- 相關(guān)推薦
Linux系統(tǒng)安全的九個(gè)關(guān)鍵點(diǎn)
Linux,全稱GNU/Linux,是一種免費(fèi)使用和自由傳播的類UNIX操作系統(tǒng),其內(nèi)核由林納斯·本納第克特·托瓦茲于1991年10月5日首次發(fā)布,它主要受到Minix和Unix的啟發(fā),是一個(gè)基于POSIX的多用戶、多任務(wù)、支持多線程和多CPU的操作系統(tǒng)。以下是小編精心整理的Linux系統(tǒng)安全的九個(gè)關(guān)鍵點(diǎn),希望對(duì)大家有所幫助。
Linux系統(tǒng)安全的九個(gè)關(guān)鍵點(diǎn)
1.使用SELinux
SELinux是用來(lái)對(duì)Linux的進(jìn)行安全加固的,有了它,用戶和管理員們就可以對(duì)訪問(wèn)控制進(jìn)行更多控制。SELinux為訪問(wèn)控制添加了更細(xì)的顆粒度控制。與僅可以指定誰(shuí)可以讀、寫(xiě)或執(zhí)行一個(gè)文件的權(quán)限不同的是,SELinux可以讓你指定誰(shuí)可以刪除鏈接、只能追加、移動(dòng)一個(gè)文件之類的更多控制。(LCTT譯注:雖然NSA也給SELinux貢獻(xiàn)過(guò)很多代碼,但是目前尚無(wú)證據(jù)證明 SELinux有潛在后門)
2.訂閱漏洞警報(bào)服務(wù)
安全缺陷不一定是在你的操作系統(tǒng)上。事實(shí)上,漏洞多見(jiàn)于安裝的應(yīng)用程序之中。為了避免這個(gè)問(wèn)題的發(fā)生,你必須保持你的應(yīng)用程序更新到最新版本。此外,訂閱漏洞警報(bào)服務(wù),如SecurityFocus。
3.禁用不用的服務(wù)和應(yīng)用
通常來(lái)講,用戶大多數(shù)時(shí)候都用不到他們系統(tǒng)上的服務(wù)和應(yīng)用的一半。然而,這些服務(wù)和應(yīng)用還是會(huì)運(yùn)行,這會(huì)招來(lái)攻擊者。因而,最好是把這些不用的服務(wù)停掉。(LCTT譯注:或者干脆不安裝那些用不到的服務(wù),這樣根本就不用關(guān)注它們是否有安全漏洞和該升級(jí)了。)
4.檢查系統(tǒng)日志
你的系統(tǒng)日志告訴你在系統(tǒng)上發(fā)生了什么活動(dòng),包括攻擊者是否成功進(jìn)入或試著訪問(wèn)系統(tǒng)。時(shí)刻保持警惕,這是你第一條防線,而經(jīng)常性地監(jiān)控系統(tǒng)日志就是為了守好這道防線。
5.考慮使用端口試探
設(shè)置端口試探(Port knocking)是建立服務(wù)器安全連接的好方法。一般做法是發(fā)生特定的包給服務(wù)器,以觸發(fā)服務(wù)器的回應(yīng)/連接(打開(kāi)防火墻)。端口敲門對(duì)于那些有開(kāi)放端口的系統(tǒng)是一個(gè)很好的防護(hù)措施。
6.使用Iptables
Iptables是什么?這是一個(gè)應(yīng)用框架,它允許用戶自己為系統(tǒng)建立一個(gè)強(qiáng)大的防火墻。因此,要提升安全防護(hù)能力,就要學(xué)習(xí)怎樣一個(gè)好的防火墻以及怎樣使用Iptables框架。
7.默認(rèn)拒絕所有
防火墻有兩種思路:一個(gè)是允許每一點(diǎn)通信,另一個(gè)是拒絕所有訪問(wèn),提示你是否許可。第二種更好一些。你應(yīng)該只允許那些重要的通信進(jìn)入。(LCTT譯注:即默認(rèn)許可策略和默認(rèn)禁止策略,前者你需要指定哪些應(yīng)該禁止,除此之外統(tǒng)統(tǒng)放行;后者你需要指定哪些可以放行,除此之外全部禁止。)
8.使用入侵檢測(cè)系統(tǒng)
入侵檢測(cè)系統(tǒng),或者叫IDS,允許你更好地管理系統(tǒng)上的通信和受到的攻擊。Snort是目前公認(rèn)的Linux上的最好的IDS。
9.使用全盤加密
