58、FreeBSD 系统安全与远程连接保障指南

FreeBSD 系统安全与远程连接保障指南

在当今数字化时代，系统安全至关重要。对于使用 FreeBSD 系统的用户来说，确保系统的安全性是日常运维的重要任务。本文将深入介绍 FreeBSD 系统的高级安全特性、如何使用 mtree(1) 工具防范入侵、系统安全监控方法、软件包安全管理以及应对系统被入侵的策略，同时还会讲解如何通过 SSH 协议保障远程连接的安全。

1. FreeBSD 高级安全特性

FreeBSD 具备多种高级安全特性，有效抵御常见攻击手段。
- 不可执行栈（Nonexecutable Stack）
- 原理 ：常见攻击手法是诱使程序向内存写入信息并执行该内存。但在 FreeBSD 现代版本中，栈默认不可执行，即便攻击者让程序写入内存，内核也不会执行。
- 禁用情况 ：若有编写不佳的程序依赖于在同一块内存上进行读写和执行操作，可禁用此特性。对于 32 位程序，可通过设置 sysctls kern.elf32.nxstack 为 0；对于 64 位程序，设置 kern.elf64.nxstack 为 0。不过，过去 15 年里，大多数此类有缺陷的软件已从开源生态系统中被清除。
- 栈保护页（Stack Guard Page）
- 原理 ：在程序的内存分配部分之间添加随机大小的额外内存，增加攻击者猜测内存地址的难度。
- 关闭方法 <