全面提升linux服务器的安全---安全,linux-为中国网络技术提供点滴动力-iyit.net-易特网络技术！

　　通行证: 用户密码

域名空间　下载中心　 社区论坛　信息公告 my小屋

联系我们
设为首页
加入收藏

qq,asp,php,jsp,xml,sql,.net,编程程序网页图象建站经验私服




	当前位置：首页>>服务器>>linux服务器>>正文	新版上线！[旧版]

注:打开慢时请稍等

全面提升linux服务器的安全

http://www.iyit.net 日期：2006-5-6 12:19:07 来源：网易学院点击：

【参加讨论】众所周知，就安全性而言，linux相对于windows具有更多的优势。但是，不管选择哪一种linux发行版本，在安装完成以后都应该进行一些必要的配置，来增强它的安全性。下面就通过几个步骤来加固的linux服务器。目前，许多中小用户因业务发展，不断更新或升级网络，从而造成自身用户环境差异较大，整个网络系统平台参差不齐，在服务器端大多使用linux和unix的，pc端使用windows 和mac。所以在企业应用中往往是linux、unix和windows操作系统共存形成异构网络。
1.安装和配置一个防火墙
一个配置适当的防火墙不仅是系统有效应对外部攻击的第一道防线，也是最重要的一道防线。在新系统第一次连接上internet之前，防火墙就应该被安装并且配置好。防火墙配置成拒绝接收所有数据包，然后再打开允许接收的数据包，将有利于系统的安全。linux为我们提供了一个非常优秀的防火墙工具，它就是netfilter/iptables(http://www.netfilter.org/)。它完全是免费的，并且可以在一台低配置的老机器上很好地运行。防火墙的具体设置方法请参见iptables使用方法。
2.关闭无用的服务和端口
任何网络连接都是通过开放的应用端口来实现的。如果我们尽可能少地开放端口，就使网络攻击变成无源之水，从而大大减少了攻击者成功的机会。把linux作为专用服务器是个明智的举措。例如，希望linux成为的web服务器，可以取消系统内所有非必要的服务，只开启必要服务。这样做可以尽量减少后门，降低隐患，而且可以合理分配系统资源，提高整机性能。以下是几个不常用的服务：
1. fingerd（finger服务器）报告指定用户的个人信息，包括用户名、真实姓名、shell、目录和联系方式，它将使系统暴露在不受欢迎的情报收集活动下，应避免启动此服务。
2. r服务（rshd、rlogin、rwhod、rexec）提供各种级别的命令，它们可以在远程主机上运行或与远程主机交互，在封闭的网络环境中登录而不再要求输入用户名和口令，相当方便。然而在公共服务器上就会暴露问题，导致安全威胁。
3.删除不用的软件包
在进行系统规划时，总的原则是将不需要的服务一律去掉。默认的linux就是一个强大的系统，运行了很多的服务。但有许多服务是不需要的，很容易引起安全风险。这个文件就是/etc/xinetd.conf，它制定了/usr/sbin/xinetd将要监听的服务，你可能只需要其中的一个：ftp，其它的类如telnet、shell、login、exec、talk、ntalk、imap、finger、auth等，除非你真的想用它，否则统统关闭。
4.不设置缺省路由
在主机中，应该严格禁止设置缺省路由，即default route。建议为每一个子网或网段设置一个路由，否则其它机器就可能通过一定方式访问该主机。
5.口令管理
口令的长度一般不要少于8个字符，口令的组成应以无规则的大小写字母、数字和符号相结合，严格避免用英语单词或词组等设置口令，而且各用户的口令应该养成定期更换的习惯。另外，口令的保护还涉及到对/etc/passwd和/etc/shadow文件的保护，必须做到只有系统管理员才能访问这2个文件。安装一个口令过滤工具加npasswd，能帮你检查你的口令是否耐得住攻击。如果你以前没有安装此类的工具，建议你现在马上安装。如果你是系统管理员，你的系统中又没有安装口令过滤工具，请你马上检查所有用户的口令是否能被穷尽搜索到，即对你的／ect／passwd文件实施穷尽搜索攻击。用单词作密码是根本架不住暴力攻击的。黑客们经常用一些常用字来破解密码。曾经有一位美国黑客表示，只要用“password”这个字，就可以打开全美多数的计算机。其它常用的单词还有：account、ald、alpha、beta、computer、dead、demo、dollar、games、bod、hello、help、intro、kill、love、no、ok、okay、please、sex、secret、superuser、system、test、work、yes等。密码设置和原则：
1.足够长，指头只要多动一下为密码加一位，就可以让攻击者的辛苦增加十倍;
2. 不要用完整的单词，尽可能包括数字、标点符号和特殊字符等;
3.混用大小写字符;
4.经常修改。
6.分区管理
一个潜在的攻击，它首先就会尝试缓冲区溢出。在过去的几年中，以缓冲区溢出为类型的安全漏洞是最为常见的一种形式了。更为严重的是，缓冲区溢出漏洞占了远程网络攻击的绝大多数，这种攻击可以轻易使得一个匿名的internet用户有机会获得一台主机的部分或全部的控制权！
为了防止此类攻击，我们从安装系统时就应该注意。如果用root分区记录数据，如log文件，就可能因为拒绝服务产生大量日志或垃圾邮件，从而导致系统崩溃。所以建议为/var开辟单独的分区，用来存放日志和邮件，以避免root分区被溢出。最好为特殊的应用程序单独开一个分区，特别是可以产生大量日志的程序，还建议为/home单独分一个区，这样他们就不能填满/分区了，从而就避免了部分针对linux分区溢出的恶意攻击。
很多linux桌面用户往往是使用windows、linux双系统。最好使用双硬盘。方法如下：首先将主硬盘的数据线拆下，找一个10gb左右的硬盘挂在计算机上，将小硬盘设置为从盘，按照平常的操作安装linux服务器版本，除了启动的引导程序放在mbr外，其它没有区别。安装完成，调试出桌面后，关闭计算机。将小硬盘的数据线拆下，装上原硬盘，并设定为主盘（这是为了原硬盘和小硬盘同时挂接在一个数据线上），然后安装windows软件。将两个硬盘都挂在数据线上，数据线是ide 0接口，将原硬盘设定为主盘，小硬盘设定为从盘。如果要从原硬盘启动，就在cmos里将启动的顺序设定为“c、d、cdrom”，或者是“ide0(hdd-0)”。这样计算机启动的时候，进入windows界面。如果要从小硬盘启动，就将启动顺序改为“d、c、cdrom”，或者是“ide1(hdd-1)”，启动之后，将进入linux界面。平时两个操作系统是互相不能够访问的。
7.防范网络嗅探：
嗅探器技术被广泛应用于网络维护和管理方面，它工作的时候就像一部被动声纳，默默的接收看来自网络的各种信息，通过对这些数据的分析，网络管理员可以深入了解网络当前的运行状况，以便找出网络中的漏洞。在网络安全日益被注意的今天.我们不但要正确使用嗅探器.还要合理防范嗅探器的危害.嗅探器能够造成很大的安全危害，主要是因为它们不容易被发现。对于一个安全性能要求很严格的企业，同时使用安全的拓扑结构、会话加密、使用静态的arp地址是有必要的。

