37、Linux安全防护全攻略

最新推荐文章于 2025-10-25 16:20:08 发布

study

最新推荐文章于 2025-10-25 16:20:08 发布

阅读量47

点赞数

CC 4.0 BY-SA版权

分类专栏： Linux全栈指南：从入门到精通文章标签： Linux安全数字签名 GPG

本文链接：https://blog.youkuaiyun.com/study/article/details/151305695

Linux全栈指南：从入门到精通专栏收录该内容

46 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

Linux安全防护全攻略

1. 数字签名验证流程

在信息传输中，数字签名可确保消息来源的真实性。以下是Bob验证来自Alice消息的流程：
1. Bob使用自己的私钥解密消息。
2. Bob使用Alice的公钥解密数字签名，得到消息摘要。
3. Bob计算消息的消息摘要，并与解密数字签名得到的消息摘要进行比较。
4. 如果两个消息摘要匹配，Bob可以确定消息确实来自Alice。

graph LR
    A[接收消息和数字签名] --> B[用私钥解密消息]
    B --> C[用Alice公钥解密数字签名得摘要]
    C --> D[计算消息摘要]
    D --> E{摘要是否匹配}
    E -- 是 --> F[消息来自Alice]
    E -- 否 --> G[消息可能被篡改或非来自Alice]

2. 使用GPG进行安全操作

GPG（GNU Privacy Guard）包含使用公钥加密和数字签名所需的工具。以下介绍一些常见的GPG操作。

2.1 生成密钥对

生成密钥对的步骤如下：
1. 输入命令： gpg --gen-key 。
2. 依次输入姓名、电子邮件地址和注释，然后按回车键。
3. 当GPG提示确认信息时，输入 o 并按回车键。
4. 输入一个包含大小写字母、数字和标点符号的长密码短语，越长越好，然后按回车键。

2.2 交换密钥

2.2.1 列出密钥环中的密钥

输入命令： gpg --list-keys 。

2.2.2 导出公钥

使用以下命令将公钥导出为ASCII格式文件：

gpg --armor --export rich@test.localhost > richkey.asc

将 rich@test.localhost 替换为自己的电子邮件地址， richkey.asc 替换为输出文件名。

2.2.3 导入公钥

输入命令： gpg --import uscertkey.asc 。
验证密钥是否成功导入： gpg --list-keys 。

2.2.4 检查密钥指纹

输入命令： gpg --fingerprint us-cert@us-cert.gov 。
验证指纹无误后，可使用以下命令签署密钥：

gpg --sign-key us-cert@us-cert.gov

2.3 签署文件

2.3.1 压缩并签署文件

使用以下命令压缩并签署名为 message 的文件：

gpg -o message.sig -s message

2.3.2 验证签名

输入命令： gpg --verify message.sig 。

2.3.3 解密文件

输入命令： gpg -o message --decrypt message.sig 。

2.3.4 生成明文签名

使用以下命令为消息添加明文签名：

gpg -o message.asc --clearsign message

验证明文签名： gpg --verify message.asc 。

2.4 加密和解密文档

2.4.1 使用公钥加密消息

使用以下命令为US - CERT加密消息：

gpg -o message.gpg -e -r us-cert@us-cert.gov message

2.4.2 解密消息

接收方使用以下命令解密消息：

gpg -o message --decrypt message.gpg

2.4.3 对称加密文件

使用以下命令对文件进行对称加密：

gpg -o secret.gpg -c somefile

2.4.4 解密对称加密文件

输入命令： gpg -o myfile --decrypt secret.gpg 。

3. 监控系统安全

3.1 使用Tripwire监控系统文件

Tripwire是检测系统文件更改的有效工具，可监控关键系统文件和目录的完整性。需从 www.tripwire.com 购买并安装该软件，安装后可配置其监控指定系统文件和目录的更改。

3.2 检查日志文件

定期检查 /var/log 目录及其子目录中的日志文件。许多Linux应用程序和服务器使用 syslogd 或 rsyslogd 记录日志。确保只有root用户可以读写这些文件。
syslogd 的配置文件为 /etc/syslog.conf ， rsyslogd 的配置文件为 /etc/rsyslog.conf 。若要了解配置文件详情，可输入 man syslog.conf 或 man rsyslog.conf 。

