- 浏览: 436168 次
- 性别:
- 来自: 北京
文章分类
最新评论
-
adaylee:
貌似好久没上了
用iptables 实现本地端口转发 -
adaylee:
鲫鱼?哈哈,居然Google到你了
用iptables 实现本地端口转发 -
yflxc:
com.sun.jimi.core.raster.JimiRa ...
java对图片进行等比例缩放 -
bo_hai:
等比例压缩的算法是不是可以改进呢?
java对图片进行等比例缩放 -
Mr.TianShu:
http://www.cppblog.com/deercode ...
java 遍历目录下的文件
Linux不论在功能上、价格上或性能上都有很多优点,然而,作为开放式操作系统,它不可避免地存在一些安全隐患。关于如何解决这些隐患,为应用提供一个安全的操作平台,本文会告诉你一些最基本、最常用,同时也是最有效的招数。
Linux是一种类Unix的操作系统。从理论上讲,Unix本身的设计并没有什么重大的安全缺陷。多年来,绝大多数在Unix操作系统上发现的安全问题主要存在于个别程序中,所以大部分Unix厂商都声称有能力解决这些问题,提供安全的Unix操作系统。但Linux有些不同,因为它不属于某一家厂商,没有厂商宣称对它提供安全保证,因此用户只有自己解决安全问题。
Linux是一个开放式系统,可以在网络上找到许多现成的程序和工具,这既方便了用户,也方便了黑客,因为他们也能很容易地找到程序和工具来潜入Linux系统,或者盗取Linux系统上的重要信息。不过,只要我们仔细地设定Linux的各种系统功能,并且加上必要的安全措施,就能让黑客们无机可乘。
一般来说,对Linux系统的安全设定包括取消不必要的服务、限制远程存取、隐藏重要资料、修补安全漏洞、采用安全工具以及经常性的安全检查等。本文教你十种提高Linux系统安全性的招数。虽然招数不大,但招招奏效,你不妨一试。
第1招:取消不必要的服务
早期的Unix版本中,每一个不同的网络服务都有一个服务程序在后台运行,后来的版本用统一的/etc/inetd服务器程序担此重任。Inetd是Internetdaemon的缩写,它同时监视多个网络端口,一旦接收到外界传来的连接信息,就执行相应的TCP或UDP网络服务。
由于受inetd的统一指挥,因此Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检查/etc/inetd.conf文件,在不要的服务前加上"#"号。
一般来说,除了http、smtp、telnet和ftp之外,其他服务都应该取消,诸如简单文件传输协议tftp、网络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和time等。
还有一些报告系统状态的服务,如finger、efinger、systat和netstat等,虽然对系统查错和寻找用户非常有用,但也给黑客提供了方便之门。例如,黑客可以利用finger服务查找用户的电话、使用目录以及其他重要信息。因此,很多Linux系统将这些服务全部取消或部分取消,以增强系统的安全性。
Inetd除了利用/etc/inetd.conf设置系统服务项之外,还利用/etc/services文件查找各项服务所使用的端口。因此,用户必须仔细检查该文件中各端口的设定,以免有安全上的漏洞。
