CNITSEC11:47:041UNIX操作系統(tǒng)安全中國信息安全測評中心2022年12月19日CNITSEC22:51:211UNIX操作系統(tǒng)安全2課程目的了解UNIX系統(tǒng)的安全性增強安全意識提高UNIX系統(tǒng)安全性2課程目的了解UNIX系統(tǒng)的安全性3主要內(nèi)容操作系統(tǒng)安全UNIX系統(tǒng)原理UNIX系統(tǒng)安全機制UNIX系統(tǒng)安全問題如何加強UNIX系統(tǒng)安全性總結(jié)3主要內(nèi)容操作系統(tǒng)安全4一、操作系統(tǒng)安全安全性安全威脅安全特征4一、操作系統(tǒng)安全安全性5一、操作系統(tǒng)安全安全性安全威脅安全度量5一、操作系統(tǒng)安全安全性6安全性保密性完整性可用性6安全性保密性7一、操作系統(tǒng)安全安全性安全威脅安全度量7一、操作系統(tǒng)安全安全性安全威脅威脅：對安全的潛在破壞泄露：對信息的非授權(quán)訪問欺騙：虛假數(shù)據(jù)被接收破壞：中斷或者妨礙正常操作篡奪：對系統(tǒng)某些部分的非授權(quán)控制攻擊：導致破壞發(fā)生的行為8安全威脅威脅：對安全的潛在破壞8SOS安全威脅安全威脅的來源計算機結(jié)構(gòu)上的安全缺陷操作系統(tǒng)的不安全性網(wǎng)絡協(xié)議的不安全性人的問題9SOS安全威脅安全威脅的來源9安全威脅操作系統(tǒng)面臨的安全威脅保密性威脅完整性威脅可用性威脅10安全威脅操作系統(tǒng)面臨的安全威脅10保密性威脅信息的保密性：信息的隱藏目的是讓信息對非授權(quán)的用戶不可見主要來源于計算機在敏感領(lǐng)域的使用軍事應用企業(yè)應用保密性也指保護數(shù)據(jù)的存在性存在性有時候比數(shù)據(jù)本身更能暴露信息保密性威脅主要是信息泄露11保密性威脅信息的保密性：信息的隱藏11保密性威脅方式嗅探（竊聽）：對信息的非法攔截，是某種形式的信息泄露木馬和后門間諜軟件隱通道12保密性威脅方式嗅探（竊聽）：12完整性威脅信息的完整性指的是信息的可信程度。具有完整性的信息應該是沒有經(jīng)過非法的或者是未經(jīng)授權(quán)的數(shù)據(jù)改變。包括信息內(nèi)容的完整性信息來源的完整性：如何獲取信息和從何處獲取信息完整性被破壞的信息是不可信的信息被非法改變了信息的來源改變了13完整性威脅信息的完整性指的是信息的可信程度。13完整性威脅方式破壞和欺騙。破壞。數(shù)據(jù)遭到破壞后，其內(nèi)容就可能會發(fā)生非正常改變，破壞了信息內(nèi)容的完整性。數(shù)據(jù)被破壞后，會中斷或妨礙正常操作。病毒。絕大部分病毒都會對信息內(nèi)容的完整性產(chǎn)生危害。安全操作系統(tǒng)設(shè)計過程中，要考慮如何有效地減少病毒對OS的安全威脅14完整性威脅方式破壞和欺騙。14完整性威脅方式欺騙：接收到虛假的數(shù)據(jù)或信息。用戶或程序可能會根據(jù)虛假的數(shù)據(jù)做錯誤的反應。有的用戶可能會接收或發(fā)布不正確的信息。例如，假冒的網(wǎng)站。

特點：網(wǎng)址和頁面均與真網(wǎng)站相似。

常見假冒各種銀行的網(wǎng)站。15完整性威脅方式欺騙：接收到虛假的數(shù)據(jù)或信息。用戶或程序可能會可用性威脅可用性是指對信息或資源的期望使用能力。是系統(tǒng)可靠性與系統(tǒng)設(shè)計中的一個重要方面。一個不可用的系統(tǒng)還不如沒有系統(tǒng)拒絕服務攻擊DoS（Denialofservice）

企圖破壞系統(tǒng)的可用性的攻擊DoS目的：使計算機或網(wǎng)絡無法提供正常的服務可能發(fā)生在服務器的源端可能發(fā)生在服務器的目的端可能發(fā)生在中間路徑16可用性威脅可用性是指對信息或資源的期望使用能力。是系統(tǒng)可靠性可用性威脅方式最常見的拒絕服務攻擊計算機網(wǎng)絡帶寬攻擊

