服務(wù)器安全方案之
全面提升Linux服務(wù)器的安全性能

眾所周知,就安全性而言,Linux相對(duì)于Windows具有更多的優(yōu)勢(shì)。但是,不管選擇哪一種Linux發(fā)行版本,在安裝完成以后都應(yīng)該進(jìn)行一些必要的配置,來增強(qiáng)它的安全性。下面就通過幾個(gè)步驟來加固的Linux服務(wù)器。目前,許多中小用戶因業(yè)務(wù)發(fā)展,不斷更新或升級(jí)網(wǎng)絡(luò),從而造成自身用戶環(huán)境差異較大,整個(gè)網(wǎng)絡(luò)系統(tǒng)平臺(tái)參差不齊,在服務(wù)器端大多使用Linux和Unix的,PC端使用Windows 和Mac。所以在企業(yè)應(yīng)用中往往是Linux、Unix和Windows操作系統(tǒng)共存形成異構(gòu)網(wǎng)絡(luò)。

　　1.安裝和配置一個(gè)防火墻

　　一個(gè)配置適當(dāng)?shù)姆阑饓Σ粌H是系統(tǒng)有效應(yīng)對(duì)外部攻擊的第一道防線,也是最重要的一道防線。在新系統(tǒng)第一次連接上Internet之前,防火墻就應(yīng)該被安裝并且配置好。防火墻配置成拒絕接收所有數(shù)據(jù)包,然后再打開允許接收的數(shù)據(jù)包,將有利于系統(tǒng)的安全。Linux為我們提供了一個(gè)非常優(yōu)秀的防火墻工具,它就是netfilter/iptables(http://www.netfilter.org/)。它完全是免費(fèi)的,并且可以在一臺(tái)低配置的老機(jī)器上很好地運(yùn)行。防火墻的具體設(shè)置方法請(qǐng)參見iptables使用方法。

　　2.關(guān)閉無用的服務(wù)和端口

　　任何網(wǎng)絡(luò)連接都是通過開放的應(yīng)用端口來實(shí)現(xiàn)的。如果我們盡可能少地開放端口,就使網(wǎng)絡(luò)攻擊變成無源之水,從而大大減少了攻擊者成功的機(jī)會(huì)。把Linux 作為專用服務(wù)器是個(gè)明智的舉措。例如,希望Linux成為的Web服務(wù)器,可以取消系統(tǒng)內(nèi)所有非必要的服務(wù),只開啟必要服務(wù)。這樣做可以盡量減少后門,降低隱患,而且可以合理分配系統(tǒng)資源,提高整機(jī)性能。以下是幾個(gè)不常用的服務(wù):

　　1. fingerd(finger服務(wù)器)報(bào)告指定用戶的個(gè)人信息,包括用戶名、真實(shí)姓名、shell、目錄和聯(lián)系方式,它將使系統(tǒng)暴露在不受歡迎的情報(bào)收集活動(dòng)下,應(yīng)避免啟動(dòng)此服務(wù)。

　　2. R服務(wù)(rshd、rlogin、rwhod、rexec)提供各種級(jí)別的命令,它們可以在遠(yuǎn)程主機(jī)上運(yùn)行或與遠(yuǎn)程主機(jī)交互,在封閉的網(wǎng)絡(luò)環(huán)境中登錄而不再要求輸入用戶名和口令,相當(dāng)方便。然而在公共服務(wù)器上就會(huì)暴露問題,導(dǎo)致安全威脅。

　　3.刪除不用的軟件包

　　在進(jìn)行系統(tǒng)規(guī)劃時(shí),總的原則是將不需要的服務(wù)一律去掉。默認(rèn)的Linux就是一個(gè)強(qiáng)大的系統(tǒng),運(yùn)行了很多的服務(wù)。但有許多服務(wù)是不需要的,很容易引起安全風(fēng)險(xiǎn)。這個(gè)文件就是/etc/xinetd.conf,它制定了/usr/sbin/xinetd將要監(jiān)聽的服務(wù),你可能只需要其中的一個(gè):ftp,其它的類如telnet、shell、login、exec、talk、ntalk、imap、finger、auth等,除非你真的想用它,否則統(tǒng)統(tǒng)關(guān)閉。

