系統(tǒng)的安全性概述論文

1、Unix/linux系統(tǒng)的安全性概述1、linux系統(tǒng)的介紹Linux是一類Unix計(jì)算機(jī)操作系統(tǒng)的統(tǒng)稱。Linux操作系統(tǒng)的內(nèi)核的名字也是“Linux”。Linux操作系統(tǒng)也是自由軟件和開放源代碼發(fā)展中最著名的例子。嚴(yán)格來(lái)講，Linux這個(gè)詞本身只表示Linux內(nèi)核，但在實(shí)際上人們已經(jīng)習(xí)慣了用Linux來(lái)形容整個(gè)基于Linux內(nèi)核，并且使用GNU 工程各種工具和數(shù)據(jù)庫(kù)的操作系統(tǒng)。Linux得名于計(jì)算機(jī)業(yè)余愛好者Linus Torvalds。Linux，其安全性漏洞已經(jīng)廣為流傳，黑客可以很容易地侵入。而網(wǎng)絡(luò)服務(wù)器往往儲(chǔ)存了大量的重要信息，或向大量用戶提供重要服務(wù)；一旦遭到破壞，后果不堪設(shè)想。所

2、以，網(wǎng)站建設(shè)者更需要認(rèn)真對(duì)待有關(guān)安全方面的問題，以保證服務(wù)器的安全。2、服務(wù)安全管理2.1、安全防護(hù)的主要內(nèi)容 對(duì)于網(wǎng)站管理人員而言，日常性的服務(wù)器安全保護(hù)主要包括四方面內(nèi)容：文件存取合法性：任何黑客的入侵行為的手段和目的都可以認(rèn)為是非法存取文件，這些文件包括重要數(shù)據(jù)信息、主頁(yè)頁(yè)面 HTML文件等。這是計(jì)算機(jī)安全最重要的問題，一般說來(lái)，未被授權(quán)使用的用戶進(jìn)入系統(tǒng)，都是為了獲取正當(dāng)途徑無(wú)法取得的資料或者進(jìn)行破壞活動(dòng)。良好的口令管理 (由系統(tǒng)管理員和用戶雙方配合 )，登錄活動(dòng)記錄和報(bào)告，用戶和網(wǎng)絡(luò)活動(dòng)的周期檢查都是防止未授權(quán)存取的關(guān)鍵。 用戶密碼和用戶文件安全性：這也是計(jì)算機(jī)安全的一個(gè)重要問題，具

3、體操作上就是防止已授權(quán)或未授權(quán)的用戶相互存取相互的重要信息。文件系統(tǒng)查帳、su登錄和報(bào)告、用戶意識(shí)、加密都是防止泄密的關(guān)鍵。 防止用戶拒絕系統(tǒng)的管理：這一方面的安全應(yīng)由操作系統(tǒng)來(lái)完成。操作系統(tǒng)應(yīng)該有能力應(yīng)付任何試圖或可能對(duì)它產(chǎn)生破壞的用戶操作，比較典型的例子是一個(gè)系統(tǒng)不應(yīng)被一個(gè)有意使用過多資源的用戶損害 (例如導(dǎo)致系統(tǒng)崩潰 )。防止丟失系統(tǒng)的完整性：這一方面與一個(gè)好系統(tǒng)管理員的實(shí)際工作(例如定期地備份文件系統(tǒng)，系統(tǒng)崩潰后運(yùn)行 fsck檢查、修復(fù)文件系統(tǒng)，當(dāng)有新用戶時(shí)，檢測(cè)該用戶是否可能使系統(tǒng)崩潰的軟件 )和保持一個(gè)可靠的操作系統(tǒng)有關(guān) (即用戶不能經(jīng)常性地使系統(tǒng)崩潰 )。3、linux系統(tǒng)文件安

4、全Linux的文件系統(tǒng)是由文件和目錄構(gòu)成的樹形結(jié)構(gòu)，每個(gè)文件目錄記錄包括下面內(nèi)容(域)： 文件名 文件類型 文件大小 文件創(chuàng)建修改時(shí)間 文件所有者和所有組 文件相關(guān)權(quán)限任何一項(xiàng)內(nèi)容遭受未授權(quán)的修改，文件安全性都遭到破壞。保護(hù)文件系統(tǒng)的安全性，應(yīng)該從以下幾個(gè)方面入手。3.1、 文件相關(guān)權(quán)限的設(shè)置Linux的文件權(quán)限決定了用戶對(duì)該文件的操作能力和操作允許范圍。下面這一段是在某個(gè)Linux用戶目錄的文件列表 (ls -l)，注意，其中第一欄表示了文件權(quán)限。文件權(quán)限通過設(shè)置文件權(quán)限標(biāo)志位實(shí)現(xiàn)。標(biāo)志位由十位構(gòu)成。第一位是文件類型，一般文件該位為“ -”，目錄該位為“ d”(如上面的 1、2、4、8行)。

