Linux服务器平台的安全保护 (1)

互联网上有许多企业公司和组织采用Linux作为服务器平台。当这些服务器与互联网连接以提供应用服务时，不可避免地会成为攻击目标。本文讨论Linux系统安全配置的一些基本知识，以帮助你保护Linux系统。

虽然在这里以Red Hat 6.0为例子，但也应该适用于其它Linux发行版本。

1、安装

配置系统安全的头一步最好是在系统的开始－－操作系统的安全。因为配置的是防火墙，所以你绝对不能信任任何以前的系统安装和配置，而应该从全新安装开始，才能真正保证系统安全的完整性。

使你的系统处于单独（或隔离）的网络中。决不要让未受保护的系统连接到其它网络或互联网中受到可能的攻击。按我个人的经验，一个连接到互联网的新安装系统可以在15分钟内被扫描和入侵取得完全控制权。你可能需要另一台机器从互联网获取重要工具和安全补丁等等，然后再从这些机器将其传送到单独的"配置网络"中。

当把将要作为未来防火墙的机器放置于隔离的网络中时，就可以开始下一步了。

第一步是选择操作系统将要安装的软件包。对于Red Hat 6.0，提供了三种安装选择：Workstation（工作站）、Server（服务器）、Custom（定制，缺省选项）。我个人强烈推荐"定制"，因为这允许你选择添加哪些服务和硬盘如何分区。安装策略是在维持最大化效率时进行"最小化"安装。系统中的软件越少，潜在的安全漏洞就会越少。例如，如果你不需要News或Real Audio Server，就不要安装它。Linux系统有一个好处就是如果你后来改变了想法，也是很容易添加所需软件包的。不管选择了哪种安装方式，手册页和HOWTO文档都应该是必不可缺的。虽然可能会使系统增加一点点风险，但它们有时确实特别有用。

如果选择了"定制"安装，会被提示进行硬盘分区。我个人通常喜欢使根分区尽可能地大，并且把所有东西都放在那里。然后，我们确实需要创建几个分区以保护根分区。因为如果根分区被例如系统日志或电子邮件等数据塞满的话，就会出现拒绝服务，甚至有可能使系统崩溃。

因此，我总是推荐为/var设置一个单独的分区。/var是用于存放系统所有日志和电子邮件的地方，将/var分区独立出来，就能够有效地保护根分区被这些数据塞满。对于许多网络环境，为/var分区设置不少于400MB基本上就足够了。另外可以考虑为某些特定的服务或应用创建或保留单独的分区，特别是敏感的日志记录。如果系统中存在不可完全信任的用户，也许应该为/home创建单独的分区，这样可以避免恶意用户轻易攻击/根分区。对于一台独立服务器以下是一个分区实例：

/ - everything else

/var - 400 MB

swap - (I normally go with 256 MB)

当系统安装完成并重启后，务必要安装必需的安全补丁。对于Red Hat，可以到http://www.redhat.com/apps/support/updates.html找到它的所有安全补丁程序。安全补丁对于维持一个安全的防火墙是至关重要的，应该经常保持更新。

bugtraq@securityfocus.com或redhat-watch-list-request@redhat.com是获取最新安全漏洞信息的最佳资源。如果不安装这些补丁，你的系统可能会轻易入侵。记住，从上面提及的另一台机器获取这些补丁，防火墙机器应该仍处于隔离网络中。对于Red Hat系统，下载RPM包会使系统更新变得更简单。例如是对wu-ftpd进行安全升级的实例：

rpm -Uvh wu-ftpd-2.6.0-14.6x.i386.rpm

如果系统早已处于互联网上，可以直接从互联网上安装：

rpm -Uvh ftp://updates.redhat.com/6.1/i386/wu-ftpd-2.6.0-14.6x.i386.rpm

推荐使用autorpm工具保持对RPM软件包的补丁更新。这个命令行工具分析确定哪些.rpm包需要升级，并会自动（如果你愿意的话）从Red Hat的网站上下载并安装升级文件。这个工具的使用非常灵活简单，可以让其在cron中运行，这样你的系统就会定期自动检查升级更新，并可以向管理员发送提醒系统需要升级的电子邮件。

2、关闭服务

一旦安装完系统的安装包、补丁，重启后，我们现在就可以开始对操作系统进行安全增强配置了。安全增强配置主要包括关闭服务、增加日志、调整几个文件和配置TCP Wrappers。首先从关闭服务开始。

缺省情况下，Solaris是一个提供许多有用服务的高性能操作系统。然而，对于防火墙来说，其中的大多数服务是不需要，且可能是安全风险。首先需要修改/etc/inetd.conf文件。这个文件定义了由/usr/sbin/inetd超级守护进程需要监听的服务。缺省情况下，/etc/inetd.conf会启动35个服务，然而最多仅需要两项：ftp和telnet。其余服务都不是必需的，可以将它们注释（关闭）。这是很重要的，因为inetd监听的许多服务存在严重的安全威胁，例如popd、imapd和rsh。以下命令列出inetd守护进程会监听的服务，请确认将其中不必要的服务的所在行注释（行首加"#"号）：

grep -v "^#" /etc/inetd.conf

下一步要修改的是/etc/rc2.d和/etc/rc3.d目录下的文件。在这里你能够找到被init进程执行的启动脚本。其中也有许多是不需要的。要取消在启动过程中执行一个脚本，只需将对应文件名的起始大写S改为小写s即可。此外，Red Hat系统中带有一个好工具用以关闭服务。只要在命令行输入"/usr/sbin/setup"，然后选择"System Services"，接着再选择在系统启动时需要执行的脚本。另外还有一种方法就是在大多数发行版本中都带有的chkconfig工具。以下启动脚本是系统缺省安装，但通常却不是必需的。如果确定不需要它们，应该将禁止其启动。

注意其中的数字用于决定执行的顺序，在不同的发行版本中可能会有所变化。以大写K开始的脚本用于kill已经在运行中的服务。

S05apmd （仅有笔记本电脑才需要）

S10xntpd （网络时间协议）

S11portmap （如果运行RPC服务则必需打开）

亿恩科技地址(ADD)：郑州市黄河路129号天一大厦608室 邮编(ZIP)：450008 传真(FAX)：0371-60123888
   联系：亿恩小凡
   QQ：89317007
   电话:0371-63322206

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]