分类： LINUX
2008-04-27 16:20:02
| 来源：acnow 作者：HG |
|
互联网上有许多企业公司和组织采用Linux作为服务器平台。当这些服务器与互联网连接以提供应用服务时，不可避免地会成为攻击目标。本文讨论Linux系统安全配置的一些基本知识，以帮助你保护Linux系统。虽然在这里以Red Hat 6.0为例子，但也应该适用于其它Linux发行版本。
1、安装
配置系统安全的头一步最好是在系统的开始－－操作系统的安全。因为配置的是防火墙，所以你绝对不能信任任何以前的系统安装和配置，而应该从全新安装开始，才能真正保证系统安全的完整性。
使你的系统处于单独（或隔离）的网络中。决不要让未受保护的系统连接到其它网络或互联网中受到可能的攻击。按我个人的经验，一个连接到互联网的新安装系统可以在15分钟内被扫描和入侵取得完全控制权。你可能需要另一台机器从互联网获取重要工具和安全补丁等等，然后再从这些机器将其传送到单独的"配置网络"中。
当把将要作为未来防火墙的机器放置于隔离的网络中时，就可以开始下一步了。
第一步是选择操作系统将要安装的软件包。对于Red Hat 6.0，提供了三种安装选择：Workstation（工作站）、Server（服务器）、Custom（定制，缺省选项）。我个人强烈推荐"定制"，因为这允许你选择添加哪些服务和硬盘如何分区。安装策略是在维持最大化效率时进行"最小化"安装。系统中的软件越少，潜在的安全漏洞就会越少。例如，如果你不需要News或Real Audio Server，就不要安装它。Linux系统有一个好处就是如果你后来改变了想法，也是很容易添加所需软件包的。不管选择了哪种安装方式，手册页和HOWTO文档都应该是必不可缺的。虽然可能会使系统增加一点点风险，但它们有时确实特别有用。
如果选择了"定制"安装，会被提示进行硬盘分区。我个人通常喜欢使根分区尽可能地大，并且把所有东西都放在那里。然后，我们确实需要创建几个分区以保护根分区。因为如果根分区被例如系统日志或电子邮件等数据塞满的话，就会出现拒绝服务，甚至有可能使系统崩溃。
因此，我总是推荐为/var设置一个单独的分区。/var是用于存放系统所有日志和电子邮件的地方，将/var分区独立出来，就能够有效地保护根分区被这些数据塞满。对于许多网络环境，为/var分区设置不少于400MB基本上就足够了。另外可以考虑为某些特定的服务或应用创建或保留单独的分区，特别是敏感的日志记录。如果系统中存在不可完全信任的用户，也许应该为/home创建单独的分区，这样可以避免恶意用户轻易攻击/根分区。对于一台独立服务器以下是一个分区实例：
/ - everything else
/var - 400 MB
swap - (I normally go with 256 MB)
当系统安装完成并重启后，务必要安装必需的安全补丁。对于Red Hat，可以到找到它的所有安全补丁程序。安全补丁对于维持一个安全的防火墙是至关重要的，应该经常保持更新。
bugtraq@securityfocus.com或redhat-watch-list-request@redhat.com是获取最新安全漏洞信息的最佳资源。如果不安装这些补丁，你的系统可能会轻易入侵。记住，从上面提及的另一台机器获取这些补丁，防火墙机器应该仍处于隔离网络中。对于Red Hat系统，下载RPM包会使系统更新变得更简单。例如是对wu-ftpd进行安全升级的实例：
rpm -Uvh wu-ftpd-2.6.0-14.6x.i386.rpm
如果系统早已处于互联网上，可以直接从互联网上安装：
rpm -Uvh ftp://updates.redhat.com/6.1/i386/wu-ftpd-2.6.0-14.6x.i386.rpm
推荐使用autorpm工具保持对RPM软件包的补丁更新。这个命令行工具分析确定哪些.rpm包需要升级，并会自动（如果你愿意的话）从Red Hat的网站上下载并安装升级文件。这个工具的使用非常灵活简单，可以让其在cron中运行，这样你的系统就会定期自动检查升级更新，并可以向管理员发送提醒系统需要升级的电子邮件。
2、关闭服务
一旦安装完系统的安装包、补丁，重启后，我们现在就可以开始对操作系统进行安全增强配置了。安全增强配置主要包括关闭服务、增加日志、调整几个文件和配置TCP Wrappers。首先从关闭服务开始。
缺省情况下，Solaris是一个提供许多有用服务的高性能操作系统。然而，对于防火墙来说，其中的大多数服务是不需要，且可能是安全风险。首先需要修改/etc/inetd.conf文件。这个文件定义了由/usr/sbin/inetd超级守护进程需要监听的服务。缺省情况下，/etc/inetd.conf会启动35个服务，然而最多仅需要两项：ftp和telnet。其余服务都不是必需的，可以将它们注释（关闭）。这是很重要的，因为inetd监听的许多服务存在严重的安全威胁，例如popd、imapd和rsh。以下命令列出inetd守护进程会监听的服务，请确认将其中不必要的服务的所在行注释（行首加"#"号）：
grep -v "^#" /etc/inetd.conf
下一步要修改的是/etc/rc2.d和/etc/rc3.d目录下的文件。在这里你能够找到被init进程执行的启动脚本。其中也有许多是不需要的。要取消在启动过程中执行一个脚本，只需将对应文件名的起始大写S改为小写s即可。此外，Red Hat系统中带有一个好工具用以关闭服务。只要在命令行输入"/usr/sbin/setup"，然后选择"System Services"，接着再选择在系统启动时需要执行的脚本。另外还有一种方法就是在大多数发行版本中都带有的chkconfig工具。以下启动脚本是系统缺省安装，但通常却不是必需的。如果确定不需要它们，应该将禁止其启动。
