文章內(nèi)容

Linux安全配置步驟大全 (5)

發(fā)布時(shí)間: 2012/8/10 18:08:10

他們r(jià)oot的口令。

    su的一個(gè)替代程序是sudo。Red Hat 6.2中包含這個(gè)軟件。sudo允許你設(shè)置哪個(gè)用戶哪個(gè)組可以以root身份執(zhí)行哪些程序。你還可以根據(jù)用戶登錄的位置對(duì)他們加以限制（如果有人“破”了一個(gè)用戶的口令，并用這個(gè)帳號(hào)從遠(yuǎn)程計(jì)算機(jī)登錄，你可以限制他使用sudo）。Debian也有一個(gè)類似的程序叫super，與sudo比較各有優(yōu)缺點(diǎn)。

    讓用戶養(yǎng)成良好的習(xí)慣。使用root帳號(hào)并讓多個(gè)人知道root的密碼并不是一個(gè)好的習(xí)慣。這就是www.apache.org被入侵的原因，因?yàn)樗卸鄠€(gè)系統(tǒng)管理員他們都有root的特權(quán)。一個(gè)亂成一團(tuán)的系統(tǒng)是很容易被入侵的。

    named

    大部分Linux的發(fā)行商都解決了這個(gè)問題。named以前是以root運(yùn)行的，因此當(dāng)named出現(xiàn)新的漏洞的時(shí)候，很容易就可以入侵一些很重要的計(jì)算機(jī)并獲得root權(quán)限。現(xiàn)在只要用命令行的一些參數(shù)就能讓named以非root的用戶運(yùn)行。而且，現(xiàn)在絕大多數(shù)Linux的發(fā)行商都讓named以普通用戶的權(quán)限運(yùn)行。命令格式通常為：named -u ; -g ;

    INN

    在INN的文檔中已經(jīng)明確地指出：“禁止這項(xiàng)功能（verifycancels），這項(xiàng)功能是沒有用的而且將被除掉”。大約在一個(gè)月前，一個(gè)黑客發(fā)布了當(dāng) “verifycancels”生效的時(shí)候入侵INN的方法。Red Hat是把“verifycancels”設(shè)為有效的。任何setuid/setgid的程序或網(wǎng)絡(luò)服務(wù)程序都要正確地安裝并且進(jìn)行檢查以保證盡量沒有安全漏洞。

    安全守則

    1. 廢除系統(tǒng)所有默認(rèn)的帳號(hào)和密碼。

    2. 在用戶合法性得到驗(yàn)證前不要顯示公司題頭、在線幫助以及其它信息。

    3. 廢除“黑客”可以攻擊系統(tǒng)的網(wǎng)絡(luò)服務(wù)。

    4. 使用6到8位的字母數(shù)字式密碼。

    5. 限制用戶嘗試登錄到系統(tǒng)的次數(shù)。

    6. 記錄違反安全性的情況并對(duì)安全記錄進(jìn)行復(fù)查。

    7. 對(duì)于重要信息，上網(wǎng)傳輸前要先進(jìn)行加密。

    8. 重視專家提出的建議，安裝他們推薦的系統(tǒng)“補(bǔ)丁”。

    9. 限制不需密碼即可訪問的主機(jī)文件。

    10.修改網(wǎng)絡(luò)配置文件，以便將來自外部的TCP連接限制到最少數(shù)量的端口。不允許諸如tftp,sunrpc,printer,rlogin或rexec之類的協(xié)議。

    11.用upas代替sendmail。sendmail有太多已知漏洞，很難修補(bǔ)完全。

    12.去掉對(duì)操作并非至關(guān)重要又極少使用的程序。

    13.使用chmod將所有系統(tǒng)目錄變更為711模式。這樣，攻擊者們將無法看到它們當(dāng)中有什么東西，而用戶仍可執(zhí)行。

    14.只要可能，就將磁盤安裝為只讀模式。其實(shí)，僅有少數(shù)目錄需讀寫狀態(tài)。

    15.將系統(tǒng)軟件升級(jí)為最新版本。老版本可能已被研究并被成功攻擊，最新版本一般包括了這些問題的補(bǔ)救。