目前linux系统的用户已经不必Windows的用户少，许多业务也是在linux服务器上运行，但对于服务器安全，仍然有不少用户一知半解。你们知道linux服务器安全应该注意哪些问题吗?下面从Linux服务器安全登录、Linux服务器安全防护和Linux服务器安全强化建议三个方面为大家讲解。
linux服务器安全应该注意哪些
一、Linux服务器安全登录注意事项
删除不必要的用户
删除不必要的用户组
设置负责的登录密码(大小写，数字，字母，下划线，特殊字符)
禁用root进行远程登录，使用普通用户登陆服务器，再次切换的管理员账号
少用su，多用sudo进行权限管理，sudoer进行用户权限分配
使用密钥进行，在服务器上保存公钥，本地使用私钥进行连接服务器
设置好ssh，如登录失败次数防止暴力破解
用户登录历史记录，记录登录时间，登录IP，操作命令
设置IP，TCP防火墙，iptables，tcp_wrapper
合理设置文件权限，尤其是临时文件
安装安全性高的软件，服务器被攻击用一部分是通过软件的漏洞完成的
删除系统版本信息，欢迎信息
使用工具进行安全检测，如rootkit，不走正门，借助网站，软件漏洞进行入侵
屏蔽Ctrl，Alt，Delete三个键同时按重启机器
二、Linux服务器安全防护
1、强化：密码管理
设定登录密码是一项非常重要的安全措施，如果用户的密码设定不合适，就很容易被破译，尤其是拥有超级用户使用权限的用户，如果没有良好的密码，将给系统造成很大的安全漏洞。
目前密码破解程序大多采用字典***以及暴力***手段，而其中用户密码设定不当，则极易受到字典***的威胁。很多用户喜欢用自己的英文名、生日或者账户等信息来设定密码，这样，***可能通过字典***或者是社会工程的手段来破解密码。所以建议用户在设定密码的过程中，应尽量使用非字典中出现的组合字符，并且采用数字与字符相结合、大小写相结合的密码设置方式，增加密码被***破解的难度。而且，也可以使用定期修改密码、使密码定期作废的方式，来保护自己的登录密码。
在多用户系统中，如果强迫每个用户选择不易猜出的密码，将大大提高系统的安全性。但如果passwd程序无法强迫每个上机用户使用恰当的密码，要确保密码的安全度，就只能依靠密码破解程序了。实际上，密码破解程序是***工具箱中的一种工具，它将常用的密码或者是英文字典中所有可能用来作密码的字都用程序加密成密码字，然后将其与Linux系统的/etc/passwd密码文件或/etc/shadow影子文件相比较，如果发现有吻合的密码，就可以求得明码了。在网络上可以找到很多密码破解程序，比较有名的程序是crack和john the ripper.用户可以自己先执行密码破解程序，找出容易被***破解的密码，先行改正总比被***破解要有利。
2、限定：网络服务管理
早期的Linux版本中，每一个不同的网络服务都有一个服务程序(守护进程，Daemon)在后台运行，后来的版本用统一的/etc/inetd服务器程序担此重任。Inetd是Internetdaemon的缩写，它同时监视多个网络端口，一旦接收到外界传来的连接信息，就执行相应的TCP或UDP网络服务。由于受inetd的统一指挥，因此Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检查/etc/inetd.conf文件，在不要的服务前加上“#”号。
一般来说，除了http、smtp、telnet和ftp之外，其他服务都应该取消，诸如简单文件传输协议tftp、网络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和time等。还有一些报告系统状态的服务，如finger、efinger、systat和netstat等，虽然对系统查错和寻找用户非常有用，但也给***提供了方便之门。例如，***可以利用finger服务查找用户的电话、使用目录以及其他重要信息。因此，很多Linux系统将这些服务全部取消或部分取消，以增强系统的安全性。Inetd除了利用/etc/inetd.conf设置系统服务项之外，还利用/etc/services文件查找各项服务所使用的端口。因此，用户必须仔细检查该文件中各端口的设定，以免有安全上的漏洞。
在后继的Linux版本中(比如Red Hat Linux7.2之后)，取而代之的是采用xinetd进行网络服务的管理。
当然，具体取消哪些服务不能一概而论，需要根据实际的应用情况来定，但是系统管理员需要做到心中有数，因为一旦系统出现安全问题，才能做到有步骤、有条不紊地进行查漏和补救工作，这点比较重要。
