Linux系統(tǒng)安全管理高級(jí)技巧

Linux系統(tǒng)平安管理高級(jí)技巧由于Linux操作系統(tǒng)是一個(gè)開(kāi)放源代碼的操作系統(tǒng)，因此受到越來(lái)越多用戶的歡送。隨著Linux操作系統(tǒng)在我國(guó)的不斷普及，有關(guān)的政府部門(mén)更是將基于Linux開(kāi)發(fā)具有自主版權(quán)的操作系統(tǒng)進(jìn)步到保衛(wèi)國(guó)家信息平安的高度來(lái)對(duì)待，因此我們不難預(yù)測(cè)今后Linux操作系統(tǒng)在我國(guó)將得到更快更大的開(kāi)展。雖然Linux與UNIX很類(lèi)似，但它們之間也有一些重要的差異。對(duì)于眾多的習(xí)慣了UNIX和WindowsNT的系統(tǒng)員來(lái)講，如何保證Linux操作系統(tǒng)的平安將面臨許多新的挑戰(zhàn)。本文介紹了一系列實(shí)用的Linux平安經(jīng)歷。一、文件系統(tǒng)在Linux系統(tǒng)中，分別為不同的應(yīng)用安裝單獨(dú)的主分區(qū)將關(guān)鍵的分區(qū)設(shè)置為只讀將大大進(jìn)步文件系統(tǒng)的平安。這主要涉及到Linux自身的ext2文件系統(tǒng)的只添加（只添加）和不可變這兩大屬性。●文件分區(qū)Linux的文件系統(tǒng)可以分成幾個(gè)主要的分區(qū)，每個(gè)分區(qū)分別進(jìn)展不同的配置和安裝，一般情況下至少要建立/、/usr/local、/var和/home等分區(qū)。/usr可以安裝成只讀并且可以被認(rèn)為是不可修改的。假設(shè)/usr中有任何文件發(fā)生了改變，那么系統(tǒng)將立即發(fā)出平安報(bào)警。當(dāng)然這不包括用戶自己改變/usr中的內(nèi)容。/lib、/boot和/sbin的安裝和設(shè)置也一樣。在安裝時(shí)應(yīng)該盡量將它們?cè)O(shè)置為只讀，并且對(duì)它們的文件、目錄和屬性進(jìn)展的任何修改都會(huì)導(dǎo)致系統(tǒng)報(bào)警。當(dāng)然將所有主要的分區(qū)都設(shè)置為只讀是不可能的,有的分區(qū)如/var等，其自身的性質(zhì)就決定了不能將它們?cè)O(shè)置為只讀，但應(yīng)該不允許它具有執(zhí)行權(quán)限。●擴(kuò)展ext2使用ext2文件系統(tǒng)上的只添加和不可變這兩種文件屬性可以進(jìn)一步進(jìn)步平安級(jí)別。不可變和只添加屬性只是兩種擴(kuò)展ext2文件系統(tǒng)的屬性標(biāo)志的方法。一個(gè)標(biāo)記為不可變的文件不能被修改，甚至不能被根用戶修改。一個(gè)標(biāo)記為只添加的文件可以被修改，但只能在它的后面添加內(nèi)容，即使根用戶也只能如此。可以通過(guò)chattr命令來(lái)修改文件的這些屬性，假設(shè)要查看其屬性值的話可以使用lsattr命令。要想理解更多的關(guān)于ext2文件屬性的信息，可使用命令manchattr來(lái)尋求幫助。這兩上文件屬性在檢測(cè)黑客企圖在現(xiàn)有的文件中安裝入侵后門(mén)時(shí)是很有用的。為了平安起見(jiàn)，一旦檢測(cè)到這樣的活動(dòng)就應(yīng)該立即將其阻止并發(fā)出報(bào)警信息。假設(shè)你的關(guān)鍵的文件系統(tǒng)安裝成只讀的并且文件被標(biāo)記為不可變的，入侵者必須重新安裝系統(tǒng)才能刪除這些不可變的文件但這會(huì)立即產(chǎn)生報(bào)警，這樣就大大減少了被非法入侵的時(shí)機(jī)?！癖Ｗo(hù)log文件當(dāng)與log文件和log備份一起使用時(shí)不可變和只添加這兩種文件屬性特別有用。系統(tǒng)管理員應(yīng)該將活動(dòng)的log文件屬性設(shè)置為只添加。當(dāng)log被更新時(shí)，新產(chǎn)生的log備份文件屬性應(yīng)該設(shè)置成不可變的，而新的活動(dòng)的log文件屬性又變成了只添加。這通常需要在log更新腳本中添加一些控制命令。二、備份在完成Linux系統(tǒng)的安裝以后應(yīng)該對(duì)整個(gè)系統(tǒng)進(jìn)展備份，以后可以根據(jù)這個(gè)備份來(lái)驗(yàn)