{"id":20292,"date":"2026-08-03T15:05:08","date_gmt":"2026-08-03T13:05:08","guid":{"rendered":"https:\/\/webhosting.de\/filesystem-mount-options-linux-serverhaertung-securefs\/"},"modified":"2026-08-03T15:05:08","modified_gmt":"2026-08-03T13:05:08","slug":"bestandssysteem-koppelingsopties-linux-beveiliging-securefs","status":"publish","type":"post","link":"https:\/\/webhosting.de\/nl\/filesystem-mount-options-linux-serverhaertung-securefs\/","title":{"rendered":"Bestandssysteem-mountopties voor het beveiligen van servers: serverbeveiliging in Linux correct configureren"},"content":{"rendered":"<p>Gerichte <strong>Bestandssysteem koppelen<\/strong>-Opties maken mijn Linux-server op bestandssysteemniveau beter beveiligd en blokkeren veelvoorkomende aanvallen via tijdelijke paden, setuid-binaire bestanden en apparaatbestanden. Ik stel dit in met duidelijke mount-parameters zoals <strong>noexec<\/strong>, stel nosuid en nodev vast om te bepalen wat op afzonderlijke partities is toegestaan, en verminder zo het risico op privilege-escalatie aanzienlijk.<\/p>\n\n<h2>Centrale punten<\/h2>\n<p>De volgende aandachtspunten bieden een directe inleiding tot het veilig configureren van de mount-opties en laten concrete manoeuvreerruimtes zien voor <strong>Serverbeveiliging<\/strong> en werking.<\/p>\n<ul>\n  <li><strong>noexec\/nosuid\/nodev<\/strong>: Belangrijke opties ter voorkoming van het uitvoeren van code, misbruik van SUID\/SGID en apparaatbestanden.<\/li>\n  <li><strong>Tijdelijke paden<\/strong>: \/tmp, \/var\/tmp en \/dev\/shm strikt beperken.<\/li>\n  <li><strong>\/etc\/fstab<\/strong>: Persistente records grondig testen en controleren.<\/li>\n  <li><strong>Prestatieopties<\/strong>: ro, noatime, sync en quota's doelgericht gebruiken.<\/li>\n  <li><strong>Aanvullingen<\/strong>: ACL's, umask, chattr en versleuteling combineren.<\/li>\n<\/ul>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img fetchpriority=\"high\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/linux-server-sicherheit-4123.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Waarom mount-opties een aanzienlijke bijdrage leveren aan de beveiliging van servers<\/h2>\n<p>Met gerichte instellingen bepaal ik per partitie wat daar mag gebeuren, en voorkom zo onnodige <strong>Aanvaloppervlakken<\/strong>. De oproep <code>mount -o rw,noexec,nosuid,nodev<\/code> maakt van een standaard-mount een beveiligde mount, die het uitvoeren van code en setuid-trucs voorkomt. Vooral bij mappen die door meerdere gebruikers kunnen worden beschreven, beschermt dit mij tegen typische exploitketens vanuit \/tmp. Ik bepaal per partitie welke acties echt nodig zijn en beperk al het andere consequent. Zo bereik ik met weinig moeite merkbaar meer <strong>Beveiliging<\/strong> in het dagelijks leven.<\/p>\n\n<h2>noexec, nosuid, nodev: de drie zwaargewichten in het dagelijks leven<\/h2>\n<p>Ik stel <strong>noexec<\/strong> op tijdelijke paden, zodat de daar opgeslagen binaire bestanden niet direct worden gestart. Met <strong>nosuid<\/strong> schakel ik SUID\/SGID-escalatiepaden uit, vooral op externe en netwerkbestandssystemen. De optie <strong>nodev<\/strong> voorkomt dat iemand gevaarlijke apparaatbestanden aanmaakt en misbruikt. Samen blokkeren deze drie schakelaars de uitvoering van code, het uitbreiden van rechten en toegang op laag niveau. Deze combinatie vermindert het risico op privilege-escalatie aanzienlijk en versterkt mijn <strong>Serverbeveiliging<\/strong> meetbaar.