　　4.不設(shè)置缺省路由

　　在主機(jī)中,應(yīng)該嚴(yán)格禁止設(shè)置缺省路由,即default route。建議為每一個(gè)子網(wǎng)或網(wǎng)段設(shè)置一個(gè)路由,否則其它機(jī)器就可能通過一定方式訪問該主機(jī)。

5.口令管理

　　口令的長(zhǎng)度一般不要少于8個(gè)字符,口令的組成應(yīng)以無規(guī)則的大小寫字母、數(shù)字和符號(hào)相結(jié)合,嚴(yán)格避免用英語單詞或詞組等設(shè)置口令,而且各用戶的口令應(yīng)該養(yǎng)成定期更換的習(xí)慣。另外,口令的保護(hù)還涉及到對(duì)/etc/passwd和/etc/shadow文件的保護(hù),必須做到只有系統(tǒng)管理員才能訪問這2個(gè)文件。安裝一個(gè)口令過濾工具加npasswd,能幫你檢查你的口令是否耐得住攻擊。如果你以前沒有安裝此類的工具,建議你現(xiàn)在馬上安裝。如果你是系統(tǒng)管理員,你的系統(tǒng)中又沒有安裝口令過濾工具,請(qǐng)你馬上檢查所有用戶的口令是否能被窮盡搜索到,即對(duì)你的/ect/passwd文件實(shí)施窮盡搜索攻擊。用單詞作密碼是根本架不住暴力攻擊的。黑客們經(jīng)常用一些常用字來破解密碼。曾經(jīng)有一位美國(guó)黑客表示,只要用“password”這個(gè)字,就可以打開全美多數(shù)的計(jì)算機(jī)。其它常用的單詞還有:account、ald、alpha、beta、computer、dead、demo、dollar、games、bod、 hello、help、intro、kill、love、no、ok、okay、please、sex、secret、superuser、 system、test、work、yes等。密碼設(shè)置和原則:

　　1.足夠長(zhǎng),指頭只要多動(dòng)一下為密碼加一位,就可以讓攻擊者的辛苦增加十倍;

　　2. 不要用完整的單詞,盡可能包括數(shù)字、標(biāo)點(diǎn)符號(hào)和特殊字符等;

　　3.混用大小寫字符;

　　4.經(jīng)常修改。

　　6.分區(qū)管理

　　一個(gè)潛在的攻擊,它首先就會(huì)嘗試緩沖區(qū)溢出。在過去的幾年中,以緩沖區(qū)溢出為類型的安全漏洞是最為常見的一種形式了。更為嚴(yán)重的是,緩沖區(qū)溢出漏洞占了遠(yuǎn)程網(wǎng)絡(luò)攻擊的絕大多數(shù),這種攻擊可以輕易使得一個(gè)匿名的Internet用戶有機(jī)會(huì)獲得一臺(tái)主機(jī)的部分或全部的控制權(quán)!

　　為了防止此類攻擊,我們從安裝系統(tǒng)時(shí)就應(yīng)該注意。如果用root分區(qū)記錄數(shù)據(jù),如log文件,就可能因?yàn)榫芙^服務(wù)產(chǎn)生大量日志或垃圾郵件,從而導(dǎo)致系統(tǒng)崩潰。所以建議為/var開辟單獨(dú)的分區(qū),用來存放日志和郵件,以避免root分區(qū)被溢出。最好為特殊的應(yīng)用程序單獨(dú)開一個(gè)分區(qū),特別是可以產(chǎn)生大量日志的程序,還建議為/home單獨(dú)分一個(gè)區(qū),這樣他們就不能填滿/分區(qū)了,從而就避免了部分針對(duì)Linux分區(qū)溢出的惡意攻擊。