3、严格审计：系统登录用户管理
在进入Linux系统之前，所有用户都需要登录，也就是说，用户需要输入用户账号和密码，只有它们通过系统验证之后，用户才能进入系统。
与其他Unix操作系统一样，Linux一般将密码加密之后，存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件，虽然文件中保存的密码已经经过加密，但仍然不太安全。因为一般的用户可以利用现成的密码破译工具，以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅读该文件。
在Linux系统中，如果要采用影子文件，必须将所有的公用程序重新编译，才能支持影子文件。这种方法比较麻烦，比较简便的方法是采用插入式验证模块(PAM)。很多Linux系统都带有Linux的工具程序PAM，它是一种身份验证机制，可以用来动态地改变身份验证的方法和要求，而不要求重新编译其他公用程序。这是因为PAM采用封闭包的方式，将所有与身份验证有关的逻辑全部隐藏在模块内，因此它是采用影子档案的最佳帮手。
此外，PAM还有很多安全功能：它可以将传统的DES加密方法改写为其他功能更强的加密方法，以确保用户密码不会轻易地遭人破译;它可以设定每个用户使用电脑资源的上限;它甚至可以设定用户的上机时间和地点。
Linux系统管理人员只需花费几小时去安装和设定PAM，就能大大提高Linux系统的安全性，把很多***阻挡在系统之外。
4、设定：用户账号安全等级管理
除密码之外，用户账号也有安全等级，这是因为在Linux上每个账号可以被赋予不同的权限，因此在建立一个新用户ID时，系统管理员应该根据需要赋予该账号不同的权限，并且归并到不同的用户组中。
在Linux系统中的部分文件中，可以设定允许上机和不允许上机人员的名单。其中，允许上机人员名单在/etc/hosts.allow中设置，不允许上机人员名单在/etc/hosts.deny中设置。此外，Linux将自动把允许进入或不允许进入的结果记录到/var/log/secure文件中，系统管理员可以据此查出可疑的进入记录。
每个账号ID应该有专人负责。在企业中，如果负责某个ID的职员离职，管理员应立即从系统中删除该账号。很多***事件都是借用了那些很久不用的账号。
在用户账号之中，***最喜欢具有root权限的账号，这种超级用户有权修改或删除各种系统设置，可以在系统中畅行无阻。因此，在给任何账号赋予root权限之前，都必须仔细考虑。
Linux系统中的/etc/securetty文件包含了一组能够以root账号登录的终端机名称。例如，在RedHatLinux系统中，该文件的初始值仅允许本地虚拟控制台(rtys)以root权限登录，而不允许远程用户以root权限登录。最好不要修改该文件，如果一定要从远程登录为root权限，最好是先以普通账号登录，然后利用su命令升级为超级用户。
5、谨慎使用：“r系列”远程程序管理
在Linux系统中有一系列r字头的公用程序，比如rlogin，rcp等等。它们非常容易被***用来***我们的系统，因而非常危险，因此绝对不要将root账号开放给这些公用程序。由于这些公用程序都是用。rhosts文件或者hosts.equiv文件核准进入的，因此一定要确保root账号不包括在这些文件之内。
由于r等远程指令是***们用来***系统的较好途径，因此很多安全工具都是针对这一安全漏洞而设计的。例如，PAM工具就可以用来将r字头公用程序有效地禁止掉，它在/etc/pam.d/rlogin文件中加上登录必须先核准的指令，使整个系统的用户都不能使用自己home目录下的。rhosts文件。
6、限制：root用户权限管理
Root一直是Linux保护的重点，由于它权力无限，因此最好不要轻易将超级用户授权出去。但是，有些程序的安装和维护工作必须要求有超级用户的权限，在这种情况下，可以利用其他工具让这类用户有部分超级用户的权限。sudo就是这样的工具。
sudo程序允许一般用户经过组态设定后，以用户自己的密码再登录一次，取得超级用户的权限，但只能执行有限的几个指令。例如，应用sudo后，可以让管理磁带备份的管理人员每天按时登录到系统中，取得超级用户权限去执行文档备份工作，但却没有特权去作其他只有超级用户才能作的工作。
sudo不但限制了用户的权限，而且还将每次使用sudo所执行的指令记录下来，不管该指令的执行是成功还是失败。在大型企业中，有时候有许多人同时管理Linux系统的各个不同部分，每个管理人员都有用sudo授权给某些用户超级用户权限的能力，从sudo的日志中，可以追踪到谁做了什么以及改动了系统的哪些部分。
