Ub操作基础系统及教程 8

第12章

安全设置

防火墙是网络安全的基本工具。通过在服务器和外部访客之间建立过滤机制，防火墙在网络层面上实现了安全防范。UbuntuLinux默认的防火墙工具是UFW（UncomplicatedFirewall），它是为了简化防火墙配置而设计的一个前端工具，底层通常使用iptables。本章还将介绍Linux下的网络安全工具，这些工具对于找出系统的安全问题非常有帮助。本章将介绍：● 计算机病毒● 杀毒软件的使用● UFW防火墙● 网络安全工具12.1计算机病毒

提到计算机，病毒就是不可回避的话题，Linux系统也无法躲避病毒的侵害，本节主要介绍病毒的定义、分类和危害。12.1.1计算机病毒简介

科学普及到了一定的程度，已经没有人会拿着酒精棉花去杀灭计算机病毒了。应该承认，这个比喻确实充满艺术性。一段程序指令，旨在破坏计算机的功能和数据，同时能够自我复制—计算机病毒和生物学上的病毒的确非常相似。

病毒总是想尽可能广泛地传播自己。20多年前网络还不怎么发达的时候，病毒的传播总是备受限制，那时候的安全建议往往是在不需要写入数据的软盘上开启写保护。然而随着互联网的普及，病毒的数量和破坏性也呈现了爆炸性的增长。通过网络从一台主机传播到另一台主机是非常容易的事情。历史上让所有人恐慌一时的“冲击波病毒”在短短一周时间内就感染了世界上大部分WindowsXP系统。12.1.1计算机病毒简介

病毒制造者喜欢让自己的程序在计算机中潜伏一段时间，然后让它在某一时刻爆发。这段潜伏期是病毒复制传播自己的好机会，用户此时不会察觉任何异常。病毒可能在不同的地方出现，但通常来说，病毒总是把自己存放在能够得到执行的地方。例如可执行文件、启动扇区（Boot）、硬盘的系统引导扇区（MBR）等。文本文件中的“病毒”是没有意义的，因为它们根本没有运行的机会。

病毒的破坏性有大有小，这通常取决于编写者的“道德”。有些病毒完全不会造成破坏，而只是热衷于四处传播。另一些则会在特定的时候搞些恶作剧，如闪动屏幕、发出声响等。最后那些才是具有实际破坏性的，如删除数据、破坏引导分区、窃取信息等。遗憾的是，互联网上从来都不缺少这类破坏性的病毒。12.1.2计算机病毒分类计算机病毒比较复杂，有很多不同的分类。（1）按感染对象分为引导型、文件型、混合型、宏病毒。（2）按其破坏性分良性病毒、恶性病毒。（3）按照病毒程序入侵系统的途径，可将计算机病毒分为以下4种类型。

操作系统型：这种病毒最常见，危害性也最大。

外壳型：这种病毒主要隐藏在合法的主程序周围，且很容易编写，同时也容易检查和删除。

入侵型：这种病毒是将病毒程序的一部分插入合法的主程序，破坏原程序，这种病毒的编写比较困难。

源码型：这种病毒是在源程序被编译前，将病毒程序插入到高级语言编写的源程序中，经过编译后，成为可执行程序的合法部分。这种程序的编写难度较大，一旦插入，其破坏性极大。12.1.3计算机病毒的危害随着网络支付的发展，越来越多人意识到病毒的危害，病毒的危害常表现在以下几方面。

破坏系统，使系统崩溃，不能使用。

破坏数据使之丢失。

使计算机很慢。

偷走数据，如照片、密码、银行信息。

堵塞网络。12.2杀毒软件的使用

像Windows系统一样，Linux系统也有专门的杀毒软件，其中最著名的就是ClamAV，本节将介绍它的特点和用法。12.2.1ClamAV简介

ClamAV是Linux上最流行的防病毒软件。它包含完整的防病毒工具库，并且更新迅速。ClamAV由TomaszKojm开发，遵循GPL协议免费发放。本书列举的两个Linux发行版（Ubuntu和openSUSE）都在其安装源中包含了这款软件。如果读者使用的发行版本没有包含它，那么可以在上下载到。12.2.2ClamAV的基本配置

