隨著開源系統(tǒng)Linux的盛行，其在大中型企業(yè)的應(yīng)用也在逐漸普及，很多企業(yè)的應(yīng)用服務(wù)都是構(gòu)筑在其之上，例如Web服務(wù)、數(shù)據(jù)庫服務(wù)、集群服務(wù)等等。因此，Linux的安全性就成為了企業(yè)構(gòu)筑安全應(yīng)用的一個基礎(chǔ)，是重中之重，如何對其進(jìn)行安全防護(hù)是企業(yè)需要解決的一個基礎(chǔ)性問題，基于此，本文將給出十大企業(yè)級Linux服務(wù)器安全防護(hù)的要點。 1、強化：密碼管理 設(shè)定登錄密碼是一項非常重要的安全措施，如果用戶的密碼設(shè)定不合適，就很容易被破譯，尤其是擁有超級用戶使用權(quán)限的用戶，如果沒有良好的密碼，將給系統(tǒng)造成很大的安全漏洞。 目前密碼破解程序大多采用字典攻擊以及暴力攻擊手段，而其中用戶密碼設(shè)定不當(dāng)，則極易受到字典攻擊的威脅。很多用戶喜歡用自己的英文名、生日或者賬戶等信息來設(shè)定密碼，這樣，黑客可能通過字典攻擊或者是社會工程的手段來破解密碼。所以建議用戶在設(shè)定密碼的過程中，應(yīng)盡量使用非字典中出現(xiàn)的組合字符，并且采用數(shù)字與字符相結(jié)合、大小寫相結(jié)合的密碼設(shè)置方式，增加密碼被黑客破解的難度。而且，也可以使用定期修改密碼、使密碼定期作廢的方式，來保護(hù)自己的登錄密碼。 在多用戶系統(tǒng)中，如果強迫每個用戶選擇不易猜出的密碼，將大大提高系統(tǒng)的安全性。但如果passwd程序無法強迫每個上機用戶使用恰當(dāng)?shù)拿艽a，要確保密碼的安全度，就只能依靠密碼破解程序了。實際上，密碼破解程序是黑客工具箱中的一種工具，它將常用的密碼或者是英文字典中所有可能用來作密碼的字都用程序加密成密碼字，然后將其與Linux系統(tǒng)的/etc/passwd密碼文件或/etc/shadow影子文件相比較，如果發(fā)現(xiàn)有吻合的密碼，就可以求得明碼了。在網(wǎng)絡(luò)上可以找到很多密碼破解程序，比較有名的程序是crack和john the ripper.用戶可以自己先執(zhí)行密碼破解程序，找出容易被黑客破解的密碼，先行改正總比被黑客破解要有利。 2、限定：網(wǎng)絡(luò)服務(wù)管理 早期的Linux版本中，每一個不同的網(wǎng)絡(luò)服務(wù)都有一個服務(wù)程序(守護(hù)進(jìn)程，Daemon)在后臺運行，后來的版本用統(tǒng)一的/etc/inetd服務(wù)器程序擔(dān)此重任。Inetd是Internetdaemon的縮寫，它同時監(jiān)視多個網(wǎng)絡(luò)端口，一旦接收到外界傳來的連接信息，就執(zhí)行相應(yīng)的TCP或UDP網(wǎng)絡(luò)服務(wù)。由于受inetd的統(tǒng)一指揮，因此Linux中的大部分TCP或UDP服務(wù)都是在/etc/inetd.conf文件中設(shè)定。所以取消不必要服務(wù)的第一步就是檢查/etc/inetd.conf文件，在不要的服務(wù)前加上“#”號。 一般來說，除了http、smtp、telnet和ftp之外，其他服務(wù)都應(yīng)該取消，諸如簡單文件傳輸協(xié)議tftp、網(wǎng)絡(luò)郵件存儲及接收所用的imap/ipop傳輸協(xié)議、尋找和搜索資料用的gopher以及用于時間同步的daytime和time等。還有一些報告系統(tǒng)狀態(tài)的服務(wù)，如finger、efinger、systat和netstat等，雖然對系統(tǒng)查錯和尋找用戶非常有用，但也給黑客提供了方便之門。例如，黑客可以利用finger服務(wù)查找用戶的電話、使用目錄以及其他重要信息。因此，很多Linux系統(tǒng)將這些服務(wù)全部取消或部分取消，以增強系統(tǒng)的安全性。Inetd除了利用/etc/inetd.conf設(shè)置系統(tǒng)服務(wù)項之外，還利用/etc/services文件查找各項服務(wù)所使用的端口。因此，用戶必須仔細(xì)檢查該文件中各端口的設(shè)定，以免有安全上的漏洞。 在后繼的Linux版本中(比如Red Hat Linux7.2之后)，取而代之的是采用xinetd進(jìn)行網(wǎng)絡(luò)服務(wù)的管理。 