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/ServerSicherheitLinux4578.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Typische toepassingsscenario's en aanbevolen opties<\/h2>\n<p>Voor tijdelijke mappen zoals \/tmp, \/var\/tmp en \/dev\/shm stel ik standaard <strong>noexec<\/strong>, nosuid en nodev. Voor \/var en \/var\/log zie ik af van apparaatbestanden en SUID\/SGID, aangezien beide daar geen legitiem doel dienen. In \/home sta ik uitvoering toe indien nodig, maar blokkeer ik SUID\/SGID en apparaatbestanden. Voor \/boot stel ik nosuid, nodev, noexec in, zodat alleen de bootloader leest en er niets wordt uitgevoerd. Deze duidelijke scheiding per partitie verhoogt de <strong>Veerkracht<\/strong> van mijn host en maakt het oplossen van problemen eenvoudiger.<\/p>\n<table>\n  <thead>\n    <tr>\n      <th>Koppelpunt<\/th>\n      <th>Aanbevolen opties<\/th>\n      <th>Korte samenvatting<\/th>\n    <\/tr>\n  <\/thead>\n  <tbody>\n    <tr>\n      <td>\/tmp, \/var\/tmp, \/dev\/shm<\/td>\n      <td>noexec, nosuid, nodev<\/td>\n      <td>Geen uitvoering, geen SUID\/SGID, geen apparaatbestanden<\/td>\n    <\/tr>\n    <tr>\n      <td>\/var, \/var\/log<\/td>\n      <td>nosuid,nodev (optioneel noexec)<\/td>\n      <td>Logbestanden en spools zonder SUID\/SGID en zonder apparaatbestanden<\/td>\n    <\/tr>\n    <tr>\n      <td>\/home<\/td>\n      <td>nosuid,nodev (optioneel noexec)<\/td>\n      <td>Gebruikersbestanden zonder SUID\/SGID en zonder apparaatbestanden<\/td>\n    <\/tr>\n    <tr>\n      <td>\/boot<\/td>\n      <td>nosuid,nodev,noexec<\/td>\n      <td>Alleen-lezen-toegang voor opstartbestanden<\/td>\n    <\/tr>\n  <\/tbody>\n<\/table>\n\n<h2>Slim gebruikmaken van speciale bestandssystemen en geavanceerde opties<\/h2>\n<p>Ik houd rekening met de specifieke kenmerken van mijn bestandssysteem en stem de opties daarop af. Bij ext4 levert dit <code>data=geordend<\/code> (standaard) en <code>verbinden=<\/code> een goed evenwicht tussen gegevensconsistentie en schrijffrequentie. Voor bijzonder kritieke partities gebruik ik <code>fouten=opnieuw koppelen als-lezen-alleen<\/code>, zodat het systeem bij een fout niet onopgemerkt doorgaat met werken. Op XFS controleer ik of <code>inode64<\/code> en quotavarianten (<code>usrquota<\/code>, <code>grpquota<\/code>, <code>prjquota<\/code>) worden gebruikt om grote bestandsstructuren overzichtelijk te beheren. Opties zoals <code>user_xattr<\/code> en <code>acl<\/code> Ik sta dit alleen toe wanneer applicaties geavanceerde attributen of meer gedetailleerde rechten nodig hebben \u2013 anders houd ik het aanvalsoppervlak klein en blijf ik bij de conservatieve standaardinstellingen.<\/p>\n<p>Voor SSD- en cloudvolumes maak ik bewust een keuze tussen <code>discard<\/code> en regelmatige TRIM-runs via de timer. Online-TRIM (<code>discard<\/code>) maakt opslagblokken direct vrij, maar kost wel I\/O. In veel opstellingen is periodiek <em>fstrim<\/em> prestatiegerichter en transparanter. Ik kies de timestamp-strategie op basis van de workload: <code>relatime<\/code> ontziet de plaat en is tegenwoordig een goed compromis, <code>noatime<\/code> beperkt het aantal schrijftoegangen tot een minimum, maar kan problemen opleveren voor tools die afhankelijk zijn van exacte toegangstijden. <code>luiheid<\/code> buffert op zijn beurt attribuutupdates en vermindert zo de schrijfbelasting zonder verlies van semantiek \u2013 ideaal als ik schrijf-IO's wil dempen zonder af te zien van metadata.