注意其中的数字用于决定执行的顺序，在不同的发行版本中可能会有所变化。以大写K开始的脚本用于kill已经在运行中的服务。
S05apmd （仅有笔记本电脑才需要）
S10xntpd （网络时间协议）
S11portmap （如果运行RPC服务则必需打开）
S15sound （保存声卡设置）
S15netfs （NFS客户端，用于从NFS服务器安装文件系统）
S20rstatd （向远程用户泄露过多信息）
S20rusersd
S20rwhod
S20rwalld
S20bootparamd （用于无盘客户端，通常都不需要）
S25squid （代理服务器）
S34yppasswdd （如果系统运行NIS服务器，则必需此服务）
S35ypserv （如果系统运行NIS服务器，则必需此服务）
S35dhcpd （启动DHCP服务器守护进程）
S40atd （at服务，类似cron服务，但系统通常不需要）
S45pcmcia （仅有笔记本电脑才需要）
S50snmpd （SNMP守护进程，向远程用户泄露过多信息）
S55named （DNS服务器。如果需要运行DNS，请升级到最新版本）
S55routed （RIP，仅在必需时才应该启动）
S60lpd （打印服务）
S60mars-nwe （Netware文件和打印服务器）
S60nfs （用于NFS服务器。除非必须，此服务不应运行）
S72amd （AutoMount守护进程，用于自动安装远程文件系统）
S75gated （用于运行其它路由协议，例如OSPF）
S80sendmail （如果不需要接收或转发电子邮件应关闭。此时仍可发送电子邮件）
S85httpd （Apache服务器，建议升级到最新版本）
S87ypbind （仅有NIS客户端才需要）
S90xfs （X Windows系统字体服务器
S95innd （News服务器）
S99linuxconf （通过浏览器远程配置Linux系统）
要想在修改启动脚本前了解有多少服务正在运行，输入：
ps aux | wc -l
然后修改启动脚本后，重启系统，再次输入上面的命令，就可计算出减少了多少项服务。越少服务在运行，安全性就越好。另外运行以下命令可以了解还有多少服务在运行：
netstat -na --ip
3、日志和系统调整
在尽可能多地取消服务后，下一步就是配置系统日志了。所有的系统日志存放在/var/log目录下。缺省时，Linux有不错的日志设置，除了ftp。有两种方法记录ftp的日志，配置/etc/ftpaccess文件或编辑/etc/inetd.conf。建议采用相对简单的编辑/etc/inetd.conf文件的方法。通过编辑/etc/inetd.conf文件如下，可以记录所有FTP会话的所有日志。
ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd -l -L -i -o
--- 以下选自ftp手册页 ---
如果指定-l参数，syslog会记录每一个ftp会话。
如果指定-L参数，缺省时一旦ftp服务器被调用，命令日志就会激活。这将使服务器记录下所有的USER命令。注意，此时如果一个用户偶然性地在用户名输入时输入了口令，该口令会被syslog记录下来！
如果指定-i参数，ftpd服务器接收到的文件都会被记录到xferlog。
如果指定-o参数，ftpd服务器发送的文件都会被记录到xferlog。
--- snip snip ---
下一步配置是系统调整。这包括了多个文件的管理。第一件事情是确保/etc/passwd文件的安全。首先要确认系统使用了/etc/shadow文件，此保存了所有用户口令密文的文件仅允许root根用户访问，这可以阻止用户口令轻易地被访问和破解。Red Hat 6.0缺省时使用了shadow口令系统，但务必要检查确定。只要运行以下命令，就会将口令系统自动转换到/etc/shadow口令系统：
pwconv
第二步是删除/etc/passwd文件中许多缺省的系统帐号。Linux提供这些帐号主要是用于许多其实极少需要的系统操作。如果不需要这些帐号，删除它们。帐号越多，系统被入侵的可能性就越大。例如"news"帐号，如果不运行nntp新闻组服务器，就不需要该帐号（注意要更新/etc/cron.hourly文件，因为脚本中涉及到了"news"用户）。另外，一定要删除"ftp"帐号，因为该帐号仅用于匿名FTP访问。
我们还要修改/etc/ftpusers文件。任何被列入该文件的帐号将不能ftp到本系统。通常用于限制系统帐号，例如root和bin等，禁止这些帐号的FTP会话。缺省时Linux已创建了该文件。一定要确保root根用户被包含在该文件中，以禁止root与系统的ftp会话。检查并确认需要FTP到该防火墙的所有帐号**不**在/etc/ftpusers文件中。
另外，确保根用户root不能telnet到系统。这强迫用户用其普通帐号登录到系统，然后再su成为root。/etc/securetty文件列出了root所能连接的tty终端。将tty1、tty2等列入该文件中，使root用户只能从本地登录到系统中。ttyp1、ttyp2等是pseudo（虚拟）终端，它们允许root远程telnet到系统中。
最后，创建/etc/issue文件。该ASCII文本文件用于在所有telnet登录时显示的信息。当试图登录到系统中时，该文件中的警告信息将被显示。在Linux系统中要修改/etc/rc.d/init.d/S99local脚本文件，以生成固定的/etc/issue文件。
因为缺省时Linux在每次启动时都生成新的/etc/issue文件。 |