當(dāng)然，具體取消哪些服務(wù)不能一概而論，需要根據(jù)實際的應(yīng)用情況來定，但是系統(tǒng)管理員需要做到心中有數(shù)，因為一旦系統(tǒng)出現(xiàn)安全問題，才能做到有步驟、有條不紊地進(jìn)行查漏和補救工作，這點比較重要。 3、嚴(yán)格審計：系統(tǒng)登錄用戶管理 在進(jìn)入Linux系統(tǒng)之前，所有用戶都需要登錄，也就是說，用戶需要輸入用戶賬號和密碼，只有它們通過系統(tǒng)驗證之后，用戶才能進(jìn)入系統(tǒng)。 與其他Unix操作系統(tǒng)一樣，Linux一般將密碼加密之后，存放在/etc/passwd文件中。Linux系統(tǒng)上的所有用戶都可以讀到/etc/passwd文件，雖然文件中保存的密碼已經(jīng)經(jīng)過加密，但仍然不太安全。因為一般的用戶可以利用現(xiàn)成的密碼破譯工具，以窮舉法猜測出密碼。比較安全的方法是設(shè)定影子文件/etc/shadow，只允許有特殊權(quán)限的用戶閱讀該文件。 在Linux系統(tǒng)中，如果要采用影子文件，必須將所有的公用程序重新編譯，才能支持影子文件。這種方法比較麻煩，比較簡便的方法是采用插入式驗證模塊(PAM)。很多Linux系統(tǒng)都帶有Linux的工具程序PAM，它是一種身份驗證機制，可以用來動態(tài)地改變身份驗證的方法和要求，而不要求重新編譯其他公用程序。這是因為PAM采用封閉包的方式，將所有與身份驗證有關(guān)的邏輯全部隱藏在模塊內(nèi)，因此它是采用影子檔案的最佳幫手。 此外，PAM還有很多安全功能：它可以將傳統(tǒng)的DES加密方法改寫為其他功能更強的加密方法，以確保用戶密碼不會輕易地遭人破譯;它可以設(shè)定每個用戶使用電腦資源的上限;它甚至可以設(shè)定用戶的上機時間和地點。 Linux系統(tǒng)管理人員只需花費幾小時去安裝和設(shè)定PAM，就能大大提高Linux系統(tǒng)的安全性，把很多攻擊阻擋在系統(tǒng)之外。 4、設(shè)定：用戶賬號安全等級管理 除密碼之外，用戶賬號也有安全等級，這是因為在Linux上每個賬號可以被賦予不同的權(quán)限，因此在建立一個新用戶ID時，系統(tǒng)管理員應(yīng)該根據(jù)需要賦予該賬號不同的權(quán)限，并且歸并到不同的用戶組中。 在Linux系統(tǒng)中的部分文件中，可以設(shè)定允許上機和不允許上機人員的名單。其中，允許上機人員名單在/etc/hosts.allow中設(shè)置，不允許上機人員名單在/etc/hosts.deny中設(shè)置。此外，Linux將自動把允許進(jìn)入或不允許進(jìn)入的結(jié)果記錄到/var/log/secure文件中，系統(tǒng)管理員可以據(jù)此查出可疑的進(jìn)入記錄。 每個賬號ID應(yīng)該有專人負(fù)責(zé)。在企業(yè)中，如果負(fù)責(zé)某個ID的職員離職，管理員應(yīng)立即從系統(tǒng)中刪除該賬號。很多入侵事件都是借用了那些很久不用的賬號。 在用戶賬號之中，黑客最喜歡具有root權(quán)限的賬號，這種超級用戶有權(quán)修改或刪除各種系統(tǒng)設(shè)置，可以在系統(tǒng)中暢行無阻。因此，在給任何賬號賦予root權(quán)限之前，都必須仔細(xì)考慮。 Linux系統(tǒng)中的/etc/securetty文件包含了一組能夠以root賬號登錄的終端機名稱。例如，在RedHatLinux系統(tǒng)中，該文件的初始值僅允許本地虛擬控制臺(rtys)以root權(quán)限登錄，而不允許遠(yuǎn)程用戶以root權(quán)限登錄。最好不要修改該文件，如果一定要從遠(yuǎn)程登錄為root權(quán)限，最好是先以普通賬號登錄，然后利用su命令升級為超級用戶。 5、謹(jǐn)慎使用：“r系列”遠(yuǎn)程程序管理 在Linux系統(tǒng)中有一系列r字頭的公用程序，比如rlogin，rcp等等。它們非常容易被黑客用來入侵我們的系統(tǒng)，因而非常危險，因此絕對不要將root賬號開放給這些公用程序。由于這些公用程序都是用。rhosts文件或者h(yuǎn)osts.equiv文件核準(zhǔn)進(jìn)入的，因此一定要確保root賬號不包括在這些文件之內(nèi)。 由于r等遠(yuǎn)程指令是黑客們用來攻擊系統(tǒng)的較好途徑，因此很多安全工具都是針對這一安全漏洞而設(shè)計的。