linux系統(tǒng)的安全性概述論文推薦文檔

1、Unix/linux系統(tǒng)的平安性概述1、linux系統(tǒng)的介紹Linux是一類Unix計算機操作系統(tǒng)的統(tǒng)稱.Linux操作系統(tǒng)的內(nèi)核的名字也 是“Linux".Linux操作系統(tǒng)也是自由軟件和開放源代碼開展中最著名的例子. 嚴格來講,Linux這個詞本身只表示Linux內(nèi)核,但在實際上人們已經(jīng)習(xí)慣了用 Linux來形容整個基于Linux內(nèi)核,并且使用GNU工程各種工具和數(shù)據(jù)庫的操作 系統(tǒng).Linux得名于計算機業(yè)余愛好者Linus Torvalds .Linux ,其平安性漏洞 已經(jīng)廣為流傳,黑客可以很容易地侵入.而網(wǎng)絡(luò)效勞器往往儲存了大量的重要信 息,或向大量用戶提供重要效勞；一旦遭

2、到破壞,后果不堪設(shè)想.所以,網(wǎng)站建 設(shè)者更需要認真對待有關(guān)平安方面的問題,以保證效勞器的平安.2、效勞平安治理2.1、平安防護的主要內(nèi)容對于網(wǎng)站治理人員而言,日常性的效勞器平安保護主要包括四方面內(nèi)容： 文件存取合法性：任何黑客的入侵行為的手段和目的都可以認為是非法存取文 件,這些文件包括重要數(shù)據(jù)信息、主頁頁面HTML文件等.這是計算機平安最重要的問題,一般說來,未被授權(quán)使用的用戶進入系統(tǒng),都是為了獲取正當(dāng)途徑無 法取得的資料或者進行破壞活動.良好的口令治理由系統(tǒng)治理員和用戶雙方配 合,登錄活動記錄和報告,用戶和網(wǎng)絡(luò)活動的周期檢查都是預(yù)防未授權(quán)存取的 關(guān)鍵.用戶密碼和用戶文件平安性：這也是計算機

3、平安的一個重要問題,具體操作 上就是預(yù)防已授權(quán)或未授權(quán)的用戶相互存取相互的重要信息.文件系統(tǒng)查帳、su登錄和報告、用戶意識、加密都是預(yù)防泄密的關(guān)鍵.預(yù)防用戶拒絕系統(tǒng)的治理：這一方面的平安應(yīng)由操作系統(tǒng)來完成.操作系統(tǒng) 應(yīng)該有水平應(yīng)付任何試圖或可能對它產(chǎn)生破壞的用戶操作,比擬典型的例子是一個系統(tǒng)不應(yīng) 被一個有意使用過多資源的用戶損害例如導(dǎo)致系統(tǒng)崩潰.預(yù)防喪失系統(tǒng)的完整性：這一方面與一個好系統(tǒng)治理員的實際工作例如定期地備份文件系統(tǒng),系統(tǒng)崩潰后運行 fsck檢查、修復(fù)文件系統(tǒng),當(dāng)有新用 戶時,檢測該用戶是否可能使系統(tǒng)崩潰的軟件和保持一個可靠的操作系統(tǒng)有關(guān)即用戶不能經(jīng)常性地使系統(tǒng)崩潰.3、linux系統(tǒng)

4、文件平安Linux的文件系統(tǒng)是由文件和目錄構(gòu)成的樹形結(jié)構(gòu),每個文件目錄記錄包括下面 內(nèi)容域：?文件名?文件類型 ?文件大小 ?文件創(chuàng)立修改時間 ?文件所有者和所有組 ?文件相關(guān)權(quán)限 任何一項內(nèi)容遭受未授權(quán)的修改,文件平安性都遭到破壞.保護文件系統(tǒng)的平安 性,應(yīng)該從以下幾個方面入手.3.1、 文件相關(guān)權(quán)限的設(shè)置Linux的文件權(quán)限決定了用戶對該文件的操作水平和操作允許范圍.下面這一段 是在某個Linux用戶目錄的文件列表ls -l,注意,其中第一欄表示了文件權(quán) 限.文件權(quán)限通過設(shè)置文件權(quán)限標(biāo)志位實現(xiàn).標(biāo)志位由十位構(gòu)成.第一位是文件 類型,一般文件該位為“-",目錄該位為“ d如上面的1

