Ubuntu服务器磁盘安全管控的核心从来不是装一个工具就完事，而是要在“权限最小化、加密落盘、审计可追溯、故障可恢复”这四个层面形成闭环。很多管理员习惯用默认分区和默认挂载参数上线，这恰恰是后期磁盘数据泄露和误删事故的根源。下面直接拆解具体做法，从磁盘分区、挂载选项、加密、配额、审计到备份恢复，每一步都给出可执行方案。
先检查当前磁盘与挂载状态
登录服务器后第一件事是摸清磁盘布局。用lsblk查看块设备结构，用df -h查看挂载点使用率，再用mount | grep '^/dev'确认每个分区的实际挂载参数。很多Ubuntu云主机默认只分一个根分区，数据、日志、临时文件全部混在一起，一旦某个目录被写满，整个系统都会失去响应。更严重的是，如果/tmp、/var/tmp没有单独分区或限制，任何本地用户都能用垃圾数据填满磁盘，造成拒绝服务。
lsblk -o NAME,SIZE,FSTYPE,MOUNTPOINT df -hT mount | grep '^/dev'
建议至少把/var、/tmp、/home从根分区拆出来。/var承载日志和数据库，/tmp是公共临时区，/home存放用户数据，三者写入模式完全不同。单独分区后，即使某个区域被写满，也不会拖垮根文件系统。对于已经上线的服务器，如果无法重新分区，至少要用mount --bind配合独立磁盘或逻辑卷做目录隔离。
用mount参数收紧文件系统行为
Ubuntu默认挂载参数偏向兼容性，安全性不足。对存放用户上传文件、临时文件或可执行脚本的目录，必须在/etc/fstab中显式加上noexec、nosuid、nodev。noexec能阻止该分区上的二进制文件直接执行，nosuid让setuid位失效，nodev禁止设备文件被解释。这三个参数组合起来，可以大幅降低攻击者通过上传webshell或恶意脚本提权的可能性。
# /etc/fstab 示例 /dev/mapper/vg_data-lv_tmp /tmp ext4 defaults,noexec,nosuid,nodev 0 2 /dev/mapper/vg_data-lv_var /var ext4 defaults,nosuid 0 2
改完fstab后执行mount -o remount /tmp验证，再用findmnt -o TARGET,OPTIONS /tmp确认参数已生效。注意，noexec对通过解释器执行的脚本有一定绕过风险，例如用python script.py或bash script.sh仍然可以运行，但至少阻断了直接执行ELF二进制和常见webshell的路径。对于需要执行代码的目录，不要盲目加noexec，否则会破坏正常业务。
磁盘加密必须区分场景
如果服务器托管在第三方机房或云平台，物理磁盘不在自己手中，落盘加密就是底线。Ubuntu支持LUKS全盘加密和fscrypt目录级加密两种路线。全盘加密适合从安装阶段就规划的新机器，使用cryptsetup对根分区或数据分区整体加密，重启后需要输入密钥才能挂载。对于已经运行的系统，全盘加密迁移成本较高，更适合用fscrypt对敏感目录做文件级加密。
# 安装fscrypt sudo apt update && sudo apt install fscrypt libpam-fscrypt # 对ext4文件系统启用加密特性 sudo tune2fs -O encrypt /dev/mapper/vg_data-lv_home # 初始化fscrypt sudo fscrypt setup # 对指定目录启用加密 sudo fscrypt encrypt /home/sensitive --source=pam_passphrase
fscrypt的优点是粒度细，可以只加密数据库目录、密钥目录或用户私人文件，不影响系统启动流程。缺点是性能有一定损耗，且密钥管理依赖PAM或自定义策略。无论选择哪种加密方式，都要把LUKS头备份和恢复密钥存放在离线介质中。加密的目的是防止磁盘被物理盗取或云平台底层快照泄露，而不是替代访问控制。
用磁盘配额防止资源滥用
多用户环境或运行容器服务的Ubuntu服务器，必须启用磁盘配额。没有配额，一个失控的日志进程或一个被入侵的普通账号就能写满整个/home或/var。Ubuntu上ext4和XFS都支持配额，但XFS的配额性能更好，推荐新分区直接格式化为XFS。启用配额需要在内核启动参数或fstab中加usrquota和grpquota选项。
