|
|
4、在/etc/vfsab文件中对安装文件系统做限制 在安装文件系统时,使用一些参数可以提高文件系统的安全性和鲁棒性。使用mount命令检查哪些
参数生效,这些参数包括:nosuid、logging、noatime、size=xxxm、ro。 Mount参数 OS版本 描 述 用 途 nosuid 2.x 关闭SUID程序及SUID设备 不允许存在SUID的/var、 /home或者数据磁盘分区及设备(建议使用chroot environments).。如
果/tmp分区 不在磁盘上,此参数无效。 logging 2.7或者更高版本 为分区记录transaction日志。可以大提高文件系统检查的速度,特别是针对大容量的磁盘。缺点
是需要耗费时间进行写log的操作。 /usr /opt /home分区 建议除根区(如果使用了Veritas的VxVM)和对磁盘写性能要求非常高的分区外,都使用此参数。 noatime 2.7或者更高版本 允许mount的文件系统,在每次访问文件时对文件节点号不做更新,这样可以显著提高某些服务,
如对大量小文件进行频繁IO操作的web cache或者新闻服务。 /var或者文件频繁存取的分区 (web缓存或news分区)。 size=100m 2.5.1 or later 允许/tmp分区只使用100MB的交换空间。这个值通常取交换的30%。 在mount /tmp时使用 ro 2.x 只读。将文件系统mount成为只读只能对文件系统做有限制的保护(因为攻击者一旦取得root权限
,他可以将文件系统重新mount成读写)。 可以缩短系统启动时,执行fsck的时间,提高性能的同时,可以避免管理员无意中的错误(如误
删除文件等)。 /usr及/opt分区最好mount成为只读方式,但是将/usr分区mount成为只读方式的情况下,通常需
要将/usr/local建立的另外的分区上。
在编辑vfstab文件时要特别小心,对/ 及/usr分区的错误改动可能会导致系统不能引导。如果出
现这种情况,使用安装光盘将以单用户模式引导后,mount上有错误的磁盘,更正vfstab文件后,
reboot使改动生效。 下面是vfstab文件的两个例子: 一个只有/及/var的服务器,操作系统是Solaris2.8 fd - /dev/fd fd - no - /proc - /proc proc - no - /dev/dsk/c0t3d0s1 - - swap - no logging /dev/dsk/c0t3d0s0 /dev/rdsk/c0t3d0s0 / ufs 1 no logging /dev/dsk/c0t3d0s7 /dev/rdsk/c0t3d0s7 /var ufs 1 no logging,nosuid,noatime swap - /tmp tmpfs - yes size=100m 有较多分区的服务器 fd - /dev/fd fd - no - /proc - /proc proc - no - swap - /tmp tmpfs - yes size=200m /dev/dsk/c0t8d0s0 /dev/rdsk/c0t8d0s0 / ufs 1 no logging /dev/dsk/c0t8d0s1 - - swap - no - /dev/dsk/c0t8d0s4 /dev/rdsk/c0t8d0s4 /usr ufs 1 no logging /dev/dsk/c0t8d0s6 /dev/rdsk/c0t8d0s6 /var ufs 1 no nosuid,noatime,logging /dev/dsk/c0t8d0s5 /dev/rdsk/c0t8d0s5 /opt ufs 2 yes logging
5、在Solaris 8中安装Sunscreen EFS防火墙 安装本地防火墙对系统进行保护。 1. 在Solaris 8系统的iPlanet CD#2光盘上,带有Sunscreen EFS的限制版。也可以从Sun的主页
下载此版本。 2. 对于老版本的Solaris系统,可以使用Ipfilter作为本机防火墙。
Sunscreen EFS可以保护网络通信,下面使用命令行对防火墙规则的设置作简单介绍。 * 防火墙的安装:在最终用户模式安装Solaris8系统,安装防火墙时,如果提示没有安装
SUNWsprot,需要用Solaris2号光盘先行安装: pkgadd -d /cdrom/sol_8_sparc_2/Solaris_8/Product SUNWsprot 再使用iPlanet CD#2光盘,启动Sunscreen安装工具: /cdrom/cdrom0/SunScreen/screenInstaller 除了Naming services=DNS(不使用NIS)外,其它选项都使用缺省设置。 配置:设置简单的防火墙规则,找到正在运行的防火墙规则,显示缺省规则并对其进行编辑。 #cd /opt/SUNWicg/SunScreen/bin; #./ssadm active Active configuration:www default Initial.2 #./ssadm edit Initial edit>list rule 1 "common""*""*"ALLOW edit>list address "*"RANGE 0.0.0.0 255.255.255.255 "le0.net"RANGE 176.17.17.0 176.17.17.255 "localhost"HOST "smtp-server"HOST 1.1.1.1 "www_le0"GROUP{}{} edit>list service common "commom"GROUP"tcp all""udp all""syslog""dns""rpc all""nfs prog""icmp
all""rip""ftp""real audio""pmap udp all""pmap tcp all""rpc tcp
all""nis""archie""traceroute""ping" 可以看出,缺省的规则让很少的服务通过。
我们假设在设置一台HTTPD服务器(在80端囗),并使用SSH进行管理。允许使用ping和
traceroute命令进行初步的错误检查。我们需要如下设置防火墙的规则: #./ssadm edit Initial edit>add service ssh SINGLE FORWARD "tcp" PORT 22 edit>add service myhttp GROUP ping traceroute ssh www edit>replace rule 1 ALLOW myhttp"*""*" edit>list rule 1 "myhttp""*""*"ALLOW edit>save edit>verify Configuration verified successfully(not activated) edit>quit www#./ssadm activate Initial Configuration activated successfully on www * 在一台管理机上,允许使用ssh和smtp(用来email报警),可以对外使用ping/traceroute,进行
