Chinaunix首页 | 论坛 | 博客
  • 博客访问: 103554275
  • 博文数量: 19283
  • 博客积分: 9968
  • 博客等级: 上将
  • 技术积分: 196062
  • 用 户 组: 普通用户
  • 注册时间: 2007-02-07 14:28
文章分类

全部博文(19283)

文章存档

2011年(1)

2009年(125)

2008年(19094)

2007年(63)

分类:

2008-05-02 22:46:20


4、在/etc/vfsab文件中对安装文件系统做限制 
在安装文件系统时,使用一些参数可以提高文件系统的安全性和鲁棒性。使用mount命令检查哪些 

参数生效,这些参数包括:nosuid、logging、noatime、size=xxxm、ro。 
Mount参数 
OS版本 
描 述 
用 途 
nosuid 
2.x 
关闭SUID程序及SUID设备 
不允许存在SUID的/var、 /home或者数据磁盘分区及设备(建议使用chroot environments).。如 

果/tmp分区 
不在磁盘上,此参数无效。 
logging 
2.7或者更高版本 
为分区记录transaction日志。可以大提高文件系统检查的速度,特别是针对大容量的磁盘。缺点 

是需要耗费时间进行写log的操作。 
/usr /opt /home分区 
建议除根区(如果使用了Veritas的VxVM)和对磁盘写性能要求非常高的分区外,都使用此参数。 
noatime 
2.7或者更高版本 
允许mount的文件系统,在每次访问文件时对文件节点号不做更新,这样可以显著提高某些服务, 

如对大量小文件进行频繁IO操作的web cache或者新闻服务。 
/var或者文件频繁存取的分区 (web缓存或news分区)。 
size=100m 
2.5.1 or later 
允许/tmp分区只使用100MB的交换空间。这个值通常取交换的30%。 
在mount /tmp时使用 
ro 
2.x 
只读。将文件系统mount成为只读只能对文件系统做有限制的保护(因为攻击者一旦取得root权限 

,他可以将文件系统重新mount成读写)。 
可以缩短系统启动时,执行fsck的时间,提高性能的同时,可以避免管理员无意中的错误(如误 

删除文件等)。 
/usr及/opt分区最好mount成为只读方式,但是将/usr分区mount成为只读方式的情况下,通常需 

要将/usr/local建立的另外的分区上。 

在编辑vfstab文件时要特别小心,对/ 及/usr分区的错误改动可能会导致系统不能引导。如果出 

现这种情况,使用安装光盘将以单用户模式引导后,mount上有错误的磁盘,更正vfstab文件后, 

reboot使改动生效。 
下面是vfstab文件的两个例子: 
一个只有/及/var的服务器,操作系统是Solaris2.8 
fd - /dev/fd fd - no - 
/proc - /proc proc - no - 
/dev/dsk/c0t3d0s1 - - swap - no logging 
/dev/dsk/c0t3d0s0 /dev/rdsk/c0t3d0s0 / ufs 1 no logging 
/dev/dsk/c0t3d0s7 /dev/rdsk/c0t3d0s7 /var ufs 1 no logging,nosuid,noatime 
swap - /tmp tmpfs - yes size=100m 
有较多分区的服务器 
fd - /dev/fd fd - no - 
/proc - /proc proc - no - 
swap - /tmp tmpfs - yes size=200m 
/dev/dsk/c0t8d0s0 /dev/rdsk/c0t8d0s0 / ufs 1 no logging 
/dev/dsk/c0t8d0s1 - - swap - no - 
/dev/dsk/c0t8d0s4 /dev/rdsk/c0t8d0s4 /usr ufs 1 no logging 
/dev/dsk/c0t8d0s6 /dev/rdsk/c0t8d0s6 /var ufs 1 no nosuid,noatime,logging 
/dev/dsk/c0t8d0s5 /dev/rdsk/c0t8d0s5 /opt ufs 2 yes logging 

5、在Solaris 8中安装Sunscreen EFS防火墙 
安装本地防火墙对系统进行保护。 
1. 在Solaris 8系统的iPlanet CD#2光盘上,带有Sunscreen EFS的限制版。也可以从Sun的主页 