　　很多 Linux桌面用戶往往是使用Windows、Linux雙系統(tǒng)。最好使用雙硬盤。方法如下:首先將主硬盤的數(shù)據(jù)線拆下,找一個(gè)10GB左右的硬盤掛在計(jì)算機(jī)上,將小硬盤設(shè)置為從盤,按照平常的操作安裝Linux服務(wù)器版本,除了啟動(dòng)的引導(dǎo)程序放在MBR外,其它沒有區(qū)別。安裝完成,調(diào)試出桌面后,關(guān)閉計(jì)算機(jī)。將小硬盤的數(shù)據(jù)線拆下,裝上原硬盤,并設(shè)定為主盤(這是為了原硬盤和小硬盤同時(shí)掛接在一個(gè)數(shù)據(jù)線上),然后安裝 Windows軟件。將兩個(gè)硬盤都掛在數(shù)據(jù)線上,數(shù)據(jù)線是IDE 0接口,將原硬盤設(shè)定為主盤,小硬盤設(shè)定為從盤。如果要從原硬盤啟動(dòng),就在CMOS里將啟動(dòng)的順序設(shè)定為“C、D、CDROM”,或者是“IDE0 (HDD-0)”。這樣計(jì)算機(jī)啟動(dòng)的時(shí)候,進(jìn)入Windows界面。如果要從小硬盤啟動(dòng),就將啟動(dòng)順序改為“D、C、CDROM”,或者是“IDE1 (HDD-1)”,啟動(dòng)之后,將進(jìn)入Linux界面。平時(shí)兩個(gè)操作系統(tǒng)是互相不能夠訪問的。

　　7.防范網(wǎng)絡(luò)嗅探:

　　嗅探器技術(shù)被廣泛應(yīng)用于網(wǎng)絡(luò)維護(hù)和管理方面,它工作的時(shí)候就像一部被動(dòng)聲納,默默的接收看來自網(wǎng)絡(luò)的各種信息,通過對(duì)這些數(shù)據(jù)的分析,網(wǎng)絡(luò)管理員可以深入了解網(wǎng)絡(luò)當(dāng)前的運(yùn)行狀況,以便找出網(wǎng)絡(luò)中的漏洞。在網(wǎng)絡(luò)安全日益被注意的今天.我們不但要正確使用嗅探器.還要合理防范嗅探器的危害.嗅探器能夠造成很大的安全危害,主要是因?yàn)樗鼈儾蝗菀妆话l(fā)現(xiàn)。對(duì)于一個(gè)安全性能要求很嚴(yán)格的企業(yè),同時(shí)使用安全的拓?fù)浣Y(jié)構(gòu)、會(huì)話加密、使用靜態(tài)的ARP地址是有必要的。

8.完整的日志管理

　　日志文件時(shí)刻為你記錄著你的系統(tǒng)的運(yùn)行情況。當(dāng)黑客光臨時(shí),也不能逃脫日志的法眼。所以黑客往往在攻擊時(shí)修改日志文件,來隱藏蹤跡。因此我們要限制對(duì)/var/log文件的訪問,禁止一般權(quán)限的用戶去查看日志文件。

　　另外要使用日志服務(wù)器。將客戶機(jī)的日志信息保存副本是好主意,創(chuàng)建一臺(tái)服務(wù)器專門存放日志文件,可以通過檢查日志來發(fā)現(xiàn)問題。修改/etc/sysconfig/syslog文件加入接受遠(yuǎn)程日志記錄。

　　/etc/sysconfig/syslog

　　SYSLOGD_OPTIONS="-m r 0"

　　還應(yīng)該設(shè)定日志遠(yuǎn)程保存。修改/etc/syslog.conf文件加入日志服務(wù)器的設(shè)置,syslog將保存副本在日志服務(wù)器上。