4. 保障互联网服务安全

4.1 关闭独立服务

不同Linux发行版关闭独立服务的方法不同：
- Debian和Ubuntu ：使用 update-rc.d 命令关闭独立服务，使用 invoke-rc.d 命令交互式启动或停止服务。例如，关闭Samba服务：
- 输入命令： update-rc.d -f samba remove 。
- 若服务正在运行，输入命令： invoke-rc.d samba stop 。
- Fedora和SUSE ：使用 systemctl 命令开启或关闭独立服务。例如，关闭Samba服务：
- 输入命令： sudo systemctl stop smb 。
- 若服务正在运行，输入命令： /etc/init.d/smb stop 。

4.2 配置互联网超级服务器

4.2.1 inetd服务器

Debian和Ubuntu使用 inetd 服务器。通过编辑 /etc/inetd.conf 文件来禁用服务，在相应行前添加 # 注释，保存文件后输入 /etc/init.d/inetd restart 重启服务器。

4.2.2 xinetd服务器

Fedora和SUSE使用 xinetd 服务器。 xinetd 服务器在启动时读取 /etc/xinetd.conf 文件，该文件引用 /etc/xinetd.d 目录中的配置文件。若要关闭某个服务，编辑相应配置文件，添加 disable = yes 行，然后输入 /etc/init.d/xinetd restart 重启服务器。

4.3 配置TCP包装器安全

TCP包装器为互联网服务提供访问控制功能。以下是加强服务访问控制的步骤：
1. 编辑 /etc/hosts.deny 文件，添加 ALL:ALL ，拒绝所有主机访问系统的互联网服务。
2. 编辑 /etc/hosts.allow 文件，添加允许访问服务的主机名。例如，允许 192.168.1.0 网络和本地主机访问服务：

ALL: 192.168.1.0/255.255.255.0 127.0.0.1

若要允许特定远程主机访问特定互联网服务，在 /etc/hosts.allow 文件中使用以下语法：

server_program_name: hosts

其中， server_program_name 是服务器程序名， hosts 是允许访问服务的主机列表。

5. 使用OpenSSH进行远程登录

OpenSSH是一套用于安全远程登录和文件传输的软件。以下介绍其主要组件和使用方法。

5.1 OpenSSH主要组件

组件	描述
/usr/sbin/sshd	SSH守护进程，若要让远程用户使用 `ssh` 客户端安全登录，该进程必须在主机上运行。
/usr/bin/ssh	SSH客户端，用于登录运行 `sshd` 的主机，也可在其他主机上执行命令。
/usr/bin/slogin	指向 `/usr/bin/ssh` 的符号链接。
/usr/bin/scp	安全复制程序，使用 `ssh` 进行数据传输，提供与 `ssh` 相同的认证和安全功能。
/usr/bin/ssh-keygen	用于生成OpenSSH使用的公钥和私钥对，可生成RSA和DSA认证的密钥对。
/etc/ssh/sshd_config	`sshd` 服务器的配置文件，指定端口、协议和其他文件的位置。
/etc/ssh/ssh_config	`ssh` 客户端的配置文件，每个用户也可在其主目录的 `.ssh` 子目录中拥有名为 `config` 的配置文件。

5.2 使用OpenSSH

5.2.1 启动sshd服务器

输入命令： ps ax | grep sshd 检查服务器是否已运行。若未运行，以root用户身份登录并开启SSH服务。

5.2.2 生成主机密钥

输入命令：

ssh-keygen -t dsa -f /etc/ssh/ssh_host_key -N ''

若 /etc/ssh/ssh_host_key 文件已存在，则无需重新生成密钥。

5.2.3 远程登录

使用以下命令进行远程登录：

ssh 192.168.0.4 -l rich

当提示确认主机真实性时，输入 yes 并按回车键，然后输入密码进行登录。也可使用以下等效命令：

ssh rich@192.168.0.4

5.2.4 安全复制文件

使用以下命令从其他系统安全复制文件：

scp 192.168.0.4:/etc/X11/xorg.conf

通过以上方法，可以有效保障Linux系统的安全，防止潜在的安全威胁。在实际操作中，需根据具体情况选择合适的安全措施，并定期检查和更新系统，以确保系统始终处于安全状态。