在Linux中有两种不同的服务型态:一种是仅在有需要时才执行的服务,如finger服务;另一种是一直在执行的永不停顿的服务。这类服务在系统启动时就开始执行,因此不能靠修改inetd来停止其服务,而只能从修改/etc/rc.d/rc[n].d/文件或用Runleveleditor去修改它。提供文件服务的NFS服务器和提供NNTP新闻服务的news都属于这类服务,如果没有必要,最好取消这些服务。
第2招:限制系统的出入
在进入Linux系统之前,所有用户都需要登录,也就是说,用户需要输入用户账号和密码,只有它们通过系统验证之后,用户才能进入系统。
与其他Unix操作系统一样,Linux一般将密码加密之后,存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件,虽然文件中保存的密码已经经过加密,但仍然不太安全。因为一般的用户可以利用现成的密码破译工具,以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow,只允许有特殊权限的用户阅读该文件。
在Linux系统中,如果要采用影子文件,必须将所有的公用程序重新编译,才能支持影子文件。这种方法比较麻烦,比较简便的方法是采用插入式验证模块(PAM)。很多Linux系统都带有Linux的工具程序PAM,它是一种身份验证机制,可以用来动态地改变身份验证的方法和要求,而不要求重新编译其他公用程序。这是因为PAM采用封闭包的方式,将所有与身份验证有关的逻辑全部隐藏在模块内,因此它是采用影子档案的最佳帮手。
此外,PAM还有很多安全功能:它可以将传统的DES加密方法改写为其他功能更强的加密方法,以确保用户密码不会轻易地遭人破译;它可以设定每个用户使用电脑资源的上限;它甚至可以设定用户的上机时间和地点。
Linux系统管理人员只需花费几小时去安装和设定PAM,就能大大提高Linux系统的安全性,把很多攻击阻挡在系统之外。
第3招:保持最新的系统核心
由于Linux流通渠道很多,而且经常有更新的程序和系统补丁出现,因此,为了加强系统安全,一定要经常更新系统内核。
Kernel是Linux操作系统的核心,它常驻内存,用于加载操作系统的其他部分,并实现操作系统的基本功能。由于Kernel控制计算机和网络的各种功能,因此,它的安全性对整个系统安全至关重要。
早期的Kernel版本存在许多众所周知的安全漏洞,而且也不太稳定,只有2.0.x以上的版本才比较稳定和安全,新版本的运行效率也有很大改观。在设定Kernel的功能时,只选择必要的功能,千万不要所有功能照单全收,否则会使Kernel变得很大,既占用系统资源,也给黑客留下可乘之机。
在Internet上常常有最新的安全修补程序,Linux系统管理员应该消息灵通,经常光顾安全新闻组,查阅新的修补程序。
第4招:检查登录密码
设定登录密码是一项非常重要的安全措施,如果用户的密码设定不合适,就很容易被破译,尤其是拥有超级用户使用权限的用户,如果没有良好的密码,将给系统造成很大的安全漏洞。
在多用户系统中,如果强迫每个用户选择不易猜出的密码,将大大提高系统的安全性。但如果passwd程序无法强迫每个上机用户使用恰当的密码,要确保密码的安全度,就只能依靠密码破解程序了。
实际上,密码破解程序是黑客工具箱中的一种工具,它将常用的密码或者是英文字典中所有可能用来作密码的字都用程序加密成密码字,然后将其与Linux系统的/etc/passwd密码文件或/etc/shadow影子文件相比较,如果发现有吻合的密码,就可以求得明码了。
在网络上可以找到很多密码破解程序,比较有名的程序是crack。用户可以自己先执行密码破解程序,找出容易被黑客破解的密码,先行改正总比被黑客破解要有利。
第5招:设定用户账号的安全等级
