UnixLinux系統(tǒng)的安全性概述

計算機(jī)網(wǎng)絡(luò)安全技術(shù)題目：Unix/linux系統(tǒng)的安全性概述班級: 09級達(dá)內(nèi)班組長朱彥文學(xué)號：09700308組員馮鑫學(xué)號：09700310組員劉新亮學(xué)號：09700309組員梁小文學(xué)號：09700312組員龔占銀學(xué)號：09700313組員高顯飛學(xué)號：09700304組員陶志遠(yuǎn)學(xué)號：09700305時間2011年6月目錄TOC\o"1-5"\h\z\o"CurrentDocument"1、 linux系統(tǒng)的介紹 1\o"CurrentDocument"2、 服務(wù)安全管理 1\o"CurrentDocument"2.1、 安全防護(hù)的主要內(nèi)容 1\o"CurrentDocument"3、 linux系統(tǒng)文件安全 1\o"CurrentDocument"3.1、 文件相關(guān)權(quán)限的設(shè)置 2\o"CurrentDocument"3.2、 SUID和SGID程序 2\o"CurrentDocument"4、 用戶訪問安全 2\o"CurrentDocument"4.1、 口令安全 2\o"CurrentDocument"4.2、 登錄安全 3\o"CurrentDocument"5、 防火墻、IP偽裝個代理服務(wù)器 4\o"CurrentDocument"5.1、什么是防火墻 4\o"CurrentDocument"5.2防火墻分類 4\o"CurrentDocument"6、 服務(wù)器被侵入后的處理 5\o"CurrentDocument"7、 日常安全注意事項 58、 參考文獻(xiàn) 6Unix/linux系統(tǒng)的安全性概述1、 linux系統(tǒng)的介紹Linux是一類Unix計算機(jī)操作系統(tǒng)的統(tǒng)稱。Linux操作系統(tǒng)的內(nèi)核的名字也是“Linux”。Linux操作系統(tǒng)也是自由軟件和開放源代碼發(fā)展中最著名的例子。嚴(yán)格來講，Linux這個詞本身只表示Linux內(nèi)核，但在實(shí)際上人們已經(jīng)習(xí)慣了用Linux來形容整個基于Linux內(nèi)核，并且使用GNU工程各種工具和數(shù)據(jù)庫的操作系統(tǒng)。Linux得名于計算機(jī)業(yè)余愛好者LinusTorvalds。Linux，其安全性漏洞已經(jīng)廣為流傳，黑客可以很容易地侵入。而網(wǎng)絡(luò)服務(wù)器往往儲存了大量的重要信息，或向大量用戶提供重要服務(wù)；一旦遭到破壞，后果不堪設(shè)想。所以，網(wǎng)站建設(shè)者更需要認(rèn)真對待有關(guān)安全方面的問題，以保證服務(wù)器的安全。2、 服務(wù)安全管理2.1、安全防護(hù)的主要內(nèi)容對于網(wǎng)站管理人員而言，日常性的服務(wù)器安全保護(hù)主要包括四方面內(nèi)容：文件存取合法性：任何黑客的入侵行為的手段和目的都可以認(rèn)為是非法存取文件，這些文件包括重要數(shù)據(jù)信息、主頁頁面HTML文件等。這是計算機(jī)安全最重要的問題，一般說來，未被授權(quán)使用的用戶進(jìn)入系統(tǒng)，都是為了獲取正當(dāng)途徑無法取得的資料或者進(jìn)行破壞活動。良好的口令管理（由系統(tǒng)管理員和用戶雙方配合），登錄活動記錄和報告，用戶和網(wǎng)絡(luò)活動的周期檢查都是防止未授權(quán)存取的關(guān)鍵。用戶密碼和用戶文件安全性：這也是計算機(jī)安全的一個重要問題，具體操作上就是防止已授權(quán)或未授權(quán)的用戶相互存取相互的重要信息。