如何实施服务器文件系统挂载选项安全加固

核心是通过/etc/fstab挂载选项实施最小权限原则，禁用exec、suid、dev三类高危能力：noexec阻断恶意代码执行，nosuid防止权限提升，nodev杜绝设备文件滥用，优先应用于/tmp等用户可写目录，并以显式白名单替代defaults。

服务器文件系统挂载选项安全加固的核心，是通过 /etc/fstab 中的 mount options 限制潜在攻击面，防止恶意代码执行、权限提升和设备滥用。关键不在“加功能”，而在“收权限”——用明确、最小化的选项替代模糊的 defaults。

优先禁用三类高危能力：noexec、nosuid、nodev

这三个选项应作为绝大多数非根目录（尤其是临时目录、共享目录、用户可写目录）的标配：

• noexec：禁止在该挂载点下运行任何二进制文件或脚本，有效阻断攻击者上传并执行恶意 payload 的路径；
• nosuid：忽略文件上的 SUID/SGID 位，防止普通用户通过 setuid 程序提权（如被篡改的 sudo 或 passwd）；
• nodev：不解析挂载点内的字符/块设备文件（如 /dev/sda），避免攻击者伪造设备节点进行内核级攻击或绕过访问控制。

例如加固 /tmp：
tmpfs /tmp tmpfs rw,nosuid,nodev,noexec,size=2G 0 0

按场景选择只读与同步策略

并非所有分区都需要读写权限。对静态内容或关键系统卷，应主动降权：

• ro（read-only）：适用于镜像挂载（如 ISO）、配置模板库、归档日志卷，彻底杜绝误删或篡改；
• sync：强制每次写操作立即落盘，适合 WAL 日志盘等强一致性要求场景，但会显著降低吞吐；
• noatime：跳过更新文件访问时间戳，减少 I/O 开销且延长 SSD 寿命，几乎所有场景都建议启用（包括 root 分区）。

组合示例（CD-ROM 挂载）：
/dev/sr0 /mnt/cdrom iso9660 ro,noatime,noexec,nosuid,nodev 0 0

规避 defaults 隐患，坚持白名单式配置

defaults 实际包含 rw,suid,dev,exec,auto,nouser,async 等多项，其中 suid、dev、exec 正是安全加固要关闭的项。依赖 defaults,noexec 这类“覆盖写法”易出错且不可靠。

• 改为显式声明所需能力，如：rw,noatime,nosuid,nodev,noexec,uid=1000,gid=1000,umask=002；
• 对 NFS 或 CIFS 等网络文件系统，额外启用 sec=krb5p（Kerberos 加密）或 hard,timeo=600（容错重试）；
• 修改 /etc/fstab 后务必测试：sudo mount -o remount /target/path，再用 findmnt -o SOURCE,TARGET,FSTYPE,OPTIONS /target/path 验证生效。

临时文件系统（tmpfs）必须设限

systemd 在 RHEL 8/Kylin V10 等系统中会隐式挂载 /tmp 为 tmpfs，但默认无大小限制，极易引发内存争抢甚至 OOM Kill。

• 务必在 /etc/fstab 中明确定义大小，例如：size=512M 或 size=1G；
• 若服务器内存紧张（如 Kubernetes 节点），建议改用磁盘后端挂载，并同样启用 noexec,nosuid,nodev；
• 注意：/var/tmp 和 /dev/shm 同样需按相同原则加固，不可遗漏。