<\/p>\n<p>Ik blijf uit de buurt van risicovolle tuning-opties als het effect ervan niet glashelder is: vlaggen zoals <code>geen barri\u00e8re<\/code>\/<code>terugschrijven<\/code> kunnen gegevensverlies bij een stroomstoring in de hand werken. Ook evalueer ik functies zoals DAX alleen als de hardware, de kernel en de versie van het bestandssysteem hierop zijn afgestemd. Het motto blijft: eerst ge\u00efsoleerd testen, daarna op reproduceerbare wijze uitrollen \u2013 en altijd met een degelijk terugvalplan.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/linux-server-security-config-4005.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Een goede balans vinden tussen prestaties en veiligheid<\/h2>\n<p>Ik gebruik <strong>ro<\/strong> op plaatsen waar de inhoud zelden verandert, zodat niemand zich onopgemerkt kan inschrijven. Met <strong>noatime<\/strong> of relatime bespaar ik onnodige schrijftoegangen, zonder belangrijke metagegevens zomaar op te offeren. De optie <strong>sync<\/strong> slaat schrijfbewerkingen onmiddellijk op, wat weliswaar tijd kost, maar het verlies van gegevens bemoeilijkt. Quota\u2019s via usrquota\/grpquota houden geheugenvreters in toom en voorkomen uitval door volle partities. Voor workloads met ext4 of XFS test ik elke optie op een gecontroleerde manier, zodat de werking en <strong>Beveiliging<\/strong> bij de toepassing passen.<\/p>\n\n<h2>\/etc\/fstab: permanent en veilig configureren<\/h2>\n<p>Ik zet de definitieve opties in <strong>\/etc\/fstab<\/strong>, zodat ze elke opstartcyclus doorstaan. Voordat ik het systeem opnieuw opstart, controleer ik de vermeldingen met <code>mount -a<\/code> en laad diensten opnieuw met <code>systemctl daemon-reload<\/code>, om verrassingen te voorkomen. Voor de root-partitie houd ik de opties tot een minimum beperkt en leg ik strenge beperkingen op aan speciale mounts. Voorbeeldregels zoals <code>UUID=tmp-uuid \/tmp ext4 defaults,nosuid,nodev,noexec 0 2<\/code> leg ik alles netjes vast, zodat latere controles vlot verlopen. Met <code>findmnt --real -o TARGET,OPTIONS<\/code> vergelijk ik de geplande configuratie met de daadwerkelijk actieve <strong>Opties<\/strong>.<\/p>\n\n<h2>systemd-integratie: automatisch koppelen, opstartbetrouwbaarheid en afhankelijkheden<\/h2>\n<p>Ik maak gebruik van de fstab-uitbreidingen van systemd om de beschikbaarheid en opstarttijden te verbeteren. Met <code>x-systemd.automount<\/code> Ik voeg paden die zelden worden gebruikt toe bij de eerste keer dat ze worden opgevraagd, waardoor het systeem bij het opstarten minder vaak vastloopt. <code>nofail<\/code> zorgt ervoor dat de host ondanks het ontbreken van secundaire mounts gewoon opstart, terwijl ik met <code>x-systemd.device-timeout=<\/code> en <code>x-systemd.mount-timeout=<\/code> Beperk de hangers. Voor services definieer ik afhankelijkheden met <code>x-systemd.requires-mounts-for=\/pad<\/code>, zodat applicaties pas starten als jullie opslagruimte daadwerkelijk beschikbaar is.<\/p>\n<p>Op volatiele of trage backends voeg ik bovendien <code>x-systemd.idle-timeout=<\/code> voor automounts vast, zodat ze na inactiviteit netjes worden ontkoppeld. Zo houd ik het aantal open descriptoren laag, voorkom ik zombie-mounts en zorg ik voor een voorspelbaar gedrag tijdens de looptijd \u2013 essentieel in grote omgevingen met veel units en opslagdoelen.