5、、2、4、8行. 余下的九位三位一組,第二位到第四位依次為文件所有者對此文件的可讀、可 寫、可執(zhí)行權(quán)利標(biāo)志位；第五到第七位分別為與該用戶同組的用戶對此文件的可 讀、可寫、可執(zhí)行的權(quán)利標(biāo)志位：第八到第十位分別為其他用戶對此文件的可 讀、可寫、可執(zhí)行的權(quán)利標(biāo)志位.比方：上面的第一個目錄中,“ drwxrwxr- x就表示這是一個目錄,文件所有者用戶bluo可以對文件進行任何操作讀、寫、執(zhí)行,同組用戶可讀、寫、執(zhí)行,其他用戶可讀和執(zhí)行.而“-rw-r-r-表示普通文件,文件所有者可讀、寫,其他用戶只可讀此文件.當(dāng)一些關(guān)鍵的系統(tǒng)文件的屬性被錯誤設(shè)置時,就會導(dǎo)致不可挽回的破壞.對 文件屬性一定要非常小心

6、,否那么可能導(dǎo)致致命的平安漏洞.3.2、 SUID和 SGID程序與文件有關(guān)的還有兩個附加權(quán)限位 SUID和SGIQ SUID是SetUserID設(shè)置 用戶標(biāo)識的縮寫,SGID是SetGroupID設(shè)置組標(biāo)識的縮寫.帶有這種權(quán)限的 程序運行時就會帶來很大的平安性漏洞.由于當(dāng)運行一個SUID程序時,它的有效UID被設(shè)置為擁有該程序的用戶ID ,而不管實際上是哪個用戶在運行,SGID與此類似.所以雖然SUID程序是必需的,但應(yīng)該盡量減少使用時機,并且要盡 最大努力保證此程序平安.作為治理員還應(yīng)該經(jīng)常使用find命令來瀏覽自己的文件系統(tǒng)以檢查新的SUID程序,詳細語法請參考文件權(quán)限章節(jié)中的相關(guān)內(nèi)容.

7、4、用戶訪問平安4.1、 口令平安每個Linux的用戶都擁有一個帳號,通過登錄到這個帳號才能有限制地使用 系統(tǒng).而保護自身的文件平安的惟一屏障就是口令,一旦這道屏障被突破,此用 戶及整個系統(tǒng)的平安便無法得到保證.從平安角度看,口令最好是隨機產(chǎn)生的, 并且不斷變換的.但實際上任何一個用戶都不愿意成天花費時間去記憶剛剛更換 過的口令,這是一對矛盾.所以用戶應(yīng)該做到盡可能保持頻繁的口令更換頻率, 并且聰明地選擇自己的口令保證其平安.切忌選用與自己有關(guān)的一些數(shù)字、名 詞、住址、配偶名稱、寵物名稱、 號等,更不要選用字典中的詞匯作為口 令.由于當(dāng)今使用的很多破解口令程序都是通過一定的加密算法將字典中的詞

8、匯 一個一個與口令作比擬,以期闖入系統(tǒng).另外從概率角度講,口令位數(shù)每增加一 位,被破解的可能性就會相差很多數(shù)量級,因此在系統(tǒng)允許的范圍內(nèi)盡可能長地設(shè)置自己的口 令實為明智之舉.那么怎么選擇一個好口令呢？這里推薦三種常用方法：一是選擇一個自 己比擬熟悉的短語或者是諺語,取出每個單詞或者某短句中每個漢字對應(yīng)的拼音 的第一或者某一位組合起來形成口令,這樣一來形成的口令接近于隨機字符序 列,但同時也容易記憶.比方：好好學(xué)習(xí)天天向上.得到的口令就是： hhxxttxs.二是選擇兩個較短的單詞,其間用符號或者某特定的字母加以連接, 比方：dear-user-linux .還有一種方法是采用一個成心拼寫錯誤

9、的單詞,比 如：Limux；或者使用成心參加語法錯誤的短語,比方：a-girls .這樣產(chǎn)生的口令被破解的時機就小多了.最后最關(guān)鍵的是用戶應(yīng)當(dāng)牢牢記住自己的口令,最好不要把口令寫在任何地 方,只有自己的腦袋是保險的.如果實在是對記憶水平缺乏信心,那么也建議將口令藏在某 個不起眼的短句中.比方：口令是 box! Here,那么將 Don' t touch the top of box ! Here!寫到一張紙條上,貼在電源上就顯得非常自然.4.2、 登錄平安如果用戶口令得到了良好的保證,那么緊接著的第二局部就是登錄和帳號的 平安性問題.這便涉及在系統(tǒng)中查找可能有平安問題的帳號并及時處理.

