Linux十大高级安全管理技巧.pdfVIP

Linux十大高级安全管理技巧 一、文件系统 在Linux系统中，分别为不同的应用安装单独的主分区将关键的分区设置为只读将大大提高文件系统 的安全。这主要涉及到Linux自身的ext2文件系统的只添加（只添加）和不可变这两大属性。 ● 文件分区Linux的文件系统可以分成几个主要的分区，每个分区分别进行不同的配置和安装，一般 情况下至少要建立/、/usr/local、/var和 /home等分区。/usr可以安装成只读并且可以被认为是不可修 改的。如果/usr中有任何文件发生了改变，那么系统将立即发出安全报警。当然这不包括用户自己改变/usr 中的内容。/lib、/boot和/sbin的安装和设置也一样。在安装时应该尽量将它们设置为只读，并且对它们 的文件、目录和属性进行的任何修改都会导致系统报警。 当然将所有主要的分区都设置为只读是不可能的,有的分区如/var等，其自身的性质就决定了不能将 它们设置为只读，但应该不允许它具有执行权限。 ● 扩展ext2使用ext2文件系统上的只添加和不可变这两种文件属性可以进一步提高安全级别。不可 变和只添加属性只是两种扩展ext2文件系统的属性标志的方法。一个标记为不可变的文件不能被修改，甚 至不能被根用户修改。一个标记为只添加的文件可以被修改，但只能在它的后面添加内容，即使根用户也 只能如此。 可以通过chattr命令来修改文件的这些属性，如果要查看其属性值的话可以使用lsattr命令。要想 了解更多的关于ext2文件属性的信息，可使用命令manchattr来寻求帮助。这两上文件属性在检测黑客企 图在现有的文件中安装入侵后门时是很有用的。为了安全起见，一旦检测到这样的活动就应该立即将其阻 止并发出报警信息。 如果你的关键的文件系统安装成只读的并且文件被标记为不可变的，入侵者必须重新安装系统才能删 除这些不可变的文件但这会立刻产生报警，这样就大大减少了被非法入侵的机会。 ● 保护log文件当与log文件和log备份一起使用时不可变和只添加这两种文件属性特别有用。系统 管理员应该将活动的log文件属性设置为只添加。当 log被更新时，新产生的log备份文件属性应该设置 成不可变的，而新的活动的log文件属性又变成了只添加。这通常需要在log更新脚本中添加一些控制命 令。 二、备份 在完成Linux系统的安装以后应该对整个系统进行备份，以后可以根据这个备份来验证系统的完整性， 这样就可以发现系统文件是否被非法窜改过。如果发生系统文件已经被破坏的情况，也可以使用系统备份 来恢复到正常的状态。 ● CD-ROM备份当前最好的系统备份介质就是CD-ROM光盘，以后可以定期将系统与光盘内容进行比较 以验证系统的完整性是否遭到破坏。如果对安全级别的要求特别高，那么可以将光盘设置为可启动的并且 将验证工作作为系统启动过程的一部分。这样只要可以通过光盘启动，就说明系统尚未被破坏过。 如果你创建了一个只读的分区，那么可以定期从光盘映像重新装载它们。即使象/boot、/lib和/sbin 这样不能被安装成只读的分区，你仍然可以根据光盘映像来检查它们，甚至可以在启动时从另一个安全的 映像重新下载它们。 ● 其它方式的备份虽然/etc中的许多文件经常会变化，但/etc中的许多内容仍然可以放到光盘上用 于系统完整性验证。其它不经常进行修改的文件，可以备份到另一个系统（如磁带）或压缩到一个只读的 目录中。这种办法可以在使用光盘映像进行验证的基础上再进行额外的系统完整性检查。 既然现在绝大多数操作系统现在都在随光盘一起提供的，制作一个CD-ROM紧急启动盘或验证盘操作起 来是十分方便的，它是一种十分有效而又可行的验证方法。 三、改进系统内部安全机制 可以通过改进Linux操作系统的内部功能来防止缓冲区溢出攻击这种破坏力极强却又最难预防的攻击 方式，虽然这样的改进需要系统管理员具有相当丰富的经验和技巧，但对于许多对安全级别要求高的Linux 系统来讲还是很有必要的。 ● SolarisDesigner的安全Linux补丁SolarisDesigner用于2.0版内核的安全Linux补丁提供了一个 不可执行的栈来减少缓冲区溢出的威胁，从而大大提高了整个系统的安全性。 缓冲区溢出实施起来是相当困难的，因为入侵者必须能够判断潜在的缓冲区溢出何时会出现以及它在 内存中的什么位置出现。缓冲区溢出预防起来也十分困难，系统管理员必须完全去掉缓冲区溢出存在的条 件才能防止这种方式的攻击。正因为如此，许多人甚至包括Li