例如，PAM工具就可以用來將r字頭公用程序有效地禁止掉，它在/etc/pam.d/rlogin文件中加上登錄必須先核準(zhǔn)的指令，使整個系統(tǒng)的用戶都不能使用自己home目錄下的。rhosts文件。 6、限制：root用戶權(quán)限管理 Root一直是Linux保護(hù)的重點，由于它權(quán)力無限，因此最好不要輕易將超級用戶授權(quán)出去。但是，有些程序的安裝和維護(hù)工作必須要求有超級用戶的權(quán)限，在這種情況下，可以利用其他工具讓這類用戶有部分超級用戶的權(quán)限。sudo就是這樣的工具。 sudo程序允許一般用戶經(jīng)過組態(tài)設(shè)定后，以用戶自己的密碼再登錄一次，取得超級用戶的權(quán)限，但只能執(zhí)行有限的幾個指令。例如，應(yīng)用sudo后，可以讓管理磁帶備份的管理人員每天按時登錄到系統(tǒng)中，取得超級用戶權(quán)限去執(zhí)行文檔備份工作，但卻沒有特權(quán)去作其他只有超級用戶才能作的工作。 sudo不但限制了用戶的權(quán)限，而且還將每次使用sudo所執(zhí)行的指令記錄下來，不管該指令的執(zhí)行是成功還是失敗。在大型企業(yè)中，有時候有許多人同時管理Linux系統(tǒng)的各個不同部分，每個管理人員都有用sudo授權(quán)給某些用戶超級用戶權(quán)限的能力，從sudo的日志中，可以追蹤到誰做了什么以及改動了系統(tǒng)的哪些部分。 值得注意的是，sudo并不能限制所有的用戶行為，尤其是當(dāng)某些簡單的指令沒有設(shè)置限定時，就有可能被黑客濫用。例如，一般用來顯示文件內(nèi)容的/etc/cat指令，如果有了超級用戶的權(quán)限，黑客就可以用它修改或刪除一些重要的文件。 7、追蹤黑客蹤跡：日志管理 當(dāng)用戶仔細(xì)設(shè)定了各種與Linux相關(guān)的配置(最常用日志管理選項)，并且安裝了必要的安全防護(hù)工具之后，Linux操作系統(tǒng)的安全性的確大為提高，但是卻并不能保證防止那些比較熟練的網(wǎng)絡(luò)黑客的入侵。 在平時，網(wǎng)絡(luò)管理人員要經(jīng)常提高警惕，隨時注意各種可疑狀況，并且按時檢查各種系統(tǒng)日志文件，包括一般信息日志、網(wǎng)絡(luò)連接日志、文件傳輸日志以及用戶登錄日志等。在檢查這些日志時，要注意是否有不合常理的時間記載。例如： 正常用戶在半夜三更登錄; 不正常的日志記錄，比如日志只記錄了一半就切斷了，或者整個日志文件被刪除了; 用戶從陌生的網(wǎng)址進(jìn)入系統(tǒng); 因密碼錯誤或用戶賬號錯誤被擯棄在外的日志記錄，尤其是那些一再連續(xù)嘗試進(jìn)入失敗，但卻有一定模式的試錯法; 非法使用或不正當(dāng)使用超級用戶權(quán)限su的指令; 重新開機或重新啟動各項服務(wù)的記錄。 上述這些問題都需要系統(tǒng)管理員隨時留意系統(tǒng)登錄的用戶狀況以及查看相應(yīng)日志文件，許多背離正常行為的蛛絲馬跡都應(yīng)當(dāng)引起高度注意。 8、橫向擴展：綜合防御管理 防火墻、IDS等防護(hù)技術(shù)已經(jīng)成功地應(yīng)用到網(wǎng)絡(luò)安全的各個領(lǐng)域，而且都有非常成熟的產(chǎn)品。 在Linux系統(tǒng)來說，有一個自帶的Netfilter/Iptables防火墻框架，通過合理地配置其也能起到主機防火墻的功效。在Linux系統(tǒng)中也有相應(yīng)的輕量級的網(wǎng)絡(luò)入侵檢測系統(tǒng)Snort以及主機入侵檢測系統(tǒng)LIDS(Linux Intrusion Detection System)，使用它們可以快速、高效地進(jìn)行防護(hù)。 需要提醒注意的是：在大多數(shù)的應(yīng)用情境下，我們需要綜合使用這兩項技術(shù)，因為防火墻相當(dāng)于安全防護(hù)的第一層，它僅僅通過簡單地比較IP地址/端口對來過濾網(wǎng)絡(luò)流量，而IDS更加具體，它需要通過具體的數(shù)據(jù)包(部分或者全部)來過濾網(wǎng)絡(luò)流量，是安全防護(hù)的第二層。綜合使用它們，能夠做到互補，并且發(fā)揮各自的優(yōu)勢，最終實現(xiàn)綜合防御。 9、評測：漏洞追蹤及管理 Linux作為一種優(yōu)秀的開源軟件，其自身的發(fā)展也日新月異，同時，其存在的問題也會在日后的應(yīng)用中慢慢暴露出來。