5、余下的九位三位一組，第二位到第四位依次為文件所有者對(duì)此文件的可讀、可寫、可執(zhí)行權(quán)利標(biāo)志位；第五到第七位分別為與該用戶同組的用戶對(duì)此文件的可讀、可寫、可執(zhí)行的權(quán)利標(biāo)志位：第八到第十位分別為其他用戶對(duì)此文件的可讀、可寫、可執(zhí)行的權(quán)利標(biāo)志位。比如：上面的第一個(gè)目錄中，“ drwxrwxr-x”就表示這是一個(gè)目錄，文件所有者(用戶 bluo)可以對(duì)文件進(jìn)行任何操作 (讀、寫、執(zhí)行 ) ，同組用戶可讀、寫、執(zhí)行，其他用戶可讀和執(zhí)行。而“-rw-r-r-”表示普通文件，文件所有者可讀、寫，其他用戶只可讀此文件。當(dāng)一些關(guān)鍵的系統(tǒng)文件的屬性被錯(cuò)誤設(shè)置時(shí)，就會(huì)導(dǎo)致不可挽回的破壞。對(duì)文件屬性一定要非常小心，否則可

6、能導(dǎo)致致命的安全漏洞。3.2、SUID和SGID程序與文件有關(guān)的還有兩個(gè)附加權(quán)限位 SUID和SGID。SUID是SetUserID(設(shè)置用戶標(biāo)識(shí) )的縮寫，SGID是SetGroupID(設(shè)置組標(biāo)識(shí) )的縮寫。帶有這種權(quán)限的程序運(yùn)行時(shí)就會(huì)帶來(lái)很大的安全性漏洞。因?yàn)楫?dāng)運(yùn)行一個(gè) SUID程序時(shí)，它的有效 UID被設(shè)置為擁有該程序的用戶 ID，而不管實(shí)際上是哪個(gè)用戶在運(yùn)行， SGID與此類似。所以雖然 SUID程序是必需的，但應(yīng)該盡量減少使用機(jī)會(huì)，并且要盡最大努力保證此程序安全。作為管理員還應(yīng)該經(jīng)常使用find命令來(lái)瀏覽自己的文件系統(tǒng)以檢查新的 SUID程序，詳細(xì)語(yǔ)法請(qǐng)參考文件權(quán)限章節(jié)中的相關(guān)內(nèi)容

7、。4、用戶訪問安全4.1、 口令安全 每個(gè)Linux的用戶都擁有一個(gè)帳號(hào)，通過登錄到這個(gè)帳號(hào)才能有限制地使用系統(tǒng)。而保護(hù)自身的文件安全的惟一屏障就是口令，一旦這道屏障被突破，此用戶及整個(gè)系統(tǒng)的安全便無(wú)法得到保證。從安全角度看，口令最好是隨機(jī)產(chǎn)生的，并且不斷變換的。但實(shí)際上任何一個(gè)用戶都不愿意成天花費(fèi)時(shí)間去記憶剛剛更換過的口令，這是一對(duì)矛盾。所以用戶應(yīng)該做到盡可能保持頻繁的口令更換頻率，并且聰明地選擇自己的口令保證其安全。切忌選用與自己有關(guān)的一些數(shù)字、名詞、住址、配偶名稱、寵物名稱、電話號(hào)碼等，更不要選用字典中的詞匯作為口令。因?yàn)楫?dāng)今使用的很多破解口令程序都是通過一定的加密算法將字典中的詞匯一個(gè)

8、一個(gè)與口令作比較，以期闖入系統(tǒng)。另外從概率角度講，口令位數(shù)每增加一位，被破解的可能性就會(huì)相差很多數(shù)量級(jí)，因此在系統(tǒng)允許的范圍內(nèi)盡可能長(zhǎng)地設(shè)置自己的口令實(shí)為明智之舉。那么怎么選擇一個(gè)好口令呢？這里推薦三種常用方法：一是選擇一個(gè)自己比較熟悉的短語(yǔ)或者是諺語(yǔ)，取出每個(gè)單詞或者某短句中每個(gè)漢字對(duì)應(yīng)的拼音的第一或者某一位組合起來(lái)形成口令，這樣一來(lái)形成的口令接近于隨機(jī)字符序列，但同時(shí)也容易記憶。比如：好好學(xué)習(xí)天天向上。得到的口令就是： hhxxttxs。二是選擇兩個(gè)較短的單詞，其間用符號(hào)或者某特定的字母加以連接，比如： dear-user-linux。還有一種方法是采用一個(gè)故意拼寫錯(cuò)誤的單詞，比如：Lim