除密码之外,用户账号也有安全等级,这是因为在Linux上每个账号可以被赋予不同的权限,因此在建立一个新用户ID时,系统管理员应该根据需要赋予该账号不同的权限,并且归并到不同的用户组中。
在Linux系统上的tcpd中,可以设定允许上机和不允许上机人员的名单。其中,允许上机人员名单在/etc/hosts.allow中设置,不允许上机人员名单在/etc/hosts.deny中设置。设置完成之后,需要重新启动inetd程序才会生效。此外,Linux将自动把允许进入或不允许进入的结果记录到/rar/log/secure文件中,系统管理员可以据此查出可疑的进入记录。
每个账号ID应该有专人负责。在企业中,如果负责某个ID的职员离职,管理员应立即从系统中删除该账号。很多入侵事件都是借用了那些很久不用的账号。
在用户账号之中,黑客最喜欢具有root权限的账号,这种超级用户有权修改或删除各种系统设置,可以在系统中畅行无阻。因此,在给任何账号赋予root权限之前,都必须仔细考虑。
Linux系统中的/etc/securetty文件包含了一组能够以root账号登录的终端机名称。例如,在RedHatLinux系统中,该文件的初始值仅允许本地虚拟控制台(rtys)以root权限登录,而不允许远程用户以root权限登录。最好不要修改该文件,如果一定要从远程登录为root权限,最好是先以普通账号登录,然后利用su命令升级为超级用户。
第6招:消除黑客犯罪的温床
在Unix系统中,有一系列r字头的公用程序,它们是黑客用以入侵的武器,非常危险,因此绝对不要将root账号开放给这些公用程序。由于这些公用程序都是用.rhosts文件或者hosts.equiv文件核准进入的,因此一定要确保root账号不包括在这些文件之内。
由于r字头指令是黑客们的温床,因此很多安全工具都是针对这一安全漏洞而设计的。例如,PAM工具就可以用来将r字头公用程序的功力废掉,它在/etc/pam.d/rlogin文件中加上登录必须先核准的指令,使整个系统的用户都不能使用自己home目录下的.rhosts文件。
第7招:增强安全防护工具
SSH是安全套接层的简称,它是可以安全地用来取代rlogin、rsh和rcp等公用程序的一套程序组。SSH采用公开密钥技术对网络上两台主机之间的通信信息加密,并且用其密钥充当身份验证的工具。
由于SSH将网络上的信息加密,因此它可以用来安全地登录到远程主机上,并且在两台主机之间安全地传送信息。实际上,SSH不仅可以保障Linux主机之间的安全通信,Windows用户也可以通过SSH安全地连接到Linux服务器上。
第8招:限制超级用户的权力
我们在前面提到,root是Linux保护的重点,由于它权力无限,因此最好不要轻易将超级用户授权出去。但是,有些程序的安装和维护工作必须要求有超级用户的权限,在这种情况下,可以利用其他工具让这类用户有部分超级用户的权限。Sudo就是这样的工具。
Sudo程序允许一般用户经过组态设定后,以用户自己的密码再登录一次,取得超级用户的权限,但只能执行有限的几个指令。例如,应用sudo后,可以让管理磁带备份的管理人员每天按时登录到系统中,取得超级用户权限去执行文档备份工作,但却没有特权去作其他只有超级用户才能作的工作。
Sudo不但限制了用户的权限,而且还将每次使用sudo所执行的指令记录下来,不管该指令的执行是成功还是失败。在大型企业中,有时候有许多人同时管理Linux系统的各个不同部分,每个管理人员都有用sudo授权给某些用户超级用户权限的能力,从sudo的日志中,可以追踪到谁做耸裁匆约案亩讼低车哪男┎糠帧?