文件系統(tǒng)查帳、su登錄和報告、用戶意識、加密都是防止泄密的關(guān)鍵。防止用戶拒絕系統(tǒng)的管理：這一方面的安全應(yīng)由操作系統(tǒng)來完成。操作系統(tǒng)應(yīng)該有能力應(yīng)付任何試圖或可能對它產(chǎn)生破壞的用戶操作，比較典型的例子是一個系統(tǒng)不應(yīng)被一個有意使用過多資源的用戶損害（例如導(dǎo)致系統(tǒng)崩潰）。防止丟失系統(tǒng)的完整性：這一方面與一個好系統(tǒng)管理員的實(shí)際工作（例如定期地備份文件系統(tǒng)，系統(tǒng)崩潰后運(yùn)行fsck檢查、修復(fù)文件系統(tǒng)，當(dāng)有新用戶時，檢測該用戶是否可能使系統(tǒng)崩潰的軟件）和保持一個可靠的操作系統(tǒng)有關(guān)（即用戶不能經(jīng)常性地使系統(tǒng)崩潰）。3、linux系統(tǒng)文件安全Linux的文件系統(tǒng)是由文件和目錄構(gòu)成的樹形結(jié)構(gòu)，每個文件目錄記錄包括下面內(nèi)容（域）：?文件名-文件類型?文件大小?文件創(chuàng)建修改時間?文件所有者和所有組?文件相關(guān)權(quán)限任何一項內(nèi)容遭受未授權(quán)的修改，文件安全性都遭到破壞。保護(hù)文件系統(tǒng)的安全性，應(yīng)該從以下幾個方面入手。3.1、 文件相關(guān)權(quán)限的設(shè)置Linux的文件權(quán)限決定了用戶對該文件的操作能力和操作允許范圍。下面這一段是在某個Linux用戶目錄的文件列表（ls-1），注意，其中第一欄表示了文件權(quán)限。文件權(quán)限通過設(shè)置文件權(quán)限標(biāo)志位實(shí)現(xiàn)。標(biāo)志位由十位構(gòu)成。第一位是文件類型，一般文件該位為“-”，目錄該位為“d”（如上面的1、2、4、8行）。余下的九位三位一組，第二位到第四位依次為文件所有者對此文件的可讀、可寫、可執(zhí)行權(quán)利標(biāo)志位；第五到第七位分別為與該用戶同組的用戶對此文件的可讀、可寫、可執(zhí)行的權(quán)利標(biāo)志位：第八到第十位分別為其他用戶對此文件的可讀、可寫、可執(zhí)行的權(quán)利標(biāo)志位。比如：上面的第一個目錄中，“drwxrwxr-x”就表示這是一個目錄，文件所有者 （用戶bluo）可以對文件進(jìn)行任何操作（讀、寫、執(zhí)行），同組用戶可讀、寫、執(zhí)行，其他用戶可讀和執(zhí)行。而“-rw-r--r--”表示普通文件，文件所有者可讀、寫，其他用戶只可讀此文件。當(dāng)一些關(guān)鍵的系統(tǒng)文件的屬性被錯誤設(shè)置時，就會導(dǎo)致不可挽回的破壞。對文件屬性一定要非常小心，否則可能導(dǎo)致致命的安全漏洞。3.2、 SUID和SGID程序與文件有關(guān)的還有兩個附加權(quán)限位SUID和SGID。SUID是SetUserID（設(shè)置用戶標(biāo)識）的縮寫，SGID是SetGroupID（設(shè)置組標(biāo)識）的縮寫。帶有這種權(quán)限的程序運(yùn)行時就會帶來很大的安全性漏洞。因?yàn)楫?dāng)運(yùn)行一個SUID程序時，它的有效UID被設(shè)置為擁有該程序的用戶ID，而不管實(shí)際上是哪個用戶在運(yùn)行，SGID與此類似。所以雖然SUID程序是必需的，但應(yīng)該盡量減少使用機(jī)會，并且要盡最大努力保證此程序安全。作為管理員還應(yīng)該經(jīng)常使用find命令來瀏覽自己的文件系統(tǒng)以檢查新的SUID程序，詳細(xì)語法請參考文件權(quán)限章節(jié)中的相關(guān)內(nèi)容。