Linux敏感文件权限加固需结合强制访问控制（SELinux/AppArmor）、审计追踪（auditd）与最小权限原则：设umask 077、/etc/shadow权限640并配shadow组、禁用敏感目录group/other执行权、启用MAC策略限制进程访问、配置auditd监控关键路径读写及属性变更、每日哈希校验与自动化权限扫描。
Linux系统中，敏感文件（如/etc/shadow、/etc/passwd、SSH密钥、数据库配置、环境变量文件等）一旦被未授权访问或篡改，可能直接导致权限失控、数据泄露甚至系统沦陷。单纯靠文件权限（chmod/chown）远远不够，必须结合强制访问控制、审计追踪与最小权限原则，构建纵深防御。
核心权限加固：不止是 chmod 600
基础权限设置是第一道门槛，但需注意细节：
-
避免过度依赖 umask：用户创建文件时默认权限受 umask 影响，建议在
/etc/profile或/etc/bash.bashrc中统一设为umask 077（新建文件默认仅属主可读写） -
敏感目录必须禁用 group/other 执行权：例如
/etc/ssh应为drwx------（700），否则其他用户可能遍历其内容 -
shadow 文件需配合 shadow 组隔离：确保
/etc/shadow属主为 root、属组为 shadow、权限为640，再将仅需读取的程序（如 login）加入 shadow 组，而非开放 world-readable -
使用 setgid 配合专用组管理配置目录：例如
/opt/app/conf设为drwxr-s---，属组为 appconf，所有运维人员加入该组，避免直接给 root 权限
启用 SELinux 或 AppArmor 实现类型强制控制
传统 DAC（自主访问控制）无法阻止 root 进程越权读取。SELinux/AppArmor 提供 MAC（强制访问控制），按进程类型限制其能访问的文件类型：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
SELinux 示例：将 Web 应用配置文件标记为
httpd_config_t，即使 Apache 以 root 运行，也无法读取标记为etc_t的普通配置文件 -
快速启用（RHEL/CentOS）：
sudo setenforce 1临时开启，修改/etc/selinux/config中SELINUX=enforcing永久生效 -
AppArmor（Ubuntu/Debian）：用
aa-genprof为关键服务生成策略，重点限制其对/etc、/var/secrets等路径的访问能力 - 不建议完全关闭：若因兼容性问题需禁用 SELinux，请至少启用 auditd 并强化日志监控
审计关键文件访问行为：auditd + rules 持续盯防
权限只是“门锁”，auditd 是“监控摄像头”。需精准审计敏感路径的读、写、执行、属性变更：
-
添加持久化审计规则：编辑
/etc/audit/rules.d/privileged.rules，加入：
-w /etc/shadow -p wa -k identity -w /etc/passwd -p wa -k identity -w /root/.ssh/ -p wa -k ssh_root -w /home/*/\.ssh/ -p wa -k ssh_user -w /etc/ssl/private/ -p wa -k ssl_private
其中-p wa表示监控 write 和 attribute change（如 chmod/chown），-k指定审计键名便于日志过滤。
-
实时查看异常访问：
sudo ausearch -k identity --start today | aureport -f -i -
对接 SIEM 或邮件告警：用
audispd插件将匹配identity键的日志转发至日志服务器，或通过ausearch + awk + mail脚本触发即时通知
定期验证与自动化检查机制
人工检查易遗漏，需固化为周期任务：
-
每日校验关键文件哈希：用
sha256sum /etc/shadow /etc/passwd > /var/log/filehash.baseline，配合 cron 每日比对变化 -
扫描非预期的 world-writable 敏感文件：
find /etc /root /opt -type f -perm -o+w 2>/dev/null，发现即告警 -
检查 SSH 密钥权限合规性：
find /root /home -name "id_rsa" -o -name "id_dsa" -o -name "id_ecdsa" -o -name "id_ed25519" -exec ls -l {} \;，确保私钥权限≤600、公钥≤644 -
集成进 CI/CD 或配置管理工具：Ansible 的
file模块可声明式定义权限；SaltStack 可用file.managed自动修复偏差
