4. 操作系统安全基线：最小化安装、内核加固、文件系统权限管理

操作系统是物联网设备的“地基”，其安全性直接决定了上层应用与数据的安危。本章节聚焦三大核心安全实践：最小化安装（减少攻击面）、内核加固（提升系统韧性）与文件系统权限管理（控制访问边界）。通过这三道防线，可有效抵御针对物联网终端的常见攻击。

4.1 最小化安装

物联网设备资源受限，且通常功能单一。最小化安装的核心原则是：只安装运行所需的最小软件集合，删除或禁用一切不必要的组件。

实践项	说明	示例
移除无用服务	禁用或卸载蓝牙、打印、Web服务器等非必要服务	systemctl disable bluetooth
精简内核模块	只保留硬件驱动与协议栈，其余列入黑名单	blacklist usb-storage
删除开发工具	移除编译器、调试器、头文件等（生产环境）	apt remove gcc gdb
清理默认账户	删除或锁定 guest、test 等预置账户	userdel -r test

4.2 内核加固

内核是操作系统的核心，加固内核可显著提升系统对漏洞利用的抵抗力。主要措施包括：

• 🔹 sysctl 参数调优：禁用 IP 转发、关闭 ICMP 重定向、启用反向路径过滤等。
• 🔹 内核模块黑名单：通过 /etc/modprobe.d/blacklist.conf 禁用不必要的模块（如 firewire、pcmcia）。
• 🔹 LSM（Linux Security Module）：启用 SELinux 或 AppArmor，实施强制访问控制。
• 🔹 内核地址空间布局随机化（KASLR）：确保内核内存地址随机化，增加利用难度。
• 🔹 限制用户空间访问：通过 kernel.kptr_restrict=2 和 kernel.dmesg_restrict=1 限制内核信息泄露。

4.3 文件系统权限管理

文件系统权限是访问控制的最后一道闸门。物联网设备中，需严格遵循最小权限原则，并利用 Linux 高级特性进行加固。

4.3.1 关键实践

实践项	命令/配置	作用
严格文件权限	chmod 600 /etc/shadow	仅 root 可读写敏感文件
不可变属性	chattr +i /etc/passwd	防止文件被修改（含 root）
挂载选项加固	mount -o noexec,nosuid /dev/sda1 /data	禁止执行、禁止 suid 位
ACL 精细控制	setfacl -m u:daemon:r /var/log/syslog	为特定用户/组设置细粒度权限

4.3.2 文件系统权限管理流程图

4.3.3 代码示例：加固脚本片段

#!/bin/bash
# 物联网设备文件系统加固脚本（示例）

# 1. 设置关键文件不可变
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow

# 2. 挂载 /tmp 为 noexec,nosuid
mount -o remount,noexec,nosuid /tmp

# 3. 移除其他用户的写权限
chmod -R o-w /etc /var/log /usr/lib

# 4. 设置 ACL：仅允许 syslog 用户读取日志
setfacl -m u:syslog:r /var/log/syslog

# 5. 限制 suid 二进制文件
find / -perm -4000 -type f -print | xargs chmod u-s

💡 提示： 以上脚本需根据实际设备环境调整。建议在测试设备上验证后再部署到生产环境，避免影响系统正常运行。