黑客對新技術(shù)的關(guān)注從一定程度上來說要高于我們防護(hù)人員，所以要想在網(wǎng)絡(luò)攻防的戰(zhàn)爭中處于有利地位，保護(hù)Linux系統(tǒng)的安全，就要求我們要保持高度的警惕性和對新技術(shù)的高度關(guān)注。用戶特別是使用Linux作為關(guān)鍵業(yè)務(wù)系統(tǒng)的系統(tǒng)管理員們，需要通過Linux的一些權(quán)威網(wǎng)站和論壇上盡快地獲取有關(guān)該系統(tǒng)的一些新技術(shù)以及一些新的系統(tǒng)漏洞的信息，進(jìn)行漏洞掃描、滲透測試等系統(tǒng)化的相關(guān)配套工作，做到防范于未然，提早行動，在漏洞出現(xiàn)后甚至是出現(xiàn)前的最短時間內(nèi)封堵系統(tǒng)的漏洞，并且在實踐中不斷地提高安全防護(hù)的技能，這樣才是一個比較的解決辦法和出路。 10、保持更新：補丁管理 Linux作為一種優(yōu)秀的開源軟件，其穩(wěn)定性、安全性和可用性有極為可靠的保證，世界上的Linux高手共同維護(hù)著個優(yōu)秀的產(chǎn)品，因而起流通渠道很多，而且經(jīng)常有更新的程序和系統(tǒng)補丁出現(xiàn)，因此，為了加強系統(tǒng)安全，一定要經(jīng)常更新系統(tǒng)內(nèi)核。 Kernel是Linux操作系統(tǒng)的核心，它常駐內(nèi)存，用于加載操作系統(tǒng)的其他部分，并實現(xiàn)操作系統(tǒng)的基本功能。由于Kernel控制計算機和網(wǎng)絡(luò)的各種功能，因此，它的安全性對整個系統(tǒng)安全至關(guān)重要。早期的Kernel版本存在許多眾所周知的安全漏洞，而且也不太穩(wěn)定，只有2.0.x以上的版本才比較穩(wěn)定和安全(一般說來，內(nèi)核版本號為偶數(shù)的相對穩(wěn)定，而為奇數(shù)的則一般為測試版本，用戶們使用時要多留意)，新版本的運行效率也有很大改觀。在設(shè)定Kernel的功能時，只選擇必要的功能，千萬不要所有功能照單全收，否則會使Kernel變得很大，既占用系統(tǒng)資源，也給黑客留下可乘之機。 在Internet上常常有最新的安全修補程序，Linux系統(tǒng)管理員應(yīng)該消息靈通，經(jīng)常光顧安全新聞組，查閱新的修補程序。
創(chuàng)新互聯(lián)建站堅持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：成都做網(wǎng)站、網(wǎng)站設(shè)計、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時代的薊州網(wǎng)站設(shè)計、移動媒體設(shè)計的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！
但由于該操作系統(tǒng)是一個多用戶操作系統(tǒng)，黑客們?yōu)榱嗽诠糁须[藏自己，往往會選擇 Linux作為首先攻擊的對象。那么，作為一名Linux用戶，我們該如何通過合理的方法來防范Linux的安全呢？下面筆者搜集和整理了一些防范 Linux安全的幾則措施，現(xiàn)在把它們貢獻(xiàn)出來，懇請各位網(wǎng)友能不斷補充和完善。 1、禁止使用Ping命令Ping命令是計算機之間進(jìn)行相互檢測線路完好的一個應(yīng)用程序，計算機間交流數(shù)據(jù)的傳輸沒有 經(jīng)過任何的加密處理，因此我們在用ping命令來檢測某一個服務(wù)器時，可能在因特網(wǎng)上存在某個非法分子，通過專門的黑客程序把在網(wǎng)絡(luò)線路上傳輸?shù)男畔⒅型?竊取，并利用偷盜過來的信息對指定的服務(wù)器或者系統(tǒng)進(jìn)行攻擊，為此我們有必要在Linux系統(tǒng)中禁止使用Linux命令。在Linux里，如果要想使 ping沒反應(yīng)也就是用來忽略icmp包，因此我們可以在Linux的命令行中輸入如下命令： echo 1 /proc/sys/net/ipv4/icmp_echo_igore_all 如果想恢復(fù)使用ping命令，就可以輸入 echo 0 /proc/sys/net/ipv4/icmp_echo_igore_all2、注意對系統(tǒng)及時備份為了防止系統(tǒng)在使用的過程中發(fā)生以外情況而難以正常運行，我們應(yīng)該對Linux完好的系統(tǒng)進(jìn) 行備份，最好是在一完成Linux系統(tǒng)的安裝任務(wù)后就對整個系統(tǒng)進(jìn)行備份，以后可以根據(jù)這個備份來驗證系統(tǒng)的完整性，這樣就可以發(fā)現(xiàn)系統(tǒng)文件是否被非法修 改過。