值得注意的是，sudo并不能限制所有的用户行为，尤其是当某些简单的指令没有设置限定时，就有可能被***滥用。例如，一般用来显示文件内容的/etc/cat指令，如果有了超级用户的权限，***就可以用它修改或删除一些重要的文件。
7、追踪***踪迹：日志管理
当用户仔细设定了各种与Linux相关的配置(最常用日志管理选项)，并且安装了必要的安全防护工具之后，Linux操作系统的安全性的确大为提高，但是却并不能保证防止那些比较熟练的网络***的***。
在平时，网络管理人员要经常提高警惕，随时注意各种可疑状况，并且按时检查各种系统日志文件，包括一般信息日志、网络连接日志、文件传输日志以及用户登录日志等。在检查这些日志时，要注意是否有不合常理的时间记载。例如：
正常用户在半夜三更登录;
不正常的日志记录，比如日志只记录了一半就切断了，或者整个日志文件被删除了;
用户从陌生的网址进入系统;
因密码错误或用户账号错误被摈弃在外的日志记录，尤其是那些一再连续尝试进入失败，但却有一定模式的试错法;
非法使用或不正当使用超级用户权限su的指令;
重新开机或重新启动各项服务的记录。
上述这些问题都需要系统管理员随时留意系统登录的用户状况以及查看相应日志文件，许多背离正常行为的蛛丝马迹都应当引起高度注意。
8、横向扩展：综合防御管理
防火墙、IDS等防护技术已经成功地应用到网络安全的各个领域，而且都有非常成熟的产品。
在Linux系统来说，有一个自带的Netfilter/Iptables防火墙框架，通过合理地配置其也能起到主机防火墙的功效。在Linux系统中也有相应的轻量级的网络***检测系统Snort以及主机***检测系统LIDS(Linux Intrusion Detection System)，使用它们可以快速、高效地进行防护。
需要提醒注意的是：在大多数的应用情境下，我们需要综合使用这两项技术，因为防火墙相当于安全防护的第一层，它仅仅通过简单地比较IP地址/端口对来过滤网络流量，而IDS更加具体，它需要通过具体的数据包(部分或者全部)来过滤网络流量，是安全防护的第二层。综合使用它们，能够做到互补，并且发挥各自的优势，最终实现综合防御。
9、评测：漏洞追踪及管理
Linux作为一种优秀的开源软件，其自身的发展也日新月异，同时，其存在的问题也会在日后的应用中慢慢暴露出来。***对新技术的关注从一定程度上来说要高于我们防护人员，所以要想在网络***的战争中处于有利地位，保护Linux系统的安全，就要求我们要保持高度的警惕性和对新技术的高度关注。用户特别是使用Linux作为关键业务系统的系统管理员们，需要通过Linux的一些权威网站和论坛上尽快地获取有关该系统的一些新技术以及一些新的系统漏洞的信息，进行漏洞扫描、***测试等系统化的相关配套工作，做到防范于未然，提早行动，在漏洞出现后甚至是出现前的最短时间内封堵系统的漏洞，并且在实践中不断地提高安全防护的技能，这样才是一个比较的解决办法和出路。
10、保持更新：补丁管理
Linux作为一种优秀的开源软件，其稳定性、安全性和可用性有极为可靠的保证，世界上的Linux高手共同维护着个优秀的产品，因而起流通渠道很多，而且经常有更新的程序和系统补丁出现，因此，为了加强系统安全，一定要经常更新系统内核。
Kernel是Linux操作系统的核心，它常驻内存，用于加载操作系统的其他部分，并实现操作系统的基本功能。由于Kernel控制计算机和网络的各种功能，因此，它的安全性对整个系统安全至关重要。早期的Kernel版本存在许多众所周知的安全漏洞，而且也不太稳定，只有2.0.x以上的版本才比较稳定和安全(一般说来，内核版本号为偶数的相对稳定，而为奇数的则一般为测试版本，用户们使用时要多留意)，新版本的运行效率也有很大改观。在设定Kernel的功能时，只选择必要的功能，千万不要所有功能照单全收，否则会使Kernel变得很大，既占用系统资源，也给***留下可乘之机。
三、Linux服务器安全强化建议
#1、加密数据通信方式。
所有通过网络传输的数据都是可以被监听的，因此只要有可能就要使用密码、证书等方式加密你的通讯数据。
1、使用 scp、ssh、rsync或者sftp来进行文件传输。也可以使用特殊的sshfs或者fuse工具来挂载远程文件系统或者你的工作目录。
2、GnuPG 提供功能丰富的证书管理功能，允许你签名数据并进行传输。
