《系统安全常规优化》

BENET3.0第二学期课程Linux网关及安全应用诺顿报告称网络犯罪每年造成3880亿美元损失来源：搜狐IT2011年09月15日9月15日消息，赛门铁克旗下诺顿今日发布了诺顿网络犯罪研究报告。报告首次指出，全球因网络犯罪造成每年1140亿美元的经济损失。其中中国去年因网络犯罪造成250亿美元的损失。据授受调查的受害者表示，因处理网络犯罪问题而浪费的时间价值2740亿美元。将两项相加后，网络犯罪让全球每年损失3880亿美元，远高于其它形势犯罪交易金额。诺顿的研究报告显示，中国地区的网络犯罪相较于全球更加恶劣，去年全球4.31亿成人遭受过网络犯罪的侵害，其中有差不多一半的受害者在中国，受害人数达到1.96亿人。2网络犯罪目的朝多样化发展

2011年09月14日10:50

网络犯罪形式多样，其中分布式拒绝服务攻击(DDoS)一直被网络罪犯用来进行敲诈和勒索。但是最近，DDoS攻击越来越多的被用做一种抗议形式，用来抗议政府以及大型企业的行为。近日，知名信息安全厂商卡巴斯基发布了《2011年第二季度DDoS攻击》报告，报告显示2011年第二季度发生了多起DDoS攻击，其中的攻击目的复杂多样，而且很多攻击意义重大，足可以被载入网络犯罪编年史。其中最为活跃的黑客团体为LulzSec和Anonymous。他们组织了针对多个国家政府网站的DDoS攻击，其中包括美国、英国、西班牙、土耳其、伊朗等。通过攻击，黑客使得这些网站暂时无法访问，例如(美国中央情报局)和.uk(英国重大组织犯罪调查局(SOCA))。除此之外，企业中索尼遭受了严重的DDoS攻击。今年3月底，索尼曾起诉多位黑客涉嫌破解其PlayStation3平台固件。为了抗议索尼对这些黑客进行法律起诉，Anonymous黑客组织发动了大规模的DDoS攻击，导致该公司的PlayS网站一度无法访问。但这只是冰山一角，索尼公司称，DDoS攻击过程中，索尼的PSN服务服务器被攻破，造成7700万用户数据被盗。32011年网络安全形势更复杂

2011年03月14日08:09来源：北京晨报国家互联网应急中心近日发布的《2010年互联网网络安全态势报告》指出，随着我国互联网新技术、新应用的快速发展，2011年的网络安全形势将更加复杂。该报告认为，2011年，中国网络安全形势可能呈现如下特点：

——网络安全形势日益严峻，针对我国互联网基础设施和金融、证券、交通、能源、海关、税务、工业、科技等重点行业的联网信息系统的探测、渗透和攻击将逐渐增多。

——黑客地下产业将更加专注于网络钓鱼、攻击勒索、网络刷票、个人隐私窃取等能够直接获利或易于获利的攻击方式；大型商业网站将成为热点目标。

——网络安全技术对抗将不断升级，恶意代码的变种数量将激增，“免杀”能力将进一步增强；窃密木马将不断演变升级，木马的投放方式将更加隐藏和具有欺骗性，木马抗查杀将更加强大；网络攻击的规模将进一步扩大，对公共互联网安全运行带来严重影响；为躲避处置和打击，网络攻击的跨境特点将更加突出。

——随着智能终端的迅速普及，移动互联网的安全问题凸显，手机恶意程序数量将急剧增加，其功能将集中在恶意扣费、弹出广告、垃圾短信和窃听窃取方面，手机用户的经济利益和个人隐私安全面临挑战。42011年网络安全形势更复杂网络安全工程师成香饽饽

2011-06-2110:43:00来源:浙江在线“3Q”大战、网络银行卡诈骗、支付宝转账诈骗、窃取泄漏网络用户信息……近年来，网络信息安全越来越受到挑战。国家互联网应急中心3月发布的《2010年互联网网络安全态势报告》指出，随着我国互联网新技术、新应用的快速发展，2011年的网络安全形势更加复杂。互联网的发展，种种网络病毒与网络犯罪也随之而来，为了减少和防止该类犯罪给企业和个人带来的隐患，网络安全工程师这一神秘职业逐渐为人们所熟悉。社会对信息安全服务的需求很大，军队、国防、银行、税务、证券、机关、电子商务都急需大批网络安全人才，网络安全工程师已跻身IT新贵之列。在我国，根据国家信息化建设的规模保守估计，2011年国内网络安全专业人才仍存在近百万的巨大缺口，高级的战略人才和专业技术人才尤其匮乏。目前，中国网络安全人才正处在一个起步过程，网络上充斥着大量黑客培训，多属于技巧训练，和真正的网络安全人才培养有本质区别，是完全不同的概念。如果这种局面不进一步改变，网络安全人才的空档只会继续拉大，直接导致国家经济损失加大。5课程目标针对Linux服务器操作系统进行常规安全加固通过部署防火墙、代理等应用构建Linux网关系统检测服务器的安全漏洞，实施远程访问控制监测服务器运行性能、局域网主机的网络流量6课程结构第一部分第二部分第三部分优化服务器系统安全用户帐号安全管理、文件及文件系统权限安全、进程/程序安全的使用、系统引导和终端登录安全