9、ux；或者使用故意加入語(yǔ)法錯(cuò)誤的短語(yǔ)，比如： a-girls。這樣產(chǎn)生的口令被破解的機(jī)會(huì)就小多了。 最后最關(guān)鍵的是用戶應(yīng)當(dāng)牢牢記住自己的口令，最好不要把口令寫在任何地方，只有自己的腦袋是保險(xiǎn)的。如果實(shí)在是對(duì)記憶能力缺乏信心，那么也建議將口令藏在某個(gè)不起眼的短句中。比如：口令是box！Here，那么將Dont touch the top of box！Here！寫到一張紙條上，貼在電源上就顯得非常自然。4.2、登錄安全 如果用戶口令得到了良好的保證，那么緊接著的第二部分就是登錄和帳號(hào)的安全性問題。這便涉及在系統(tǒng)中查找可能有安全問題的帳號(hào)并及時(shí)處理。首先很多黑客是使用沒有口令的帳號(hào)進(jìn)入計(jì)算機(jī)系統(tǒng)的

10、，作為管理員應(yīng)該經(jīng)常檢查口令文件，查找這種帳號(hào)，一旦發(fā)現(xiàn)，應(yīng)該立刻通知用戶或者禁止其使用。其次對(duì)于不使用的帳號(hào)應(yīng)該及時(shí)刪除，使之不至于成為黑客進(jìn)入的通道。即使不刪除此帳號(hào)，至少也應(yīng)該在口令字段寫入符號(hào)，暫時(shí)停止此帳號(hào)的使用。再次，對(duì)于幾個(gè)標(biāo)準(zhǔn)系統(tǒng)帳號(hào)，一般情況下應(yīng)該禁止這些帳號(hào)的使用。因?yàn)檫@些帳號(hào)幾乎是每個(gè)非法闖入者的目標(biāo)，即使使用再好的口令，也有被破解的可能，所以最安全的辦法就是禁止其使用。還有一些軟件在安裝過程中會(huì)自動(dòng)在系統(tǒng)中創(chuàng)建帳號(hào)，所以一定要注意禁止這些帳號(hào)的使用。對(duì)于匿名訪問者帳號(hào) (guest)，一般情況下是不建議使用的。這種帳號(hào)是為來(lái)訪者提供的帳號(hào)，使他們能夠使用本機(jī)上的某些資源

11、，獲得部分權(quán)限。但同時(shí)由于guest帳號(hào)一般不設(shè)密碼，所以也是進(jìn)入系統(tǒng)的捷徑。黑客進(jìn)入系統(tǒng)以后可以進(jìn)一步獲得更高的權(quán)限，可能導(dǎo)致安全性災(zāi)難。黑客將盡力取得 root權(quán)限，同時(shí)以此為基點(diǎn)進(jìn)攻網(wǎng)絡(luò)上其他的機(jī)器，這使得追查其來(lái)源更加不容易。所以盡可能不要使用 guest帳號(hào)。系統(tǒng)中還有幾個(gè)命令帳號(hào)，也就是運(yùn)行給定命令然后退出。這些帳號(hào)沒有口令，雖然它們并不運(yùn)行 shell，但是從安全方面也是極其危險(xiǎn)的。比如使用finger登錄時(shí)， finger程序便運(yùn)行起來(lái)，顯示該系統(tǒng)用戶，顯示后結(jié)束運(yùn)行。類似的帳號(hào)還有sync和date。這種帳號(hào)可能會(huì)泄露系統(tǒng)的有關(guān)信息。系統(tǒng)安全實(shí)際上是由登錄帳號(hào)和對(duì)應(yīng)口令共同保