　　/etc/syslog.conf

　　*.* @log_server_IP

　　可以使用彩色日志過濾器。彩色日志loco過濾器,目前版本是0.32。使用loco /var/log/messages 　 more可以顯示出彩色的日志,明顯標(biāo)記出root的位置和日志中異常的命令。這樣可以減少分析日志時(shí)人為遺漏。還要進(jìn)行日志的定期檢查。Red Hat Linux中提供了logwatch工具,定期自動(dòng)檢查日志并發(fā)送郵件到管理員信箱。需要修改/etc/log.d/conf/ logwatch.conf文件,在MailTo = root參數(shù)后增加管理員的郵件地址。Logwatch會(huì)定期檢查日志,過濾有關(guān)使用root、sudo、telnet、ftp登錄等信息,協(xié)助管理員分析日常安全。完整的日志管理要包括網(wǎng)絡(luò)數(shù)據(jù)的正確性、有效性、合法性。對(duì)日志文件的分析還可以預(yù)防入侵。例如、某一個(gè)用戶幾小時(shí)內(nèi)的20次的注冊(cè)失敗記錄,很可能是入侵者正在嘗試該用戶的口令。

　　9.終止正進(jìn)行的攻擊

　　假如你在檢查日志文件時(shí),發(fā)現(xiàn)了一個(gè)用戶從你未知的主機(jī)登錄,而且你確定此用戶在這臺(tái)主機(jī)上沒有賬號(hào),此時(shí)你可能正被攻擊。首先你要馬上鎖住此賬號(hào)(在口令文件或shadow文件中,此用戶的口令前加一個(gè)Ib或其他的字符)。若攻擊者已經(jīng)連接到系統(tǒng),你應(yīng)馬上斷開主機(jī)與網(wǎng)絡(luò)的物理連接。如有可能,你還要進(jìn)一步查看此用戶的歷史記錄,查看其他用戶是否也被假冒,攻擊音是否擁有根權(quán)限。殺掉此用戶的所有進(jìn)程并把此主機(jī)的ip地址掩碼加到文件hosts.deny中。

　　10.使用安全工具軟件:

　　Linux已經(jīng)有一些工具可以保障服務(wù)器的安全。如bastille linux和Selinux。

　　bastille linux對(duì)于不熟悉 linux 安全設(shè)定的使用者來說,是一套相當(dāng)方便的軟件,bastille linux 目的是希望在已經(jīng)存在的 linux 系統(tǒng)上,建構(gòu)出一個(gè)安全性的環(huán)境。

　　增強(qiáng)安全性的Linux(SELinux)是美國(guó)安全部的一個(gè)研發(fā)項(xiàng)目,它的目的在于增強(qiáng)開發(fā)代碼的Linux內(nèi)核,以提供更強(qiáng)的保護(hù)措施,防止一些關(guān)于安全方面的應(yīng)用程序走彎路,減輕惡意軟件帶來的災(zāi)難。普通的Linux系統(tǒng)的安全性是依賴內(nèi)核的,這個(gè)依賴是通過setuid/setgid產(chǎn)生的。在傳統(tǒng)的安全機(jī)制下,暴露了一些應(yīng)用授權(quán)問題、配置問題或進(jìn)程運(yùn)行造成整個(gè)系統(tǒng)的安全問題。這些問題在現(xiàn)在的操作系統(tǒng)中都存在,這是由于他們的復(fù)雜性和與其它程序的互用性造成的。SELinux只單單依賴于系統(tǒng)的內(nèi)核和安全配置政策。一旦你正確配置了系統(tǒng),不正常的應(yīng)用程序配置或錯(cuò)誤將只返回錯(cuò)誤給用戶的程序和它的系統(tǒng)后臺(tái)程序。其它用戶程序的安全性和他們的后臺(tái)程序仍然可以正常運(yùn)行,并保持著它們的安全系統(tǒng)結(jié)構(gòu)。用簡(jiǎn)單一點(diǎn)的話說就是:沒有任何的程序配置錯(cuò)誤可以造成整個(gè)系統(tǒng)的崩潰。安裝SELinux SELinux的內(nèi)核、工具、程序/工具包,還有文檔都可以到增強(qiáng)安全性的Linux網(wǎng)站上上下載你必須有一個(gè)已經(jīng)存在的Linux系統(tǒng)來編譯你的新內(nèi)核,這樣才能訪問沒有更改的系統(tǒng)補(bǔ)丁包。

　11.使用保留IP地址 :

