著名網站技術調查公司W3Tech 於2018年11月17日發佈調查報告 指出，Linux在網站服務器操作系統中比例高達37.2%。除了被廣泛使用在網站平臺上以外，Linux也常常作爲FTP服務器、電子郵件服務器、域名解析服務器和大數據分析服務器等而部署在互聯網上。
Linux作爲互聯網基礎設施的一個重要組成部分，保障其安全性的重要性不言而喻。雖然Linux是一款被大量部署的優秀的開源操作系統，但是這並不意味着不需要關注其安全性。在互聯網上，也有許許多多針對Linux系統的攻擊。例如，中國國家計算機病毒應急處理中心 在《病毒預報 第七百六十九期》中指出，“通過對互聯網的監測，發現了一款旨在感染Linux設備的加密貨幣挖礦惡意程序Linux.BtcMine.174。該惡意程序在不經過設備所有者同意的情況下使用CPU或GPU資源來進行隱蔽的加密貨幣挖掘操作。”
如果缺乏縝密細緻的防禦措施，如果缺乏積極主動的安全掃描，如果缺乏行之有效的入侵檢測系統，如果缺乏切實到位的安全管理制度和流程保障，那麼Linux系統也同樣很容易被黑客入侵利用，此時保障業務和數據安全將成爲空話一句。
什麼是安全
一千五百多年前由從梵文譯成漢文的《百喻經·願爲王剃鬚喻》講述了親信救王的故事。故事中寫到“昔者有王，有一親信，于軍陣中，歿命救王，使得安全。”這裏的安全就是指的“平安、不受威脅”。
同樣，我認爲，安全是指一種狀態，在這種狀態下，某種對象或者對象的某種屬性是不受威脅的。《中華人民共和國網絡安全法》第五條中指出網絡安全的目的之一就是“保護關鍵信息基礎設施免受攻擊、侵入、干擾和破壞”，也就是保護關鍵信息基礎設施不受威脅。
什麼是信息安全
對於什麼是信息安全（Information Security），不同的組織和個人可能有着不同的定義。
ISO/IEC、美國國家安全系統委員會和國際信息系統審計協會對信息安全的定義是被大部分信息安全從業人員所認可並支持的。《ISO/IEC 27001:2005 信息安全管理體系規範與使用指南》中對信息安全的定義是“保護信息的機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）及其他屬性，如：真實性、可確認性、不可否認性和可靠性。”
美國國家安全系統委員會（Committee on National Security Systems，CNSS）在《Committee on National Security Systems: CNSS Instruction No. 4009》對信息安全的定義是，“爲了保障機密性、完整性和可用性而保護信息和信息系統，以防止未授權的訪問、使用、泄露、中斷、修改或者破壞。”
國際信息系統審計協會（Information Systems Audit and Control Association，ISACA）對信息安全的定義是，“在企業組織內，信息被保護，以防止被泄露給未授權用戶（機密性）、防止非恰當的修改（完整性）、防止在需要的時候無法訪問（可用性）”。
通過以上這3個定義，我們可以看出，保障信息安全的最重要目的保護信息的機密性、完整性和可用性這3個屬性：
-
機密性：信息僅僅能夠被已授權的個人、組織、系統和流程訪問到。例如，個人的銀行賬戶交易流水和餘額信息，除了賬戶持有人、經賬戶持有人授權的第三方組織、依相關法律法規規定有查詢權限的組織以外，不應該被任何其他實體獲取到。另外，商業組織的客戶聯繫信息往往也具有較高的價值，也需要保護其機密性。在某些對安全要求較高的行業，甚至特別強調了對機密性的保障。例如，在《支付卡行業數據安全標準3.2.1版本（Payment Card Industry Data Security Standard，Version 3.2.1）》3.2.2條中明確指出，在授權完成後，不能在諸如日誌、數據庫等位置存儲信用卡驗證碼（CVV2、CVC2、CID、CAV2等）。這是強調信用卡驗證碼機密性的一個例子。
-
完整性：保護信息的一致性（Consistency）、準確性（Accuracy）和可信賴性（Trustworthiness）。例如，A公司向B公司提供的數據報告是通過電子郵件附件的形式來傳輸的，那麼A公司就需要和B公司預先確定一種機制來檢查和確認B公司收到的電子郵件附件確實是和A公司發送的一模一樣的，是未被在傳輸過程中篡改的。
-
可用性：當需要訪問的時候，信息是可以提供給合法授權用戶訪問的。沒有了可用性的保障，信息的價值就難以持續體現出來。
在學習信息安全的機密性、完整性和可用性這3個屬性時，我們可以使用圖1-1幫助記憶：
在考慮信息安全的時候，必須把保障信息的機密性、完整性、可用性作爲最重要目標，才能建立完善和有效的保護機制，避免顧此失彼。例如，在華爲公司2019年一號文《全面提升軟件工程能力與實踐，打造可信的高質量產品——致全體員工的一封信》（電郵講話【2019】001號 簽發人：任正非）指出，“公司已經明確，把網絡安全和隱私保護作爲公司的最高綱領。”其同時指出，“安全性（Security）”的要求就是“產品有良好的抗攻擊能力，保護業務和數據的機密性、完整性和可用性。”
信息安全的木桶原理
一般來說，信息安全的攻擊和防護是嚴重不對稱的。相對來說，攻擊成功很容易，防護成功卻極爲困難。信息安全水平的高低遵循木桶原理（Bucket effect），如圖1-2所示：
如圖1-2所示，雖然有多種多樣的防護措施，但是信息安全水平有多高，卻是取決於防護最薄弱的環節。木桶理論體現了安全體系建設中對整體性原則的要求。整體性原則要求我們從宏觀的、整體的角度出發，系統地建設信息安全體系，一方面全面構架信息安全技術體系，覆蓋從通信和網絡安全、主機系統安全到數據和應用安全各個層面。另一方面，還要建立全面有效的安全管理體系和運行保障體系，使得安全技術體系發揮最佳的保障效果。
Linux系統安全與信息安全的關係
“Linux系統安全”與信息安全是什麼樣的關係呢？
首先，我們需要認識到，只有保障了Linux系統安全，才能保障依賴於其提供服務的信息安全。信息是有生命週期的，從其產生、收集、處理、傳輸、分析到銷燬或者存檔，每個階段都可能有大量的設備、平臺、應用介入。而爲這些設備、平臺、應用提供底層支持的，往往有大量的Linux系統（包括服務器和嵌入式設備等），其爲信息的整個生命週期提供源源不斷的動力支撐。
其次，我們也需要認識到，保障Linux系統安全是手段，保障信息安全是目的。如果一個Linux系統上沒有存儲任何有價值的信息，不生產或者傳輸有價值的信息，不處理和分析有價值的信息，那麼這個系統也就失去了保護的價值。對Linux系統安全的關注，實際上是對真正有價值的信息的關注。
本文內容來自作者圖書作品《Linux 系統安全：縱深防禦、安全掃描與入侵檢測》，點擊購買。