12、證的，如果入侵者獲得了系統(tǒng)用戶的帳號(hào)，那他已經(jīng)成功了一半。最后是關(guān)于組帳號(hào)的問題。組帳號(hào)是供多人使用的同一個(gè)帳號(hào)。這對(duì)系統(tǒng)安全是極為不利的。因?yàn)槿绻M帳號(hào)被人闖入，那么尋找泄露口令的用戶是非常困難的。所以建議創(chuàng)建帳號(hào)時(shí)遵循“一個(gè)帳號(hào)一個(gè)用戶”的原則。5、防火墻、IP偽裝個(gè)代理服務(wù)器5.1、什么是防火墻 防火墻是汽車中一個(gè)部件的名稱。在汽車中，利用防火墻把乘客和引擎隔開，汽車引擎一旦著火，防火墻不但能保護(hù)乘客安全，同時(shí)還能讓司機(jī)繼續(xù)控制引擎。在電腦中，防火墻是一種裝置，可使個(gè)別網(wǎng)絡(luò)不受公共部分 (整個(gè)Internet)的影響。本文將防火墻電腦稱為“防火墻”，它能同時(shí)連接受到保護(hù)的局域網(wǎng)絡(luò)和 In

13、ternet兩端。這樣受到保護(hù)的網(wǎng)絡(luò)無(wú)法連接到 Internet，Internet也無(wú)法連接到受到保護(hù)的網(wǎng)絡(luò)。如果要從受到保護(hù)的網(wǎng)絡(luò)內(nèi)部接到 Internet網(wǎng)絡(luò)，就得 telnet到防火墻，然后從防火墻連上 Internet。最簡(jiǎn)單的防火墻是 dual homed系統(tǒng)(具有兩個(gè)網(wǎng)絡(luò)聯(lián)結(jié)的系統(tǒng) )。只要配置一臺(tái) Linux主機(jī)(配置時(shí)將 IPforwarding/gatewaying設(shè)為OFF)，并為每人設(shè)一帳戶，他們就能登錄這一主機(jī)，使用telnet、FTP，閱讀電子郵件和使用所有這臺(tái)主機(jī)提供的任何其他服務(wù)。根據(jù)這項(xiàng)配置，這一網(wǎng)絡(luò)中惟一能與外界聯(lián)系的電腦便是這個(gè)防火墻。Linux 2.2.x

14、內(nèi)核用 ipchains代替了原來(lái)2.0內(nèi)核中的 ipfwadm。ipchains較之以前的ipfwadm語(yǔ)法變動(dòng)很大，如果想了解更多的命令和語(yǔ)法，可以參考ipchains howto ( ipchains -help。5.2防火墻分類1. IP過濾防火墻 IP過濾防火墻在 IP層工作。它依據(jù)起點(diǎn)、終點(diǎn)、串口號(hào)和每一數(shù)據(jù)包中所含的數(shù)據(jù)包種類信息控制數(shù)據(jù)包的流動(dòng)。這種防火墻非常安全，但是缺少有用的登錄記錄。它阻擋別人進(jìn)入個(gè)別網(wǎng)絡(luò)，但不能記錄何人進(jìn)入公共系統(tǒng)，或何人從內(nèi)部進(jìn)入網(wǎng)際網(wǎng)。過濾防火墻是絕對(duì)性的過濾系統(tǒng)。即使要讓外界的一些人進(jìn)入私有服務(wù)器，用戶也無(wú)法讓每一個(gè)人進(jìn)入服務(wù)器。Linux從1.3

15、.x版開始就在內(nèi)核中包含了數(shù)據(jù)包過濾軟件。2. 代理服務(wù)器代理服務(wù)器允許通過防火墻間接進(jìn)入網(wǎng)際網(wǎng)。最好的例子是telnet到系統(tǒng)，然后從該處再telnet到另一個(gè)系統(tǒng)。在有代理服務(wù)器的系統(tǒng)中，這項(xiàng)工作就完全自動(dòng)完成。利用客戶端軟件連接代理服務(wù)器后，代理服務(wù)器啟動(dòng)它的客戶端軟件 (代理)，然后傳回?cái)?shù)據(jù)。由于代理服務(wù)器重復(fù)所有通信，因此能夠記錄所有進(jìn)行的工作。只要配置正確，代理服務(wù)器就絕對(duì)安全，這是它最可取之處。由于沒有直接的 IP通路，它阻擋任何人進(jìn)入。3.linux防火墻實(shí)現(xiàn)策略 一般而言，實(shí)現(xiàn) Linux防火墻功能有兩種策略：一種是首先全面禁止所有的輸入 /輸出/轉(zhuǎn)發(fā)包，然后根據(jù)需要逐步打開