加密的數(shù)據(jù)更難竊取,有時(shí)候根本不可能被竊取,這就是你應(yīng)該對(duì)整個(gè)驅(qū)動(dòng)器加密的原因。采用這種方式后,如果有某個(gè)人進(jìn)入到你的系統(tǒng),那么他看到這些加密的數(shù)據(jù)后,就有得頭痛了。根據(jù)一些報(bào)告,大多數(shù)數(shù)據(jù)丟失源于機(jī)器被盜。
Linux操作系統(tǒng)的安全模塊要點(diǎn)分析
可采用以下措施進(jìn)行預(yù)防:
(1)刪除所有的特殊賬戶,包括lp、shutdown、halt、news、uucp、operator、games、gopher 等。
可參考以下命令:
[root@redhatroot]# userdel lp
[root@redhat root]# groupdel lp
(2)修改默認(rèn)root 密碼長(zhǎng)度。默認(rèn)root 密碼長(zhǎng)度是5 位,建議修改為8 位。
編輯/etc/login.defs, 把 PASS_MIN_LEN 5 修改為PASS_MIN_LEN 8.
(3)打開(kāi)密碼shadow 支持功能,利用md5 算法加密為shadow 文件添加不可更改屬性。
具體命令為:
[root@redhat root]# chattr +i /etc/shadow
(4)取消所有不需要的服務(wù),如Telnet、HTTP 等默認(rèn)啟動(dòng)的服務(wù)。關(guān)閉Telnet,編輯/etc/xinetd.d/telnet,修改disable = no 為disable = yes,更改/etc/xinetd.conf 的權(quán)限為600,只允許root 來(lái)讀寫(xiě)該文件。
具體命令為:
[root@redhat root]# chmod 600 /etc/
xinetd.conf
(5)屏蔽系統(tǒng)登錄信息,包括Linux 發(fā)行版、內(nèi)核版本名和服務(wù)器主機(jī)名等。
具體命令為:
[root@redhat root]# rm /etc/issue
[root@redhat root]# rm /etc/issue.net
(6)禁止按Ctrl+Alt+Del 鍵關(guān)閉系統(tǒng)。
編輯/etc/inittab,將:
ca::ctrlaltdel:/sbin/shutdown-t3 -rnow
改為:
#ca::ctrlaltdel:/sbin/shutdown-t3-rnow
(7)不允許root 從不同的控制臺(tái)進(jìn)行登錄。
編輯/etc/securetty,在不需要登錄的TTY設(shè)備前添加#,禁止從TTY 設(shè)備進(jìn)行root 登錄。
(8)使用SSH 進(jìn)行遠(yuǎn)程連接。通過(guò)SSH 客戶端軟件連接Linux,在Linux 下利用以下命令連接其他Linux:
[root@redhat root]# ssh -l root
192.168.2.180
(9)禁止隨意通過(guò)su 命令將普通用戶變?yōu)閞oot 用戶。編輯/etc/pam.d/su,加入以下內(nèi)容:
auth sufficient /lib/security/pam_
rootok.so debug
auth required /lib/security/pam_
wheel.so group=wheel
wheel 為系統(tǒng)中隱含的組,只有wheel 組的成員才能用su 命令成為root.
(10)配置防火墻,并隨時(shí)關(guān)注Linux 網(wǎng)站上內(nèi)核更新,保持最新的系統(tǒng)內(nèi)核。
【Linux系統(tǒng)安全的九個(gè)關(guān)鍵點(diǎn)】相關(guān)文章:
Linux認(rèn)證考試必考知識(shí)點(diǎn)06-07
OA系統(tǒng)選型的關(guān)鍵點(diǎn)06-21
營(yíng)銷管理必須做好的關(guān)鍵點(diǎn)12-26
街景設(shè)計(jì)的七個(gè)關(guān)鍵點(diǎn)06-05
網(wǎng)店客戶服務(wù)成功的關(guān)鍵點(diǎn)12-28