<\/p>\n\n<h2>Controle en bewaking van de montageopties tijdens het gebruik<\/h2>\n<p>Ik controleer regelmatig met <strong>findmnt<\/strong>, of alle partities zoals gepland zijn gekoppeld. Afwijkingen zie ik meteen en corrigeer ik door ze gericht opnieuw te koppelen, bijvoorbeeld <code>mount -o remount,noexec \/tmp<\/code>. Voor hosts waarbij tijd een cruciale factor is, stel ik meldingen in voor het geval er plotseling opties ontbreken of er nieuwe mounts verschijnen. Contextisolatie door <a href=\"https:\/\/webhosting.de\/nl\/server-context-isolatie-namespaces-cgroups-hosting-beveiliging\/\">Naamruimten en cgroups<\/a> vormt een effectieve aanvulling op de beveiliging van het bestandssysteem. Samen zorg ik ervoor dat aanvalsroutes beperkt blijven, verminder ik configuratiefouten en verhoog ik de <strong>Transparantie<\/strong> in het dagelijks leven.<\/p>\n\n<h2>Pseudo-bestandssystemen beveiligen: \/proc, \/sys, debugfs en devpts<\/h2>\n<p>Ik behandel pseudo-bestandssystemen met dezelfde zorgvuldigheid als opslagmedia. Voor <code>\/proc<\/code> zet ik ernaast <code>nosuid,nodev,noexec<\/code> vooral <code>hidepid=2<\/code>, om procesdetails van andere gebruikers te verbergen. Als beheerders inzage nodig hebben, werk ik met een speciale groep (<code>gid=<\/code>) en <code>hidepid=1<\/code> of <code>2<\/code>, afhankelijk van de vereiste zichtbaarheid. <code>\/sys<\/code> Ik monteer strikt met <code>nodev<\/code> en zonder onnodige schrijfrechten; <code>debugfs<\/code> blijft in principe niet gekoppeld, tenzij ik het tijdelijk nodig heb voor diagnostische doeleinden \u2013 dan uitsluitend voor korte tijd en op testsystemen.<\/p>\n<p>Voor <code>devpts<\/code> controleer ik de modus en groepsrechten, zodat pseudo-terminals goed ge\u00efsoleerd zijn (bijv. <code>mode=0620,gid=tty<\/code>). Deze details voorkomen ongewenste kruisverwijzingen tussen sessies en verminderen het risico dat vertrouwelijke informatie wordt uitgelezen. Juist in multi-user- of hostingomgevingen vormt deze verfijning een belangrijk onderdeel van de <strong>Serverbeveiliging<\/strong>.<\/p>\n\n<h2>Tmpfs-groottes en limieten voor \/tmp en \/dev\/shm<\/h2>\n<p>Voor systemen met een hoog I\/O- of build-aandeel overweeg ik <code>\/tmp<\/code> en <code>\/dev\/shm<\/code> als <code>tmpfs<\/code>, strak begrensd en hard gehard: <code>tmpfs \/tmp tmpfs rw,nosuid,nodev,noexec,mode=1777,size=2G 0 0<\/code>. Zo voorkom ik dat tijdelijke bestanden de schijven volmaken en versnel ik de toegang tot het geheugen. Ik houd echter het RAM-gebruik in de gaten en zorg voor reserves, zodat een tekort aan geheugen geen invloed heeft op andere diensten. Als bepaalde tools uitvoerbare tijdelijke paden nodig hebben, koppel ik ze los via speciale werkdirectory\u2019s en bind-mounts, in plaats van de algemene beveiligingsregels te versoepelen.<\/p>\n<p>Tussen <code>\/tmp<\/code> en <code>\/var\/tmp<\/code> Ik maak bewust een onderscheid tussen: <code>\/tmp<\/code> mag volatiel zijn, <code>\/var\/tmp<\/code> zou een herstart moeten doorstaan. Daarom kies ik <code>tmpfs<\/code> eerder voor <code>\/tmp<\/code> en laat het zo <code>\/var\/tmp<\/code> op schijf \u2013 eveneens met <code>noexec, nosuid, nodev<\/code>. Voor grote shared-memory-belastingen bereken ik de benodigde capaciteit <code>\/dev\/shm<\/code> passend (<code>size=<\/code>) en pas consequent de 1777-rechten toe om de scheiding tussen gebruikers te waarborgen.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/Server-Konfiguration1234.