3、Fugu 是一个图形化的SFTP文件传输工具。SFTP类似于FTP，但是与FTP不同，整个会话是加密的，也就是说不会用明文形式发送密码。另外一个选项是FileZilla，一个跨平台的客户端段，也支持FTP、FTPS 和 SFTP。
4、OpenVPN 是一个轻量级、低成本的SSL VPN。
5、Lighttpd SSL(Secure Server Layer)Https 的安装和配置。
6、Apache SSL(Secure Server Layer)Https(mod_ssl)的安装和配置。
#1.1、避免使用FTP、Telnet和Rlogin/Rsh服务
在大多数的网络配置下，用户名、密码，FTP / telnet /rsh 命令和传输的文件能够被同网段的任何人使用包嗅探软件监听。这个问题的通常解决方法是使用 OpenSSH、SFTP 或者 FTPS。
下面的命令可以帮助你删除服务器中没必要的服务。
# yum erase inetd xinetd ypserv tfpt-server telnet-server rsh-server
#2、最小化软件安装原则。
你确实需要服务器上安装的所有服务吗?避免安装不必要的服务就是避免漏斗。使用 RPM 包管理工具，例如 yum 或者 apt-get 、dpkg 来检查系统上安装的软件包，同时删除不必要的包。
1 # yum list installed
2 # yum list packageName
3 # yum remove packageName
4
5 或者
6
7 # dpkg --list
8 # dpkg --info packageName
9 # apt-get remove packageName
#3、每个系统或实例上只运行一种服务。
将不同的服务运行在单独的服务器或虚拟化实例中。例如：如果黑客攻破Apache进入到系统中，他就可以访问部署在这台服务器上的Mysql、E-Mail等其他服务，尽量不要这么做。
#4、保持Linux内核和软件的更新。
维护系统的一项重要工作就是及时的安装系统补丁。Linux提供了很多必要的工具和方法来保证系统的更新，所有安全方面的更新都应该尽快执行，与第2条一样，我们可以使用 yum、apt-get等工具来进行安全更新。
1 # yum update
2
3 或者
4
5 # apt-get update && apt-get upgrade
你可以在系统中配置更新提示邮件(Red hat、CentOS、Fedora)，或者另外一个办法就是通过一个cron定时任务安装所有的安全更新。
#5、使用Linux安全扩展。
Linux提供了多种安全补丁，可以用来保护错误配置或者一些妥协的方案。尽可能使用 SELinux和其他Linux安全扩展来加强网络和程序的限制。例如，SELinux提供了Linux内核的安全策略。
#5.1、SELinux
SELinux提供了一套灵活的访问控制机制(MAC：Mandatory Access Control)，标注的MAC下一个应用程序或者进程具有相关权限的用户下运行。使用MAC的内核保护能够使系统免于遭受系统的恶意攻击。更相信的信息可以查看官方的SELinux说明配置文档。
#6、强密码策略。
当我们使用 useradd、usermod 命令创建或维护用户账号时，确保始终应用强密码策略。例如，一个好的密码至少包括8个字符，包含了字母、数字以及特殊字符串、大小写等。使用诸如“John the ripper”这样的工具来查找弱口令用户，使用 pam_cracklib.so 来增强密码策略。
#6.1 密码生命周期。
chage 命令能够修改口令的修改周期，以及最近一次密码修改的日期。系统依据这些信息判断用户口令是否应该修改。在 /etc/login.defs 文件中定义了包括密码生命周期在内的一些选项。如果需要对某个用户禁用密码生命周期，如下：
1 # chage -M 99999 userName
获取密码过期信息，输入：
1 chage -l userName
我们也可以在 /etc/shadow 文件中定义这些字段：
{userName}:{password}:{lastpasswdchanged}:{Minimum_days}:{Maximum_days}:{Warn}:{Inactive}:{Expire}:
其中：Minimum_days 定义密码修改的最小时间间隔，也就是用户能够修改密码的最小时间间隔。Maximum_days 定义密码有效的时间间隔，超过这个时间，用户就必须修改密码。Warn 定义口令过期多少天前开始向用户提示进行口令修改。Expire 定义从1970年1月1日到过期时的天数，之后该用户将无法再登录。