下载此版本。 
2. 对于老版本的Solaris系统,可以使用Ipfilter作为本机防火墙。 

Sunscreen EFS可以保护网络通信,下面使用命令行对防火墙规则的设置作简单介绍。 
* 防火墙的安装:在最终用户模式安装Solaris8系统,安装防火墙时,如果提示没有安装 

SUNWsprot,需要用Solaris2号光盘先行安装: 
pkgadd -d /cdrom/sol_8_sparc_2/Solaris_8/Product SUNWsprot 
再使用iPlanet CD#2光盘,启动Sunscreen安装工具: 
/cdrom/cdrom0/SunScreen/screenInstaller 
除了Naming services=DNS(不使用NIS)外,其它选项都使用缺省设置。 
配置:设置简单的防火墙规则,找到正在运行的防火墙规则,显示缺省规则并对其进行编辑。 
#cd /opt/SUNWicg/SunScreen/bin; 
#./ssadm active 
Active configuration:www default Initial.2 
#./ssadm edit Initial 
edit>list rule 
"common""*""*"ALLOW 
edit>list address 
"*"RANGE 0.0.0.0 255.255.255.255 
"le0.net"RANGE 176.17.17.0 176.17.17.255 
"localhost"HOST 
"smtp-server"HOST 1.1.1.1 
"www_le0"GROUP{}{} 
edit>list service common 
"commom"GROUP"tcp all""udp all""syslog""dns""rpc all""nfs prog""icmp 

all""rip""ftp""real audio""pmap udp all""pmap tcp all""rpc tcp 

all""nis""archie""traceroute""ping" 
可以看出,缺省的规则让很少的服务通过。 

我们假设在设置一台HTTPD服务器(在80端囗),并使用SSH进行管理。允许使用ping和 

traceroute命令进行初步的错误检查。我们需要如下设置防火墙的规则: 
#./ssadm edit Initial 
edit>add service ssh SINGLE FORWARD "tcp" PORT 22 
edit>add service myhttp GROUP ping traceroute ssh www 
edit>replace rule 1 ALLOW myhttp"*""*" 
edit>list rule 
"myhttp""*""*"ALLOW 
edit>save 
edit>verify 
Configuration verified successfully(not activated) 
edit>quit 
www#./ssadm activate Initial 
Configuration activated successfully on www 
* 在一台管理机上,允许使用ssh和smtp(用来email报警),可以对外使用ping/traceroute,进行 

检查,为降低风险,只响应其它管理主机的ping/traceroute请求。允许通过HTTPS及使用dns查询 

。 
# cd /opt/SUNWicg/SunScreen/bin; 
# ./ssadm edit Initial 
edit> add address mgt_net RANGE 176.17.17.0 176.17.17.255 
edit> add service mgt GROUP ping traceroute ssh 
edit> add service https SINGLE FORWARD"tcp" PORT 443 
edit> add service outgoing GROUP ping traceroute dns 
edit> 
edit> replace rule 1 ALLOW www "*" localhost 
edit> replace rule 2 ALLOW https "*" localhost 
edit> replace rule 3 ALLOW mgt mgt_net localhost 
edit> replace rule 4 ALLOW outgoing localhost "*" 
edit> replace rule 5 ALLOW smtp localhost mgt_net 
edit> 
edit> save 
edit> verify 
Configuration verified successfully (not activated). 
# ./ssadm activate Initial 
Configuration activated successfully on 
检查网络连接,确定改动的规则已经生效。如果要恢复初始设置,将所有的规则删除后,加入下 

面一行: 
replace rule 1 ALLOW "common""*""*" 

最后,关闭防火墙的远程图形管理功能,只使用"ssadm"命令行工具进行管理。 
注释掉/etc/rc2.d/S63sunscreen文件中的下面一行: 
$SS_LIBDIR/run_httpd start efshttpd 
在/opt/SUNWicg/SunScreen/lib/ss_boot中,注释掉: 
$SS_LIBDIR/ssadmserver star>/dev/console 2>&1 