4、用戶訪問安全4.1、口令安全每個Linux的用戶都擁有一個帳號，通過登錄到這個帳號才能有限制地使用系統(tǒng)。而保護(hù)自身的文件安全的惟一屏障就是口令，一旦這道屏障被突破，此用戶及整個系統(tǒng)的安全便無法得到保證。從安全角度看，口令最好是隨機(jī)產(chǎn)生的，并且不斷變換的。但實(shí)際上任何一個用戶都不愿意成天花費(fèi)時間去記憶剛剛更換過的口令，這是一對矛盾。所以用戶應(yīng)該做到盡可能保持頻繁的口令更換頻率，并且聰明地選擇自己的口令保證其安全。切忌選用與自己有關(guān)的一些數(shù)字、名詞、住址、配偶名稱、寵物名稱、電話號碼等，更不要選用字典中的詞匯作為口令。因?yàn)楫?dāng)今使用的很多破解口令程序都是通過一定的加密算法將字典中的詞匯一個一個與口令作比較，以期闖入系統(tǒng)。另外從概率角度講，口令位數(shù)每增加一位，被破解的可能性就會相差很多數(shù)量級，因此在系統(tǒng)允許的范圍內(nèi)盡可能長地設(shè)置自己的口令實(shí)為明智之舉。那么怎么選擇一個好口令呢？這里推薦三種常用方法：一是選擇一個自己比較熟悉的短語或者是諺語，取出每個單詞或者某短句中每個漢字對應(yīng)的拼音的第一或者某一位組合起來形成口令，這樣一來形成的口令接近于隨機(jī)字符序列，但同時也容易記憶。比如：好好學(xué)習(xí)天天向上。得到的口令就是：hhxxttxs。二是選擇兩個較短的單詞，其間用符號或者某特定的字母加以連接，比如：dear-user-linux。還有一種方法是采用一個故意拼寫錯誤的單詞，比如：Limux；或者使用故意加入語法錯誤的短語，比如：a-girls。這樣產(chǎn)生的口令被破解的機(jī)會就小多了。最后最關(guān)鍵的是用戶應(yīng)當(dāng)牢牢記住自己的口令，最好不要把口令寫在任何地方，只有自己的腦袋是保險的。如果實(shí)在是對記憶能力缺乏信心，那么也建議將口令藏在某個不起眼的短句中。比如：口令是box！Here，那么將Don’ttouchthetopofboxHere！寫到一張紙條上，貼在電源上就顯得非常自然。4.2、登錄安全如果用戶口令得到了良好的保證，那么緊接著的第二部分就是登錄和帳號的安全性問題。這便涉及在系統(tǒng)中查找可能有安全問題的帳號并及時處理。首先很多黑客是使用沒有口令的帳號進(jìn)入計算機(jī)系統(tǒng)的，作為管理員應(yīng)該經(jīng)常檢查口令文件，查找這種帳號，一旦發(fā)現(xiàn)，應(yīng)該立刻通知用戶或者禁止其使用。其次對于不使用的帳號應(yīng)該及時刪除，使之不至于成為黑客進(jìn)入的通道。即使不刪除此帳號，至少也應(yīng)該在口令字段寫入符號，暫時停止此帳號的使用。再次，對于幾個標(biāo)準(zhǔn)系統(tǒng)帳號，一般情況下應(yīng)該禁止這些帳號的使用。因?yàn)檫@些帳號幾乎是每個非法闖入者的目標(biāo)，即使使用再好的口令，也有被破解的可能，所以最安全的辦法就是禁止其使用。還有一些軟件在安裝過程中會自動在系統(tǒng)中創(chuàng)建帳號，所以一定要注意禁止這些帳號的使用。對于匿名訪問者帳號（guest），一般情況下是不建議使用的。這種帳號是為來訪者提供的帳號，使他們能夠使用本機(jī)上的某些資源，獲得部分權(quán)限。但同時由于guest帳號一般不設(shè)密碼，所以也是進(jìn)入系統(tǒng)的捷徑。黑客進(jìn)入系統(tǒng)以后可以進(jìn)一步獲得更高的權(quán)限，可能導(dǎo)致安全性災(zāi)難。黑客將盡力取得root權(quán)限，同時以此為基點(diǎn)進(jìn)攻網(wǎng)絡(luò)上其他的機(jī)器，這使得追查其來源更加不容易。