Linux禦敵策略談 由於Linux作業系統是一個開放源代碼的免費系統，因此越來越受到用戶的歡迎。隨著Linux在我國的不斷普及，有關的政府部門更是將基於Linux開發具有自主版權的作業系統提高到保衛國家資訊安全的高度來看待，因此我們不難預測；Linux在我國將得到更快更大的發展。而對於?多習慣了Unix和Windows NT的系統管理員來講，如何保證Linux作業系統的安全將面臨許多新的挑戰。 苦修內功 第一步:安裝文件系統要分區 在Linux系統中，如果分別?不同的應用安裝單獨的主分區，再將關鍵的分區設置?唯讀，將大大提高文件系統的安全性。 1.文件分區 Linux的文件系統可以分成幾個主要的分區，一般情況下至少要建立/、/usr/local、/var和/home等幾個分區。其中/usr可以安裝成唯讀並且可以被認?是不可修改的，如果/usr中有任何文件發生了改變，那?系統將立即發出安全報警。/lib、/boot和/sbin的安裝和設置也一樣。在安裝時應該儘量將它們設置?唯讀，這樣 對它們的文件、目錄和屬性進行的任何修改都會導致系統報警。 當然將所有主要的分區都設置?唯讀是不可能的,有的分區如/var，其自身的性質就決定了不能將它設置?唯讀，但應該不允許它具有執行許可權。 2.擴展ext2 使用ext2文件系統上的只添加和不可變這兩種文件屬性,可以進一步提高文件系統的安全級別。一個標記?不可變的文件不能被修改，甚至不能被根用戶修改。一個標記?只添加的文件可以被修改，但只能在它的後面添加內容，即使根用戶也只能如此。 如果你關鍵的文件系統安裝成唯讀的，並且文件被標記?不可變的，入侵者必須重新安裝系統才能刪除這些不可變的文件，但這會立刻?生報警，這樣就大大減少了被非法入侵的危險。 3.保護log文件 當與log文件和log備份一起使用時，不可變和只添加這兩種文件屬性特別有用。系統管理員應該將活動的log文件屬性設置?只添加。當log文件被更新時，新?生的log備份檔案屬性應該設置成不可變的，而新的活動的文件屬性又變成了只添加。這通常需要在log更新腳本中添加一些控制命令。 第二步：系統一定要備份 在完成Linux系統的安裝以後應該對整個系統進行備份，以後可以根據這個備份來驗證系統的完整性，這樣就可以發現系統文件是否被非法竄改過。如果發現系統文件已經被破壞，也可以使用備份來恢復系統。 1.用CD-ROM備份 當前最好的系統備份介質就是CD-ROM光碟，如果對安全級別的要求特別高，那?可以將光碟設置?可?動的,並且將驗證工作作?系統?動過程的一部分。這樣只要通過光碟?動，就說明系統尚未被破壞過。 如果你創建了一個唯讀的分區，那?可以定期從光碟映射重新裝載它們。即使像/boot、/lib和/sbin這樣不能被安裝成唯讀的分區，你仍然可以根據光碟映射來檢查它們，甚至可以在?動時從另一個安全的映射重新下載它們。 2.其他方式的備份 雖然/etc中的許多文件經常會變化，但/etc中的許多內容仍然可以放到光碟上用於系統完整性驗證。其他不經常進行修改的文件，可以備份到另一個系統（如磁帶）或壓縮到一個唯讀的目錄中。這種辦法可以在使用光碟映射進行驗證的基礎上,再進行額外的系統完整性檢查。 第三步：改進內部安全機制 通過改進Linux作業系統的內部功能,可以防止緩衝區溢出攻擊,這種破壞力極強卻又最難預防的攻擊方式，雖然這樣的改進需要系統管理員具有相當豐富的經驗和技巧，但對於安全級別要求高的Linux系統來講還是很有必要的。 1.Solaris Designer Solaris Designer?2.0版內核的安全Linux補丁提供了一個不可執行的棧,以減少緩衝區溢出的威脅，從而大大提高了整個系統的安全性。 緩衝區溢出預防起來十分困難，系統管理員必須完全去掉緩衝區溢出存在的條件,才能防止這種方式的攻擊。正因?如此，許多人甚至包括Linux Torvalds本人也認?這個安全Linux補丁十分重要，因?它防止了所有使用緩衝區溢出的攻擊。但是需要引起注意的是，這些補丁也會導致對執行棧的某些程式和庫的依賴問題，這些問題也給系統管理員帶來的新的挑戰。 2.StackGuard StackGuard是一個十分強大的安全補丁工具。你可以使用經StackGuard修補過的gcc版本來重新編譯和鏈結關鍵的應用。 StackGuard進行編譯時增加了棧檢查以防止發生棧攻擊緩衝區溢出，雖然這會導致系統的性能略有下降，但對於安全級別要求高的特定應用來講,StackGuard仍然是一個十分管用的工具。 3.增加新的訪問控制功能 Linux的2.3版內核正試圖在文件系統中實現一個訪問控制列表，這要求在原來的三類（Owner、Group和Other)訪問控制機制的基礎上再增加更詳細的訪問控制。 在2.2和2.3 版的Linux內核中還將開發新的訪問控制功能，它最終將會影響當前有關ext2文件屬性的一些問題。