# /etc/fstab 中为/home启用配额 /dev/mapper/vg_data-lv_home /home xfs defaults,usrquota,grpquota 0 2
挂载后使用xfs_quota设置具体限制。例如限制用户alice最多使用20GB，超过18GB时给出警告。配额分为硬限制和软限制，硬限制是绝对上限，软限制配合宽限期使用，给用户留出清理时间。
sudo xfs_quota -x -c 'limit bsoft=18g bhard=20g alice' /home sudo xfs_quota -x -c 'report -h' /home
对于/var/log这类系统目录，配额不能只靠用户维度，还要结合logrotate的size和rotate参数控制日志总量。很多服务器磁盘被写满的元凶就是日志无限增长，设置logrotate每天轮转、保留最近7天、单文件超过100MB强制切割，能从源头限制磁盘占用。
文件权限与ACL的精细化管控
磁盘安全的一半在挂载和加密，另一半在文件系统内的权限设计。Ubuntu默认umask是022，新建文件权限为644，目录为755。对于多人协作目录，仅靠传统的owner/group/other三级权限不够，必须引入ACL。setfacl可以给特定用户或组单独授权，而不改变目录属主。
# 给用户bob对/data/project目录读写权限，但不影响其他用户 sudo setfacl -m u:bob:rwx /data/project sudo setfacl -m g:devteam:rx /data/project # 查看ACL getfacl /data/project
更关键的是默认ACL，设置在目录上后，新建的子文件和子目录会自动继承权限，避免出现新文件权限过宽的问题。对于Web目录，通常需要www-data用户可写，但又不希望其他系统用户访问，用ACL配合默认ACL是最干净的方案。
sudo setfacl -d -m u:www-data:rwx /var/www/site/uploads sudo setfacl -m u:www-data:rwx /var/www/site/uploads
同时要定期扫描异常权限文件，特别是全局可写目录和带setuid/setgid位的文件。用find命令找出/var、/tmp、/home下所有777权限文件和目录，逐一确认是否必要。setuid程序是本地提权的常见入口，除系统必需外，业务目录中不应存在任何setuid文件。
sudo find /var /tmp /home -type f -perm -0002 -ls sudo find / -xdev -type f -perm -4000 -ls
磁盘审计与异常写入监控
权限和配额是预防，审计是事后追溯。Ubuntu自带的auditd可以监控关键目录的写入、删除和权限变更。对存放敏感数据的目录设置审计规则，记录谁在什么时间对哪个文件做了什么操作。审计日志本身要写入独立分区或远程日志服务器，防止攻击者删除本地日志掩盖痕迹。
# 安装auditd sudo apt install auditd # 监控/etc/shadow和/etc/sudoers的修改 sudo auditctl -w /etc/shadow -p wa -k auth_changes sudo auditctl -w /etc/sudoers -p wa -k sudo_changes # 监控敏感数据目录的写入和删除 sudo auditctl -w /data/sensitive -p wa -k sensitive_data # 查看审计日志 sudo ausearch -k sensitive_data
除了auditd，inotifywait适合做实时告警。当监控目录出现大量写入或异常文件创建时，触发脚本发送告警或直接锁定目录。对于数据库目录，频繁的inotify事件可能影响性能，建议只对上传目录、临时目录和配置文件目录做实时监控。
sudo apt install inotify-tools
# 监控/tmp下新建可执行文件
inotifywait -m /tmp -e create -e moved_to |
while read dir action file; do
if [ -x "$dir$file" ]; then
echo "警告：/tmp下出现可执行文件 $file"
fi
done