建议使用 chage 命令，而不是修改 /etc/shadow 文件
1 # chage -M 60 -m 7 -W 7 userName
#6.2、禁止使用之前用过的密码。
可以设置禁止所有用户使用之前的旧密码，pam_unix 模块提供了这个功能，允许我们定义之前几个旧密码不能使用。
#6.3、登录失败后锁定用户。
在Linux中可以使用 faillog 命令来显示失败的登录或者设置失败登录限制。查看失败的登录，可以输入：
faillog
解锁登录失败的用户，运行
faillog -r -u userName
注意可以使用 passwd 命令来锁定或解锁用户密码。
#6.4、如何来检查是否有账号使用了空口令。
使用如下命令：
1 # awk -F: '($2 == "") {print}' /etc/shadow
锁定所有空密码的账户
1 # passwd -l accountName
#6.5、确保没有非Root用户的UID为0。
只有Root用户的UID为0，其具有系统的所有权限。使用下面的命令进行检查：
# awk -F: '($3 == "0") {print}' /etc/passwd
应该仅能看到root一行的结果，如果还有其他用户，请将这些用户删除。
#7、禁止root用户登录。
永远不要使用root用户登录，应该使用 sudo 来执行需要root权限的命令。sudo 避免了root口令的共享，同时提供了一些审计和追踪的功能支持。
#8、服务器的物理安全。
我们必须确保服务器的物理安全，配置 BIOS 禁止从外部设备启动。设置 BIOS 和 grub boot loader 的密码。所有的设备应当安全的存放在IDC(Internet Data Center)中，并且安排了适当的机房安检。
#9、禁用不需要的服务。
禁用所有不必要的服务和守护进程，并且将他们从随系统启动中删除。使用下面的命令来检查是否有服务随系统启动。
# chkconfig --list | grep '3:on'
要禁用服务，可以使用下面的命令：
# service serviceName stop
# chkconfig serviceName off
#9.1、检查网络监听的端口。
使用 netstat 命令查看服务器中有哪些监听端口
# netstat -tulpn
如果有不需要的服务，可以使用 chkconfig 进行关闭。如果需要对外屏蔽，可以使用 iptables 。
#10、删除X Windows。
对服务器来说，X Windows完全没有必要。可以使用包管理工具删除。
# yum groupremove "X Window System"
#11、配置iptables和TCPWrappers。
iptables 是一个Linux内核提供的，运行在用户空间的程序，它允许用户配置自己的防火墙策略。我们可以使用防火墙将不必要的流量过滤出去。使用 iptables 能够避免很多拒绝服务(DoS)攻击。
#12、内核配置文件优化(/etc/sysctl.conf)。
/etc/sysctl.conf 文件用来修改服务器的运行时内核参数配置。Linux在启动时从配置文件中读取相关配置，一般内容如下：
# Turn on execshield
kernel.exec-shield=1
kernel.randomize_va_space=1
# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter=1
# Disable IP source routing
net.ipv4.conf.all.accept_source_route=0
# Ignoring broadcasts request
net.ipv4.icmp_echo_ignore_broadcasts=1
net.ipv4.icmp_ignore_bogus_error_messages=1
# Make sure spoofed packets get logged
net.ipv4.conf.all.log_martians = 1
#13、合理安排磁盘分区。
将不同的系统文件分配到不同的磁盘分区上有助于构建一个安全的系统，确保下面这些文件目录都被挂在到单独的磁盘分区上。
/usr
/home
/var、/var/tmp
/tmp
为Apache和FTP服务的根目录创建单独的分区，检查 /etc/fstab 文件确保增加了以下配置
