【ch01】Linux服务器安全运维

《Linux服务器安全管理高级运维》课程教案课题：项目1Linux服务器安全运维教学目的：1.了解Linux系统账户和登录安全的原理2.了解Linux系统的文件系统原理3.了解Linux后门入侵检测工具的使用方法4.了解服务器遭受攻击后的处理流程5.掌握Linux系统账户和登录安全的方法6.掌握Linux系统文件系统安全管理的方法7.掌握Linux后门入侵检测工具Rootkit的使用方法课型：新授课课时：本章安排6个课时。教学重点：重点：掌握Linux系统账户和登录安全的方法；掌握Linux系统文件系统安全管理的方法。教学难点：难点：合理使用su、sudo命令进行权限管理；Rootkit后门入侵检测工具（Chkrootkit、RKHunter）的安装与使用。教学过程：教学形式：讲授与实训结合，教学组织采用课堂整体讲授、命令行演示操作与分组讨论相结合的方式。教学媒体：采用“课堂整体讲授+投屏命令行演示+系统运行测试”的方式进行。通过整体讲授建立Linux系统安全运维的完整知识框架；借助投屏实时执行命令，分步演示用户管理、服务管理、sudo授权、文件锁定（chattr+lsattr）、权限查找（find）、YUM软件升级、Chkrootkit与RKHunter后门检测及攻击应急处理（who/last//proc/rpm-Va）等关键操作；同时设计su与sudo对比、文件锁定前后对比、Chkrootkit检测结果对比等多组对比案例，引导学生通过对比分析掌握各安全措施的实施逻辑与效果。板书设计：本课标题Linux服务器安全运维课次3授课方式理论课□讨论课□习题课□其他□课时安排6学分共2分授课对象普通高等院校学生任课教师教材及参考资料1.《Linux服务器安全管理高级运维》；电子工业出版社。2.本教材配套视频教程及学习检查等资源。3.与本课程相关的其他资源。教学基本内容教学方法及教学手段项目情境Linux系统作为一个开源的操作系统，由于不属于某一家厂商，因此没有厂商宣称对它提供安全保证，用户只能自己解决其安全问题。对运维人员来说，安全问题可以分为本地服务器安全运维和网络安全运维两部分。参考以下形式：1.衔接导入2.悬念导入3.情景导入4.激疑导入5.演示导入6.实例导入7.其他形式本章基本知识汇总任务1账户和登录安全1.1.1删除特殊的用户和用户组Linux系统的账号分为系统账号和用户账号，通过ID号管理。useradd、groupadd、userdel、groupdel、passwd命令需管理员权限。可删除的默认用户：adm、lp、sync、shutdown、halt、news、uucp、operator、games、gopher等。可删除的默认用户组：adm、lp、news、uucp、games、dip、pppusers、popusers、slipusers等。示例：删除adm用户和用户组。禁止用户登录：usermod-s/sbin/nologinnagios。删除哪些用户和用户组根据服务器用途决定。1.1.2关闭系统不需要的服务服务（Daemon）是后台进程，名称一般以d结尾，如vsftpd、httpd、sshd。运行服务越多，开放端口越多，系统越不安全。一般可关闭的服务：anacron、auditd、autofs、avahi-daemon、bluetooth、cpuspeed、ip6tables、isdn、lpd、nfs、sendmail等。使用chkconfig--level345bluetoothoff关闭服务自动启动。建议保留的服务：acpid、apmd、kudzu、crond、atd、iptables、xinetd、network、sshd、syslog等。1.1.3合理使用su、sudo命令su命令用于切换用户，但存在安全隐患。sudo命令通过/etc/sudoers授权，允许普通用户执行特权命令，更安全。sudo执行流程：切换用户→执行命令→返回当前用户。示例：授权user01访问/etc/shadow。sudo使用时间戳文件，默认存活期5分钟。可设置NOPASSWD免除密码输入。示例：centreon用户免密重启nagios。示例：user02用户免密获得所有root权限。sudo宗旨：赋予最少权限，兼顾安全与易用。1.1.4禁止快捷键Ctrl+Alt+Delete的关闭命令Ctrl+Alt+Delete会导致系统重启，存在安全风险。CentOS5.x以下：修改/etc/inittab注释相关行，执行telinitq。CentOS6.x以上：修改/etc/init/control-alt-delete.conf注释相关行。1.1.5修改或删除系统登录欢迎信息欢迎信息可能泄露版本信息，被黑客利用。相关文件：/etc/issue、/etc/、/etc/redhat-release、/etc/motd。/etc/issue：本地终端登录显示。/etc/：远程登录显示，需在sshd_config中配置Banner。/etc/redhat-release：记录系统版本，可删除内容。/etc/motd：用户登录后显示公告信息，可发布警告。任务2远程登录和认证安全1.2.1在进行远程登录时取消TelnetTelnet使用明文传输，不安全，已被SSH取代。SSH包括客户端（SecureCRT、PuTTY、Xshell）和服务器端（SSHD）。SSHD主配置文件：/etc/ssh/sshd_config。关键配置项：Port（建议改默认22）、Protocol2、ListenAddress、PermitRootLoginno、StrictModesyes、PasswordAuthenticationyes、PermitEmptyPasswordsno、MaxAuthTries3、AllowUsers、DenyUsers等。1.2.2合理使用shell历史命令记录功能history命令查看操作记录，默认保存在~/.bash_history。可设置HISTTIMEFORMAT显示命令执行时间（编辑/etc/bashrc）。