　　---- 維護(hù)網(wǎng)絡(luò)安全性最簡(jiǎn)單的方法是保證網(wǎng)絡(luò)中的主機(jī)不同外界接觸。最基本的方法是與公共網(wǎng)絡(luò)隔離。然而,這種通過隔離達(dá)到的安全性策略在許多情況下是不能接受的。這時(shí),使用保留IP地址是一種簡(jiǎn)單可行的方法,它可以讓用戶訪問Internet同時(shí)保證一定的安全性。- RFC 1918規(guī)定了能夠用于本地 TCP/IP網(wǎng)絡(luò)使用的IP地址范圍,這些IP地址不會(huì)在Internet上路由,因此不必注冊(cè)這些地址。通過在該范圍分配IP地址,可以有效地將網(wǎng)絡(luò)流量限制在本地網(wǎng)絡(luò)內(nèi)。這是一種拒絕外部計(jì)算機(jī)訪問而允許內(nèi)部計(jì)算機(jī)互聯(lián)的快速有效的方法。 保留IP地址范圍:

　　---- 10.0.0 .0 - 10.255.255.255

　　---- 172.16.0.0 - 172.31.255.255

　　--- 192.168.0.0 - 192.168.255.255

　　來自保留IP地址的網(wǎng)絡(luò)交通不會(huì)經(jīng)過Internet路由器,因此被賦予保留IP地址的任何計(jì)算機(jī)不能從外部網(wǎng)絡(luò)訪問。但是,這種方法同時(shí)也不允許用戶訪問外部網(wǎng)絡(luò)。IP偽裝可以解決這一問題。

　　12、合理選擇Linux發(fā)行版本:

　　對(duì)于服務(wù)器使用的Linux版本,既不使用最新的發(fā)行版本,也不選擇太老的版本。應(yīng)當(dāng)使用比較成熟的版本:前一個(gè)產(chǎn)品的最后發(fā)行版本如RHEL 3.0等。畢竟對(duì)于服務(wù)器來說安全穩(wěn)定是第一的。

　　13.部署Linux防范病毒軟件

　　Linux操作系統(tǒng)一直被認(rèn)為是Windows系統(tǒng)的勁敵,因?yàn)樗�不僅安全、穩(wěn)定、成本低,而且很少發(fā)現(xiàn)有病毒傳播。但是,隨著越來越多的服務(wù)器、工作站和個(gè)人電腦使用Linux軟件,電腦病毒制造者也開始攻擊這一系統(tǒng)。對(duì)于Linux系統(tǒng)無論是服務(wù)器,還是工作站的安全性和權(quán)限控制都是比較強(qiáng)大的,這主要得力于其優(yōu)秀的技術(shù)設(shè)計(jì),不僅使它的作業(yè)系統(tǒng)難以宕機(jī),而且也使其難以被濫用。Unix經(jīng)過20多年的發(fā)展和完善,已經(jīng)變得非常堅(jiān)固,而Linux基本上繼承了它的優(yōu)點(diǎn)。在Linux里,如果不是超級(jí)用戶,那么惡意感染系統(tǒng)文件的程序?qū)⒑茈y得逞。速客一號(hào)(Slammer)、沖擊波(Blast)、霸王蟲(Sobig)、米蟲(Mimail)、勞拉(Win32.Xorala)病毒等惡性程序雖然不會(huì)損壞Linux服務(wù)器,但是卻會(huì)傳播給訪問它的Windows系統(tǒng)平臺(tái)的計(jì)算機(jī)。

　　Linux平臺(tái)下的病毒分類:

　　1.可執(zhí)行文件型病毒:可執(zhí)行文件型病毒是指能夠寄生在文件中的,以文件為主要感染對(duì)象的病毒。病毒制造者們無論使用什么武器,匯編或者C,要感染ELF文件都是輕而易舉的事情。這方面的病毒有Lindose。