本新闻共3页,当前在第1页 1 2 3

编辑：黑鹰　[发送给好友] [打印本页] [关闭窗口] [返回顶部]
上一篇：linux十大高级安全管理技巧
下一篇：防止分化解读linux最新标准lsb 3.0
转载请注明来源：www.iyit.net
特别声明： 本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载，但请务必注明出处和原始作者。文章版权归文章原始作者所有。对于被本站转载文章的个人和网站，我们表示深深的谢意。如果本站转载的文章有版权问题请联系编辑人员，我们尽快予以更正。

　相关文章

linux服务器日志管理详解(3)	linux服务器日志管理详解(2)	linux服务器日志管理详解(1)
在linux下设置www server(4)	在linux下设置www server(3)	在linux下设置www server(2)
在linux下设置www server(1)	设定linux web 服务器(6)	设定linux web 服务器(5)
设定linux web 服务器(4)	设定linux web 服务器(3)	设定linux web 服务器(2)
设定linux web 服务器(1)	解读linux文件权限的设置方法	一个安全web服务器的安装(三)
一个安全web服务器的安装(二)	一个安全web服务器的安装(一)	linux防火墙配置基础篇
浅谈linux优化及安全配置的个人体会	linux的防火墙配置！	linux下mysql完全安装使用指南
linux环境下发现并阻止系统攻击（4）	linux环境下发现并阻止系统攻击（3）	linux环境下发现并阻止系统攻击（2）