1. gzyueqian
      13352868059
      首頁 > 新聞中心 > > 正文

      Linux網(wǎng)絡(luò)安全經(jīng)驗(yàn)總結(jié)

      更新時間: 2006-03-25 10:33:31來源: 粵嵌教育瀏覽量:2164

        關(guān)于分區(qū)

        一個潛在的黑客如果要攻擊你的Linux服務(wù)器,他首先就會嘗試緩沖區(qū)溢出。在過去的幾年中,以緩沖區(qū)溢出為類型的安全漏洞是為常見的一種形式了。更為嚴(yán)重的是,緩沖區(qū)溢出漏洞占了遠(yuǎn)程網(wǎng)絡(luò)攻擊的絕大多數(shù),這種攻擊可以輕易使得一個匿名的Internet用戶有機(jī)會獲得一臺主機(jī)的部分或全部的控制權(quán)!

        為了防止此類攻擊,我們從安裝系統(tǒng)時就應(yīng)該注意。如果用root分區(qū)紀(jì)錄數(shù)據(jù),如log文件和email,就可能因?yàn)榫芙^服務(wù)產(chǎn)生大量日志或垃圾郵件,從而導(dǎo)致系統(tǒng)崩潰。所以建議為/var開辟單獨(dú)的分區(qū),用來存放日志和郵件,以避免root分區(qū)被溢出。為特殊的應(yīng)用程序單獨(dú)開一個分區(qū),特別是可以產(chǎn)生大量日志的程序,還有建議為/home單獨(dú)分一個區(qū),這樣他們就不能填滿/分區(qū)了,從而就避免了部分針對Linux分區(qū)溢出的惡意攻擊。

        關(guān)于BIOS

        記著要在BIOS設(shè)置中設(shè)定一個BIOS密碼,不接收軟盤啟動。這樣可以阻止不懷好意的人用專門的啟動盤啟動你的Linux系統(tǒng),并避免別人更改BIOS設(shè)置,如更改軟盤啟動設(shè)置或不彈出密碼框直接啟動服務(wù)器等等。

        關(guān)于口令

        口令是系統(tǒng)中認(rèn)證用戶的主要手段,系統(tǒng)安裝時默認(rèn)的口令小長度通常為5,但為保證口令不易被猜測攻擊,可增加口令的小長度,至少等于8。為此,需修改文件/etc/login.defs中參數(shù)PASS_MIN_LEN(口令小長度)。同時應(yīng)限制口令使用時間,保證定期更換口令,建議修改參數(shù)PASS_MIN_DAYS(口令使用時間)。

        關(guān)于Ping

        既然沒有人能ping通你的機(jī)器并收到響應(yīng),你可以大大增強(qiáng)你的站點(diǎn)的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local,以使每次啟動后自動運(yùn)行,這樣就可以阻止你的系統(tǒng)響應(yīng)任何從外部/內(nèi)部來的ping請求。

        echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

        關(guān)于Telnet

        如果你希望用戶用Telnet遠(yuǎn)程登錄到你的服務(wù)器時不要顯示操作系統(tǒng)和版本信息(可以避免有針對性的漏洞攻擊),你應(yīng)該改寫/etc/inetd.conf中的一行象下面這樣:

        telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h

        加-h標(biāo)志在使得telnet后臺不要顯示系統(tǒng)信息,而僅僅顯示login。

        關(guān)于特權(quán)賬號

        禁止所有默認(rèn)的被操作系統(tǒng)本身啟動的且不需要的帳號,當(dāng)你次裝上系統(tǒng)時就應(yīng)該做此檢查,Linux提供了各種帳號,你可能不需要,如果你不需要這個帳號,就移走它,你有的帳號越多,就越容易受到攻擊。

        為刪除你系統(tǒng)上的用戶,用下面的命令:userdel username

        為刪除你系統(tǒng)上的組用戶帳號,用下面的命令:groupdel username

        在終端上打入下面的命令刪掉下面的特權(quán)用賬號:

        userdel adm

        userdel lp

        userdel sync

        userdel shutdown

        userdel halt

        userdel mail

        如果你不用sendmail服務(wù)器,就刪除這幾個帳號:

        userdel news

        userdel uucp

        userdel operator

        userdel games

        如果你不用X windows 服務(wù)器,就刪掉這個帳號。

        userdel gopher

        如果你不允許匿名FTP,就刪掉這個用戶帳號:

        userdel ftp

        關(guān)于su命令

        如果你不想任何人能夠su為root的話,你應(yīng)該編輯/etc/pam.d/su文件,加下面幾行:

        auth sufficient /lib-

        /security/pam_rootok-

        .so debug

        auth required /lib-

        /security/pam_wheel-

        .so group=isd

        這意味著僅僅isd組的用戶可以su作為root。如果你希望用戶admin能su作為root.就運(yùn)行下面的命令:

        usermod -G10 admin

        suid程序也是非常危險的,這些程序被普通用戶以euid=0(即root)的身份執(zhí)行,只能有少量程序被設(shè)置為suid。用這個命令列出系統(tǒng)的suid二進(jìn)制程序:

        suneagle# find / -perm -4000 -print

        你可以用chmod -s去掉一些不需要程序的suid位。

        關(guān)于賬戶注銷

        如果系統(tǒng)管理員在離開系統(tǒng)時忘了從root注銷,系統(tǒng)應(yīng)該能夠自動從shell中注銷。那么,你就需要設(shè)置一個特殊的 Linux 變量“tmout”,用以設(shè)定時間。同樣,如果用戶離開機(jī)器時忘記了注銷賬戶,則可能給系統(tǒng)安全帶來隱患。你可以修改/etc/profile文件,保證賬戶在一段時間沒有操作后,自動從系統(tǒng)注銷。 編輯文件/etc/profile,在“histfilesize=”行的下一行增加如下一行:

        tmout=600

        則所有用戶將在10分鐘無操作后自動注銷。注意:修改了該參數(shù)后,必須退出并重新登錄root,更改才能生效。

        關(guān)于系統(tǒng)文件

        對于系統(tǒng)中的某些關(guān)鍵性文件如passwd、passwd.old、passwd._、shadow、shadown._、 inetd.conf、services和lilo.conf等可修改其屬性,防止意外修改和被普通用戶查看。 如將inetd文件屬性改為600:

        # chmod 600 /etc/inetd.conf

        這樣就保證文件的屬主為root,然后還可以將其設(shè)置為不能改變:

        # chattr +i /etc/inetd.conf

        這樣,對該文件的任何改變都將被禁止。 你可能要問:那我自己不是也不能修改了?當(dāng)然,我們可以設(shè)置成只有root重新設(shè)置復(fù)位標(biāo)志后才能進(jìn)行修改:

        # chattr -i /etc/inetd.conf

        關(guān)于用戶資源

        對你的系統(tǒng)上所有的用戶設(shè)置資源限制可以防止DoS類型攻擊,如進(jìn)程數(shù),內(nèi)存數(shù)量等。例如,對所有用戶的限制, 編輯/etc/security/limits.con加入以下幾行:

        * hard core 0

        * hard rss 5000

        * hard nproc 20

        你也必須編輯/etc/pam.d/login文件,檢查這一行的存在:

        session required /lib/security/pam_limits.so

        上面的命令禁止core files“core 0”,限制進(jìn)程數(shù)為“nproc 50“,且限制內(nèi)存使用為5M“rss 5000”。

        關(guān)于NFS服務(wù)器

        由于NFS服務(wù)器漏洞比較多,你一定要小心。如果要使用NFS網(wǎng)絡(luò)文件系統(tǒng)服務(wù),那么確保你的/etc/exports具有嚴(yán)格的存取權(quán)限設(shè)置,不意味著不要使用任何通配符,不允許root寫權(quán)限,mount成只讀文件系統(tǒng)。你可以編輯文件/etc/exports并且加:

        /dir/to/export host1.mydomain.com(ro,root_squash)

        /dir/to/export host2.mydomain.com(ro,root_squash)

        其中/dir/to/export 是你想輸出的目錄,host.mydomain.com是登錄這個目錄的機(jī)器名,ro意味著mount成只讀系統(tǒng),root_squash禁止root寫入該目錄。為了讓上面的改變生效,還要運(yùn)行/usr/sbin/exportfs -a

        關(guān)于開啟的服務(wù)

        默認(rèn)的linux就是一個強(qiáng)大的系統(tǒng),運(yùn)行了很多的服務(wù)。但有許多服務(wù)是不需要的,很容易引起安全風(fēng)險。這個文件就是 /etc/inetd.conf,它制定了/usr/sbin/inetd將要監(jiān)聽的服務(wù),你可能只需要其中的兩個:telnet和ftp,其它的類如 shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger, auth, etc. 除非你真的想用它。否則統(tǒng)統(tǒng)關(guān)閉之。