如果發(fā)生系統(tǒng)文件已經(jīng)被破壞的情況，也可以使用系統(tǒng)備份來恢復(fù)到正常的狀態(tài)。備份信息時，我們可以把完好的系統(tǒng)信息備份在CD-ROM光盤上，以后 可以定期將系統(tǒng)與光盤內(nèi)容進(jìn)行比較以驗證系統(tǒng)的完整性是否遭到破壞。如果對安全級別的要求特別高，那么可以將光盤設(shè)置為可啟動的并且將驗證工作作為系統(tǒng)啟 動過程的一部分。這樣只要可以通過光盤啟動，就說明系統(tǒng)尚未被破壞過。 3、改進(jìn)登錄服務(wù)器將系統(tǒng)的登錄服務(wù)器移到一個單獨的機器中會增加系統(tǒng)的安全級別，使用一個更安全的登錄服務(wù)器 來取代Linux自身的登錄工具也可以進(jìn)一步提高安全。在大的Linux網(wǎng)絡(luò)中，最好使用一個單獨的登錄服務(wù)器用于syslog服務(wù)。它必須是一個能夠滿 足所有系統(tǒng)登錄需求并且擁有足夠的磁盤空間的服務(wù)器系統(tǒng)，在這個系統(tǒng)上應(yīng)該沒有其它的服務(wù)運行。更安全的登錄服務(wù)器會大大削弱入侵者透過登錄系統(tǒng)竄改日志 文件的能力。 4、取消Root命令歷史記錄在Linux下，系統(tǒng)會自動記錄用戶輸入過的命令，而root用戶發(fā)出的命令往往具有敏感的 信息，為了保證安全性，一般應(yīng)該不記錄或者少記錄root的命令歷史記錄。為了設(shè)置系統(tǒng)不記錄每個人執(zhí)行過的命令，我們可以在Linux的命令行下，首先 用cd命令進(jìn)入到/etc命令，然后用編輯命令來打開該目錄下面的profile文件，并在其中輸入如下內(nèi)容： HISTFILESIZE=0
HISTSIZE=0當(dāng)然，我們也可以直接在命令行中輸入如下命令： ln -s /dev/null ~/.bash_history5、為關(guān)鍵分區(qū)建立只讀屬性Linux的文件系統(tǒng)可以分成幾個主要的分區(qū)，每個分區(qū)分別進(jìn)行不同的配置和安裝，一般情況 下至少要建立/、/usr/local、/var和/home等分區(qū)。/usr可以安裝成只讀并且可以被認(rèn)為是不可修改的。如果/usr中有任何文件發(fā)生 了改變，那么系統(tǒng)將立即發(fā)出安全報警。當(dāng)然這不包括用戶自己改變/usr中的內(nèi)容。/lib、/boot和/sbin的安裝和設(shè)置也一樣。在安裝時應(yīng)該盡 量將它們設(shè)置為只讀，并且對它們的文件、目錄和屬性進(jìn)行的任何修改都會導(dǎo)致系統(tǒng)報警。 當(dāng)然將所有主要的分區(qū)都設(shè)置為只讀是不可能的,有的分區(qū)如/var等，其自身的性質(zhì)就決定了不能將它們設(shè)置為只讀，但應(yīng)該不允許它具有執(zhí)行權(quán)限。 6、殺掉攻擊者的所有進(jìn)程假設(shè)我們從系統(tǒng)的日志文件中發(fā)現(xiàn)了一個用戶從我們未知的主機登錄，而且我們確定該用戶在這臺 主機上沒有相應(yīng)的帳號，這表明此時我們正在受到攻擊。為了保證系統(tǒng)的安全被進(jìn)一步破壞，我們應(yīng)該馬上鎖住指定的帳號，如果攻擊者已經(jīng)登錄到指定的系統(tǒng)，我 們應(yīng)該馬上斷開主機與網(wǎng)絡(luò)的物理連接。如有可能，我們還要進(jìn)一步查看此用戶的歷史記錄，再仔細(xì)查看一下其他用戶是否也已經(jīng)被假冒，攻擊者是否擁有有限權(quán) 限；最后應(yīng)該殺掉此用戶的所有進(jìn)程，并把此主機的IP地址掩碼加入到文件hosts.deny中。 7、改進(jìn)系統(tǒng)內(nèi)部安全機制我們可以通過改進(jìn)Linux操作系統(tǒng)的內(nèi)部功能來防止緩沖區(qū)溢出，從而達(dá)到增強Linux系 統(tǒng)內(nèi)部安全機制的目的，大大提高了整個系統(tǒng)的安全性。