ITPub博客

首页 > Linux操作系统 > Linux操作系统 > Linux网络安全经验谈

Linux网络安全经验谈

原创 Linux操作系统 作者:tonywi888 时间:2007-11-16 14:58:26 0 删除 编辑
关于分区

  一个潜在的黑客如果要攻击你的 Linux 服务器,他首先就会尝试缓冲区溢出。在过去的几年中,以缓冲区溢出为类型的安全漏洞是最为常见的一种形式了。更为严重的是,缓冲区溢出漏洞占了远程网络攻击的绝大多数,这种攻击可以轻易使得一个匿名的 Internet 用户有机会获得一台主机的部分或全部的控制权 !

  为了防止此类攻击,我们从安装系统时就应该注意。如果用 root 分区纪录数据,如 log 文件和 email ,就可能因为拒绝服务产生大量日志或垃圾邮件,从而导致系统崩溃。所以建议为 /var 开辟单独的分区,用来存放日志和邮件,以避免 root 分区被溢出。最好为特殊的应用程序单独开一个分区,特别是可以产生大量日志的程序,还有建议为 /home 单独分一个区,这样他们就不能填满 / 分区了,从而就避免了部分针对 Linux 分区溢出的恶意攻击。

 关于 BIOS

  记着要在 BIOS 设置中设定一个 BIOS 密码,不接收软盘启动。这样可以阻止不怀好意的人用专门的启动盘启动你的 Linux 系统,并避免别人更改 BIOS 设置,如更改软盘启动设置或不弹出密码框直接启动服务器等等。

 关于口令

  口令是系统中认证用户的主要手段,系统安装时默认的口令最小长度通常为 5 ,但为保证口令不易被猜测攻击,可增加口令的最小长度,至少等于 8 。为此,需修改文件 /etc/login.defs 中参数 PASS _ MIN _LEN( 口令最小长度 ) 。同时应限制口令使用时间,保证定期更换口令,建议修改参数 PASS_MIN_DAYS( 口令使用时间 ) 。

 关于 Ping

  既然没有人能 ping 通你的机器并收到响应,你可以大大增强你的站点的安全性。你可以加下面的一行命令到 /etc/rc.d/rc.local ,以使每次启动后自动运行,这样就可以阻止你的系统响应任何从外部 / 内部来的 ping 请求。

echo 1 > / proc /sys/net/ipv4/icmp_echo_ignore_all

关于 Telnet

  如果你希望用户用 Telnet 远程登录到你的服务器时不要显示操作系统和版本信息 ( 可以避免有针对性的漏洞攻击 ) ,你应该改写 /etc/inetd.conf 中的一行象下面这样 :

telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h

  加 -h 标志在最后使得 telnet 后台不要显示系统信息,而仅仅显示 login 。

关于特权账号

  禁止所有默认的被操作系统本身启动的且不需要的帐号,当你第一次装上系统时就应该做此检查, Linux 提供了各种帐号,你可能不需要,如果你不需要这个帐号,就移走它,你有的帐号越多,就越容易受到攻击。

  为删除你系统上的用户,用下面的命令 :userdel username

  为删除你系统上的组用户帐号,用下面的命令 :groupdel username

  在终端上打入下面的命令删掉下面的特权用账号 :

userdel adm

userdel lp

userdel sync

userdel shutdown

userdel halt

userdel mail

  如果你不用 sendmail 服务器,就删除这几个帐号 :

userdel news

userdel uucp

userdel operator

userdel games

  如果你不用 X windows 服务器,就删掉这个帐号。

userdel gopher

 如果你不允许匿名 FTP ,就删掉这个用户帐号 :

userdel ftp

  关于 su 命令

  如果你不想任何人能够 su 为 root 的话 , 你应该编辑 /etc/pam.d/su 文件,加下面几行 :

auth sufficient /lib-

/security/pam_rootok-

.so debug

auth required /lib-

/security/pam_wheel-

.so group=isd

  这意味着仅仅 isd 组的用户可以 su 作为 root 。如果你希望用户 admin 能 su 作为 root. 就运行下面的命令 :

usermod -G10 admin

suid 程序也是非常危险的,这些程序被普通用户以 euid=0( 即 root) 的身份执行,只能有少量程序被设置为 suid 。用这个命令列出系统的 suid 二进制程序 :

suneagle# find / -perm -4000 -print

  你可以用 chmod -s 去掉一些不需要程序的 suid 位。

  关于账户注销

  如果系统管理员在离开系统时忘了从 root 注销,系统应该能够自动从 shell 中注销。那么,你就需要设置一个特殊的 Linux 变量 “tmout” ,用以设定时间。同样,如果用户离开机器时忘记了注销账户,则可能给系统安全带来隐患。你可以修改 /etc/profile 文件,保证账户在一段时间没有操作后,自动从系统注销。 编辑文件 /etc/profile ,在 “histfilesize=” 行的下一行增加如下一行 :

tmout=600

  则所有用户将在 10 分钟无操作后自动注销。注意 : 修改了该参数后,必须退出并重新登录 root ,更改才能生效。

关于系统文件

  对于系统中的某些关键性文件如 passwd 、 passwd.old 、 passwd._ 、 shadow 、 shadown._ 、 inetd.conf 、 services 和 lilo.conf 等可修改其属性,防止意外修改和被普通用户查看。如将 inetd 文件属性改为 600:

# chmod 600 /etc/inetd.conf

  这样就保证文件的属主为 root ,然后还可以将其设置为不能改变 :

