- 相關推薦
基于Linux系統(tǒng)的網絡安全策略
摘要： Linux系統(tǒng)是一種應用越來越廣泛的網絡操作系統(tǒng)，為確保系統(tǒng)安全穩(wěn)定的運轉，在實際運用時應該采用適當的安全機制，本文就此提出了切實可行的基于Linux系統(tǒng)的網絡安全策略和保護措施。關鍵詞： Linux、操作系統(tǒng)、網絡安全、策略
1 引言
隨著Internet／Intranet網絡的日益普及，采用Linux網絡操作系統(tǒng)作為服務器的用戶也越來越多，這一方面是因為Linux是開放源代碼的免費正版軟件，另一方面也是因為較之微軟的Windows NT網絡操作系統(tǒng)而言，Linux系統(tǒng)具有更好的穩(wěn)定性、效率性和安全性。在Internet／Intranet的大量應用中，網絡本身的安全面臨著重大的挑戰(zhàn)，隨之而來的信息安全問題也日益突出。以美國為例，據美國聯邦調查局（ＦＢＩ）公布的統(tǒng)計數據，美國每年因網絡安全問題所造成的經濟損失高達75億美元，而全球平均每20秒鐘就發(fā)生一起Internet計算機黑客侵入事件。一般認為，計算機網絡系統(tǒng)的安全威脅主要來自黑客攻擊和計算機病毒2個方面。那么黑客攻擊為什么能夠經常得逞呢？主要原因是很多人，尤其是很多網絡管理員沒有起碼的網絡安全防范意識，沒有針對所用的網絡操作系統(tǒng)，采取有效的安全策略和安全機制，給黑客以可乘之機。在我國，由于網絡安全研究起步較晚，因此網絡安全技術和網絡安全人才還有待整體的提高和發(fā)展，本文希望就這一問題進行有益的分析和探討。
我們知道，網絡操作系統(tǒng)是用于管理計算機網絡中的各種軟硬件資源，實現資源共享，并為整個網絡中的用戶提供服務，保證網絡系統(tǒng)正常運行的一種系統(tǒng)軟件。如何確保網絡操作系統(tǒng)的安全，是網絡安全的根本所在。只有網絡操作系統(tǒng)安全可靠，才能保證整個網絡的安全。因此，詳細分析Linux系統(tǒng)的安全機制，找出它可能存在的安全隱患，給出相應的安全策略和保護措施是十分必要的。
2 Linux網絡操作系統(tǒng)的基本安全機制
Linux網絡操作系統(tǒng)提供了用戶帳號、文件系統(tǒng)權限和系統(tǒng)日志文件等基本安全機制，如果這些安全機制配置不當，就會使系統(tǒng)存在一定的安全隱患。因此，網絡系統(tǒng)管理員必須小心地設置這些安全機制。
2.1 Linux系統(tǒng)的用戶帳號
在Linux系統(tǒng)中，用戶帳號是用戶的身份標志，它由用戶名和用戶口令組成。在Linux系統(tǒng)中，系統(tǒng)將輸入的用戶名存放在/etc/passwd文件中，而將輸入的口令以加密的形式存放在/etc/shadow文件中。在正常情況下，這些口令和其他信息由操作系統(tǒng)保護，能夠對其進行訪問的只能是超級用戶(root)和操作系統(tǒng)的一些應用程序。但是如果配置不當或在一些系統(tǒng)運行出錯的情況下，這些信息可以被普通用戶得到。進而，不懷好意的用戶就可以使用一類被稱為“口令破解”的工具去得到加密前的口令。
2.2 Linux的文件系統(tǒng)權限
Linux文件系統(tǒng)的安全主要是通過設置文件的權限來實現的。每一個Linux的文件或目錄，都有3組屬性，分別定義文件或目錄的所有者，用戶組和其他人的使用權限（只讀、可寫、可執(zhí)行、允許SUID、允許SGID等）。特別注意，權限為SUID和SGID的可執(zhí)行文件，在程序運行過程中，會給進程賦予所有者的權限，如果被黑客發(fā)現并利用就會給系統(tǒng)造成危害。
2.3 合理利用Linux的日志文件
Linux的日志文件用來記錄整個操作系統(tǒng)使用狀況。作為一個Linux網絡系統(tǒng)管理員要充分用好以下幾個日志文件。
2.3.1 /var/log/lastlog文件
記錄最后進入系統(tǒng)的用戶的信息，包括登錄的時間、登錄是否成功等信息。這樣用戶登錄后只要用lastlog命令查看一下/var/log/lastlog文件中記錄的所用帳號的最后登錄時間，再與自己的用機記錄對比一下就可以發(fā)現該帳號是否被黑客盜用。