但緩沖區(qū)溢出實施起來是相當(dāng)困難的，因為入侵者必須能夠判斷潛在的緩沖區(qū)溢出何時會出現(xiàn)以及它在內(nèi)存 中的什么位置出現(xiàn)。緩沖區(qū)溢出預(yù)防起來也十分困難，系統(tǒng)管理員必須完全去掉緩沖區(qū)溢出存在的條件才能防止這種方式的攻擊。正因為如此，許多人甚至包括 Linux Torvalds本人也認(rèn)為這個安全Linux補丁十分重要，因為它防止了所有使用緩沖區(qū)溢出的攻擊。但是需要引起注意的是，這些補丁也會導(dǎo)致對執(zhí)行棧的 某些程序和庫的依賴問題，這些問題也給系統(tǒng)管理員帶來的新的挑戰(zhàn)。 8、對系統(tǒng)進(jìn)行跟蹤記錄為了能密切地監(jiān)視黑客的攻擊活動，我們應(yīng)該啟動日志文件，來記錄系統(tǒng)的運行情況，當(dāng)黑客在攻 擊系統(tǒng)時，它的蛛絲馬跡都會被記錄在日志文件中的，因此有許多黑客在開始攻擊系統(tǒng)時，往往首先通過修改系統(tǒng)的日志文件，來隱藏自己的行蹤，為此我們必須限 制對/var/log文件的訪問，禁止一般權(quán)限的用戶去查看日志文件。當(dāng)然，系統(tǒng)中內(nèi)置的日志管理程序功能可能不是太強，我們應(yīng)該采用專門的日志程序，來 觀察那些可疑的多次連接嘗試。另外，我們還要小心保護(hù)好具有根權(quán)限的密碼和用戶，因為黑客一旦知道了這些具有根權(quán)限的帳號后，他們就可以修改日志文件來隱 藏其蹤跡了。 9、使用專用程序來防范安全有時，我們通過人工的方法來監(jiān)視系統(tǒng)的安全比較麻煩，或者是不周密，因此我們還可以通過專業(yè) 程序來防范系統(tǒng)的安全，目前最典型的方法為設(shè)置陷井和設(shè)置蜜罐兩種方法。所謂陷井就是激活時能夠觸發(fā)報警事件的軟件，而蜜罐（honey pot）程序是指設(shè)計來引誘有入侵企圖者觸發(fā)專門的報警的陷井程序。通過設(shè)置陷井和蜜罐程序，一旦出現(xiàn)入侵事件系統(tǒng)可以很快發(fā)出報警。在許多大的網(wǎng)絡(luò)中， 一般都設(shè)計有專門的陷井程序。陷井程序一般分為兩種：一種是只發(fā)現(xiàn)入侵者而不對其采取報復(fù)行動，另一種是同時采取報復(fù)行動。 10、將入侵消滅在萌芽狀態(tài)入侵者進(jìn)行攻擊之前最常做的一件事情就是端號掃瞄，如果能夠及時發(fā)現(xiàn)和阻止入侵者的端號掃瞄 行為，那么可以大大減少入侵事件的發(fā)生率。反應(yīng)系統(tǒng)可以是一個簡單的狀態(tài)檢查包過濾器，也可以是一個復(fù)雜的入侵檢測系統(tǒng)或可配置的防火墻。我們可以采用諸 如Abacus Port Sentry這樣專業(yè)的工具，來監(jiān)視網(wǎng)絡(luò)接口并且與防火墻交互操作，最終達(dá)到關(guān)閉端口掃瞄攻擊的目的。當(dāng)發(fā)生正在進(jìn)行的端口掃瞄時，Abacus Sentry可以迅速阻止它繼續(xù)執(zhí)行。但是如果配置不當(dāng)，它也可能允許敵意的外部者在你的系統(tǒng)中安裝拒絕服務(wù)攻擊。正確地使用這個軟件將能夠有效地防止對 端號大量的并行掃瞄并且阻止所有這樣的入侵者。 11、嚴(yán)格管理好口令前面我們也曾經(jīng)說到過，黑客一旦獲取具有根權(quán)限的帳號時，就可以對系統(tǒng)進(jìn)行任意的破壞和攻 擊，因此我們必須保護(hù)好系統(tǒng)的操作口令。通常用戶的口令是保存在文件/etc/passwd文件中的，盡管/etc/passwd是一個經(jīng)過加密的文件， 但黑客們可以通過許多專用的搜索方法來查找口令，如果我們的口令選擇不當(dāng)，就很容易被黑客搜索到。因此，我們一定要選擇一個確保不容易被搜索的口令。另外，我們最好能安裝一個口令過濾工具，并借用該工具來幫助自己檢查設(shè)置的口令是否耐得住攻擊。
在現(xiàn)在這個世道中，保障基于Linux的系統(tǒng)的安全是十分重要的。但是，你得知道怎么干。一個簡單反惡意程序軟件是遠(yuǎn)遠(yuǎn)不夠的，你需要采取其它措施來協(xié)同工作。那么Linux的系統(tǒng)的安全如何保障？今天小編就為大家總結(jié)九個常用方法來保護(hù)Linux系統(tǒng)安全，希望能幫助到大家。
1. 使用SELinux
