科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网软件频道如何保护互联网上的Linux系统机器 (1)

如何保护互联网上的Linux系统机器 (1)

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

互联网上有许多企业公司和组织采用Linux作为服务器平台。当这些服务器与互联网连接以提供应用服务时,不可避免地会成为攻击目标。本文讨论Linux系统安全配置的一些基本知识,以帮助你保护Linux系统。

作者:yuanshan 来源:赛迪网技术社区 2007年10月21日

关键字: 操作系统 Linux 互联网 保护

  • 评论
  • 分享微博
  • 分享邮件
 

前言

互联网上有许多企业公司和组织采用Linux作为服务器平台。当这些服务器与互联网连接以提供应用服务时,不可避免地会成为攻击目标。本文讨论Linux系统安全配置的一些基本知识,以帮助你保护Linux系统。虽然在这里以Red Hat 6.0为例子,但也应该适用于其它Linux发行版本。

安装

配置系统安全的头一步最好是在系统的开始——操作系统的安全。因为配置的是防火墙,所以你绝对不能信任任何以前的系统安装和配置,而应该从全新安装开始,才能真正保证系统安全的完整性。

使你的系统处于单独(或隔离)的网络中。决不要让未受保护的系统连接到其它网络或互联网中受到可能的攻击。按我个人的经验,一个连接到互联网的新安装系统可以在15分钟内被扫描和入侵取得完全控制权。你可能需要另一台机器从互联网获取重要工具和安全补丁等等,然后再从这些机器将其传送到单独的“配置网络”中。

当把将要作为未来防火墙的机器放置于隔离的网络中时,就可以开始下一步了。第一步是选择操作系统将要安装的软件包。对于Red Hat 6.0,提供了三种安装选择:Workstation(工作站)、Server(服务器)、Custom(定制,缺省选项)。我个人强烈推荐“定制”,因为这允许你选择添加哪些服务和硬盘如何分区。安装策略是在维持最大化效率时进行“最小化”安装。系统中的软件越少,潜在的安全漏洞就会越少。例如,如果你不需要News或Real Audio Server,就不要安装它。Linux系统有一个好处就是如果你后来改变了想法,也是很容易添加所需软件包的。不管选择了哪种安装方式,手册页和HOWTO文档都应该是必不可缺的。虽然可能会使系统增加一点点风险,但它们有时确实特别有用。

如果选择了“定制”安装,会被提示进行硬盘分区。我个人通常喜欢使根分区尽可能地大,并且把所有东西都放在那里。然后,我们确实需要创建几个分区以保护根分区。因为如果根分区被例如系统日志或电子邮件等数据塞满的话,就会出现拒绝服务,甚至有可能使系统崩溃。

因此,我总是推荐为/var设置一个单独的分区。/var是用于存放系统所有日志和电子邮件的地方,将/var分区独立出来,就能够有效地保护根分区被这些数据塞满。对于许多网络环境,为/var分区设置不少于400MB基本上就足够了。另外可以考虑为某些特定的服务或应用创建或保留单独的分区,特别是敏感的日志记录。如果系统中存在不可完全信任的用户,也许应该为/home创建单独的分区,这样可以避免恶意用户轻易攻击/根分区。对于一台独立服务器以下是一个分区实例:

/ - everything else /var - 400 MB swap - (I normally go with 256 MB)

当系统安装完成并重启后,务必要安装必需的安全补丁。对于Red Hat,可以到http://www.redhat.com/apps/support/updates.html找到它的所有安全补丁程序。安全补丁对于维持一个安全的防火墙是至关重要的,应该经常保持更新。bugtraq@securityfocus.com或redhat-watch-list-request@redhat.com是获取最新安全漏洞信息的最佳资源。如果不安装这些补丁,你的系统可能会轻易入侵。记住,从上面提及的另一台机器获取这些补丁,防火墙机器应该仍处于隔离网络中。对于Red Hat系统,下载RPM包会使系统更新变得更简单。例如是对wu-ftpd进行安全升级的实例:

rpm -Uvh wu-ftpd-2.6.0-14.6x.i386.rpm

如果系统早已处于互联网上,可以直接从互联网上安装:

rpm -Uvh ftp://updates.redhat.com/6.1/i386/wu-ftpd-2.6.0-14.6x.i386.rpm

推荐使用autorpm工具保持对RPM软件包的补丁更新。这个命令行工具分析确定哪些。rpm包需要升级,并会自动(如果你愿意的话)从Red Hat的网站上下载并安装升级文件。这个工具的使用非常灵活简单,可以让其在cron中运行,这样你的系统就会定期自动检查升级更新,并可以向管理员发送提醒系统需要升级的电子邮件。