10、首先很 多黑客是使用沒有口令的帳號進入計算機系統(tǒng)的,作為治理員應(yīng)該經(jīng)常檢查口令 文件,查找這種帳號,一旦發(fā)現(xiàn),應(yīng)該馬上通知用戶或者禁止其使用.其次對于 不使用的帳號應(yīng)該及時刪除,使之不至于成為黑客進入的通道.即使不刪除此帳 號,至少也應(yīng)該在口令字段寫入符號,暫時停止此帳號的使用.再次,對于幾個 標(biāo)準系統(tǒng)帳號,一般情況下應(yīng)該禁止這些帳號的使用.由于這些帳號幾乎是每個 非法闖入者的目標(biāo),即使使用再好的口令,也有被破解的可能,所以最平安的辦 法就是禁止其使用.還有一些軟件在安裝過程中會自動在系統(tǒng)中創(chuàng)立帳號,所以 一定要注意禁止這些帳號的使用.對于匿名訪問者帳號(guest), 一般情況下是不建議使用

11、的.這種帳號是為 來訪者提供的帳號,使他們能夠使用本機上的某些資源,獲得局部權(quán)限.但同時 由于 guest帳號一般不設(shè)密碼,所以也是進入系統(tǒng)的捷徑.黑客進入系統(tǒng)以后 可以進一步獲得更高的權(quán)限,可能導(dǎo)致平安性災(zāi)難.黑客將盡力取得root權(quán)限,同時以此為基點進攻網(wǎng)絡(luò)上其他的機器,這使得追查其來源更加不容易.所 以盡可能不要使用guest帳號.系統(tǒng)中還有幾個命令帳號,也就是運行給定命令 然后退出.這些帳號沒有口令,雖然它們并不運行shell,但是從平安方面也是極其危險的.比方使用finger登錄時,finger程序便運行起來,顯示該系統(tǒng)用戶,顯示后結(jié)束運行.類似的帳號還有sync和date.這種帳號

12、可能會 泄露系統(tǒng)的有關(guān)信息.系統(tǒng)平安實際上是由登錄帳號和對應(yīng)口令共同保證的,如 果入侵者獲得了系統(tǒng)用戶的帳號,那他已經(jīng)成功了一半.最后是關(guān)于組帳號的問 題.組帳號是供多人使用的同一個帳號.這對系統(tǒng)平安是極為不利的.由于如果 組帳號被人闖入,那么尋找泄露口令的用戶是非常困難的.所以建議創(chuàng)立帳號時 遵循“一個帳號一個用戶的原那么.5、防火墻、IP偽裝個代理效勞器5.1 、什么是防火墻防火墻是汽車中一個部件的名稱.在汽車中,利用防火墻把乘客和引擎隔 開,汽車引擎一旦著火,防火墻不但能保護乘客平安,同時還能讓司機繼續(xù)限制 引擎.在電腦中,防火墻是一種裝置,可使個別網(wǎng)絡(luò)不受公共局部整個Internet的

13、影響.本文將防火墻電腦稱為“防火墻,它能同時連接受到保護 的局域網(wǎng)絡(luò)和Internet 兩端.這樣受到保護的網(wǎng)絡(luò)無法連接到Internet ,Internet也無法連接到受到保護的網(wǎng)絡(luò).如果要從受到保護的網(wǎng)絡(luò)內(nèi)部接到 Internet網(wǎng)絡(luò),就得telnet到防火墻,然后從防火墻連上Internet .最簡單 的防火墻是dual homed系統(tǒng)具有兩個網(wǎng)絡(luò)聯(lián)結(jié)的系統(tǒng).只要配置一臺Linux 主機配置時將IPforwarding/gatewaying設(shè)為OFF,并為每人設(shè)一帳戶,他們就能登錄這一主機,使用telnet、FTP,閱讀電子郵件和使用所有這臺主機 提供的任何其他效勞.根據(jù)這項配置,這一網(wǎng)

14、絡(luò)中惟一能與外界聯(lián)系的電腦便是 這個防火墻.Linux 2.2.x 內(nèi)核用ipchains代替了原來2.0內(nèi)核中的 ipfwadm.ipchains較之以前的ipfwadm語法變動很大,如果想了解更多的命令 和語法,可以參考ipchains howto :/ /linux , 或者運行 ipchains -help .5.2 防火墻分類1 . IP過濾防火墻IP過濾防火墻在IP層工作.它依據(jù)起點、終點、用口號和每一數(shù)據(jù)包中所 含的數(shù)據(jù)包種類信息限制數(shù)據(jù)包的流動.這種防火墻非常平安,但是缺少有用的 登錄記錄.它阻擋別人進入個別網(wǎng)絡(luò),但不能記錄何人進入公共系統(tǒng),或何人從 內(nèi)部進入

15、網(wǎng)際網(wǎng).過濾防火墻是絕對性的過濾系統(tǒng).即使要讓外界的一些人進入 私有效勞器,用戶也無法讓每一個人進入效勞器.Linux從1.3.x版開始就在內(nèi)核中包含了數(shù)據(jù)包過濾軟件.2 .代理效勞器代理效勞器允許通過防火墻間接進入網(wǎng)際網(wǎng).最好的例子是telnet到系統(tǒng),然后從該處再telnet到另一個系統(tǒng).在有代理效勞器的系統(tǒng)中,這項工作 就完全自動完成.利用客戶端軟件連接代理效勞器后,代理效勞器啟動它的客戶 端軟件代理,然后傳回數(shù)據(jù).由于代理效勞器重復(fù)所有通信,因此能夠記錄 所有進行的工作.只要配置正確,代理效勞器就絕對平安,這是它最可取之處.由于沒有直接的IP通路,它阻擋任何人進入.3 .linux防火