SELinux是用來對Linux進(jìn)行安全加固的，有了它，用戶和管理員們就可以對訪問控制進(jìn)行更多控制。SELinux為訪問控制添加了更細(xì)的顆粒度控制。與僅可以指定誰可以讀、寫或執(zhí)行一個文件的權(quán)限不同的是，SELinux可以讓你指定誰可以刪除鏈接、只能追加、移動一個文件之類的更多控制。(LCTT譯注：雖然NSA也給SELinux貢獻(xiàn)過很多代碼，但是目前尚無證據(jù)證明SELinux有潛在后門)
2禁用不用的服務(wù)和應(yīng)用
通常來講，用戶大多數(shù)時候都用不到他們系統(tǒng)上的服務(wù)和應(yīng)用的一半。然而，這些服務(wù)和應(yīng)用還是會運行，這會招來攻擊者。因而，最好是把這些不用的服務(wù)停掉。(LCTT譯注：或者干脆不安裝那些用不到的服務(wù)，這樣根本就不用關(guān)注它們是否有安全漏洞和該升級了。)
3 訂閱漏洞警報服務(wù)
安全缺陷不一定是在你的操作系統(tǒng)上。事實上，漏洞多見于安裝的應(yīng)用程序之中。為了避免這個問題的發(fā)生，你必須保持你的應(yīng)用程序更新到最新版本。此外，訂閱漏洞警報服務(wù)，如SecurityFocus。
4 使用Iptables
Iptables是什么?這是一個應(yīng)用框架，它允許用戶自己為系統(tǒng)建立一個強大的防火墻。因此，要提升安全防護(hù)能力，就要學(xué)習(xí)怎樣一個好的防火墻以及怎樣使用Iptables框架。
5 檢查系統(tǒng)日志
你的系統(tǒng)日志告訴你在系統(tǒng)上發(fā)生了什么活動，包括攻擊者是否成功進(jìn)入或試著訪問系統(tǒng)。時刻保持警惕，這是你第一條防線，而經(jīng)常性地監(jiān)控系統(tǒng)日志就是為了守好這道防線。
6 考慮使用端口試探
設(shè)置端口試探(Port knocking)是建立服務(wù)器安全連接的好方法。一般做法是發(fā)生特定的包給服務(wù)器，以觸發(fā)服務(wù)器的回應(yīng)/連接(打開防火墻)。端口敲門對于那些有開放端口的系統(tǒng)是一個很好的防護(hù)措施。
7. 默認(rèn)拒絕所有
防火墻有兩種思路：一個是允許每一點通信，另一個是拒絕所有訪問，提示你是否許可。第二種更好一些。你應(yīng)該只允許那些重要的通信進(jìn)入。(LCTT譯注：即默認(rèn)許可策略和默認(rèn)禁止策略，前者你需要指定哪些應(yīng)該禁止，除此之外統(tǒng)統(tǒng)放行;后者你需要指定哪些可以放行，除此之外全部禁止。)
8.使用全盤加密
加密的數(shù)據(jù)更難竊取，有時候根本不可能被竊取，這就是你應(yīng)該對整個驅(qū)動器加密的原因。采用這種方式后，如果有某個人進(jìn)入到你的系統(tǒng)，那么他看到這些加密的數(shù)據(jù)后，就有得頭痛了。根據(jù)一些報告，大多數(shù)數(shù)據(jù)丟失源于機器被盜。
9.使用入侵檢測系統(tǒng)
入侵檢測系統(tǒng)，或者叫IDS，允許你更好地管理系統(tǒng)上的通信和受到的攻擊。Snort是目前公認(rèn)的Linux上的最好的IDS。
以上就是保護(hù)Linux系統(tǒng)安全的九個常用方法，希望能幫助到大家！
姓名：黃婷?? ?學(xué)號：19020100410??學(xué)院：電子工程學(xué)院
轉(zhuǎn)自： ;request_id=162848234916780357255732biz_id=0utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_click~default-2-103947313.first_rank_v2_pc_rank_v29utm_term=Linux%E7%B3%BB%E7%BB%9Fspm=1018.2226.3001.4449#t8
【嵌牛導(dǎo)讀】Linux系統(tǒng)安全隱患及加固措施
【嵌牛鼻子】Linux系統(tǒng)? ?安全隱患及加固措施
【嵌牛提問】Linux系統(tǒng)如何保護(hù)？
【嵌牛正文】
用戶賬戶以及登錄安全
刪除多余用戶和用戶組。Linux是多用戶操作系統(tǒng)，存在很多種不一樣的角色系統(tǒng)賬號，當(dāng)安裝完成操作系統(tǒng)之后，系統(tǒng)會默認(rèn)為未添加許用戶組及用戶，若是部分用戶或是用戶組不需要，應(yīng)當(dāng)立即刪除它們，否則黑客很有可能利用這些賬號，對服務(wù)器實施攻擊。具體保留哪些賬號，可以依據(jù)服務(wù)器的用途來決定。
