Linux系统安全的策略的研究.docVIP

Linux系统安全的策略的研究 　　摘 要：文章对Linux系统当前的安全现状进行了分析，在文件管理、KLW包层技术及禁止系统对ping命令等方面提出了Linux系统安全管理策略，进一步提高了Linux系统安全。 　　关键词：Linux；LSM；KLW包层技术 　　中图分类号：TP316.8 文献标识码：A 文章编号：1000－8136（2011）33－0065－01 　　 　　1 引言 　　Linux自1991年问世以来，其多用户、多进程、多线程、实时性较好且功能强大而稳定的特点得到世界程序爱好者的青睐，在高端的服务器市场占有很大份额，随着Linux的广泛应用和网络技术的发展，如何保证Linux系统的安全将变得非常重要。 　　2 Linux系统安全现状及其重要性 　　Linux操作系统由于其出色的性能和稳定性，在操作系统市场已拥有了大批的用户。并且由于Linux内核源代码的开放性，为操作系统的研究带来了极大的方便和灵活。然而，从Linux诞生起，在安全性方面，Linux内核只提供了自主访问控制（DAC）、标识与识别、POSIX.1e的capabilities机制以及一些日志功能。2001年，在Linux内核峰会上，Linux安全模块（Linux security module，LSM）应运而生。基于最新版本的内核提供以下安全机制：①身份验证：作为Linux系统的第一道防线，Linux为合法用户提供帐号，并允许为用户帐号设置安全等级；②访问控制：对文件的访问使用了文件存取许可机制；③日志：提供日志文件来记录整个操作系统的使用状况，如用户登录、用户切换、权限改变等，管理员可以通过察看这些日志文件，来对系统进行维护；④加密文件：提供多种附加工具来加密数据；⑤文件系统：在目录结构上，先有目录再有分区，它的各个文件系统可以很方便的挂载在系统中，或者从目录结构中卸载；⑥程序角色切换：程序从root用户启动以后，通常需要切换到服务的软件角色上，如Apache；⑦内存管理：Linux系统采取内存保护模式来执行程序，避免了因一个程序执行失败而影响整个系统的运行；⑧客体重用：客体重用是指当主体（如用户、进程、I/O设备等）获得对一个已经释放的客体（如内存、外存储设备等）的访问权时，可以获得原主体活动所产生的信息；⑨防火墙：内核中集成了Netfilter/iptables系统，其中Netfilter负责将流经系统IP协议栈的数据包提出来，并且定义了iptables中各个表和规则的数据结构，以及各个操作，实现对iptables中数据包的要求；用户可以通过注入模块，调用Netfilter的接口函数创建新表，来实现所需的安全模块。 　　3 Linux系统安全管理策略 　　3.1 文件管理 　　3.1.1 文件加密 　　将重要的文件进行加密处理来加以保护。使用#gpg－gen－key产生密钥对，将公钥发布，以便其他用户下载该公钥加密发回文件，收到加密文件后，用配对的私钥解密为明文。 　　3.1.2 文件的存放 　　为提高安全性，系统应把不同的用户目录分离开来，每个用户都有自己的主目录和硬盘空间，这块空间与系统区域、其他用户空间分离开，这样可以防止普通用户的操作影响到整个文件系统。 　　3.1.3 文件和目录的访问权限 　　使用chown或chgrp命令正确设置文件的所有权或用户组关系，使得文件的不同用户（文件主、组用户和其他用户）只能对必须的文件具有的必须的访问权限（读、写和可执行），提高文件访问的安全性。 　　3.1.4 SUID/SGID 　　具有SUID/SGID权限标志的程序需要以root身份运行，这是一个潜在的安全漏洞。因此，除了类似password程序必须具有root身份外，应限制具有SUID/SGID权限标志的程序数量。 　　3.2 KLW包层技术 　　目前被认为最有前途的安全技术是一种被称作包层（wrapper）的技术。该包层可以缠绕在操作系统内核上，也可以缠绕在浏览器上、web服务器、应用程序上。它以系统扩展的方式增加安全性能，即可以满足某些应用程序的特定安全需求。当包层嵌入到操作系统中时，也可以通过包层扩展系统安全功能，如同给OS和应用程序穿上防弹服一样。在国外，如DARPA已投资开发用于开发包层软件的包层定义语言。这样一来，只要像编写应用程序一样来编写安全包层，就可以满足不同的安全需要。 　　在Liunx安全领域，有一种称作KLW（Kernel Loadable Wrapper）的包层技术，其设计思想主要是在内核的包层通过截取系统调用，对系统调用进行改造处理，以增加系统的安全功能。KLW有以下特点：①任何对操作系统的访问都必须经过KLW，不可旁路；②KLW对内核代码不进行任何修改，KLW以