6、进一步增强系统的可靠性:路由、邮件、 解析及工具的设置 
到此,系统已经进行了初步的加固,以root方式登录。 
* 设置路由 
* 对于缺省路由,将网关的IP地址添加到/etc/defaultrouter文件中。 
* 对于静态路由,使用route命令创建/etc/init.d/static_routes文件及 

/etc/rc2.d/S99static_routes符号连接 
* 清空路由表,为特定网络指定路由,如: 
route -f add net 129.97 `cat /etc/defaultrouter` 
* 如果需要运行路由守护进程(不建议使用),要清楚其工作原理,否则它可能会导致你网络通信 

的不正常。使用'-q'参数的“安静”模式(quiet mode),或者在使用ifconfig命令配置网络接囗 

设备时,使用'private'参数,告诉网络接囗设备不要对外广播路由信息。运行“安静”模式,要 

在/etc/yassp.conf文件中设置SUNSTARTUP=YES并确定没有设置缺省路由。 
* 配置/etc/hosts文件,添加不想通过DNS解晰的服务器名。 
* DNS客户端:(对于关键任务的主机不要设置)在/etc/resolv.conf文件中添加域名及DNS服务器 

名,在/etc/nsswitch.conf文件中hosts行添加DNS条目。 
* 环境的设置:在/.cshrc /.profile:设置aliases和变量(如VISUAL,EDITOR和PATH,路径的环境 

变量中不要包括当前路径".")。 
* 使用useradd工具在系统中添加新的用户。首次运行后,会产生/etc/sadm/defadduser缺省新加 

用户设置。可以编辑此文件,对新增用户做缺省的设置。 
* 邮件客户端的设置:如果不对外网外送邮件,则不需要配置mailhost alias(在/etc/hosts文 

件中),如果不需要任何形式的邮件服务,删除/etc/lib/sendmail程序。否则: 
* 编辑/etc/mail/aliases文件,至少将mailer-daemon、根及其它系统帐户指向其真实地址。 
* 在/etc/hosts文件中加入带有IP地址的邮件服务器条目,alias用mailhost。 
* 将完整的域名添加到/etc/hosts中,设置hostname.YOURDOMAIN.COM的alias。 
* 在/etc/mail/sendmail.cf文件中作如下设置,确保所有的外发邮件通过邮件主机发送(前面两 

行在Solaris8中无需设置): 
Dj$w.YOURDOMAIN.COM. 
DSmailhost 
DRmailhost 
Dhmailhost 
O FallbackMXhost=mailhost 
* 在root的cron中加入如下条目,将缓存的邮件在工作时间内每小时发送一次 
0 6-22 * * 1-5 /usr/lib/sendmail -q 
* 发送一封测试邮件,对配置进行检查 
mailx -v -s test_email root 
* Email服务器:设置Email服务器(运行SMTP服务),在这里不做详细介绍。 

Reboot,查错 
安装相应的工具及脚本,确保程序已经在其它主机上编辑测试通过。 
* 将安全工具安装在/secure目录中,如下面会用到的:rotate_cron,rotate_log,wtrim.pl, 

rdistd,Saveit,Weekly。然后将/secure目录模式设置为: 
chmod 700 /secure;chown -R root /resure 
* 在Solaris8系统的附件光盘上,如Software Companion光盘带有许多常用的工具,如PPP、 

samba、wu-ftp(出于安全性考虑,避免使用)、Development/Libraries、Development/Tools、 

X11应用、vim/emacs、Windows管理器等。使用图形化的安装工具或者通过SSH和X11隧道登录到服 

务器上,进入相应的目录,使用pkgadd命令进行安装。 
* 安装其它的常用工具,如traceroute、top或者lsof(不要设置SUID位)。 
* 安装perl,并建立/bin/perl符号链接(ln -s /usr/local/bin/perl /bin/perl)。 
Solaris8系统已经内置了一个版本的perl,但最好删除它(pkgrm SUNWpl5u SUNWpl5p SUNWpl5m 

),从Sunfreeware.com下载最新的版本进行安装(pkgadd -d perl-5.6.0-sol8.sparc-local)。 

 
阅读(516) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~