Linux系统安全设置~~全面坚固你的系统

时间 2020-02-16

标签 linux 系统安全设置全面坚固栏目 Linux 繁體版

原文原文链接

不久前，我以极大的耐心下载了最新的内核版本，那但是经过拨入链接完成的。在整个下载的过程当中，我渴望有一天在家里就能使用高速的Internet链接。xDSL和线缆猫的到来使其成为可能，但这并不包括价格因素。

在我写此文章的同时，在世界的某个地方，也许正有一我的在他家里的计算机上第一次安装发布的Linux.一个新的Linux 的管理员经过为其家人和朋友设置账户来使系统运转起来。也许在初次安装完成后的不长时间里，这个Linux 系统就会以使人感激不尽的高速DSL 接入Internet.

仍是容易被***

今天几近全部可用的linux 发布在安全方面存在漏洞，其中的多数漏洞是很容易被攻入的，但不幸的是依惯例和习惯作法，他们是开放的。典型安装的Linux首次启动时就提供了多种多样的可被***的服务，譬如SHELL ，IMAP和POP3. 这些服务常常会被不务正业的网民按其须要用来做为系统突破的切入点，这不只是Linux 的局限——久经风霜的商业UNIX也提供此类服务，并且也会被突破。

不用抱怨和指责，新系统的锁定（坚固系统的专业说法）是很是重要的。信不信由你，一个Linux 系统的坚固过程是不须要过多的系统安全专门知识。实际上，你能够在5 分钟以内就能够将百分之九十的不可靠因素屏蔽掉。

开始吧

在开始坚固系统前，要问清本身你的机器担当的角色和用来接入Internet的温馨度。要仔细肯定你要对整个世界范围提供的服务，若是你还不能肯定，最好什么也不要作。明确本身的安全策略是很是重要的。要决定你本身的系统上哪些使用是可接受的而哪些是不可接受的。

本文中范例机器的目标是做为工做站用来收发mail，阅读新闻，浏览网页等等。

确立网络服务安全

首先，以超级用户（root）登入系统，用netstat 命令（这是多数Linux 系统标配的网络工具）查看一下当前的网络状态，输出的结果譬如是：

root@percy / ]# netstat -a 　　Active Internet connections (servers and established) 　　Proto Recv-Q Send-Q Local Address Foreign Address State 　　tcp 0 0 *:imap2 *:* LISTEN 　　tcp 0 0 *:pop-3 *:* LISTEN 　　tcp 0 0 *:linuxconf *:* LISTEN 　　tcp 0 0 *:auth *:* LISTEN 　　tcp 0 0 *:finger *:* LISTEN 　　tcp 0 0 *:login *:* LISTEN 　　tcp 0 0 *:shell *:* LISTEN 　　tcp 0 0 *:telnet *:* LISTEN 　　tcp 0 0 *:ftp *:* LISTEN 　　tcp 0 0 *:6000 *:* LISTEN 　　udp 0 0 *:ntalk *:* 　　udp 0 0 *:talk *:* 　　udp 0 0 *:xdmcp *:* 　　raw 0 0 *:icmp *:* 7 　　raw 0 0 *:tcp *:* 7

如你所见到的输出结果，最初的安装对必定数量的服务并未侦听，而这些服务的大多数就是麻烦的制造者，在配置文件/etc/inetd.conf中就能够行使禁止。

用你喜欢的文本编辑器打开这个文件，注销你不想提供的服务，这只需在包含服务内容的行前面添加一个``#''，在本例中全部的服务都被注销了，固然，若是你决定要提供这些服务中的某几个，那由你本身来决定。

如今，从新启动 inetd 来使这些改变的内容起做用，这根据系统的不一样会有多种方法，一个例子是： killall -HUP inetd,依诀窍，从新用netstat检查开放的socket并注意发生的变化。接下来，查看还有哪些进程在运行。一般会看到sendmail、lpd和snmd 在等待接入的请求。所以机器不对此类的任何请求提供服务，因此他们应当终止运行。

一般，这些服务是由系统初始化脚本启动，脚本会因发布的不一样而异，通常能够在/etc/init.d 或 /etc/rc.d中找到。若是你还不能肯定，请参照你所用发布的文档。目标是在系统启动时禁止脚本启动这些服务。

若是你的Linux发布使用的是打包的系统，花点时间移掉你不需的服务。在此范例机器中，包括了sendmail和r字头的服务进程(rwho、rwall等)，lpd、ucd-snmp和apache。这是确保此类服务不会因意外而激活的最简捷的途径。

X坚固手段

近来多数的发布都支持机器首次启动时就登录进入X窗口例如xdm进行管理，不幸的是，这也是主要的***点。默认方式下，机器容许任何主机请求登录窗口，即便此机器仅仅只有一个用户直接从控制台登录，这种特性亦需屏蔽。

配置文件会赖于你所使用的登录管理器而变化。本机选用xdm,故而/usr/X11R6/lib/X11/Xaccess文件需进行修改，添加一个``#''符号来阻止启动此服务。个人Xaccess以下设置：

#* #any host can get a login window 　　#* #any indirect host can get a chooser

再次启动xdm时此设置有效。

软件升级

如今一些基本的坚固措施已完成，须要时时注意发行商对发布的升级和加强。缺少甚至没有维护会是危及系统安全的一大因素。

对开放源代码软件的保障之一是其在不断的发展中，有许多人花费大量的时间在不停地寻找安全方面存在的缺陷。这直接致使了Linux发布不断的维护过程，常常会有升级程序、臭虫补丁程序和安全方面的指导出如今网页中。隔几天或几周就浏览一下发布商的网页看是否有补丁或升级程序贴出来。

后续工做

如今，经处理过的机器比其初次安装后的安全性已提升了，但决不是对任何***就牢不可破了，但已不存在明显的可***之处了。在此列出的方法就象给你的车子或房子加了锁，通常水平的小偷就会被这类措施所动摇，意识到这是落锁的转而寻找其余没有加以保护的系统。

若是你认定这些措施没有提供足够的安全性能，也许你还想经过Internet提供一些网络服务，在进行以前须要花费一些时间寻找更高级的安全技术。

但不幸的是，许多Linux的发布商假定他们的客户已经熟知这些服务并且也想使用他们。但对初始用户一般这不是事实，固然，在Linux系统的安全性彻底保障以前还有大量的未开发领域。而这些步骤就是对已知晓的系统漏洞加以最基本的安全保障。

时至今日，对于危及系统和网络安全的多数保护手段还相对较弱，而随着Linux的流行且高速Internet存取逐渐实现的时刻，涌向未经预防的Linux 系统的***会愈来愈多

Linux 设置安全

1linux

收藏apache

上一篇：如何实现路由器线路负载均衡下一篇：用偷梁换柱法清除腾讯QQ迷你首页...

z1387089

Linux系统安全设置~~全面坚固你的系统

54篇文章，10W+人气，0粉丝