所以盡可能不要使用guest帳號。系統(tǒng)中還有幾個命令帳號，也就是運(yùn)行給定命令然后退出。這些帳號沒有口令，雖然它們并不運(yùn)行shell，但是從安全方面也是極其危險的。比如使用finger登錄時，finger程序便運(yùn)行起來，顯示該系統(tǒng)用戶，顯示后結(jié)束運(yùn)行。類似的帳號還有sync和date。這種帳號可能會泄露系統(tǒng)的有關(guān)信息。系統(tǒng)安全實(shí)際上是由登錄帳號和對應(yīng)口令共同保證的，如果入侵者獲得了系統(tǒng)用戶的帳號，那他已經(jīng)成功了一半。最后是關(guān)于組帳號的問題。組帳號是供多人使用的同一個帳號。這對系統(tǒng)安全是極為不利的。因?yàn)槿绻M帳號被人闖入，那么尋找泄露口令的用戶是非常困難的。所以建議創(chuàng)建帳號時遵循“一個帳號一個用戶”的原則。5、防火墻、IP偽裝個代理服務(wù)器5.1、什么是防火墻防火墻是汽車中一個部件的名稱。在汽車中，利用防火墻把乘客和引擎隔開，汽車引擎一旦著火，防火墻不但能保護(hù)乘客安全，同時還能讓司機(jī)繼續(xù)控制引擎。在電腦中，防火墻是一種裝置，可使個別網(wǎng)絡(luò)不受公共部分（整個Internet）的影響。本文將防火墻電腦稱為“防火墻”，它能同時連接受到保護(hù)的局域網(wǎng)絡(luò)和Internet兩端。這樣受到保護(hù)的網(wǎng)絡(luò)無法連接到Internet，Internet也無法連接到受到保護(hù)的網(wǎng)絡(luò)。如果要從受到保護(hù)的網(wǎng)絡(luò)內(nèi)部接到Internet網(wǎng)絡(luò)，就得telnet到防火墻，然后從防火墻連上Internet。最簡單的防火墻是dualhomed系統(tǒng)（具有兩個網(wǎng)絡(luò)聯(lián)結(jié)的系統(tǒng)）。只要配置一臺Linux主機(jī)（配置時將IPforwarding/gatewaying設(shè)為OFF），并為每人設(shè)一帳戶，他們就能登錄這一主機(jī)，使用telnet、FTP，閱讀電子郵件和使用所有這臺主機(jī)提供的任何其他服務(wù)。根據(jù)這項配置，這一網(wǎng)絡(luò)中惟一能與外界聯(lián)系的電腦便是這個防火墻。Linux2.2.x內(nèi)核用ipchains代替了原來2.0內(nèi)核中的ipfwadm。ipchains較之以前的ipfwadm語法變動很大，如果想了解更多的命令和語法，可以參考ipchainshowto（/linux），或者運(yùn)彳亍ipchains-help。5.2防火墻分類IP過濾防火墻IP過濾防火墻在IP層工作。它依據(jù)起點(diǎn)、終點(diǎn)、串口號和每一數(shù)據(jù)包中所含的數(shù)據(jù)包種類信息控制數(shù)據(jù)包的流動。這種防火墻非常安全，但是缺少有用的登錄記錄。它阻擋別人進(jìn)入個別網(wǎng)絡(luò)，但不能記錄何人進(jìn)入公共系統(tǒng)，或何人從內(nèi)部進(jìn)入網(wǎng)際網(wǎng)。過濾防火墻是絕對性的過濾系統(tǒng)。即使要讓外界的一些人進(jìn)入私有服務(wù)器，用戶也無法讓每一個人進(jìn)入服務(wù)器。Linux從1.3.x版開始就在內(nèi)核中包含了數(shù)據(jù)包過濾軟件。代理服務(wù)器代理服務(wù)器允許通過防火墻間接進(jìn)入網(wǎng)際網(wǎng)。最好的例子是telnet到系統(tǒng)，然后從該處再telnet到另一個系統(tǒng)。在有代理服務(wù)器的系統(tǒng)中，這項工作就完全自動完成。利用客戶端軟件連接代理服務(wù)器后，代理服務(wù)器啟動它的客戶端軟件（代理），然后傳回數(shù)據(jù)。