构建Linux网关iptables防火墙的过滤策略、网关应用策略、squid代理服务器及用户上网控制网络安全应用与监测常用扫描和嗅探工具的使用、服务器漏洞检测、远程登录管理及访问控制、监控服务器性能和流量、监控局域网流量第1章第2～4章第5～6章7BENET3.0第二学期课程第一章系统安全常规优化——理论部分技能展示会加强用户帐号安全的常见措施会加强文件系统安全的常见措施会加强系统引导和登录安全的常见措施9本章结构用户帐号安全优化基本安全措施开关机安全控制GRUB引导菜单加密使用su切换用户身份终端及登录控制使用sudo提升执行权限系统安全常规优化文件和文件系统安全优化系统引导和登录安全优化文件系统级安全控制安全使用应用程序和服务10用户帐号安全优化帐号安全基本措施删除不使用的帐号、禁用暂时不使用的帐号检查程序用户的登录Shell是否异常强制用户定期修改密码（设置密码有效期）

/etc/login.defs文件、chage命令增强普通用户的密码强度

/etc/pam.d/system-auth文件中的minlen参数减少记录命令历史的条数环境变量HISTSIZE设置在命令行界面中超时自动注销环境变量TMOUT教员演示操作过程11Chage举例-m密码可更改最小天数。为零表任何时候都可更改密码。-M密码保持有效的最大天数。-W用户密码到期前，提前收到警告信息的天数。-E帐号到期的日期。过了这天，此帐号将不可用。-d上一次更改的日期chage–M30chenChen密码最大有效期为30天chage–d0chen要求下次登录时必须修改密码设置环境变量TMOUTvim/etc/profileexportTMOUT=60012/boot100MSwap2倍内存大小/余下13使用su切换用户身份su命令用途：SubstituteUser，切换为新的替换用户身份格式：su[-][用户名][zhangsan@localhost~]$

su-口令：[root@localhost~]#whoamiroot未指定用户时，缺省切换为root[root@localhost~]#su-zhangsan[zhangsan@localhost~]$pwd/home/zhangsan[root@localhost~]#suzhangsan[zhangsan@localhostroot]$pwd/root未使用“-”选项时，仍沿用切换前的用户环境14使用su切换用户身份应用示例：仅允许zhangsan用户使用su命令切换身份[root@localhost~]#vi/etc/pam.d/su……authrequiredpam_wheel.souse_uid……[root@localhost~]#gpasswd-azhangsanwheel教员演示操作过程去掉此行行首的“#”15使用sudo提升执行权限sudo机制用途：以可替换的其他用户身份执行命令，若未指定目标用户，默认将视为root用户格式：sudo[-u用户名]命令操作[root@localhost~]#sudo-uzhangsan/bin/touch/tmp/sudotest.file[root@localhost~]#ls-l/tmp/sudotest.file-rw-r--r--1zhangsanzhangsan005-2609:09/tmp/sudotest.file以zhangsan用户身份创建的文件属性16sudo思考[root@localhost~]#su–chen[root@localhost~]$sudo-uroot/bin/touch/tmp/suest.file出现chenisnotinthesudoersfile.怎么办？？17解决办法Visudovi/etc/sudoersrootALL=(ALL)ALL加入chenALL=(ALL)ALL18使用sudo提升执行权限配置文件：/etc/sudoers授权哪些用户可以通过sudo方式执行哪些命令以下2种方法都可以编辑sudoers文件Visudovi/etc/sudoers19使用sudo提升执行权限在sudoers文件中的基本配置格式用户主机名列表=命令程序列表[root@localhost~]#grep"^root"/etc/sudoersrootALL=(ALL)ALL被授权的用户在哪些主机中使用允许执行哪些命令针对root用户的sudo配置特例允许以哪些用户的身份执行命令，缺省为root20使用sudo提升执行权限应用示例1：需求描述：允许用户mikey通过sudo执行/sbin、/usr/bin目录下的所有命令，但是禁止调用ifconfig、vim命令授权wheel组的用户不需验证密码即可执行所有命令为sudo机制增加日志功能[root@localhost~]#visudoDefaultslogfile="/var/log/sudo"……mikeylocalhost=/sbin/*,/usr/bin/*,!/sbin/ifconfigeth0,!/usr/bin/vim%wheelALL=(ALL)NOPASSWD:ALL[root@localhost~]#vi/etc/syslog.conflocal2.debug /var/log/sudo21使用sudo提升执行权限应用示例1（续）：测试sudo配置的效果查看允许执行的命令列表（-l选项）通过sudo执行命令（sudo命令行）清除用户密码验证的时间戳（-k）重新校验密码（-v）教员演示操作过程22使用sudo提升执行权限为sudo配置项定义别名关键字：User_Alias、Host_Alias、Cmnd_Alias在sudo配置行中，可以调用已经定义的别名[root@localhost~]#visudo……User_AliasOPERATORS=jerry,tom,tsengyiaHost_AliasMAILSERVERS=mail,smtp,popCmnd_AliasSOFTWARE=/bin/rpm,/usr/bin/yumOPERATORSMAILSERVERS=SOFTWARE23使用sudo提升执行权限应用示例2：设立组帐号“managers”，授权组内的各成员用户可以添加、删除、更改用户帐号推荐步骤：创建管理组帐号“managers”