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Aanvullende beveiligingsmaatregelen op bestandssysteemniveau<\/h2>\n<p>Ik verminder <strong>SUID\/SGID<\/strong>-Ik beperk het aantal binaire bestanden tot het minimum en stel de umask conservatief in, bijvoorbeeld 027 of 077, zodat nieuwe bestanden beveiligd worden aangemaakt. ACL\u2019s activeer ik gericht wanneer applicaties meer gedetailleerde rechten nodig hebben, en documenteer regels met <code>getfacl<\/code> netjes. Bijzonder gevoelige configuraties verzegel ik met <code>chattr +i<\/code>, om wijzigingen te voorkomen. Quota\u2019s voorkomen al in een vroeg stadium dat de opslagcapaciteit wordt overschreden, voordat dit de diensten vertraagt. Voor een sterke isolatie van de processen verwijs ik bovendien naar <a href=\"https:\/\/webhosting.de\/nl\/proces-isolatie-hosting-chroot-cagefs-container-jails-veiligheid-vergelijking\/\">Vergelijking van procesisolatie<\/a>, om risico's buiten het bestandssysteem te beperken.<\/p>\n\n<h2>Isolatieconcepten gecombineerd toepassen<\/h2>\n<p>Ik vul de beveiliging van het bestandssysteem aan met <strong>Bestandssysteemisolatie<\/strong> op gebruikersniveau, zodat applicaties geen toegang krijgen buiten hun grenzen. In hostingomgevingen loont een ge\u00efsoleerde omgeving de moeite, omdat er dan minder schade wordt aangericht door onbedoelde gevolgen. Hier is het de moeite waard om eens te kijken naar <a href=\"https:\/\/webhosting.de\/nl\/cloudlinux-cagefs-bestandssysteem-isolatie-beveiliging-hostingshield\/\">CageFS-bestandssysteemisolatie<\/a>, die de gebruikersomgevingen strikt van elkaar scheidt. Ook containers en jails bieden voordelen als ik ze combineer met restrictieve mount-opties. Deze combinatie dicht de gaten die louter <strong>Montagemogelijkheden<\/strong> niet alleen dekken.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/Linux_Server_Haertung_5203.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Veelvoorkomende struikelblokken en tegenmaatregelen<\/h2>\n<p>I test <strong>noexec<\/strong> grondig, omdat sommige tools tijdelijke binaire bestanden in \/tmp willen starten. In dergelijke gevallen maak ik gebruik van speciale werkmappen waarin uitvoering is toegestaan. Voor shell-scripts gebruik ik expliciete interpreteraanroepen zoals <code>\/bin\/bash script.sh<\/code>, zodat noexec geen belemmering vormt. Als er voor bepaalde submappen uitzonderingen nodig zijn, werk ik met bind-mounts en specifieke opties. Zo houd ik de basisbeveiliging intact en sta ik alleen toe wat een toepassing echt <strong>vereist<\/strong>.<\/p>\n\n<h2>Bind-mounts, submappen en mount-propagatie<\/h2>\n<p>Ik gebruik <code>mount --bind<\/code>, om alleen de benodigde subbomen door te geven aan de doelomgevingen en daarbij de rechten te beperken. Met <code>mount -o bind,ro<\/code> stel ik ze in op alleen-lezen, en via een daaropvolgende <code>mount -o remount,nosuid,nodev,noexec,bind<\/code> dan leg ik de veiligheidsgrenzen nog strenger vast. Voor hele subbomen gebruik ik <code>--rbind<\/code>, om alle sub-mounts mee te nemen. Belangrijk is de propagatieregel: met <code>mount --make-private<\/code> Ik scheid de mount-gebeurtenissen tussen de host en de chroots\/containers, zodat er geen ongewenste mounts \u201edoorsluipen\u201c.