　　2.蠕蟲(worm)病毒:1988年Morris蠕蟲爆發(fā)后,Eugene H. Spafford 為了區(qū)分蠕蟲和病毒,給出了蠕蟲的技術(shù)角度的定義,“計(jì)算機(jī)蠕蟲可以獨(dú)立運(yùn)行,并能把自身的一個(gè)包含所有功能的版本傳播到另外的計(jì)算機(jī)上�！痹贚inux 平臺(tái)下,蠕蟲病毒極為猖獗,像利用系統(tǒng)漏洞進(jìn)行傳播的ramen,lion,Slapper等,這些病毒都感染了大量的Linux系統(tǒng),造成了巨大的損失。

　　3.腳本病毒:目前出現(xiàn)比較多的是使用shell腳本語言編寫的病毒。此類病毒編寫較為簡(jiǎn)單,但是破壞力同樣驚人。我們知道,Linux系統(tǒng)中有許多的以.sh結(jié)尾的腳本文件,而一個(gè)短短十?dāng)?shù)行的shell腳本就可以在短時(shí)間內(nèi)遍歷整個(gè)硬盤中的所有腳本文件,進(jìn)行感染。

　　4.后門程序:在廣義的病毒定義概念中,后門也已經(jīng)納入了病毒的范疇�；钴S在Windows系統(tǒng)中的后門這一入侵者的利器在Linux平臺(tái)下同樣極為活躍。從增加系統(tǒng)超級(jí)用戶賬號(hào)的簡(jiǎn)單后門,到利用系統(tǒng)服務(wù)加載,共享庫(kù)文件注射,rootkit工具包,甚至可裝載內(nèi)核模塊(LKM),Linux平臺(tái)下的后門技術(shù)發(fā)展非常成熟,隱蔽性強(qiáng),難以清除。是Linux系統(tǒng)管理員極為頭疼的問題。

　　總體來說計(jì)算機(jī)病毒對(duì)Linux系統(tǒng)存在較小的危險(xiǎn)。但是由于各種原因在企業(yè)應(yīng)用中往往是Linux和Windows操作系統(tǒng)共存形成異構(gòu)網(wǎng)絡(luò)。所以Linux的防范病毒策略分成兩個(gè)部分:

1.針對(duì)Linux本身(服務(wù)器和使用其作為桌面的計(jì)算機(jī))防范策略。

　　可執(zhí)行文件型病毒、蠕蟲(worm)病毒、腳本病毒的防范通過安裝GPL查殺病毒軟件基本可以防范。服務(wù)器端可以使用AntiVir(http://www.hbedv.com/)它是工作在命令行下的,運(yùn)行時(shí)可以較少占用系統(tǒng)資源。

　　對(duì)于后門程序防范可以采用LIDS(http://www.lids.org/)和Chkrootkit(http://www.chkrootkit.org/), LIDS是Linux內(nèi)核補(bǔ)丁和系統(tǒng)管理員工具(lidsadm),它加強(qiáng)了Linus內(nèi)核�？梢员Ｗo(hù)dev/目錄下的重要文件。而Chkrootkit 可以檢測(cè)系統(tǒng)的日志和文件,查看是否有惡意程序侵入系統(tǒng),并且尋找關(guān)聯(lián)到不同惡意程序的信號(hào)。最新版本的Chkrootkit0.45可以檢測(cè)出 sniffers、Trojans、worms、rootkit等59種。

　　2.針對(duì)使用Linux服務(wù)器后端的Windows系統(tǒng)的病毒防范策略。

　　許多企業(yè)使用代理服務(wù)器接入互聯(lián)網(wǎng),許多用戶Windows系統(tǒng)進(jìn)行都是在進(jìn)行HTTP網(wǎng)頁瀏覽和文件下載時(shí)感染病毒,所以可以在代理服務(wù)器上加掛一個(gè)病毒過濾器,對(duì)用戶瀏覽的HTTP網(wǎng)頁進(jìn)行病毒檢測(cè),發(fā)現(xiàn)有用戶瀏覽網(wǎng)頁感染病毒的狀況即由代理服務(wù)器進(jìn)行阻斷,丟棄帶有病毒的請(qǐng)求,將不安全的進(jìn)程阻止在代理服務(wù)器內(nèi),禁止帶有病毒的數(shù)據(jù)向客戶端計(jì)算機(jī)傳播。squid是一款非常優(yōu)秀的代理服務(wù)器軟件,但是并沒有專門的病毒過濾功能�？梢钥紤]使用德國(guó)開放源碼愛好者開發(fā)的一款基于Linux的病毒過濾代理服務(wù)器——HAVP(http://www.server-side.de/)。HAVP病毒過濾代理服務(wù)器軟件既可以獨(dú)立使用,也可以與Squid串聯(lián)使用,增強(qiáng)Squid代理服務(wù)器的病毒過濾功能。