與傳統的具有ext2文件系統相比，它提供了一個更加精確的安全控制功能。有了這個新的特性，應用程式將能夠在不具有超級用戶許可權的情況下訪問某些系統資源，如初始套接等。 巧禦外敵 方法一：將入侵消滅在“萌芽” 入侵者進行攻擊之前最常做的就是端號掃瞄，如果能夠及時發現和阻止入侵者的這種行?，那?可以大大減少入侵事件的發生率。 Abacus Port Sentry是開放源代碼的工具包，它能夠監視網路介面，並且與防火牆交互操作來關閉埠掃瞄攻擊。 Abacus Port Sentry能夠檢測到慢掃瞄（Slow Scan），但它不能檢測到結構化攻擊（Structured Attack）,這兩種方式的最終目的都是要試圖掩蓋攻擊意圖。正確地使用這個軟體將能夠有效地防止對IMAP服務大量的並行掃瞄,並且阻止所有這樣的入侵者。Abacus Sentry與Linux 2.2內核的IPChains工具一起使用時最有效，它 能夠自動將所有的埠掃瞄行?定向到Port Sentry。 當然更好的辦法就是使用專門的入侵檢測系統，但這樣的?品一般價格較高，普通用戶承受起來有困難。 方法二：登錄伺服器“單一化” 將系統的登錄伺服器移到一個單獨的機器中會增加系統的安全級別，在大的Linux網路中，最好使用一個單獨的登錄伺服器用於Syslog服務。更安全的登錄伺服器會大大削弱入侵者透過登錄系統竄改日誌文件的能力。 1.安全Syslog 即使使用單獨的登錄伺服器，Linux自身的Syslog工具也是相當不安全的。因此，有人開發了所謂的安全log伺服器，將密碼簽名集成到日誌中，這會確保入侵者即使在竄改系統日誌以後也無法做到不被發現。現在最常用於取代Syslog的安全log伺服器稱?“安全Syslog”，用戶可以從Core SDI站點http://www.core-sdi.com/ssylog處下載這個工具。這個守護程式實現一個稱?PEQ-1的密碼協定來實現對系統日誌的遠端審計。即使在入侵者獲得系統超級用戶許可權的情況下也仍然可以進行審計，因?協定保證了以前以及入侵過程中的log資訊沒有審計者的通知無法被修改。 2.第二代Syslog 另一個取代Syslog的工具是Syslogs-ng（下一代的Syslog）。它提供了密碼簽名來檢測對日誌文件的竄改。密碼安全登錄伺服器和遠端審計功能可以使入侵者極難進行日誌竄改並且很容易被檢測到。用戶可以從www.babit.hu/products/syslog-ng.html處下載這個工具。 方法三：單一登錄系統更安全 維護分散的大網路環境中的多個用戶賬號對於系統管理員來講是一件非常頭疼的事情。現在有一些單一的登錄（Sign On）系統不僅可以減輕管理員的負擔，而且同時還提高了安全級別。 1.NIS 網路資訊服務（NIS）是一個很好的單一登錄系統，它是在Sun公司的Yellow Page服務的基礎上發展起來的 ，它的基本安全特性不夠健壯。NIS的更新版本NIS ，對原NIS的不足進行了改進，現在已經有了用於Linux的NIS 版本。 2.Kerberos Kerberos也是一種非常有名的單一登錄系統。Kerberos V4存在一些安全漏洞，Ketberos V5對此進行了改進。 方法四：用陷阱和蜜罐誘敵深入 所謂陷阱就是啟動時能夠觸發報警事件的軟體，而蜜罐（honeypot）程式是指設計用來引誘有入侵企圖者觸發專門報警的陷阱程式。 通過設置陷阱和蜜罐程式，一旦出現入侵事件，系統就可以很快發出報警。 在許多大的網路中，一般都設計有專門的陷井程式。陷阱程式一般分?兩種：一種是只發現入侵者而不對其採取報復行動，另一種是同時採取報復行動。 設置蜜罐的一種常用方法是故意聲稱Linux系統使用了具有許多脆弱性的IMAP伺服器版本。當入侵者對這些IMAP伺服器進行大容量埠掃瞄，就會落入陷阱並且激發系統報警。 另一個蜜罐陷阱的例子就是很有名的phf，它是一個非常脆弱的Webcgi-bin腳本。最初的phf是設計來查找電話號碼的，但它有一個嚴重的安全漏洞：允許入侵者使用它來獲得系統口令文件或執行其他惡意操作。系統管理員可以設置一個假的phf腳本，但是它不是將系統的口令文件發送給入侵者，而是向入侵者返回一些假資訊並且同時向系統管理員發出報警。 另外一類蜜罐陷阱程式可以通過在防火牆中將入侵者的IP地址設置?黑名單來立即拒絕入侵者繼續進行訪問。拒絕不友好的訪問既可以是短期的，也可以是長期的。Linux內核中的防火牆代碼非常適合於這樣做。

------
**********************************************************
哈哈&兵燹
最會的2大絕招 這個不會與那個也不會 哈哈哈 粉好

Delphi K.Top的K.Top分兩個字解釋Top代表尖端的意思,希望本討論區能提供Delphi的尖端新知
K.表Knowlege 知識,就是本站的標語:Open our mind