# chattr +i /etc/inetd.conf

  这样,对该文件的任何改变都将被禁止。 你可能要问 : 那我自己不是也不能修改了 ? 当然,我们可以设置成只有 root 重新设置复位标志后才能进行修改 :

# chattr -i /etc/inetd.conf

关于用户资源

  对你的系统上所有的用户设置资源限制可以防止 DoS 类型攻击,如最大进程数,内存数量等。例如,对所有用户的限制, 编辑 /etc/security/limits.con 加入以下几行 :

* hard core 0

* hard rss 5000

* hard nproc 20

  你也必须编辑 /etc/pam.d/login 文件,检查这一行的存在 :

session required /lib/security/pam_limits.so

  上面的命令禁止 core files“core 0” ,限制进程数为 “nproc 50“ ,且限制内存使用为 5M“rss 5000” 。

关于 NFS 服务器

  由于 NFS 服务器漏洞比较多,你一定要小心。如果要使用 NFS 网络文件系统服务,那么确保你的 /etc/exports 具有最严格的存取权限设置,不意味着不要使用任何通配符,不允许 root 写权限, mount 成只读文件系统。你可以编辑文件 /etc/exports 并且加 :

/dir/to/export host1.mydomain.com(ro,root_squash)

/dir/to/export host2.mydomain.com(ro,root_squash)

  其中 /dir/to/export 是你想输出的目录, host.mydomain.com 是登录这个目录的机器名, ro 意味着 mount 成只读系统, root_squash 禁止 root 写入该目录。最后为了让上面的改变生效,还要运行 /usr/sbin/exportfs -a

 如果你不允许匿名 FTP ,就删掉这个用户帐号 :

userdel ftp

  关于 su 命令

  如果你不想任何人能够 su 为 root 的话 , 你应该编辑 /etc/pam.d/su 文件,加下面几行 :

auth sufficient /lib-

/security/pam_rootok-

.so debug

auth required /lib-

/security/pam_wheel-

.so group=isd

  这意味着仅仅 isd 组的用户可以 su 作为 root 。如果你希望用户 admin 能 su 作为 root. 就运行下面的命令 :

usermod -G10 admin

suid 程序也是非常危险的,这些程序被普通用户以 euid=0( 即 root) 的身份执行,只能有少量程序被设置为 suid 。用这个命令列出系统的 suid 二进制程序 :

suneagle# find / -perm -4000 -print

  你可以用 chmod -s 去掉一些不需要程序的 suid 位。

  关于账户注销

  如果系统管理员在离开系统时忘了从 root 注销,系统应该能够自动从 shell 中注销。那么,你就需要设置一个特殊的 Linux 变量 “tmout” ,用以设定时间。同样,如果用户离开机器时忘记了注销账户,则可能给系统安全带来隐患。你可以修改 /etc/profile 文件,保证账户在一段时间没有操作后,自动从系统注销。 编辑文件 /etc/profile ,在 “histfilesize=” 行的下一行增加如下一行 :

tmout=600

  则所有用户将在 10 分钟无操作后自动注销。注意 : 修改了该参数后,必须退出并重新登录 root ,更改才能生效。

关于系统文件

  对于系统中的某些关键性文件如 passwd 、 passwd.old 、 passwd._ 、 shadow 、 shadown._ 、 inetd.conf 、 services 和 lilo.conf 等可修改其属性,防止意外修改和被普通用户查看。如将 inetd 文件属性改为 600:

# chmod 600 /etc/inetd.conf

  这样就保证文件的属主为 root ,然后还可以将其设置为不能改变 :

# chattr +i /etc/inetd.conf

  这样,对该文件的任何改变都将被禁止。 你可能要问 : 那我自己不是也不能修改了 ? 当然,我们可以设置成只有 root 重新设置复位标志后才能进行修改 :

# chattr -i /etc/inetd.conf

关于用户资源

  对你的系统上所有的用户设置资源限制可以防止 DoS 类型攻击,如最大进程数,内存数量等。例如,对所有用户的限制, 编辑 /etc/security/limits.con 加入以下几行 :

* hard core 0

* hard rss 5000

* hard nproc 20

  你也必须编辑 /etc/pam.d/login 文件,检查这一行的存在 :

session required /lib/security/pam_limits.so

  上面的命令禁止 core files“core 0” ,限制进程数为 “nproc 50“ ,且限制内存使用为 5M“rss 5000” 。

关于 NFS 服务器

  由于 NFS 服务器漏洞比较多,你一定要小心。如果要使用 NFS 网络文件系统服务,那么确保你的 /etc/exports 具有最严格的存取权限设置,不意味着不要使用任何通配符,不允许 root 写权限, mount 成只读文件系统。你可以编辑文件 /etc/exports 并且加 :

/dir/to/export host1.mydomain.com(ro,root_squash)

/dir/to/export host2.mydomain.com(ro,root_squash)

  其中 /dir/to/export 是你想输出的目录, host.mydomain.com 是登录这个目录的机器名, ro 意味着 mount 成只读系统, root_squash 禁止 root 写入该目录。最后为了让上面的改变生效,还要运行 /usr/sbin/exportfs -a

[@more@]

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/8570952/viewspace-982604/,如需转载,请注明出处,否则将追究法律责任。

上一篇: RPM 卸载
下一篇: Iptables 指南 1.1.19
请登录后发表评论 登录
全部评论

注册时间:2008-02-25

  • 博文量
    159
  • 访问量
    712751