全面關(guān)心你的UNIX架構(gòu)安全.docx

1、全面關(guān)心你的UNIX架構(gòu)平安公共服務(wù)首要的問題是，您必須看一看所有的可為外部世界提供 服務(wù)的服務(wù)器，并思索自己是否真的需要。通常情況下，它 們可以置于防火墻之后，或者放在一個組合式防火墻及代理 服務(wù)器之后。舉例來說，如果你在四個web服務(wù)器上運行一 個面向客戶端的web站點，那么，減少這些服務(wù)器的暴露程 度至最少化是可能的。放置在這些web服務(wù)器之前的一個代 理服務(wù)器或一對冗余代理服務(wù)器可以承受所有的客戶端連 接，然后檢查并清理這些服務(wù)。這就是代理服務(wù)器其中所起 的作用。代理服務(wù)器夠減輕后端web服務(wù)器的風險，而且不 受internet的影響和訪問。引起平安問題的最經(jīng)常的原因是沒有及時打補丁或

2、者 未知的服務(wù)。很長時間以來，已被人們遺忘的web服務(wù)器是 那種apache的老版本或者易受攻擊的php腳本服務(wù)，因其 內(nèi)核已過時。對于災難性故障的解決處方也許太普通，不過, 如果您的web服務(wù)器隱藏在一個代理服務(wù)器之后，那么幾乎 就沒有什么遺忘打補丁或服務(wù)的風險。對于其它服務(wù)也是同樣的情況。許多站點有一些極端的 限制，如防火墻管理員必須驗證任何新的網(wǎng)絡(luò)應用，并且工 作良好。通常情況下，公司網(wǎng)絡(luò)完全開放，其web應用是不 平安的，應用程序能與之交互的服務(wù)器常常是無任何理由地 可被互聯(lián)網(wǎng)訪問。登錄服務(wù)器遠程用戶被限制為只能使用給定的界面，如e-mail服 務(wù)，web應用或b2b服務(wù)。那些可以訪問

3、系統(tǒng)外殼的本地用 戶可謂完全無拘無束。如果你的系統(tǒng)中恰好有一個惡意用戶, 除非采取極端的措施，他可對根目錄開展訪問。至于更新問 題，特別是那些要求升級后重啟的內(nèi)核的更新，必須在新內(nèi) 核的發(fā)布之日應用?？傊?，操作系統(tǒng)需要強化其穩(wěn)健性。在 設(shè)計架構(gòu)的過程中，必須特別注意確保用戶只能對所指定的 區(qū)域訪問。如果你的網(wǎng)絡(luò)還有一些可對某些機器的根目錄訪問的 開發(fā)人員，那么受到傷害的可能性就會大增加。開發(fā)人員自 身成為惡意用戶的可能性也許微乎其微，但絕不能排除其可 能性。其實，開發(fā)人員不知不覺安裝的一些怪異的新程序有 可能會損害系統(tǒng)。例如，slammer蠕蟲的傳播速度極快，原 因在于它在windows系統(tǒng)中

4、通過網(wǎng)絡(luò)開展傳播，該蠕蟲利用 microsoft sql server2000的緩沖區(qū)溢出漏洞獲得系統(tǒng)控制 權(quán)，并產(chǎn)生大量隨機ip地址開展攻擊，導致蠕蟲的迅速傳播 并且形成拒絕服務(wù)攻擊，網(wǎng)絡(luò)帶寬大量地被占用。其它問題理論上講，企業(yè)計算機的大多數(shù)并非面向互聯(lián)網(wǎng)的。假 設(shè)真是這樣，那么限制用戶的暴露程度是所有公司的最優(yōu)先 考慮的事情，我們可以在某種程度上忽略這些服務(wù)器。這些 服務(wù)器上的唯一弱點就是其所提供的界面?！凹俣ㄎ业膚eb 應用定期打補丁，就沒有必要擔憂操作系統(tǒng)自身。”確實有 一些人有這樣的觀點。如果企業(yè)能夠限制對系統(tǒng)管理的登錄訪問，這種觀點有可能是正確的。保持應用程序的定期補丁也許可以算是平安 的措施。但如果一個平安漏洞僅僅因為管理員沒有考慮到而 被遺忘的話，你的整個架構(gòu)就處于風險之中，而不僅僅是你 的一臺服務(wù)器。一旦攻擊者進入了系統(tǒng)內(nèi)部，他一般會發(fā)現(xiàn) 接觸其它服務(wù)器是相當簡單的。因此，看起來有兩種可以保障一個架構(gòu)平安的方法：一是限制暴露程度并期望（只能是期望）想象不到的威脅不會發(fā)生。二是采取措施保障自身的平安，因而一旦攻擊者試圖 滲透你的防御系統(tǒng)，卻不能造成任何的危害。實際情況是, 大多數(shù)企業(yè)甚至都不能成認其平安策略只能屬于兩種方法 的一種。防火墻是極容易被攻克的, 處于危險之中的時候。實際上, 火墻通常會吸引更多的攻擊者,特別是暴