noexec:该分区不允许执行任何二进制文件(但是允许脚本运行)。
nodev:该分区不允许字符设备或特殊设备。
nosuid:该分区不允许设置SUID/SGID。
下面的例子限制用户进入到 /dev/sda5 中。
/dev/sda5 /ftpdata ext3 defaults,nosuid,nodev,noexec 1 2
#13.1、磁盘配额。
确保对所有用户都启用了磁盘配额限制，实现磁盘配额的具体步骤可以查看这里。
#14、关闭IPv6。
IPv6提供替代IPv4的新的TCP/IP协议，但是目前还没有太好的工具来检查IPv6网络的安全性。大多数Linux发行版开始默认使用IPv6协议。而黑客可以利用IPv6网络来发送一些管理员无法监测的内容，除非是网络配置需要，否则禁止使用IPv6。
#15、禁用不需要的SUID和SGID二进制。
所有启用了SUID和SGID位的二进制文件可能会造成系统的安全问题或者BUG，从而让所有本地或远程的用户使用这些文件。下面的命令可以找到这些文件
#See all set user id files:
find / -perm +4000
#See all group id files:
find / -perm +2000
#或者一起查询
find / −perm−4000−o−perm−2000−perm−4000−o−perm−2000 -print
find / -path -prune -o -type f -perm +6000 -ls
#15.1、World-Writable文件。
因为安全原因，所有人都可以修改World-Writable文件，使用下面的命令可以找到所有此类文件。
# find /dir -xdev -type d −perm−0002−a!−perm−1000−perm−0002−a!−perm−1000 -print
#15.2、无属主文件。
如果一个文件没有任何的用户或者组权限，那么可能会造成安全问题，使用下面的问题来找到此类文件，并进行后续的修复。
# find /dir -xdev −nouser−o−nogroup−nouser−o−nogroup -print
#16、使用集中的授权服务。
如果没有集中的授权认证系统，用户的权限数据将会变得不完成，从而导致一些过期的口令或者不用的用户一直保留下来。集中地授权认证服务允许我们控制Linux/Unix用户和授权数据，不要使用 NIS 服务，OpenLDAP是一个很好的选择。
#17、日志和审计。
为了收集黑客攻击行为，我们需要配置系统的日志和审计功能。默认情况下，syslog在 /var/log 目录下记录数据。这些数据也能帮助我们发现那些容易导致系统遭受攻击的错误配置，可以参考 这个文章 来了解更多的内容。
#17.1、使用Logwatch 或 Logcheck 监控可疑的日志信息。
使用 Logwatch 或者 Logchek 读取日志文件，这些工具改善了阅读日志文件的体验。他们会将结果以邮件的形式进行报告，而我们只需要检查日志中的不常见项目就可以了。
#17.2、使用 auditd 服务。
auditd是系统提供的审计服务，负责将审计数据记录到磁盘中。在服务器启动期间，/et/audit/audit.rules的规则会被应用。我们修改配置文件来定义日志存放位置以及其他的选项。使用这个服务可以解决以下问题：
1、系统启动和关闭时间(reboot/halt)
2、事件的日期和时间
3、事件用户
4、事件类型
5、事件是否成功
6、记录事件发生变化的日期和时间
7、找出修改系统网络配置的账户
8、记录修改用户/用户组信息的事件
9、记录文件修改信息
具体可以查看这篇文章了解更多内容。
#18、加固 OpenSSH 服务器。
SSH协议经常用来进行远程登录和文件传输，同时SSH也是暴露在外的，使用以下方法可以对OpenSSH服务器进行加固。
#19、安装和使用入侵检测系统。
网络入侵检测系统可以检测到恶意的活动或者拒绝服务共计、端口扫描等类似的黑客行为。最好在系统上线前能够部署一套类似的系统，如果可能在系统接入网络前就安装配置好。AIDE就是一个非常好的例子。Snort也可以用来做实时的网络流量分析和入侵检测。
#20、保护文件、目录和邮件。
Linux系统提供了非常好的非授权的数据访问保护机制。文件权限和MAC确保数据不会被未授权的用户访问。但是，如果黑客具有物理的访问途径，那他还是能够很容易通过其他方式访问磁盘上的数据。我们可以使用将文件进行加密、使用密码、加密文件夹等方式来保护我们的重要数据。