值得注意的是,sudo并不能限制所有的用户行为,尤其是当某些简单的指令没有设置限定时,就有可能被黑客滥用。例如,一般用来显示文件内容的/etc/cat指令,如果有了超级用户的权限,黑客就可以用它修改或删除一些重要的文件。
第9招:追踪黑客的踪迹
当你仔细设定了各种与Linux相关的组态,并且安装了必要的安全防护工具之后,Linux操作系统的安全性的确大为提高,但是却并不能保证防止那些艺高人胆大的网络黑客的入侵。
在平时,网络管理人员要经常提高警惕,随时注意各种可疑状况,并且按时检查各种系统日志文件,包括一般信息日志、网络连接日志、文件传输日志以及用户登录日志等。在检查这些日志时,要注意是否有不合常理的时间记载。例如:
·正常用户在半夜三更登录;
·不正常的日志记录,比如日志只记录了一半就切断了,或者整个日志文件被删除了;
·用户从陌生的网址进入系统;
·因密码错误或用户账号错误被摈弃在外的日志记录,尤其是那些一再连续尝试进入失败,但却有一定模式的试错法;
·非法使用或不正当使用超级用户权限su的指令;
·重新开机或重新启动各项服务的记录。
第10招:共同防御,确保安全
发表评论
-
用iptables 实现本地端口转发
2010-07-14 14:54 52707场景 假如你在用 resin 调试一个 Web 程 ... -
ssh自动断开解决办法
2010-07-10 11:56 3425用putty/SecureCRT连续3分钟左右没有输入, 就自 ... -
简单使用ssh密钥认证
2010-07-09 20:52 7668A机器(ssh连接发起端,即客户端): 添加一个测试用 ... -
ntpd no server suitable for synchronization found
2010-06-29 10:15 9001当用ntpdate -d 来查询时 ... -
ulimit
2010-06-23 09:49 3173ulimit 用于限制 shell 启动进程所占用的资源,支持 ... -
iptables中DNAT与SNAT的理解
2009-10-16 15:16 1448DNAT(Destination Network Addres ... -
jsvc 设置tomcat自启动
2009-08-19 20:00 2558一. 环境1.操作系统: Suse Linux 102.j ... -
查看系统信息
2009-07-31 09:56 956系统 # more /proc/cpuinf ... -
tomcat 自动启动
2009-05-06 22:49 1002如配置tomcat为Linux启动服务 1:编写启动服务的文 ... -
lsof
2009-04-27 16:56 1276一般root用户才能执行lsof命令,普通用户可以看见/usr ... -
Ubuntu使用技巧
2009-04-27 15:52 2000查看软件xxx安装内容 dpkg -L xxx ... -
linux 时区设置
2009-04-26 12:59 2840Local vs. UTC首先重要的问题是你使用utc还是lo ... -
Linux系统信息查看命令大全
2009-04-26 11:57 1243# uname -a # 查看内核/操作系统/CPU信息# h ... -
linux后台进程管理
2008-12-24 20:11 6563原文地址 http://blog.china ... -
Linux下两种自动启动Tomcat的方法
2008-12-08 00:07 1912很多办法可以让Tomcat在系统启动的时候自动运行,我这里介绍 ... -
windows与linux本地用户提权
2008-12-07 00:10 2208无论是Windows系统还是Linux系统都是基于权限控制的, ... -
linux系统安全设置
2008-12-05 22:25 991如今许多中小用户因业务发展,不断更新或升级网络,从而造成自身用 ... -
linux 文件和目录的权限
2008-11-27 14:33 2175在所属普通帐号user的文件夹中, 删除了文件所属为root的 ... -
linux下date命令详解
2008-11-25 19:05 4308名称 : date 使用权限 : 所有使用者使用方式 : da ... -
sudo说明及使用
2008-10-31 16:01 2471“Sudo” 是Unix/Linux平台上的一个非常有用的工具 ...
相关推荐
Linux不论在功能上、价格上或性能上都有很多优点,然而,作为开放式操作系统,它不可避免地存在一些安全隐患。关于如何解决这些隐患,为应用提供一个安全的操作平台,本文会告诉你一些最基本、最常用,同时也是最...
一般来说,对Linux系统的安全设定包括取消不必要的服务、限制远程存取、隐藏重要资料、修补安全漏洞、采用安全工具以及经常性的安全...本文教你十种提高Linux系统安全性的招数。虽然招数不大,但招招奏效,你不妨一试。
LINUX学习笔记--FTP服务器设置 Linux中文件查找技术大全 Linux中文件的压缩与解压缩 将Linux配置为代理防火墙用途 教你十种提高Linux系统安全性的招数 解析Linux操作系统文件目录 免费的Linux...
本文介绍了通过为LILO增加开机口令、设置口令最小长度和、用户超时注销、禁止访问重要文件等十种方法加强Linux平台下的安全性。
Linux 内核是操作系统的核心,它负责管理系统的进程、内存、设备驱动程序、文件和网络系统,决定着系统的性能和稳定性。Linux 内核的源代码是公开的,所有的内核源程序都可以在 /usr/src/linux 下找到,大部分应用...