将管理员帐号（如zhangsan、lisi）加入到managers组配置sudo文件，针对managers组放开对useradd、userdel等用户管理命令的权限使用zhangsan帐号登录后，验证是否可以添加、删除用户24小结请思考：如何使系统用户定期（如3个月）修改密码？使用su命令时，是否带“-”选项有何区别？sudo配置记录的基本格式是什么？如何通过sudo调用被授权执行的命令？25文件系统级安全控制合理规划系统分区/boot、/home、/var、/opt等建议单独分区文件系统（分区）的挂载选项mount命令的-onosuid、-onoexec

选项锁定文件的i节点chattr命令（+i锁定、-i解锁）lsattr命令（查看锁定情况）26安全使用应用程序和服务关闭不需要的系统服务使用ntsysv、chkconfig管理工具禁止普通用户执行init.d目录中的脚本限制“other”组的权限禁止普通用户执行控制台程序consolehelper控制台助手配置目录：/etc/security/console.apps/[root@localhost~]#cd/etc/security/console.apps/[root@localhost~]#tarzcpvfconpw.tgzpoweroffhaltreboot--remove转移对应的配置文件27安全使用应用程序和服务去除程序文件中非必需的set位权限setuid、setgid的用途？有何隐患？如何找出设置了set位权限的文件?[root@localhost~]#ls-lh$(find/-typef-perm+6000)[root@localhost~]#find/-typef-perm+6000-execls-lh{}\;或者28安全使用应用程序和服务应用示例：监控系统中新增了哪些使用set位权限的文件推荐步骤：建立系统正常状态下的suid/sgid文件列表查找当前系统中所有的suid/sgid文件列表比较前后结果，输出新增加的内容编写脚本文件实现比对功能可以结合cron设置计划任务定期进行检查#!/bin/bashOLD_LIST=/etc/sfilelistforiin`find/-typef-a-perm+6000`dogrep-F"$i"$OLD_LIST>/dev/null[$?-ne0]&&ls-lh$idone查找现有的suid/sgid文件列表对比原有的suid/sgid文件列表29开关机安全控制服务器的物理安全控制调整BIOS引导设置修改启动顺序设置管理密码禁用Ctrl+Alt+Del重启热键修改/etc/inittab文件，并执行“initq”重载配置30GRUB引导菜单加密加密引导菜单的作用修改启动参数时需要验证密码进入所选择的系统前需要验证密码在grub.conf文件中设置密码的方式password明文密码串password--md5

加密密码串密码设置行的位置全局部分（第一个“title”之前）系统引导参数部分（每个“title”部分之后）31default=0timeout=5splashimage=(hd0,0)/grub/splash.xpm.gzpassword--md5$1$Qq15d$bEjy8VeMCrNcIJCEESqyY/titleRedHatEnterpriseLinuxServer(2.6.18-8.el5)password123456root(hd0,0)……GRUB引导菜单加密grub.conf文件中的加密配置行示例限制进入该系统限制修改引导参数获得MD5加密格式的密码字符串grub-md5-crypt教员演示操作过程32本地终端及登录控制立即禁止普通用户登录/etc/nologin设置启用哪些tty终端/etc/inittab控制允许root用户登录的终端/etc/securetty更改系统登录提示，隐藏系统版本信息/etc/issue、/etc/33[root@localhost~]#vi/etc/security/access.conf-:ALLEXCEPTroot:tty1-:root:/24/16本地终端及登录控制pam_access认证控制（限制本地登录）1.启用认证模块，修改如下文件：

/etc/pam.d/login(本地登录)/etc/pam.d/sshd(远程登录)2.添加认证配置，修改如下文件：

/etc/security/access.conf配置格式：

权限:用户列表:登录地点[root@localhost~]#vi/etc/pam.d/loginaccountrequiredpam_access.so34本章总结用户帐号安全优化基本安全措施开关机安全控制GRUB引导菜单加密使用su切换用户身份终端及登录控制使用sudo提升执行权限系统安全常规优化文件和文件系统安全优化系统引导和登录安全优化文件系统级安全控制安全使用应用程序和服务35BENET3.0第二学期课程第一章系统安全常规优化——上机部分实验案例1：使用su/sudo控制用户权限需求描述su身份切换限制允许远程管理用户radmin执行“su-”命令切换到root用户禁止其他所有用户使用su命令切换身份sudo执行权限切换限制

zhangsan负责公司员工的帐号管理，允许其通过sudo方式添