网络信息安全管理员培训之五Linux安全配置的知识

1、15.08.2022全军信息安全研究中心1网络信息安全管理员培训15.08.2022全军信息安全研究中心2培训五：Linux安全配置对Linux系统的威胁与对策Linux的安全设置Linux系统安全工具介绍15.08.2022全军信息安全研究中心3对Linux系统的威胁与对策 针对Linux操作系统的威胁有很多种类，下面主要从如下四个方面讨论，给出相关对策：服务拒绝攻击（DoS）本地用户获取非授权的文件的读写权限远程用户获得特权文件的读写权限 远程用户获得根权限15.08.2022全军信息安全研究中心4针对服务拒绝攻击的对策个人主机加强保护加强对服务器的管理 安装验证软件和过滤功能 关闭不必要

2、的服务限制同时打开的Syn半连接数目缩短Syn半连接的timeout时间及时更新系统补丁 15.08.2022全军信息安全研究中心5针对本地用户获取非授权的文件的读写权限的对策主要攻击方法有：黑客诱骗合法用户告知其机密信息或执行任务，有时黑客会假装网络管理人员向用户发送邮件，要求用户给他系统升级的密码 防范的主要方法：对于Linux服务器，最好的办法是将所有shell帐号放置于一个单独的机器上，也就是说，只在一台或多台分配有shell访问的服务器上接受注册。这可以使日志管理、访问控制管理等安全问题管理更容易些 15.08.2022全军信息安全研究中心6针对远程用户获得特权文件的读写权限的对策

3、密码攻击是主要的攻击方法，为此需要增强系统管理员root和普通用户的口令安全性，选择一个强的用户口令：6个字符长度以上至少包含一个大写字母、一个小写字母、一个数字、一个普通字符复杂口令 口令与系统用户名、计算机名、硬件名称等均无关口令不是英文单词或英文缩写词口令定期更换15.08.2022全军信息安全研究中心7针对远程用户获得根权限的对策 这类主要攻击形式是TCP/IP劫持和通信窃听 ，防范的方法包括：（1）安全的拓扑结构。通信窃听只能在当前网络段上进行数据捕获。这就意味着，将网络分段工作进行得越细，窃听能够收集的信息就越少。（2）会话加密。这种方法的优点是明显的：即使攻击者窃听到了数据，这些

4、数据对他也是没有用的。15.08.2022全军信息安全研究中心8Linux的安全设置关闭不必要的服务限制远程存取隐藏重要资料修补安全漏洞采用安全工具经常性的安全检查等必备的安全配置命令 15.08.2022全军信息安全研究中心9关闭不需要的服务Linux使用/etc/inetd服务器程序和/etc/inetd.conf参数文件控制Linux系统服务的运行取消不必要服务的第一步就是检查/etc/inetd.conf文件，在不要的服务前加上“”号 在Redhat Linux操作系统中，还提供了一种GUI界面配置Linux服务的操作方法，如下页所示15.08.2022全军信息安全研究中心10关闭不需

5、要的服务(续)15.08.2022全军信息安全研究中心11关闭不需要的服务(续)15.08.2022全军信息安全研究中心12Linux的口令安全安全的口令设置应遵循以下两点：应当遵循字母、数字、大小写（因为Linux对大小写是有区分）混合使用的规则。使用象“#”、“%”、“$”等特殊字符增加密码的复杂性。例如采用countbak一词，在它后面添加“#$”（countbak#$），这样你就拥有了一个相当有效的密码。 15.08.2022全军信息安全研究中心13设定用户帐号的安全等级 在用户帐号之中，黑客最喜欢具有root权限的帐号，这种超级用户有权修改或删除各种系统设置，可以在系统中畅行无阻。因