对于防毒软件而言，保持更新病毒库和定期查毒几乎同等重要。ClamAV提供了自动更新功能，用户也可以使用命令行工具手动更新病毒库。12.2.3图形化操作ClamAV也提供了图形化的工具，如果读者正在使用Ubuntu的话，可以使用下面这条命令下载并安装这个小工具。$sudoapt-get

installclamtk12.3UFW防火墙

UFW（UncomplicatedFirewall）是Ubuntu系列发行版自带的防火墙管理软件，底层也是基于Iptables的。UFW是一个为了简化Iptables配置而设计的用户友好型接口。它主要用于个人和小型企业环境，提供了易于理解的命令行界面。因为它需要用户自己定制相关规则，因此本节首先对其中一些概念做简单介绍。12.3.1UFW简介

UFW的核心原理是基于Iptables，即Linux内核中用于配置防火墙规则的工具。它通过定义规则集，来控制网络数据包的流动。规则集包括允许或拒绝特定源、目标、端口和协议的数据包。UFW提供了简单的命令行接口，使用户能够轻松的添加、删除和管理这些规则。UFW具有默认的防火墙策略，允许所有出站流量，但拒绝所有入站流量。这表示UFW在未配置的情况下，所有传入连接都会被拒绝，而所有传出连接都会被允许。所以，如果想要允许/阻止某应用程序或端口，则需要手动进行配置。12.3.2语法格式

UFW防火墙通过ufw命令进行管理。语法格式如下所示：ufwCOMMAND

以上语法中，COMMAND参数表示UFW支持的子命令。此时，用户可以使用"--help"选项查看其帮助信息，了解所有子命令及其含义。12.3.3查看UFW防火墙状态

在Ubuntu系统中，UFW防火墙默认是禁用的。用户可以使用status命令查看状态。12.3.4添加规则

当UFW服务启动后，就可以添加防火墙规则了。默认情况下，UFW添加的规则是指允许入站连接。如果要指定允许出站，则需要加上out关键字。语法格式如下所示：$sudoufwallowinport #允许port入站$sudoufwallowoutport #允许port出站12.3.5删除规则

在大部分情况下，管理员在改变防火墙设置之前总是清空所有规则，因为这样可以避免一些不必要的冲突。但是人难免会犯错，管理员有时候需要删除自己刚才的失误。UFW提供了子命令delete可以删除规则。这里可以通过编号和服务两种方式删除，语法格式如下所示：sudoufwdeletenumber #按编号删除sudoufwdeleteallowservice/protocol #按服务删除12.4网络安全工具

形形色色的网络安全工具可以帮助管理员知道自己的系统存在哪些漏洞，当然也可以帮助黑客们。诸如端口扫描、口令猜解这样的工具究竟发挥怎样的作用，完全取决于是谁在使用。在这个意义上，人们总是陷入“以子之矛，攻子之盾”的循环。无论是否喜欢，始终要记住的一点是，管理员通过安全工具能够得到的，其他人也可以。12.4.1端口扫描工具Nmap

Nmap用于扫描一组主机的网络端口。端口扫描的意义是很明显的—所有的服务器程序都要通过网络端口对外提供服务。一些端口的功能是人所共知的，例如，80端口用于提供HTTP服务、22端口接受SSH连接、21端口提供FTP服务等。通过对服务器开放端口进行扫描可以得到很多信息，获取这些信息总是攻击行为的第一步。12.4.2漏洞扫描工具Nessus

首先需要下载Nessus安装包，其下载地址为/downloads/nessus。此时，根据自己的操作系统及架构选择对应的软件包。本例中，下载的包名为Nessus-10.7.5-ubuntu1604_amd64.deb。然