由于代理服務(wù)器重復(fù)所有通信，因此能夠記錄所有進(jìn)行的工作。只要配置正確，代理服務(wù)器就絕對安全，這是它最可取之處。由于沒有直接的IP通路，它阻擋任何人進(jìn)入。3.linux防火墻實(shí)現(xiàn)策略一般而言，實(shí)現(xiàn)Linux防火墻功能有兩種策略：一種是首先全面禁止所有的輸入/輸出/轉(zhuǎn)發(fā)包，然后根據(jù)需要逐步打開所要求的各項服務(wù)，這種方式最安全，但必須全面考慮到自己所要使用的各項服務(wù)功能，不能有任何遺漏。如果用戶對要實(shí)現(xiàn)的某種服務(wù)和功能不能清楚地知道應(yīng)該打開哪些服務(wù)和端口，就會比較麻煩。第二種方式是首先默認(rèn)打開所有的輸入/輸出包，然后禁止某些危險包、IP欺騙包、廣播包、ICMP服務(wù)類型攻擊等，對應(yīng)用層服務(wù)像http、sendmail、pop3、ftp等，若不打算提供某些服務(wù)，就不要啟動它，或者根本就不要安裝。這種方式雖然沒有第一種方式更安全，但是比較方便，容易配置，用戶不必過多地了解該如何打開一種服務(wù)所需要執(zhí)行的ipchains命令細(xì)節(jié)就能配置一個比較安全的防火墻系統(tǒng)。6、服務(wù)器被侵入后的處理雖然采取了很多安全措施，但是還是有可能被侵入。一旦服務(wù)器遭到網(wǎng)絡(luò)黑客的攻擊，應(yīng)該及時采取下述行動：首先設(shè)法使服務(wù)器進(jìn)入安全狀態(tài)，即將入侵者清理出系統(tǒng)，如果實(shí)在沒有辦法，就斷開所有網(wǎng)絡(luò)連接（拔掉網(wǎng)線或者關(guān)閉調(diào)制解調(diào)器）。不要急于恢復(fù)系統(tǒng)，那樣可能覆蓋掉黑客入侵的行動記錄和留下的蛛絲馬跡，而這些東西是將來反黑客的重要線索。一定要設(shè)法尋找出入侵者是如何進(jìn)入的，然后彌補(bǔ)好這個漏洞以免被再次侵入。如果不能彌補(bǔ)，寧愿關(guān)閉掉該項服務(wù)，否則即有可能繼續(xù)遭到攻擊。另外要特別注意用戶文件和口令，防止黑客為下次攻擊留下"后門”。然后要通過系統(tǒng)備份來恢復(fù)被損壞或者刪除的文件，這是必須要做的，系統(tǒng)恢復(fù)以后就可以重新網(wǎng)絡(luò)開始服務(wù)了。最后，如果入侵繼續(xù)發(fā)生，則求救于本地的其他管理員，尋求技術(shù)支持。有時甚至需要通過法律手段來保護(hù)網(wǎng)站安全。7、日常安全注意事項1） 刪除系統(tǒng)所有默認(rèn)的帳號和密碼，這些帳號往往是黑客攻擊時的第一目標(biāo)，特別注意保護(hù)root用戶密碼。2） 在用戶合法性得到驗(yàn)證前不要顯示公司題頭、在線幫助以及其他信息，使黑客試圖侵入前獲得的信息盡可能少。3） 廢除“黑客”可以攻擊系統(tǒng)的所有不在使用的網(wǎng)絡(luò)服務(wù)，如匿名ftp等，每一項網(wǎng)絡(luò)服務(wù)程序都包括這樣那樣的漏洞，啟用的服務(wù)越多，系統(tǒng)安全漏洞也就越多。4） 使用6到8位的字母數(shù)字混合的密碼，并經(jīng)常更換密碼?？梢栽O(shè)置用戶密碼的安全等級和有效期限，注意，安全等級過高的系統(tǒng)，用戶密碼的設(shè)置會非常麻煩。5） 限制用戶嘗試登錄到系統(tǒng)的次數(shù)，防止黑客通過“窮舉法”破譯密碼。在密碼輸入錯誤次數(shù)達(dá)到某限制值時，帳號將被鎖定。6） 記錄違反安全性的情況并對安全記錄進(jìn)行復(fù)查。7） 對于重要信息，上網(wǎng)傳輸前要先進(jìn)行加密?，F(xiàn)在已經(jīng)有了很多的加密傳輸協(xié)議，并且