<\/p>\n<p>Waar container-orkestratie actief is, houd ik standaard centrale paden aan <em>priv\u00e9<\/em> en open doelgericht alleen datgene wat de workloads nodig hebben. Tijdens debug-fasen kan <em>gedeeld<\/em> nuttig zijn, in de normale bedrijfsvoering is <em>priv\u00e9\/slaaf<\/em> de veilige keuze. Zo blijven de mount-topologie\u00ebn voorspelbaar en voorkom ik dat bevoorrechte paden per ongeluk in gastomgevingen verschijnen.<\/p>\n\n<h2>Externe en verwisselbare media harden<\/h2>\n<p>Externe schijven en netwerkmappen koppel ik altijd met <code>nosuid,nodev<\/code> en meestal ook <code>noexec<\/code>. Voor VFAT\/NTFS pas ik de eigenaar en de machtigingen aan (bijv. <code>uid=1000,gid=1000,umask=027,fmask=137,dmask=027<\/code>), zodat uitvoerbare bits geen achterdeur vormen. Op verwisselbare media is er geen legitieme behoefte aan SUID\/SGID of apparaatbestanden \u2013 deze functies schakel ik consequent uit. Als ik alleen wil lezen, komt er bovendien <code>ro<\/code> wordt ingezet. Zo blijft schadelijke code zonder effect en kan deze niet zomaar tussendoor worden gedownload.<\/p>\n<p>Ook bij NFS\/SMB beperk ik de rechten strikt. <code>nosuid,nodev,noexec<\/code> zijn standaard; time-outs en herhalingen stel ik bewust in (<code>hard\/soft,timeo=<\/code>), zodat storingen het totale systeem niet blokkeren. Voor gevoelige gegevens zorg ik voor integriteit en versleuteling op protocolniveau en let ik erop dat er aan zowel de client- als de serverzijde een consistent beleid wordt gehanteerd. Hoe minder de tegenpartij mag beslissen over de lokale host, hoe stabieler en voorspelbaarder de werking blijft.<\/p>\n\n<h2>Stap voor stap: een voorbeeldconfiguratie veilig implementeren<\/h2>\n<p>Ik begin met een inventarisatie via <code>findmnt --real -o TARGET,OPTIONS<\/code> en documenteer alle actieve <strong>Rijdieren<\/strong>. Daarna pas ik <code>\/etc\/fstab<\/code> bijvoorbeeld met regels voor \/tmp en \/dev\/shm, inclusief noexec, nosuid en nodev. Vervolgens test ik met <code>mount -a<\/code> en controleer het effect opnieuw met findmnt. Als alles goed verloopt, stel ik quota\u2019s in op de plaatsen waar gebruikersaccounts groeien, en activeer ik relatime of noatime indien nodig. Tot slot leg ik de wijzigingen vast in mijn wijzigingslogboek en plan ik regelmatige <strong>Besturingselementen<\/strong>.<\/p>\n\n\n<figure class=\"wp-block-image size-full is-resized\">\n  <img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/serverconfig-raum-8394.png\" alt=\"\" width=\"1536\" height=\"1024\"\/>\n<\/figure>\n\n\n<h2>Driftcontrole, audits en veilige rollback<\/h2>\n<p>Ik leg mijn mount-beleidsregels vast als \u201estreeftoestand\u201c en controleer regelmatig op afwijkingen. Naast <code>findmnt<\/code> en <code>\/proc\/mounts<\/code> Ik gebruik eenvoudige controles in Health-scripts die een alarm geven wanneer kritieke paden zonder <code>noexec<\/code>, <code>nosuid<\/code> of <code>nodev<\/code> lopen. Wijzigingen aan <code>\/etc\/fstab<\/code> Ik documenteer systemd-units met versienummers; voordat ik risicovolle aanpassingen doorvoer, maak ik snapshots (bijvoorbeeld via LVM\/btrfs), zodat ik in geval van nood snel terug kan. Voor bijzonder gevoelige systemen plan ik onderhoudsvensters in en test ik het opnieuw koppelen van schijven vooraf op identieke staging-hosts.<\/p>\n<p>Er is altijd een pragmatische reddingsboei voorhanden: met <code>mount -o remount,defaults<\/code> Of door middel van gerichte tegenvlaggen zet ik strenge opties tijdelijk terug wanneer een dienst onverwacht uitvalt. Vervolgens breng ik de oorzaak in kaart, pas ik de uitzonderingen voor bind-mounts aan en voer ik de beveiligingsmaatregelen op gecontroleerde wijze weer in. Zo blijft de balans tussen strenge beleidsregels en hoge beschikbaarheid beheersbaar \u2013 ook onder tijdsdruk.