6、此，在给任何帐号赋予root权限之前，都必须仔细考虑。如果一定要从远程登录为root权限，最好是先以普通帐号登录，然后利用su命令升级为超级用户。 15.08.2022全军信息安全研究中心14增强安全防护工具 在Unix系统中，有一系列r字头的公用程序，即供远程登录的服务程序，必须关闭这些服务。若确实有远程维护等需要，可采用安全的远程登录，如SSH 。SSH是安全套接层的简称，它是可以安全地用来取代rlogin、rsh和rcp等公用程序的一套程序组。SSH采用公开密钥技术对网络上两台主机之间的通信信息加密，并且用其密钥充当身份验证的工具。Linux系统下也有类似Windows系统的远程管理工具

7、“远程桌面管理系统”。建议使用远程管理软件是“Webmin”，目前的版本是1.020-1，可以到下载，“Webmin” 是使用http或者https的浏览器通过访问以或者来管理系统的工具 。15.08.2022全军信息安全研究中心15启用防火墙 启用防火墙等其他安全工具可有效地阻挡外界的探测和入侵。RedHat Linux9.0自带有防火墙“iptable”，可以在安装时设置和启用，iptable可使用命令行配置或利用GUI界面配置，如下图GUI配置方法：15.08.2022全军信息安全研究中心16日志审计配置按时检查各种系统日志文件，包括一般信息日志、网络连接日志、文件传输日志以及用户登录日

8、志等。在检查这些日志时，要注意是否有不合常理的时间记载。 RedHat Linux中提供了“logwatch”工具，它可定期自动检查日志并发送邮件到管理员信箱，配置方法通过修改/etc/log.d/conf/ logwatch.conf文件实现。15.08.2022全军信息安全研究中心17必备的系统安全命令 passwd：passwd命令原来修改账户的登陆密码，使用权限是所有用户。su： su的作用是变更为其它使用者的身份，超级用户除外，需要键入该使用者的密码。umask：umask设置用户文件和目录的文件创建缺省屏蔽值，若将此命令放入profile文件，就可控制该用户后续所建文件的存取许可。

9、它告诉系统在创建文件时不给谁存取许可。使用权限是所有用户。chgrp：chgrp表示修改一个或多个文件或目录所属的组。使用权限是超级用户。chmod：chmod命令是非常重要的，用于改变文件或目录的访问权限，用户可以用它控制文件或目录的访问权限，使用权限是超级用户。15.08.2022全军信息安全研究中心18必备的系统安全命令 chown：更改一个或多个文件或目录的属主和属组。使用权限是超级用户。chattr：修改ext2和ext3文件系统属性(attribute)，使用权限超级用户。sudo：sudo是一种以限制配置文件中的命令为基础，在有限时间内给用户使用，并且记录到日志中的命令，权限是所

10、有用户。ps：ps显示瞬间进程 (process) 的动态，使用权限是所有使用者。who：who显示系统中有哪些用户登陆系统，显示的资料包含了使用者ID、使用的登陆终端、上线时间、呆滞时间、CPU占用，以及做了些什么。 使用权限为所有用户。15.08.2022全军信息安全研究中心19Linux系统安全工具介绍工具名称工具作用网址Sxid检查系统中的suid,sgid以及没有主人的文件Skey一次性口令工具Logrotate日志循环工具Logcheck日志管理工具Swatch日志管理工具，比logcheck实时Ssh(openssh)提供安全的连接认证15.08.2022全军信息安全研究中心20

11、Linux系统安全工具介绍(续一)工具名称工具作用网址Openssl提供加密的数据传送和认证Portsentry反扫描工具，监视自己的udp和tcp端口Tripwire提供系统完整性检查Freeswan在linux实现VPN的工具hostsentry基于主机的入侵检测，将连接记入日志IpchainsLinux发行版自带的包过滤形防火墙15.08.2022全军信息安全研究中心21Linux系统安全工具介绍(续二)工具名称工具作用网址CFS和TCFS密码文件系统和透明的密码文件系统实现目录下所有文件加密，基于NFSAnti-sniff反嗅探工具，检查网络中是否有嗅探器Gnupg对单个文件进行加密以及创建数字签名Syslog-ng替代syslog的日志文件系统Scandns进行dns检查追踪的工具WhiskerCgi扫描器15.08.2022全军信息安全研究中心22Linux系统安全工具介绍