Linux安全机制分析.docVIP

Linux安全机制分析 　　经过多年的发展，Linux的功能在不断增强，其安全机制亦在逐步完善。按照TCSEC评估标准，目前Linux的安全级基本达到了C2，更高安全级别的Linux系统正在开发之中。 　　下面我们来看一看Linux已有的安全机制，这些机制有些已被标准的Linux所接纳，有些只是提供了“补丁”程序。 　　PAM机制 　　PAM(PIuggable Authentication Modules)是一套共享库，其目的是提供+框架和一套编程接口，将认证工作由程序员交给管理员，PAM允许管理员在多种认证方法之间做出选择，它能够改变本地认证方法而不需要重新编译与认证相关的应用程序。 　　PAM的功能包括： 　　1)加密口令(包括DES以外的算法)； 　　2)对用户进行资源限制，防止DOS攻击； 　　3)允许随意Shadow口令； 　　4)限制特定用户在指定时间从指定地点登录； 　　5)引入概念“client plug-in agents’，使PAM支持C／S应用中的机器――机器认证成为可能。 　　PAM为更有效的认证方法的开发提供了便利，在此基础上可以很容易地开发出替代常规的用户名加口令的认证方法，如智能卡、指纹识别等认证方法。 　　 　　入侵检测系统 　　 　　 入侵检测技术是一项相对比较新的技术，很少有操作系统安装了入侵检测工具，事实上，标准的Linux发布版本也是最近才配备了这种工具。尽管入侵检测系统的历史很短，但发展却很快，目前比较流行的入侵检测系统有Snort、Portsentry、Lids等。 　　利用Linux配备的工具和从因特网下载的工具，就可以使Linux具备高级的入侵检测能力，这些能力包括： 　　1)记录入侵企图，当攻击发生时及时通知管理员； 　　2)在规定情况的攻击发生时，采取事先规定的措施； 　　3)发送一些错误信息，比如伪装成其他操作系统，这样攻击者会认为他们正在攻击一个Windows NT或Solaris系统。 　　 　　安全审计 　　 　　即使系统管理员十分精明地采取了各种安全措施，但还会不幸地发现一些新漏洞。攻击者在漏洞被修补之前会迅速抓住机会攻破尽可能多的机器。虽然Linux不能预测何时主机会受到攻击，但是它可以记录攻击者的行踪。 　　Linux还可以进行检测、记录时间信息和网络连接情况。这些信息将被重定向到日志中备查。 　　日志是Linux安全结构中的一个重要内容，它是提供攻击发生的唯一真实证据。因为现在的攻击方法多种多样，所以Linux提供网络、主机和用户级的日志信息。例如，Linux可以记录以下内容： 　　1)记录所有系统和内核信息； 　　2)记录每一次网络连接和它们的源IP地址、长度，有时还包括攻击者的用户名和使用的操作系统； 　　3)记录远程用户申请访问哪些文件； 　　4)记录用户可以控制哪些进程； 　　5)记录具体用户使用的每条命令。 　　在调查网络入侵者的时候，日志信息是不可缺少的，即使这种调查是在实际攻击发生之后进行。 　　 　　强制访问控制 　　 　　强制访问控制(MAC，Mandatory Access Control)是一种由系统管理员从全系统的角度定义和实施的访问控制，它通过标记系统中的主客体，强制性地限制信息的共享和流动。使不同的用户只能访问到与其有关的、指定范围的信息，从根本上防止信息的失泄密和访问混乱的现象。 　　传统的MAC实现都是基于TCSEC中定义的MLS策略，但因MLS本身存在着这样或那样的缺点(不灵活、兼容性差、难于管理等)，研究人员已经提出了多种MAC策略。如DTE、RBAC等。由于Linux是一种自由操作系统，目前在其上实现强制访问控制的就有好几家。其中比较典型的包括SEllnux、RSBAC、MAC等，采用的策略也各不相同。 　　NSA推出的SELinux安全体系结构称为Hask，在这一结构中，安全性策略的逻辑和通用接口一起封装在与操作系统独立的组件中，这个单独的组件称为安全服务器。SELinux的安全服务器定义了一种混合的安全性策略。由类型实施(TE)、基于角色的访问控制(RBAC)和多级安全(MLS)组成。通过替换安全服务器，可以支持不同的安全策略。SEKnux使用策略配置语言定义安全策略，然后通过checkpolicy编译成二进制形式，存储在文件／ss_poliey中，在内核引导时读到内核空间。这意味着安全性策略在每次系统引导时都会有所不同。策略甚至可以通过使用security_load_policy接口在系统操作期间更改(只要将策略配置成允许这样的更改)。 　　RSBAC是根据Abrams和LaPadula提出的GFAC模型开发的，可以基于多个模块提供灵活的