标题中的“用U盘为Win7系统加速运行 提速新招数”指的是Windows 7操作系统的一个功能,即ReadyBoost,它允许用户通过连接USB闪存驱动器(U盘)来提高系统的性能,尤其是对于那些内存较小或者配置较旧的电脑来说。...
【审计师的四大招数详解】 审计师在IT行业中扮演着至关重要的角色,尤其是在确保企业财务信息...同时,随着技术的发展,审计方法也在不断更新,如利用数据分析工具和人工智能进行智能化审计,以提高审计效率和准确性。
### MySQL 提权四大技巧详解 在安全领域,MySQL 提权技术是渗透测试人员常用的一种手段,通过对 MySQL 数据库服务器的漏洞利用,实现从...因此,在合法合规的前提下,仅将这些知识用于提高系统的安全性是非常重要的。
《分数裂变与求和的常用招数》的学习教案主要涵盖了数学中的几个核心概念,特别是与分数运算和求和相关的技巧。以下是对这些招数的详细解析: 首先,平方差公式是基本的代数恒等式之一,表示为 `(a+b)(a-b)=a^2-b^2...
高招季来临:诈骗招数套路多,这些招数要当心!.docx
街头霸王十二人街霸全人物招数战术详解 街头霸王是街头霸王系列...在本文档中,我们详细介绍了街头霸王十二人街霸全人物招数战术的详解,希望能够帮助玩家更好地理解每个街霸的特点和使用方法,并提高自己的游戏技巧。
【住宅“偷面积”招数】是房地产行业中一种巧妙的产品创新策略,主要目的是在符合法规的前提下,通过设计手法增加住宅的实际使用面积,从而提高房屋的吸引力和价值。这种做法源于深圳,得益于当地开发商的创新精神,...
【房展会促销招数设计】是企业在房地产行业中提升销售、增加曝光度的一种策略集合。房展会作为企业展示项目和品牌形象的重要平台,通过精心设计的促销活动可以吸引更多潜在客户的关注,从而促进楼盘销售。以下是一些...
【电脑文件整理招数】 在日常的软件开发工作中...记得定期更新和优化你的文件管理系统,以适应不断变化的工作需求。同时,确保备份重要文件,避免数据丢失。通过以上方法,即使是懒人也能轻松实现电脑文件的高效管理。
通过【小班科学活动 凉快招数】,幼儿园的小朋友们不仅能学会如何在炎热的夏季保持凉爽,更重要的是,他们学会了一种探究世界、学习新知识的方式。在孩子们幼小的心灵里种下了科学的种子,这将对他们未来的学习和...
U 盘防止病毒的几个招数 根据提供的文件内容,我们可以总结出以下几个与 U 盘防止病毒相关的知识点: 1. 防止 U 盘病毒感染的重要步骤:升级杀毒软件病毒库,重新启动并按 F8 键,进入安全模式下全面杀毒。在杀毒...
在《薪酬常见问题及破解招数》中,主讲人赵德义探讨了薪酬管理面临的挑战以及如何构建科学规范的薪酬体系。薪酬不仅包括经济报酬,如基本工资、奖金和福利,还包括非经济报酬,如职业发展机会和工作环境。 【薪酬...
【应急防灾机制的重要性】 应急防灾机制是各国在面对自然灾害和人为灾害时的重要防线,旨在保护人民的生命安全和财产。随着人类社会的发展,环境变化加剧,灾害的频率和规模也在不断增加,因此建立有效的应急防灾...
在职场中,成为明星员工并非易事,但通过一系列策略和自我提升,你可以显著提高自己的价值并获得认可。以下是对“成为明星员工的十大招数”的详细解析: 1. 展现高绩效与高生产力:持续关注工作成果,确保全身心...