6. 防火墙配置优化

防火墙是保护Linux系统免受外部攻击的重要防线。以下介绍一些常见的防火墙配置方法。

6.1 使用iptables配置防火墙

iptables 是Linux系统中常用的防火墙工具。以下是基本的配置步骤：

6.1.1 清空现有规则

在开始配置之前，先清空现有的规则：

iptables -F

6.1.2 设置默认策略

设置默认的输入、输出和转发策略：

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

6.1.3 允许本地回环接口

允许本地回环接口的流量：

iptables -A INPUT -i lo -j ACCEPT

6.1.4 允许已建立和相关的连接

允许已建立和相关的连接通过：

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

6.1.5 允许特定端口的流量

例如，允许SSH（端口22）和HTTP（端口80）的流量：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

6.1.6 保存规则

保存配置的规则，使其在系统重启后仍然生效：

iptables-save > /etc/iptables.rules

6.2 使用firewalld配置防火墙

firewalld 是另一种常用的防火墙管理工具，以下是基本的配置步骤：

6.2.1 检查防火墙状态

检查 firewalld 的运行状态：

systemctl status firewalld

6.2.2 启动防火墙

如果防火墙未启动，使用以下命令启动：

systemctl start firewalld

6.2.3 设置开机自启

设置防火墙在系统开机时自动启动：

systemctl enable firewalld

6.2.4 允许特定服务或端口

例如，允许SSH和HTTP服务：

firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-service=http

6.2.5 重新加载防火墙规则

使配置的规则生效：

firewall-cmd --reload

7. 用户和权限管理

合理的用户和权限管理是保障系统安全的基础。以下介绍一些常见的管理方法。

7.1 创建和管理用户

7.1.1 创建新用户

使用 useradd 命令创建新用户：

useradd newuser

7.1.2 设置用户密码

使用 passwd 命令为新用户设置密码：

passwd newuser

7.1.3 删除用户

使用 userdel 命令删除用户：

userdel newuser

7.2 权限管理

7.2.1 文件和目录权限

使用 chmod 命令修改文件和目录的权限。例如，将文件 test.txt 的权限设置为 rwxr-xr-x ：

chmod 755 test.txt

7.2.2 用户组管理

使用 groupadd 命令创建新的用户组：

groupadd newgroup

使用 usermod 命令将用户添加到用户组：

usermod -aG newgroup newuser

8. 安全更新与漏洞修复

及时进行安全更新和漏洞修复是保障系统安全的重要措施。

8.1 使用yum进行更新（适用于基于RPM的系统）

8.1.1 检查可用更新

使用以下命令检查系统中可用的更新：

yum check-update

8.1.2 安装更新

使用以下命令安装所有可用的更新：

yum update

8.2 使用apt进行更新（适用于基于Debian的系统）

8.2.1 更新软件包列表

使用以下命令更新软件包列表：

apt update

8.2.2 安装更新

使用以下命令安装所有可用的更新：

apt upgrade

8.3 漏洞扫描与修复

可以使用一些漏洞扫描工具，如Nessus，对系统进行漏洞扫描。扫描后，根据扫描结果及时修复发现的漏洞。

9. 总结

通过对数字签名验证、GPG使用、系统安全监控、互联网服务安全保障、OpenSSH远程登录、防火墙配置、用户和权限管理以及安全更新等方面的介绍，我们了解了一系列保障Linux系统安全的方法。

在实际应用中，需要根据系统的具体情况和需求，综合运用这些方法，构建多层次的安全防护体系。例如，在进行互联网服务配置时，不仅要关闭不必要的服务，还要合理配置防火墙和TCP包装器，防止外部攻击；在进行用户和权限管理时，要确保用户权限的最小化，避免因权限过大而导致安全风险。

同时，要定期对系统进行安全检查和更新，及时发现和修复潜在的安全漏洞，确保系统始终处于安全稳定的运行状态。

以下是一个简单的安全防护流程的mermaid流程图：

graph LR
    A[系统初始化] --> B[生成密钥对]
    B --> C[配置防火墙]
    C --> D[管理用户和权限]
    D --> E[监控系统安全]
    E --> F[定期安全更新]
    F --> G{是否有新漏洞?}
    G -- 是 --> H[修复漏洞]
    H --> E
    G -- 否 --> E

通过遵循这些安全措施和流程，可以有效提高Linux系统的安全性，保护系统中的数据和服务免受各种安全威胁。