可配置/etc/profile实现详细记录用户、IP、命令、时间，保存至/usr/share/.history。保存目录应隐蔽，防止被黑客删除。任务3文件系统安全1.3.1锁定系统重要文件chattr命令锁定文件，root也无法修改或删除。常用参数：+i（不可修改）、+a（仅追加）。lsattr查询文件属性。建议设置i属性的目录：/bin、/boot、/lib、/sbin、/usr/bin、/usr/include、/usr/lib、/usr/sbin等。建议设置i属性的文件：/etc/passwd、/etc/shadow、/etc/hosts、/etc/resolv.conf、/etc/fstab、/etc/sudoers等。建议设置a属性的日志文件：/var/log/messages、/var/log/wtmp。注意：/、/dev、/tmp、/var不宜设置不可修改属性。1.3.2查找文件权限使用find命令查找不安全权限。查找任何用户都有写权限的文件：find/-typef-perm-2-o-perm-20|xargsls-al。查找任何用户都有写权限的目录：find/-typed-perm-2-o-perm-20|xargsls-ld。查找包含s位的程序：find/-typef-perm-4000-o-perm-2000-print|xargsls-al。检查所有suid和sgid文件：find/-userroot-perm-2000-print-execmd5sum{};等。检查没有属主的文件（孤儿文件）：find/-nouser-o-nogroup。任务4系统软件安全管理1.4.1软件自动升级工具——YUM修复软件漏洞常用方法是升级软件。自动升级：输入yumupdate即可完成。手动升级：通过RPM包安装，需处理依赖关系。YUM是自动升级工具，结合互联网下载RPM包并解决依赖。1.4.2YUM的安装与配置检查是否安装：rpm-qa|grepyum。安装：rpm-ivhyum-*.noarch.rpm，需依赖python-elementtree、python-sqlite、urlgrabber、yumconf等。配置文件：/etc/yum.conf和/etc/yum.repos.d/目录。资源库配置文件示例：CentOS-Base.repo。关键字含义：name、mirrorlist、gpgcheck、gpgkey。1.4.3YUM的基本使用方法查询RPM包信息：yuminfo、yuminfodhcp、yuminfoupdates、yumlist、yumsearch、yumprovides。安装和删除RPM包：yuminstall、yumremove。更新软件包：yumcheck-update、yumupdate、yumupgrade。操作暂存信息：yumcleanpackages、yumcleanheaders、yumcleanall。任务5Linux后门入侵检测工具Rootkit是恶意软件合集，维持系统最高权限，隐藏自身。文件级别Rootkit（用户态）：替换系统文件如login、ps、netstat。内核级别Rootkit（内核态）：修改内核，控制命令执行，更难检测。1.5.1Rootkit后门检测工具——ChkrootkitChkrootkit包含脚本和工具：chkrootkit、ifpromisc.c、chklastlog.c、chkwtmp.c、check_wtmpx.c、chkproc.c、chkdirs.c、strings.c、chkutmp.c。安装步骤：安装GCC、make；下载源码、解压、编译（makesense）、复制到/usr/local/chkrootkit。使用：/usr/local/chkrootkit/chkrootkit-h查看帮助。常用参数：-h、-v、-l、-d、-q、-x、-rdir。检测结果示例：login和ps显示INFECTED。缺点：依赖系统命令，可能被篡改，建议备份原始命令（/usr/share/.commands）并使用-p参数指定。1.5.2Rootkit后门检测工具——RKHunter安装：tar-zxvf、cd、执行installer.sh--layoutdefault--install。使用：/usr/local/bin/rkhunter--help。常用参数：-c（--check）、--configfile、--cronjob、--sk、--summary、--update、-V。检测内容包括：系统命令、共享库、Rootkit文件、恶意软件、网络端口、系统启动文件、用户账户、应用程序版本等。检测结果以颜色显示，绿色正常、红色警告。可配合--skip-keypress自动运行，或加入crontab定时执行。任务6服务器遭受攻击后的处理流程1.6.1处理服务器遭受攻击的一般思路切断网络。查找攻击源（分析日志、端口、进程）。分析入侵原因和途径（系统漏洞或程序漏洞）。备份用户数据。重新安装系统。修复系统漏洞或程序漏洞。恢复数据和连接网络。1.6.2检查并锁定可疑用户使用who查看登录用户。锁定用户：passwd-lnobody。强制下线：ps-ef|grep@pts/3获取PID，kill-9PID。使用last查看用户登录事件（来源/var/log/wtmp）。1.6.3查看系统日志日志目录：/var/log/。常用日志文件：/var/log/message、/var/log/secure、/var/log/maillog、/var/log/cron、/var/log/spooler、/var/log/boot.log、/var/log/wtmp。查看用户目录下的.bash_history（尤其是/root/.bash_history）。1.6.4检查并关闭系统中的可疑进程使用ps、top、pidof查找进程PID。查看/proc/PID/exe获取进程执行路径。查看/proc/PID/fd获取文件句柄。使用fuser-ntcp端口号查找端口对应进程。若系统命令被替换，借助Chkrootkit、RKHu