57、Linux系统安全与图形化脚本操作指南

Linux系统安全与图形化脚本操作指南

一、使用LIDS控制文件访问

LIDS（Linux Intrusion Detection System）可用于控制文件访问，在创建访问控制项（ACE）时，需要了解以下三个关键信息：
1. 要管理的程序的完整路径名（若要限制所有程序则无需指定）。
2. 要保护的文件（或目录）的完整路径名。
3. 要授予（或拒绝）的访问类型。

可以为对象分配四种安全级别：
| 安全级别 | 描述 |
| ---- | ---- |
| WRITE | 此级别不保护对象，拥有超级用户权限的用户可对对象进行任意操作。 |
| APPEND | 授予读取权限，允许向对象添加内容，但不能删除或修改。建议为所有日志文件分配此保护级别，因为授予WRITE保护可能会让入侵者编辑日志以隐藏踪迹。 |
| READONLY | 授予读取权限，但对象不能被修改或删除。适用于所有系统配置文件和程序。 |
| DENY | 处于此级别的对象会被隐藏。可用于隐藏密码文件，然后仅为需要访问的程序授予例外权限。 |

创建ACE使用 lidsconf -A 命令，例如，要保护 /etc 目录下的所有文件（和子目录）不被修改，可使用以下命令：

# lidsconf -A -o /etc -j READONLY

这里 /etc 是对象，由于未指定主体，此ACE将控制所有程序的访问类型。若要为默认规则授予