16、墻實現(xiàn)策略一般而言,實現(xiàn)Linux防火墻功能有兩種策略：一種是首先全面禁止所有的 輸入/輸出/轉(zhuǎn)發(fā)包,然后根據(jù)需要逐步翻開所要求的各項效勞,這種方式最安 全,但必須全面考慮到自己所要使用的各項效勞功能,不能有任何遺漏.如果用 戶對要實現(xiàn)的某種效勞和功能不能清楚地知道應(yīng)該翻開哪些效勞和端口,就會比 較麻煩.第二種方式是首先默認翻開所有的輸入 /輸出包,然后禁止某些危險 包、IP欺騙包、播送包、ICMP效勞類型攻擊等,對應(yīng)用層效勞像 、 sendmail > pop3、ftp等,假設(shè)不打算提供某些效勞,就不要啟動它,或者根本就 不要安裝.這種方式雖然沒有第一種方式更平安,但是比擬方便,容易配

17、置,用 戶不必過多地了解該如何翻開一種效勞所需要執(zhí)行的ipchains命令細節(jié)就能配置一個比擬平安的防火墻系統(tǒng).6、效勞器被侵入后的處理雖然采取了很多平安舉措,但是還是有可能被侵入.一旦效勞器遭到網(wǎng)絡(luò)黑 客的攻擊,應(yīng)該及時采取下述行動：首先設(shè)法使效勞器進入平安狀態(tài),即將入侵者清理出系 統(tǒng),如果實在沒有方法,就斷開所有網(wǎng)絡(luò)連接(拔掉網(wǎng)線或者關(guān)閉調(diào)制解調(diào) 器).不要急于恢復(fù)系統(tǒng),那樣可能覆蓋掉黑客入侵的行動記錄和留下的蛛絲馬跡,而 這些東西是將來反黑客的重要線索.一定要設(shè)法尋找出入侵者是如何進入的,然 后彌補好這個漏洞以免被再次侵入.如果不能彌補,寧愿關(guān)閉掉該項效勞,否那么 即有可能繼續(xù)遭到攻擊.

18、另外要特別注意用戶文件和口令,預(yù)防黑客為下次攻擊 留下“后門.然后要通過系統(tǒng)備份來恢復(fù)被損壞或者刪除的文件,這是必須要做的,系統(tǒng) 恢復(fù)以后就可以重新網(wǎng)絡(luò)開始效勞了.最后,如果入侵繼續(xù)發(fā)生,那么求救于本地的其他治理 員,尋求技術(shù)支持.有時甚至需要通過法律手段來保護網(wǎng)站平安.7、日常平安考前須知1) 刪除系統(tǒng)所有默認的帳號和密碼,這些帳號往往是黑客攻擊時的第一目標(biāo),特別注意保護root用戶密碼.2) 在用戶合法性得到驗證前不要顯示公司題頭、在線幫助以及其他信息,使黑客試圖侵入前獲得的信息盡可能少.3) 廢除“黑客可以攻擊系統(tǒng)的所有不在使用的網(wǎng)絡(luò)效勞,如匿名 ftp 等,每一項網(wǎng)絡(luò)效勞程序都包括這樣

19、那樣的漏洞,啟用的效勞越多,系統(tǒng)平安漏 洞也就越多.4) 使用6到8位的字母數(shù)字混合的密碼,并經(jīng)常更換密碼.可以設(shè)置用戶密 碼的平安等級和有效期限,注意,平安等級過高的系統(tǒng),用戶密碼的設(shè)置會非常麻煩.5) 限制用戶嘗試登錄到系統(tǒng)的次數(shù),預(yù)防黑客通過“窮舉法破譯密碼.在密碼輸入錯誤次數(shù)到達某限制值時,帳號將被鎖定.6記錄違反平安性的情況并對平安記錄進行復(fù)查.7） 對于重要信息,上網(wǎng)傳輸前要先進行加密.現(xiàn)在已經(jīng)有了很多的加密傳輸協(xié)議,并且有了相關(guān)標(biāo)準,可以根據(jù)需要選用.8） 重視專家提出的建議,安裝他們推薦的系統(tǒng)“補丁.各種版本的Linux都在不斷地推出各種“補丁程序,它們有的修正系統(tǒng)BUG有的提供功能擴展,還有的修改系統(tǒng)平安漏洞,這就是平安治理所需要的內(nèi)容.9限制不需密碼即可訪問的主機文件.10