2.3.2 /var/log/secure文件
記錄系統(tǒng)自開通以來所有用戶的登錄時間和地點，可以給系統(tǒng)管理員提供更多的參考。
2.3.3 /var/log/wtmp文件
記錄當前和歷史上登錄到系統(tǒng)的用戶的登錄時間、地點和注銷時間等信息�？梢杂胠ast命令查看，若想清除系統(tǒng)登錄信息，只需刪除這個文件，系統(tǒng)會生成新的登錄信息。
3 Linux網絡系統(tǒng)可能受到的攻擊和安全防范策略
Linux操作系統(tǒng)是一種公開源碼的操作系統(tǒng)，因此比較容易受到來自底層的攻擊，系統(tǒng)管理員一定要有安全防范意識，對系統(tǒng)采取一定的安全措施，這樣才能提高Linux系統(tǒng)的安全性。對于系統(tǒng)管理員來講特別是要搞清楚對Linux網絡系統(tǒng)可能的攻擊方法，并采取必要的措施保護自己的系統(tǒng)。
3.1 Linux網絡系統(tǒng)可能受到的攻擊類型
3.1.1 “拒絕服務”攻擊
所謂“拒絕服務”攻擊是指黑客采取具有破壞性的方法阻塞目標網絡的資源，使網絡暫時或永久癱瘓，從而使Linux網絡服務器無法為正常的用戶提供服務。例如黑客可以利用偽造的源地址或受控的其他地方的多臺計算機同時向目標計算機發(fā)出大量、連續(xù)的TCP/IP請求，從而使目標服務器系統(tǒng)癱瘓。
3.1.2 “口令破解”攻擊
口令安全是保衛(wèi)自己系統(tǒng)安全的第一道防線。“口令破解”攻擊的目的是為了破解用戶的口令，從而可以取得已經加密的信息資源。例如黑客可以利用一臺高速計算機，配合一個字典庫，嘗試各種口令組合，直到最終找到能夠進入系統(tǒng)的口令，打開網絡資源。
3.1.3 “欺騙用戶”攻擊
“欺騙用戶”攻擊是指網絡黑客偽裝成網絡公司或計算機服務商的工程技術人員，向用戶發(fā)出呼叫，并在適當的時候要求用戶輸入口令，這是用戶最難對付的一種攻擊方式，一旦用戶口令失密，黑客就可以利用該用戶的帳號進入系統(tǒng)。
3.1.4 “掃描程序和網絡監(jiān)聽”攻擊
許多網絡入侵是從掃描開始的，利用掃描工具黑客能找出目標主機上各種各樣的漏洞，并利用之對系統(tǒng)實施攻擊。
網絡監(jiān)聽也是黑客們常用的一種方法，當成功地登錄到一臺網絡上的主機，并取得了這臺主機的超級用戶控制權之后，黑客可以利用網絡監(jiān)聽收集敏感數據或者認證信息，以便日后奪取網絡中其他主機的控制權。
3.2 Linux網絡安全防范策略
縱觀網絡的發(fā)展歷史，可以看出，對網絡的攻擊可能來自非法用戶，也可能來自合法的用戶。因此作為Linux網絡系統(tǒng)的管理員，既要時刻警惕來自外部的黑客攻擊，又要加強對內部網絡用戶的管理和教育，具體可以采用以下的安全策略。
3.2.1 仔細設置每個內部用戶的權限
為了保護Linux網絡系統(tǒng)的資源，在給內部網絡用戶開設帳號時，要仔細設置每個內部用戶的權限，一般應遵循“最小權限”原則，也就是僅給每個用戶授予完成他們特定任務所必須的服務器訪問權限。這樣做會大大加重系統(tǒng)管理員的管理工作量，但為了整個網絡系統(tǒng)的安全還是應該堅持這個原則。
- 確保用戶口令文件/etc/shadow的安全
對于網絡系統(tǒng)而言，口令是比較容易出問題的地方，作為系統(tǒng)管理員應告訴用戶在設置口令時要使用安全口令（在口令序列中使用非字母，非數字等特殊字符）并適當增加口令的長度（大于6個字符）。系統(tǒng)管理員要保護好/etc/passwd和/etc/shadow這兩個文件的安全，不讓無關的人員獲得這兩個文件，這樣黑客利用John等程序對/etc/passwd和/etc/shadow文件進行了字典攻擊獲取用戶口令的企圖就無法進行。系統(tǒng)管理員要定期用John等程序對本系統(tǒng)的/etc/passwd和/etc/shadow文件進行模擬字典攻擊，一旦發(fā)現有不安全的用戶口令，要強制用戶立即修改。