關(guān)閉不需要的系統(tǒng)服務(wù)。操作系統(tǒng)安裝完成之后，其會在安裝的過程當(dāng)中，會自主的啟動各種類型的服務(wù)程序內(nèi)容，對于長時間運行的服務(wù)器而言，其運行的服務(wù)程序越多，則系統(tǒng)的安全性就越低。所以，用戶或是用戶組就需要將一些應(yīng)用不到的服務(wù)程序進(jìn)行關(guān)閉，這對提升系統(tǒng)的安全性能，有著極大的幫助。
密碼安全策略。在Linux之下，遠(yuǎn)程的登錄系統(tǒng)具備兩種認(rèn)證的形式：即 密鑰 與密碼認(rèn)證。其中，密鑰認(rèn)證的形式，主要是將 公鑰 儲存在遠(yuǎn)程的服務(wù)器之上， 私鑰 存儲在本地。當(dāng)進(jìn)行系統(tǒng)登陸的時候，再通過本地的私鑰，以及遠(yuǎn)程的服務(wù)器公鑰，進(jìn)行配對認(rèn)證的操作，若是認(rèn)證的匹配度一致，則用戶便能夠暢通無阻的登錄系統(tǒng)。此類認(rèn)證的方式，并不會受到暴力破解的威脅。與此同時，只需要確保本地私鑰的安全，使其不會被黑客所盜取即可，攻擊者便不能夠通過此類認(rèn)證方式登陸到系統(tǒng)中。所以，推薦使用密鑰方式進(jìn)行系統(tǒng)登陸。
有效應(yīng)用su、 sudo 命令。su命令的作用的是對用戶進(jìn)行切換。當(dāng)管理員登錄到系統(tǒng)之后，使用su命令切換到超級用戶角色來執(zhí)行一些需要超級權(quán)限的命令。但是由于超級用戶的權(quán)限過大，同時，需要管理人員知道超級用戶密碼，因此su命令具有很嚴(yán)重的管理風(fēng)險。
sudo命令允許系統(tǒng)賦予普通用戶一些超級權(quán)限，并且不需普通用戶切換到超級用戶。因此，在管理上應(yīng)當(dāng)細(xì)化權(quán)限分配機制，使用sudo命令為每一位管理員服務(wù)其特定的管理權(quán)限。
遠(yuǎn)程訪問及登陸認(rèn)證安全
遠(yuǎn)程登錄應(yīng)用 SSH 登陸方式。telnet是一類存在安全隱患的登錄認(rèn)證服務(wù)，其在網(wǎng)絡(luò)之上利用明文傳輸內(nèi)容，黑客很容易通過結(jié)果telnet數(shù)據(jù)包，獲得用戶的登陸口令。并且telnet服務(wù)程序的安全驗證方式存在較大的安全隱患，使其成為黑客攻擊的目標(biāo)。SSH服務(wù)則會將數(shù)據(jù)進(jìn)行加密傳輸，能夠防止 DNS 欺騙以及IP欺騙，并且傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮，在一定程度上保證了服務(wù)器遠(yuǎn)程連接的安全。
文件系統(tǒng)的安全
加固系統(tǒng)重要文件。在Linux系統(tǒng)中，如果黑客取得超級權(quán)限，那么他在操作系統(tǒng)里面就不會再有任何的限制地做任何事情。在這種情況下，一個加固的文件系統(tǒng)將會是保護(hù)系統(tǒng)安全的最后一道防線。管理員可通過 chattr 命令鎖定系統(tǒng)一些重要文件或目錄。
文件權(quán)限檢查與修改。如果操作系統(tǒng)當(dāng)中的重要文件的權(quán)限設(shè)置不合理，則會對操作系統(tǒng)的安全性，產(chǎn)生最為直接的影響。所以，系統(tǒng)的運行維護(hù)人員需要及時的察覺到權(quán)限配置不合理的文件和目錄，并及時修正，以防安全事件發(fā)生。
安全設(shè)定/tmp、/var/tmp、/dev/shm。在該操作系統(tǒng)當(dāng)中，其用于存放臨時文件的目錄，主要有兩個，分別為/tmp與/var/tmp。它們有個共同特點，就是所有的用戶可讀可寫和執(zhí)行，這樣就對系統(tǒng)產(chǎn)生了安全隱患。針對這兩個目錄進(jìn)行設(shè)置，不允許這兩個目錄下執(zhí)行應(yīng)用程序。
系統(tǒng)軟件安全
絕大多數(shù)的服務(wù)器遭受攻擊是因為系統(tǒng)軟件或者應(yīng)用程序有重大漏洞。黑客通過這些漏洞，可以輕松地侵入服務(wù)器。管理員應(yīng)定期檢查并修復(fù)漏洞。最常見的做法是升級軟件，將軟件保持在最新版本狀態(tài)。這樣就可以在一定程度上降低系統(tǒng)被入侵的可能性。
重慶分公司
重慶分公司