　　提供郵件服務(wù)是Linux服務(wù)器中重要應(yīng)用�？梢允褂肅lamAV(http://www.clamwin.com/), ClamAV 全名是 Clam AntiVirus,它跟Liunx一樣強(qiáng)調(diào)公開程序代碼、免費(fèi)授權(quán)等觀念,ClamAV 目前可以偵測(cè)超過40,000 種病毒、蠕蟲、木馬程序,并且隨時(shí)更新數(shù)據(jù)庫(kù),有一組分布在世界各地的病毒專家,24小時(shí)更新及維護(hù)病毒數(shù)據(jù)庫(kù),任何人發(fā)現(xiàn)可疑病毒也可以隨時(shí)跟她們?nèi)〉寐?lián)系,立刻更新病毒碼,在極短的時(shí)間內(nèi),網(wǎng)絡(luò)上采用ClamAV的郵件服務(wù)器就完成最新的防護(hù)動(dòng)作。

　　14、加強(qiáng)登錄安全

　　通過修改/etc/login.defs文件可以增加對(duì)登錄錯(cuò)誤延遲、記錄日志、登錄密碼長(zhǎng)度限制、過期限制等設(shè)置。

　　/etc/login.defs #登錄密碼有效期90天

　　PASS_MAX_DAYS 90 #登錄密碼最短修改時(shí)間,防止非法用戶短期更改多次

　　PASS_MIN_DAYS 0 #登錄密碼最小長(zhǎng)度8位

　　PASS_MIN_LEN 8 #登錄密碼過期提前7天提示修改

　　PASS_WARN_AGE 7 #登錄錯(cuò)誤時(shí)等待時(shí)間10秒

　　FAIL_DELAY 10 #登錄錯(cuò)誤記錄到日志

　　FAILLOG_ENAB yes #當(dāng)限定超級(jí)用戶管理日志時(shí)使用

　　SYSLOG_SU_ENAB yes #當(dāng)限定超級(jí)用戶組管理日志時(shí)使用

　　SYSLOG_SG_ENAB yes #當(dāng)使用md5為密碼的加密方法時(shí)使用

15. 使用OPENSSH代替FTP和Telnet

　　我們通常使用的網(wǎng)絡(luò)傳輸程序FTP和Telnet等在本質(zhì)上都是不安全的,因?yàn)樗鼈冊(cè)诰W(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù),黑客利用嗅探器非常容易截獲這些口令和數(shù)據(jù)。SSH的英文全稱是Secure SHell。通過使用SSH,用戶可以把所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密,這樣即使網(wǎng)絡(luò)中的黑客能夠劫持用戶所傳輸?shù)臄?shù)據(jù),如果不能解密的話,也不能對(duì)數(shù)據(jù)傳輸構(gòu)成真正的威脅。另外,傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的,所以可以加快傳輸?shù)乃俣取�SSH有很多功能,它既可以代替Telnet,又可以為FTP提供一個(gè)安全的“傳輸通道”。在不安全的網(wǎng)路通信環(huán)境中,它提供了很強(qiáng)的驗(yàn)證(authentication)機(jī)制與非常安全的通信環(huán)境。SSH(Secure Shell)最初由芬蘭的一家公司開發(fā),但由于受版權(quán)和加密算法的限制,很多人轉(zhuǎn)而使用免費(fèi)的替代軟件OpenSSH。命令行使用OPENSSH比較麻煩。這里介紹gFTP和OPENSSH整合在一齊,提供一個(gè)圖形化加密傳輸方案。gFTP和Windows下的 CuteFtp一樣使用非常簡(jiǎn)單,而且?guī)缀跛�有的Linux發(fā)行版本都帶有g(shù)FTP,不需要安裝就可以使用。Windows下支持SSH的客戶端軟件不少,推薦使用Putty和Filezilla。