16、所要求的各項(xiàng)服務(wù)，這種方式最安全，但必須全面考慮到自己所要使用的各項(xiàng)服務(wù)功能，不能有任何遺漏。如果用戶對(duì)要實(shí)現(xiàn)的某種服務(wù)和功能不能清楚地知道應(yīng)該打開哪些服務(wù)和端口，就會(huì)比較麻煩。第二種方式是首先默認(rèn)打開所有的輸入 /輸出包，然后禁止某些危險(xiǎn)包、 IP欺騙包、廣播包、ICMP服務(wù)類型攻擊等，對(duì)應(yīng)用層服務(wù)像 http、sendmail、pop3、ftp等，若不打算提供某些服務(wù)，就不要啟動(dòng)它，或者根本就不要安裝。這種方式雖然沒有第一種方式更安全，但是比較方便，容易配置，用戶不必過多地了解該如何打開一種服務(wù)所需要執(zhí)行的ipchains命令細(xì)節(jié)就能配置一個(gè)比較安全的防火墻系統(tǒng)。6、服務(wù)器被侵入后的處理

17、雖然采取了很多安全措施，但是還是有可能被侵入。一旦服務(wù)器遭到網(wǎng)絡(luò)黑客的攻擊，應(yīng)該及時(shí)采取下述行動(dòng)：首先設(shè)法使服務(wù)器進(jìn)入安全狀態(tài)，即將入侵者清理出系統(tǒng)，如果實(shí)在沒有辦法，就斷開所有網(wǎng)絡(luò)連接(拔掉網(wǎng)線或者關(guān)閉調(diào)制解調(diào)器 )。不要急于恢復(fù)系統(tǒng)，那樣可能覆蓋掉黑客入侵的行動(dòng)記錄和留下的蛛絲馬跡，而這些東西是將來(lái)反黑客的重要線索。一定要設(shè)法尋找出入侵者是如何進(jìn)入的，然后彌補(bǔ)好這個(gè)漏洞以免被再次侵入。如果不能彌補(bǔ)，寧愿關(guān)閉掉該項(xiàng)服務(wù)，否則即有可能繼續(xù)遭到攻擊。另外要特別注意用戶文件和口令，防止黑客為下次攻擊留下“后門”。 然后要通過系統(tǒng)備份來(lái)恢復(fù)被損壞或者刪除的文件，這是必須要做的，系統(tǒng)恢復(fù)以后就可以重新

18、網(wǎng)絡(luò)開始服務(wù)了。最后，如果入侵繼續(xù)發(fā)生，則求救于本地的其他管理員，尋求技術(shù)支持。有時(shí)甚至需要通過法律手段來(lái)保護(hù)網(wǎng)站安全。7、 日常安全注意事項(xiàng)1)刪除系統(tǒng)所有默認(rèn)的帳號(hào)和密碼，這些帳號(hào)往往是黑客攻擊時(shí)的第一目標(biāo)，特別注意保護(hù)root用戶密碼。2)在用戶合法性得到驗(yàn)證前不要顯示公司題頭、在線幫助以及其他信息，使黑客試圖侵入前獲得的信息盡可能少。3)廢除“黑客”可以攻擊系統(tǒng)的所有不在使用的網(wǎng)絡(luò)服務(wù)，如匿名ftp等，每一項(xiàng)網(wǎng)絡(luò)服務(wù)程序都包括這樣那樣的漏洞，啟用的服務(wù)越多，系統(tǒng)安全漏洞也就越多。4)使用6到8位的字母數(shù)字混合的密碼，并經(jīng)常更換密碼?？梢栽O(shè)置用戶密碼的安全等級(jí)和有效期限，注意，安全等級(jí)過高的系統(tǒng)，用戶密碼的設(shè)置會(huì)非常麻煩。5)限制用戶嘗試登錄到系統(tǒng)的次數(shù)，防止黑客通過“窮舉法”破譯密碼。在密碼輸入錯(cuò)誤次數(shù)達(dá)到某限制值時(shí)，帳號(hào)將被鎖定。6) 記錄違反安全性的情況并對(duì)安全記錄進(jìn)行復(fù)查。7)對(duì)于重要信息，上網(wǎng)傳輸前要先進(jìn)行加密?，F(xiàn)在已經(jīng)有了很多的加密傳輸協(xié)議，并且有了相關(guān)標(biāo)準(zhǔn)，可以根據(jù)需要選用。8)重視專家提出的建議，安裝他們推薦的系統(tǒng)“補(bǔ)丁”。各種版本的 Linux都在不斷地推出各種“補(bǔ)丁”程序，它們有的修正系統(tǒng)BUG，有的提供功能擴(kuò)展，還有的修改系統(tǒng)安全