    • 评论
    • 分享微博
    • 分享邮件
    闂傚倸鍊搁崐椋庢閿熺姴鐭楅幖娣妼缁愭鏌¢崶鈺佷汗闁哄閰i弻鏇$疀鐎n亞浠炬繝娈垮灠閵堟悂寮婚弴锛勭杸閻庯綆浜栭崑鎾诲冀椤撱劎绋忛梺璺ㄥ櫐閹凤拷

    濠电姷鏁告慨鐑姐€傛禒瀣劦妞ゆ巻鍋撻柛鐔锋健閸┾偓妞ゆ巻鍋撶紓宥咃躬楠炲啫螣鐠囪尙绐為梺褰掑亰閸撴盯鎮惧ú顏呪拺闂傚牊鍗曢崼銉ョ柧婵犲﹤瀚崣蹇旂節婵犲倻澧涢柛瀣ㄥ妽閵囧嫰寮介妸褋鈧帡鏌熼挊澶婃殻闁哄瞼鍠栭幃婊堝煛閸屾稓褰嬮柣搴ゎ潐濞叉ê鐣濈粙璺ㄦ殾闁割偅娲栭悡娑㈡煕鐏炲墽鐭嬫繛鍫熸倐濮婄粯鎷呯粵瀣異闂佹悶鍔嬮崡鍐茬暦閵忋倕鍐€妞ゆ劑鍎卞皬闂備焦瀵х粙鎴犫偓姘煎弮瀹曚即宕卞Ο闀愮盎闂侀潧鐗嗛幊搴㈡叏椤掆偓閳规垿鍩ラ崱妞剧凹濠电姰鍨洪敋閾荤偞淇婇妶鍛櫤闁稿鍊圭换娑㈠幢濡纰嶉柣搴㈣壘椤︾敻寮诲鍫闂佸憡鎸鹃崰搴敋閿濆鏁嗗〒姘功閻绻涢幘鏉戠劰闁稿鎹囬弻锝呪槈濞嗘劕纾抽梺鍝勬湰缁嬫垿鍩為幋锕€宸濇い鏇炴噺閳诲﹦绱撻崒娆戝妽妞ゃ劌鎳橀幆宀勫磼閻愰潧绁﹂柟鍏肩暘閸斿矂鎮為崹顐犱簻闁圭儤鍨甸鈺呮倵濮橆剦妲归柕鍥у瀵粙濡歌閸c儳绱撴担绛嬪殭婵☆偅绻堝濠氭偄绾拌鲸鏅i悷婊冪Ч閹﹢鎳犻鍌滐紲闁哄鐗勯崝搴g不閻愮儤鐓涢悘鐐跺Г閸犳﹢鏌℃担鐟板鐎规洜鍠栭、姗€鎮╅搹顐ら拻闂傚倷娴囧畷鍨叏閹惰姤鈷旂€广儱顦崹鍌炴煢濡尨绱氶柨婵嗩槸缁€瀣亜閺嶃劎鈽夋繛鍫熺矒濮婅櫣娑甸崨顔俱€愬銈庡亝濞茬喖宕洪埀顒併亜閹哄棗浜鹃梺鎸庢穿婵″洤危閹版澘绫嶉柛顐g箘椤撴椽姊虹紒妯哄鐎殿噮鍓欒灃闁告侗鍠氶崢鎼佹⒑閸撴彃浜介柛瀣閹﹢鏁冮崒娑氬幈闁诲函缍嗛崑鍡樻櫠椤掑倻纾奸柛灞剧☉缁椦囨煙閻熸澘顏柟鐓庢贡閹叉挳宕熼棃娑欐珡闂傚倸鍊风粈渚€骞栭銈傚亾濮樺崬鍘寸€规洖缍婇弻鍡楊吋閸涱垽绱遍柣搴$畭閸庨亶藝娴兼潙纾跨€广儱顦伴悡鏇㈡煛閸ャ儱濡煎褜鍨伴湁闁绘ǹ绉鍫熺畳闂備焦瀵х换鍌毼涘Δ鍛厺闁哄洢鍨洪悡鍐喐濠婂牆绀堟慨妯挎硾閽冪喖鏌曟繛褍瀚烽崑銊╂⒑缂佹ê濮囨い鏇ㄥ弮閸┿垽寮撮姀鈥斥偓鐢告煥濠靛棗鈧懓鈻嶉崶銊d簻闊洦绋愰幉楣冩煛鐏炵偓绀嬬€规洟浜堕、姗€鎮㈡總澶夌处

    重磅专题
    往期文章
    最新文章