<\/p>\n\n<h2>Samenvatting: Slim gebruikmaken van mount-opties<\/h2>\n<p>Ik beveilig Linux-hosts effectief door <strong>noexec<\/strong>, nosuid en nodev plaats ik doelgericht op de juiste partities. Tijdelijke paden sluit ik strak af; productieve gegevensgebieden krijgen alleen de rechten die ze echt nodig hebben. Prestatieopties zoals relatime, ro en quota\u2019s stel ik af op de situatie, zodat zowel de werking als de beveiliging in orde zijn. Permanente vermeldingen in \/etc\/fstab en regelmatige controles met findmnt zorgen ervoor dat de configuratie betrouwbaar blijft. Aangevuld met ACL\u2019s, umask, chattr en goede isolatietechnieken blijft de <strong>Aanvalsoppervlak<\/strong> klein en de administratieve lasten overzichtelijk.<\/p>","protected":false},"excerpt":{"rendered":"<p>In dit artikel wordt uitgelegd hoe je met veilige mount-opties voor het bestandssysteem de beveiliging van je Linux-server kunt optimaliseren en hoe je noexec, nosuid en nodev op de juiste manier kunt gebruiken.<\/p>","protected":false},"author":1,"featured_media":20285,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[794],"tags":[],"class_list":["post-20292","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit-computer_und_internet"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"litespeed-optimize-size":null,"litespeed-optimize-set":null,"_elementor_source_image_hash":null,"_wp_attachment_image_alt":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"surfer_file_name":null,"surfer_file_original_url":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":null,"rank_math_title":null,"inline_featured_image":null,"_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"_yoast_wpseo_linkdex":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_trp_translated_slug_en_us":null,"_wp_desired_post_slug":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_eael_widget_elements":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":null,"_edit_lock":null,"_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"128","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":null,"_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"rank_math_internal_links_processed":"1","_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":null,"rank_math_contentai_score":null,"ilj_limitincominglinks":null,"ilj_maxincominglinks":null,"ilj_limitoutgoinglinks":null,"ilj_maxoutgoinglinks":null,"ilj_limitlinksperparagraph":null,"ilj_linksperparagraph":null,"ilj_blacklistdefinition":null,"ilj_linkdefinition":null,"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"Filesystem Mount","rank_math_og_content_image":null,"_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":"20285","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/posts\/20292","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/comments?post=20292"}],"version-history":[{"count":0,"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/posts\/20292\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/media\/20285"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/media?parent=20292"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/categories?post=20292"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/nl\/wp-json\/wp\/v2\/tags?post=20292"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}