或fscrypt用于目录透明加密，确保密钥安全。最后启用auditd监控关键文件，如auditctl -w /etc/shadow -p r -k shadow_access，并通过ausearch查看日志，结合rsyslog或ELK实现告警。安全需持续维护，定期审查权限与策略，监控访问行为，才能真正防范泄露风险。
在Linux系统中，防止敏感文件泄露是系统安全的重要环节。很多数据泄露事件源于权限配置不当或缺乏访问控制。通过合理设置文件权限、使用访问控制列表（ACL）、加密存储以及日志审计等手段，能有效降低敏感文件被非法访问或泄露的风险。
合理设置文件权限
Linux采用基于用户、组和其他的三类权限模型（rwx），通过chmod、chown和chgrp命令可精确控制谁可以读取、写入或执行文件。
- 敏感文件如配置文件（如/etc/passwd、/etc/shadow）应限制为仅root可读写，命令：chmod 600 /etc/shadow
- 避免对敏感目录设置777权限，尤其是网站根目录或用户上传目录
- 定期检查异常权限，可用命令：find /path -type f -perm -o+r 查找其他用户可读的文件
使用访问控制列表（ACL）增强权限管理
标准权限模型有时不足以满足复杂场景，ACL允许为特定用户或组设置独立权限。
- 启用ACL支持（通常ext4默认开启），使用setfacl命令赋权
- 例如，让开发用户dev_user读取只有运维组可访问的配置文件：
setfacl -m u:dev_user:r /config/secrets.conf - 查看ACL设置：getfacl /config/secrets.conf
- 避免滥用ACL，及时清理不再需要的规则
加密敏感文件与目录
即使文件被复制，加密也能保障内容不被直接读取。
- 使用gpg对单个文件加密：gpg -c secrets.txt，生成加密文件secrets.txt.gpg
- 对频繁访问的敏感目录，可使用eCryptfs或fscrypt实现透明加密
- 密钥管理要安全，避免将密码硬编码在脚本中
启用审计与日志监控
及时发现异常访问行为是防止泄露的关键一环。
- 使用auditd监控关键文件的访问：
auditctl -w /etc/shadow -p r -k shadow_access - 定期查看日志：ausearch -k shadow_access
- 结合日志分析工具（如rsyslog、ELK）实现告警机制
基本上就这些。通过权限控制、ACL、加密和审计四层防护，能显著提升Linux系统中敏感文件的安全性。安全不是一次性配置，而是持续维护的过程。定期审查权限、更新策略、监控访问行为，才能真正防范泄露风险。