        你先用下面的命令顯示沒有被注釋掉的服務(wù):

        grep -v "#" /etc/inetd.conf

        這個命令統(tǒng)計面前服務(wù)的總數(shù):

        ps -eaf|wc -l

        需要提醒你的是以下三個服務(wù)漏洞很多,強(qiáng)烈建議你關(guān)閉它們:S34yppasswdd(NIS服務(wù)器)、S35ypserv(NIS服務(wù)器)和S60nfs(NFS服務(wù)器)。

        我們可以運(yùn)行#killall -HUP inetd來關(guān)閉不需要的服務(wù)。當(dāng)然,你也可以運(yùn)行

        #chattr +i /etc/inetd.conf

        如果你想使inetd.conf文件具有不可更改屬性,而只有root 才能解開,敲以下命令

        #chattr -i /etc/inetd.conf

        當(dāng)你關(guān)閉一些服務(wù)以后,重新運(yùn)行以上命令看看少了多少服務(wù)。運(yùn)行的服務(wù)越少,系統(tǒng)自然越安全了。我們可以用下面命令察看哪些服務(wù)在運(yùn)行:

        netstat -na --ip

        如果你用的是Redhat那就方便多了。^_^ Redhat提供一個工具來幫助你關(guān)閉服務(wù),輸入/usr/sbin/setup,然后選擇"system services",就可以定制系統(tǒng)啟動時跑哪些服務(wù)。另外一個選擇是chkconfig命令,很多l(xiāng)inux版本的系統(tǒng)都自帶這個工具。腳本名字中的數(shù)字是啟動的順序,以大寫的K開頭的是殺死進(jìn)程用的。

        關(guān)于日志

        所有的日志都在/var/log下(僅對linux系統(tǒng)而言),默認(rèn)情況下linux的日志就已經(jīng)很強(qiáng)大了,但除ftp外。因此我們可以通過修改/etc/ftpaccess 或者/etc/inetd.conf,來保證每一個ftp連接日志都能夠紀(jì)錄下來。下面是一個修改inetd.conf的例子,假如有下一行:

        ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd -l -L -i -o

        注釋:

        -l每一個ftp連接都寫到syslog

        -L紀(jì)錄用戶的每一個命令

        -i文件received,紀(jì)錄到xferlog

        -o文件transmitted,記錄到xferlog

        不過你也不要太相信日志,因?yàn)榻^大部分黑客都有“擦腳印”的“好”習(xí)慣啰!如果你不放心,安裝一個Sniffer吧。

        關(guān)于TCP_WRAPPERS

        默認(rèn)的,Redhat Linux允許所有的請求,這是很危險的。如果用TCP_WRAPPERS來增強(qiáng)我們站點(diǎn)的安全性簡直是舉手之勞,你可以將禁止所有的請求放入“ALL: ALL”到/etc/hosts.deny中,然后放那些明確允許的請求到/etc/hosts.allow中,如:

        sshd: 192.168.1.10/255.255.255.0 gate.openarch.com

        對IP地址192.168.1.10和主機(jī)名gate.openarch.com,允許通過ssh連接。配置完了之后,用tcpdchk檢查,你可以直接執(zhí)行:tcpdchk 。在這里,tcpchk是TCP_Wrapper配置檢查工具,它檢查你的tcp wrapper配置并報告所有發(fā)現(xiàn)的潛在/存在的問題。

        關(guān)于補(bǔ)丁

        你應(yīng)該經(jīng)常到你所安裝的Linux系統(tǒng)發(fā)行商的主頁上去找的補(bǔ)丁。例如:對于Redhat系統(tǒng)而言可以在:http://www.redhat.com/corp/support/errata/上找到補(bǔ)丁。幸運(yùn)的是,在Redhat6.1以后的版本帶有一個自動升級工具up2date,它能自動夠測定哪些rpm包需要升級,然后自動從Redhat的站點(diǎn)下載并完成安裝。這對某些懶惰的管理員來說,可是個省精神的福音哦!

      免費(fèi)預(yù)約試聽課

      亚洲另类欧美综合久久图片区_亚洲中文字幕日产无码2020_欧美日本一区二区三区桃色视频_亚洲AⅤ天堂一区二区三区

      
      

      1. 婷婷色中文字幕一二三 | 夜晚久久精品视频 | 亚洲怡红院久久精品综合 | 在线观看1024国产 | 制服丝袜有码中文字幕在线 | 亚洲欧美日韩另类中文字幕组 |