磁盘故障预防与SMART检测
数据防护不能只防人为，还要防硬件故障。Ubuntu服务器上线后应开启smartd服务，定期对机械硬盘和SSD做健康检查。机械硬盘重点看Reallocated_Sector_Ct、Current_Pending_Sector和Offline_Uncorrectable，这三个值一旦增长，说明盘片已经出现物理坏道，需要尽快更换。SSD则关注Media_Wearout_Indicator和Wear_Leveling_Count，判断闪存寿命。
sudo apt install smartmontools sudo smartctl -a /dev/sda sudo smartctl -t short /dev/sda
对于RAID阵列，用mdadm或硬件RAID卡的管理工具定期检查阵列状态。软件RAID执行mdadm --detail /dev/md0查看每个成员盘的状态，任何一块盘出现Faulty或Rebuild状态都要立即处理。热备盘和定期巡检是防止单盘故障演变成数据丢失的关键。
备份策略必须覆盖磁盘级和文件级
所有管控措施都可能在极端情况下失效，备份是最后一道防线。Ubuntu服务器至少要有两层备份：文件级备份用rsync或restic做增量快照，磁盘级备份用LVM快照或云平台磁盘快照做整盘恢复点。文件级备份解决误删和单文件损坏，磁盘级备份解决分区表损坏和系统无法启动。
# LVM快照示例 sudo lvcreate -L 10G -s -n snap_data /dev/vg_data/lv_data sudo mount /dev/vg_data/snap_data /mnt/snap # 备份完成后删除快照 sudo umount /mnt/snap sudo lvremove /dev/vg_data/snap_data
备份数据要遵循3-2-1原则：至少3份副本，存放在2种不同介质，其中1份在异地。对于Ubuntu云服务器，本地快照和对象存储异地备份的组合成本最低。定期做恢复演练比备份本身更重要，很多团队直到真出事才发现备份文件损坏或恢复流程不完整。
日志与临时文件的自动清理机制
Ubuntu服务器运行时间越长，/var/log、/tmp和/var/cache越容易膨胀。除了logrotate，还应该用systemd-tmpfiles管理临时文件。systemd-tmpfiles可以根据文件年龄自动清理/tmp和/var/tmp，避免手动清理误删正在使用的文件。
# /etc/tmpfiles.d/cleanup.conf # 清理/tmp下超过3天未修改的文件 d /tmp 1777 root root 3d # 清理/var/tmp下超过7天未修改的文件 d /var/tmp 1777 root root 7d
对于数据库二进制日志、包管理器缓存和Docker镜像缓存，也要设置定期清理任务。docker system prune -f可以清理无用的镜像和容器层，apt clean清理下载的deb包。这些操作要写成systemd timer或cron任务，避免人工遗忘。
磁盘安全管控的持续验证
配置完成后，用自动化脚本定期验证所有安全措施是否仍然生效。检查项包括：关键挂载点的noexec/nosuid参数是否还在、加密目录是否正常锁定、配额是否启用、审计规则是否加载、SMART健康值是否正常。任何一项失效都可能意味着配置被回滚或系统被入侵。把这些检查集成到监控系统中，一旦偏离基线立即告警。
#!/bin/bash # 磁盘安全基线检查脚本 mount | grep '/tmp' | grep -q noexec || echo "警告：/tmp丢失noexec参数" mount | grep '/home' | grep -q usrquota || echo "警告：/home配额未启用" sudo auditctl -l | grep -q sensitive_data || echo "警告：敏感目录审计规则缺失" sudo smartctl -H /dev/sda | grep -q PASSED || echo "警告：磁盘健康检查未通过"
Ubuntu服务器磁盘安全管控是一个动态过程，不是一次性配置。新业务上线、用户变更、系统升级都可能引入新的风险点。把磁盘分区、挂载参数、加密、配额、权限、审计、备份和健康检查串成一条完整的防护链，每季度做一次全面巡检，才能真正把数据泄露和丢失的风险压到最低。