检查,为降低风险,只响应其它管理主机的ping/traceroute请求。允许通过HTTPS及使用dns查询
。 # cd /opt/SUNWicg/SunScreen/bin; # ./ssadm edit Initial edit> add address mgt_net RANGE 176.17.17.0 176.17.17.255 edit> add service mgt GROUP ping traceroute ssh edit> add service https SINGLE FORWARD"tcp" PORT 443 edit> add service outgoing GROUP ping traceroute dns edit> edit> replace rule 1 ALLOW www "*" localhost edit> replace rule 2 ALLOW https "*" localhost edit> replace rule 3 ALLOW mgt mgt_net localhost edit> replace rule 4 ALLOW outgoing localhost "*" edit> replace rule 5 ALLOW smtp localhost mgt_net edit> edit> save edit> verify Configuration verified successfully (not activated). # ./ssadm activate Initial Configuration activated successfully on 检查网络连接,确定改动的规则已经生效。如果要恢复初始设置,将所有的规则删除后,加入下
面一行: replace rule 1 ALLOW "common""*""*"
最后,关闭防火墙的远程图形管理功能,只使用"ssadm"命令行工具进行管理。 注释掉/etc/rc2.d/S63sunscreen文件中的下面一行: $SS_LIBDIR/run_httpd start efshttpd 在/opt/SUNWicg/SunScreen/lib/ss_boot中,注释掉: $SS_LIBDIR/ssadmserver star>/dev/console 2>&1
6、进一步增强系统的可靠性:路由、邮件、 解析及工具的设置 到此,系统已经进行了初步的加固,以root方式登录。 * 设置路由 * 对于缺省路由,将网关的IP地址添加到/etc/defaultrouter文件中。 * 对于静态路由,使用route命令创建/etc/init.d/static_routes文件及
/etc/rc2.d/S99static_routes符号连接 * 清空路由表,为特定网络指定路由,如: route -f add net 129.97 `cat /etc/defaultrouter` * 如果需要运行路由守护进程(不建议使用),要清楚其工作原理,否则它可能会导致你网络通信
的不正常。使用'-q'参数的“安静”模式(quiet mode),或者在使用ifconfig命令配置网络接囗
设备时,使用'private'参数,告诉网络接囗设备不要对外广播路由信息。运行“安静”模式,要
在/etc/yassp.conf文件中设置SUNSTARTUP=YES并确定没有设置缺省路由。 * 配置/etc/hosts文件,添加不想通过DNS解晰的服务器名。 * DNS客户端:(对于关键任务的主机不要设置)在/etc/resolv.conf文件中添加域名及DNS服务器
名,在/etc/nsswitch.conf文件中hosts行添加DNS条目。 * 环境的设置:在/.cshrc /.profile:设置aliases和变量(如VISUAL,EDITOR和PATH,路径的环境
变量中不要包括当前路径".")。 * 使用useradd工具在系统中添加新的用户。首次运行后,会产生/etc/sadm/defadduser缺省新加
用户设置。可以编辑此文件,对新增用户做缺省的设置。 * 邮件客户端的设置:如果不对外网外送邮件,则不需要配置mailhost alias(在/etc/hosts文
件中),如果不需要任何形式的邮件服务,删除/etc/lib/sendmail程序。否则: * 编辑/etc/mail/aliases文件,至少将mailer-daemon、根及其它系统帐户指向其真实地址。 * 在/etc/hosts文件中加入带有IP地址的邮件服务器条目,alias用mailhost。 * 将完整的域名添加到/etc/hosts中,设置hostname.YOURDOMAIN.COM的alias。 * 在/etc/mail/sendmail.cf文件中作如下设置,确保所有的外发邮件通过邮件主机发送(前面两
行在Solaris8中无需设置): Dj$w.YOURDOMAIN.COM. DSmailhost DRmailhost Dhmailhost O FallbackMXhost=mailhost * 在root的cron中加入如下条目,将缓存的邮件在工作时间内每小时发送一次 0 6-22 * * 1-5 /usr/lib/sendmail -q * 发送一封测试邮件,对配置进行检查 mailx -v -s test_email root * Email服务器:设置Email服务器(运行SMTP服务),在这里不做详细介绍。
Reboot,查错 安装相应的工具及脚本,确保程序已经在其它主机上编辑测试通过。 * 将安全工具安装在/secure目录中,如下面会用到的:rotate_cron,rotate_log,wtrim.pl,
rdistd,Saveit,Weekly。然后将/secure目录模式设置为: chmod 700 /secure;chown -R root /resure * 在Solaris8系统的附件光盘上,如Software Companion光盘带有许多常用的工具,如PPP、
samba、wu-ftp(出于安全性考虑,避免使用)、Development/Libraries、Development/Tools、
X11应用、vim/emacs、Windows管理器等。使用图形化的安装工具或者通过SSH和X11隧道登录到服
务器上,进入相应的目录,使用pkgadd命令进行安装。 * 安装其它的常用工具,如traceroute、top或者lsof(不要设置SUID位)。 * 安装perl,并建立/bin/perl符号链接(ln -s /usr/local/bin/perl /bin/perl)。 Solaris8系统已经内置了一个版本的perl,但最好删除它(pkgrm SUNWpl5u SUNWpl5p SUNWpl5m
),从Sunfreeware.com下载最新的版本进行安装(pkgadd -d perl-5.6.0-sol8.sparc-local)。
| | |
阅读(516) | 评论(0) | 转发(0) |