Linux网络安全经验谈

最新推荐文章于 2024-02-15 19:21:11 发布

cl2516

最新推荐文章于 2024-02-15 19:21:11 发布

阅读量151

点赞数

文章标签：网络操作系统系统安全

关于分区

　　一个潜在的黑客如果要攻击你的 Linux 服务器，他首先就会尝试缓冲区溢出。在过去的几年中，以缓冲区溢出为类型的安全漏洞是最为常见的一种形式了。更为严重的是，缓冲区溢出漏洞占了远程网络攻击的绝大多数，这种攻击可以轻易使得一个匿名的 Internet 用户有机会获得一台主机的部分或全部的控制权 !

　　为了防止此类攻击，我们从安装系统时就应该注意。如果用 root 分区纪录数据，如 log 文件和 email ，就可能因为拒绝服务产生大量日志或垃圾邮件，从而导致系统崩溃。所以建议为 /var 开辟单独的分区，用来存放日志和邮件，以避免 root 分区被溢出。最好为特殊的应用程序单独开一个分区，特别是可以产生大量日志的程序，还有建议为 /home 单独分一个区，这样他们就不能填满 / 分区了，从而就避免了部分针对 Linux 分区溢出的恶意攻击。

　关于 BIOS

　　记着要在 BIOS 设置中设定一个 BIOS 密码，不接收软盘启动。这样可以阻止不怀好意的人用专门的启动盘启动你的 Linux 系统，并避免别人更改 BIOS 设置，如更改软盘启动设置或不弹出密码框直接启动服务器等等。

　关于口令

　　口令是系统中认证用户的主要手段，系统安装时默认的口令最小长度通常为 5 ，但为保证口令不易被猜测攻击，可增加口令的最小长度，至少等于 8 。为此，需修改文件 /etc/login.defs 中参数 PASS _ MIN _LEN( 口令最小长度 ) 。同时应限制口令使用时间，保证定期更换口令，建议修改参数 PASS_MIN_DAYS( 口令使用时间 ) 。

　关于 Ping

　　既然没有人能 ping 通你的机器并收到响应，你可以大大增强你的站点的安全性。你可以加下面的一行命令到 /etc/rc.d/rc.local ，以使每次启动后自动运行，这样就可以阻止你的系统响应任何从外部 / 内部来的 ping 请求。

echo 1 > / proc /sys/net/ipv4/icmp_echo_ignore_all

关于 Telnet

　　如果你希望用户用 Telnet 远程登录到你的服务器时不要显示操作系统和版本信息 ( 可以避免有针对性的漏洞攻击 ) ，你应该改写 /etc/inetd.conf 中的一行象下面这样 :

telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h

　　加 -h 标志在最后使得 telnet 后台不要显示系统信息，而仅仅显示 login 。

关于特权账号

　　禁止所有默认的被操作系统本身启动的且不需要的帐号，当你第一次装上系统时就应该做此检查， Linux 提供了各种帐号，你可能不需要，如果你不需要这个帐号，就移走它，你有的帐号越多，就越容易受到攻击。

　　为删除你系统上的用户，用下面的命令 :userdel username

　　为删除你系统上的组用户帐号，用下面的命令 :groupdel username

　　在终端上打入下面的命令删掉下面的特权用账号 :

userdel adm

userdel lp

userdel sync

userdel shutdown

userdel halt

userdel mail

　　如果你不用 sendmail 服务器，就删除这几个帐号 :

userdel news

userdel uucp

userdel operator

userdel games

　　如果你不用 X windows 服务器，就删掉这个帐号。

userdel gopher

　如果你不允许匿名 FTP ，就删掉这个用户帐号 :

userdel ftp

　　关于 su 命令

　　如果你不想任何人能够 su 为 root 的话 , 你应该编辑 /etc/pam.d/su 文件，加下面几行 :

auth sufficient /lib-

/security/pam_rootok-

.so debug

auth required /lib-

/security/pam_wheel-

.so group=isd

　　这意味着仅仅 isd 组的用户可以 su 作为 root 。如果你希望用户 admin 能 su 作为 root. 就运行下面的命令 :

usermod -G10 admin

suid 程序也是非常危险的，这些程序被普通用户以 euid=0( 即 root) 的身份执行，只能有少量程序被设置为 suid 。用这个命令列出系统的 suid 二进制程序 :

suneagle# find / -perm -4000 -print

　　你可以用 chmod -s 去掉一些不需要程序的 suid 位。

　　关于账户注销

　　如果系统管理员在离开系统时忘了从 root 注销，系统应该能够自动从 shell 中注销。那么，你就需要设置一个特殊的 Linux 变量 “tmout” ，用以设定时间。同样，如果用户离开机器时忘记了注销账户，则可能给系统安全带来隐患。你可以修改 /etc/profile 文件，保证账户在一段时间没有操作后，自动从系统注销。编辑文件 /etc/profile ，在 “histfilesize=” 行的下一行增加如下一行 :

tmout=600

　　则所有用户将在 10 分钟无操作后自动注销。注意 : 修改了该参数后，必须退出并重新登录 root ，更改才能生效。

关于系统文件

　　对于系统中的某些关键性文件如 passwd 、 passwd.old 、 passwd._ 、 shadow 、 shadown._ 、 inetd.conf 、 services 和 lilo.conf 等可修改其属性，防止意外修改和被普通用户查看。如将 inetd 文件属性改为 600:

# chmod 600 /etc/inetd.conf

　　这样就保证文件的属主为 root ，然后还可以将其设置为不能改变 :

# chattr +i /etc/inetd.conf

　　这样，对该文件的任何改变都将被禁止。你可能要问 : 那我自己不是也不能修改了 ? 当然，我们可以设置成只有 root 重新设置复位标志后才能进行修改 :

# chattr -i /etc/inetd.conf

关于用户资源

　　对你的系统上所有的用户设置资源限制可以防止 DoS 类型攻击，如最大进程数，内存数量等。例如，对所有用户的限制，编辑 /etc/security/limits.con 加入以下几行 :

* hard core 0

* hard rss 5000

* hard nproc 20

　　你也必须编辑 /etc/pam.d/login 文件，检查这一行的存在 :

session required /lib/security/pam_limits.so

　　上面的命令禁止 core files“core 0” ，限制进程数为 “nproc 50“ ，且限制内存使用为 5M“rss 5000” 。

关于 NFS 服务器

　　由于 NFS 服务器漏洞比较多，你一定要小心。如果要使用 NFS 网络文件系统服务，那么确保你的 /etc/exports 具有最严格的存取权限设置，不意味着不要使用任何通配符，不允许 root 写权限， mount 成只读文件系统。你可以编辑文件 /etc/exports 并且加 :

/dir/to/export host1.mydomain.com(ro,root_squash)

/dir/to/export host2.mydomain.com(ro,root_squash)

　　其中 /dir/to/export 是你想输出的目录， host.mydomain.com 是登录这个目录的机器名， ro 意味着 mount 成只读系统， root_squash 禁止 root 写入该目录。最后为了让上面的改变生效，还要运行 /usr/sbin/exportfs -a