3.2.3 加強對系統(tǒng)運行的監(jiān)控和記錄
Linux網絡系統(tǒng)管理員，應對整個網絡系統(tǒng)的運行狀況進行監(jiān)控和記錄，這樣通過分析記錄數據，可以發(fā)現可疑的網絡活動，并采取措施預先阻止今后可能發(fā)生的入侵行為。如果進攻行為已經實施，則可以利用記錄數據跟蹤和識別侵入系統(tǒng)的黑客。
3.2.4 合理劃分子網和設置防火墻
如果內部網絡要進入Internet，必須在內部網絡與外部網絡的接口處設置防火墻，以確保內部網絡中的數據安全。對于內部網絡本身，為了便于管理，合理分配IP地址資源，應該將內部網絡劃分為多個子網，這樣做也可以阻止或延緩黑客對整個內部網絡的入侵。
3.2.5 定期對Linux網絡進行安全檢查
Linux網絡系統(tǒng)的運轉是動態(tài)變化的，因此對它的安全管理也是變化的，沒有固定的模式，作為Linux網絡系統(tǒng)的管理員，在為系統(tǒng)設置了安全防范策略后，應定期對系統(tǒng)進行安全檢查，并嘗試對自己管理的服務器進行攻擊，如果發(fā)現安全機制中的漏洞應立即采取措施補救，不給黑客以可乘之機。
3.2.6 制定適當的數據備份計劃確保系統(tǒng)萬無一失
沒有一種操作系統(tǒng)的運轉是百分之百可靠的，也沒有一種安全策略是萬無一失的，因此作為Linux系統(tǒng)管理員，必須為系統(tǒng)制定適當的數據備份計劃，充分利用磁帶機、光盤刻錄機、雙機熱備份等技術手段為系統(tǒng)保存數據備份，使系統(tǒng)一旦遭到破壞或黑客攻擊而發(fā)生癱瘓時，能迅速恢復工作，把損失減少到最小。
4 加強對Linux網絡服務器的管理，合理使用各種工具
4.1 利用記錄工具，記錄對Linux系統(tǒng)的訪問
Linux系統(tǒng)管理員可以利用前面所述的記錄文件和記錄工具記錄事件，可以每天查看或掃描記錄文件，這些文件記錄了系統(tǒng)運行的所有信息。如果需要，還可以把高優(yōu)先級的事件提取出來傳送給相關人員處理，如果發(fā)現異常可以立即采取措施。
4.2 慎用Telnet服務
在Linux下，用Telnet進行遠程登錄時，用戶名和用戶密碼是明文傳輸的，這就有可能被在網上監(jiān)聽的其他用戶截獲。另一個危險是黑客可以利用Telnet登入系統(tǒng)，如果他又獲取了超級用戶密碼，則對系統(tǒng)的危害將是災難性的。因此，如果不是特別需要，不要開放Telnet服務。如果一定要開放Telnet服務，應該要求用戶用特殊的工具軟件進行遠程登錄，這樣就可以在網上傳送加密過的用戶密碼，以免密碼在傳輸過程中被黑客截獲。
4.3 合理設置NFS服務和NIS服務
NFS（Network File System）服務，允許工作站通過網絡共享一個或多個服務器輸出的文件系統(tǒng)。但對于配置得不好的NFS服務器來講，用戶不經登錄就可以閱讀或者更改存儲在NFS服務器上的文件，使得NFS服務器很容易受到攻擊。如果一定要提供NFS服務，要確�；贚inux的NFS服務器支持Secure RPC(Secure Remote Procedure Call)，以便利用DES（Data Encryption Standard）加密算法和指數密鑰交換（Exponential Key Exchange）技術驗證每個NFS請求的用戶身份。
NIS（Network Information System）服務，是一個分布式數據處理系統(tǒng)，它使網絡中的計算機通過網絡共享passwd文件，group文件，主機表文件和其他共享的系統(tǒng)資源。通過NIS服務和NFS服務，在整個網絡中的各個工作站上操作網絡中的數據就像在操作和使用單個計算機系統(tǒng)中的資源一樣，并且這種操作過程對用戶是透明的。但是NIS服務也有漏洞，在NIS系統(tǒng)中，不懷好意的用戶可以利用自己編寫的程序來模仿Linux系統(tǒng)中的ypserv 響應ypbind的請求，從而截獲用戶的密碼。因此，NIS的用戶一定要使用ypbind的secure選項，并且不接受端口號小于1024（非特權端口）的ypserv響應。
4.4 小心配置FTP服務