　　16.備份重要的文件

　　很多木馬、蠕蟲和后門都會(huì)用替換重要文件的辦法隱藏自己,將最重要和常用的命令備份是好習(xí)慣。準(zhǔn)備一套只讀介質(zhì),光盤或者優(yōu)盤,甚至放到網(wǎng)上下載都可以�？傊�是在必要時(shí)使用原始的命令而不是系統(tǒng)中可能被感染的命令。需要注意備份的如下:

　　/bin/su

　　/bin/ps

　　/bin/rpm

　　/usr/bin/top

　　/sbin/ifconfig

　　/bin/mount

　　17.補(bǔ)丁問題

　　你應(yīng)該經(jīng)常到你所安裝的系統(tǒng)發(fā)行商的主頁上去找最新的補(bǔ)丁。操作系統(tǒng)是計(jì)算機(jī)系統(tǒng)靈魂,維護(hù)著系統(tǒng)的底層,對(duì)內(nèi)存、進(jìn)程等子系統(tǒng)進(jìn)行管理和調(diào)度。如果操作系統(tǒng)本身出現(xiàn)了漏洞,其影響將會(huì)是致命的。操作系統(tǒng)的內(nèi)核,對(duì)于網(wǎng)絡(luò)安全是至關(guān)重要的。目前,內(nèi)核的維護(hù)主要分兩種模式:對(duì)于私有操作系統(tǒng),如 Windows/Solaris等,由于個(gè)人用戶不能直接接觸其源代碼,其代碼由公司內(nèi)部開發(fā)人員維護(hù),其安全性由同樣的團(tuán)隊(duì)保證,內(nèi)核的修正與其他應(yīng)用程序一樣,以patch/SP包的方式發(fā)布。對(duì)于Linux這樣的開放式系統(tǒng),是一種開放的結(jié)構(gòu)。應(yīng)該說,開放的模式是雙刃劍。從機(jī)制上講,全世界的開發(fā)人員都能獲得源代碼,從而找出其中的紕漏,似乎安全性應(yīng)該更好;但是同時(shí),如果網(wǎng)絡(luò)管理人員不能及時(shí)更新內(nèi)核,也會(huì)留下安全隱患。而且,影響操作系統(tǒng)安全的因素有很多。從編成水平到用戶的使用水平等等,都將影響到系統(tǒng)的安全。僅僅通過開放或者封閉源代碼,都不能從根本上解決安全問題。如果你是一個(gè) Linux網(wǎng)管員,你經(jīng)常需要上相應(yīng)的網(wǎng)站看,是否有補(bǔ)丁,是否有了bug fix,是否需要升級(jí)。千萬不要報(bào)僥幸心理,否則一個(gè)Shell腳本就可能拿下你的網(wǎng)站。套用一句名言:你的服務(wù)器永遠(yuǎn)可能在第二天被黑客接管。

　　Linux服務(wù)器運(yùn)行的軟件主要包括:Samba,Ftp,Telnet,Ssh,Mysql,Php,Apache,Mozilla等,這些軟件,大都是開源軟件,而且都在不停升級(jí),穩(wěn)定版和測(cè)試版交替出現(xiàn)。在www.samba.org和 www.apache.org上,最新的ChangeLog中都寫著:bug fix, security bug fix的字樣。所以Linux網(wǎng)管員要經(jīng)常的關(guān)注相關(guān)網(wǎng)站的bug fix和升級(jí),及時(shí)升級(jí)或添加補(bǔ)丁。

　　總結(jié):

　　正如沒有牢不可破的盾一樣,沒有任何的系統(tǒng)是絕對(duì)安全的。同樣在安全領(lǐng)域中,也沒有誰可以說自己是高手。系統(tǒng)的安全是靠很多前輩的汗水和智慧來換取的。

                                 

                                          海騰數(shù)據(jù)中心(技術(shù)部整理)

                                          2007-10-12