FTP服務與前面講的Telnet服務一樣，用戶名和用戶密碼也是明文傳輸的。因此，為了系統(tǒng)的安全，必須通過對/etc/ftpusers文件的配置，禁止root，bin，daemon，adm等特殊用戶對FTP服務器進行遠程訪問，通過對/etc/ftphosts的設定限制某些主機不能連入FTP服務器，如果系統(tǒng)開放匿名FTP服務，則任何人都可以下載文件（有時還可以上載文件），因此，除非特別需要一般應禁止匿名FTP服務。
4.5 合理設置POP-3和Sendmail等電子郵件服務
對一般的POP-3服務來講，電子郵件用戶的口令是按明文方式傳送到網絡中的，黑客可以很容易截獲用戶名和用戶密碼。要想解決這個問題，必須安裝支持加密傳送密碼的POP-3服務器（即支持Authenticated POP命令），這樣用戶在往網絡中傳送密碼之前，可以先對密碼加密。
老版本的Sendmail郵件服務器程序存在安全隱患，為了確保郵件服務器的安全，應盡可能安裝已消除安全隱患的最新版的Sendmail服務器軟件。
4.6 加強對WWW服務器的管理，提供安全的WWW服務
當一個基于Linux系統(tǒng)的網站建立好之后，絕大部分用戶是通過Web服務器，利用WWW瀏覽器對網絡進行訪問的，因此必須特別重視Web服務器的安全，無論采用哪種基于HTTP協議的Web服務器軟件，都要特別關注CGI腳本（Common Gateway Interface），這些CGI腳本是可執(zhí)行程序，一般存放在Web服務器的CGI-BIN目錄下面，在配置Web服務器時，要保證CGI可執(zhí)行腳本只存放于CGI-BIN目錄中，這樣可以保證腳本的安全，且不會影響到其他目錄的安全。
4.7 最好禁止提供finger 服務
在Linux系統(tǒng)下，使用finger命令，可以顯示本地或遠程系統(tǒng)中目前已登錄用戶的詳細信息，黑客可以利用這些信息，增大侵入系統(tǒng)的機會。為了系統(tǒng)的安全，最好禁止提供finger服務，即從/usr/bin下刪除finger 命令。如果要保留 finger服務，應將finger文件換名，或修改權限為只允許root用戶執(zhí)行finger命令。
5 結束語
由于Linux操作系統(tǒng)使用廣泛，又公開了源碼，因此是被廣大計算機用戶研究得最徹底的操作系統(tǒng)，而Linux本身的配置又相當的復雜，按照前面的安全策略和保護機制，可以將系統(tǒng)的風險降到最低，但不可能徹底消除安全漏洞，作為Linux系統(tǒng)的管理員，頭腦中一定要有安全防范意識，定期對系統(tǒng)進行安全檢查，發(fā)現漏洞要立即采取措施，不給黑客以可乘之機。本文所述的安全措施已在紅旗Linux 1.0 和藍點Linux上獲得驗證，并實際應用于我院圖書館計算機集成管理系統(tǒng)中，確保了我院圖書館計算機集成管理系統(tǒng)安全、穩(wěn)定地運轉。
參考文獻
- 張小斌、嚴望佳。黑客分析與防范技術。北京：清華大學出版社，1999年5月，ISBN7-302-03460-5/TP.1885
- 張軼博、孫占峰。Linux應用大全。北京：機械工業(yè)出版社，2000年1月，ISBN7-111-07768-7
- 施勢帆、呂建毅。Linux網絡服務器實用手冊。北京：清華大學出版社，1999年7月，ISBN7-900617-86-8
作者聯系地址：安徽省淮南市洞山 淮南工業(yè)學院計算機科學與技術系 潘瑜
電子郵件：ypan@hnit.edu.cn
郵政編碼：232001 聯系電話：0554-6647001(H),6668687(O),6668584(O)
作者簡歷：潘瑜，男，1963年出生，碩士，副教授，淮南工業(yè)學院計算機科學與技術系副主任、網絡中心副主任，安徽省計算機學會常務理事。
【基于Linux系統(tǒng)的網絡安全策略】相關文章：
基于Linux的Intranet互聯網教學系統(tǒng)08-06
基于Web技術的網絡考試系統(tǒng)08-06
基于Linux的嵌入式網絡存儲器設計08-06
基于Linux內核的鍵盤模擬實現08-19