以極大的通信量沖擊網(wǎng)絡，使得所有可用網(wǎng)絡資源都被消耗殆盡，最后導致合法的用戶請求無法通過連通性攻擊

用大量的鏈接請求沖擊計算機，使得所有可用的操作系統(tǒng)資源都被消耗殆盡，最終計算機無法再處理合法用戶的請求17可用性威脅方式最常見的拒絕服務攻擊17可用性威脅方式計算機軟件設(shè)計實現(xiàn)中的疏漏操作系統(tǒng)功能越來越復雜，規(guī)模越來越龐大每千行代碼的bug，5～50個之間Linux從發(fā)布到2.4.17的源碼行數(shù)變化18可用性威脅方式計算機軟件設(shè)計實現(xiàn)中的疏漏Linux從發(fā)布到219一、操作系統(tǒng)安全安全性安全威脅安全度量19一、操作系統(tǒng)安全安全性安全度量度量標準：TCSEC"TrustedComputerSystemEvaluationCriteria"(1985)歷史上第一個計算機安全評價標準在基于安全核技術(shù)的安全操作系統(tǒng)研究的基礎(chǔ)上制定出來系統(tǒng)安全程度的七個等級：(D1、C1、C2、B1、B2、B3、A1)20安全度量度量標準：TCSEC20安全度量安全級別描述D最低的級別。如MS-DOS計算機，沒有安全性可言C1自主安全保護。系統(tǒng)不需要區(qū)分用戶?？商峁└镜脑L問控制。大部分UNIX達到此標準。C2可控訪問保護。系統(tǒng)可通過注冊過程、與安全相關(guān)事件的審計以及資源隔離等措施，使用戶對他們的活動分別負責。NT屬于C2級的系統(tǒng)B1標記安全保護。系統(tǒng)提供更多的保護措施包括各式的安全級別。如AT＆T的SYSTEMV和UNIXwithMLS以及IBMMVS/ESAB2結(jié)構(gòu)化保護。支持硬件保護。內(nèi)容區(qū)被虛擬分割并嚴格保護。如TrustedXENIXandHoneywellMULTICSB3安全域。提出數(shù)據(jù)隱藏和分層，阻止層之間的交互。如HoneywellXTS-200A校驗級設(shè)計。需要嚴格的準確的證明系統(tǒng)不會被危害。如HoneywellSCOMP安全度量安全級別描述D最低的級別。如MS-DOS計算機，沒有安全度量D級：用來標識那些不能達到其他6個等級中任意等級需求的產(chǎn)品自主保護C1：只有身份識別、身份認證需求和自主訪問控制需求；安全保障需求也只有測試需求和文檔需求，1986年后，不再加以評估受控訪問保護C2：C1；客體重用；審計；嚴格的安全測試需求。是商業(yè)產(chǎn)品最常用的等級。22安全度量D級：用來標識那些不能達到其他6個等級中任意等級需求安全度量標簽安全保護B1：增加強制訪問控制，可以限定在特定的一組客體中。標簽支持MAC的實現(xiàn)，安全測試需求更嚴格；需要一個非形式化的安全策略模型，該模型與相關(guān)公理的一致性必須得到說明。大多數(shù)操作系統(tǒng)軟件商都提供B1級的產(chǎn)品，但在技術(shù)上往往落后于主流產(chǎn)品23安全度量標簽安全保護B1：增加強制訪問控制，可以限定在特定的安全度量結(jié)構(gòu)化保護B2：某些政府應用程序可接受的等級。要求對所有客體進行MAC。擴展標簽；引入登錄可信路徑；最小授權(quán)；安全保障中要包含隱通道分析、配置管理需求、更加嚴格的文檔需求以及形式化的安全策略模型及其與相關(guān)公理的一致性證明24安全度量結(jié)構(gòu)化保護B2：某些政府應用程序可接受的等級。要求對安全度量安全域B3，實現(xiàn)了完整的參考驗證機制。增強了可信路徑需求，限制了代碼的開發(fā)過程。更嚴格的測試需求、更多關(guān)于DTLS（描述性的高層規(guī)范）的需求、管理者指南以及設(shè)計文檔驗證保護A：功能需求同B3，但安全保障需求不同。要求在隱通道分析、設(shè)計會犯以及驗證過程中，有效的使用形式化方法，還要包括可信發(fā)布，更嚴格的測試和設(shè)計文檔需求，還要求代碼與FTLS（形式化的高層規(guī)范）保持一致。25安全度量安全域B3，實現(xiàn)了完整的參考驗證機制。增強了可信路徑UNIX系統(tǒng)的安全特征按照可信計算機評價標準(TCSEC)達到C2級訪問控制對象的可用性個人身份標識與認證審計記錄操作的可靠性26UNIX系統(tǒng)的安全特征按照可信計算機評價標準(TCSEC)達系統(tǒng)為什么不安全網(wǎng)絡建設(shè)非常迅猛,較少考慮安全問題缺乏安全知識和意識，對安全不夠重視部分安全產(chǎn)品及工具不能完全自動處理安全漏洞和威脅缺乏專門的安全管理人員各種網(wǎng)絡協(xié)議及應用方面的缺陷其它原因27系統(tǒng)為什么不安全網(wǎng)絡建設(shè)非常迅猛,較少考慮安全問題27絕對安全的OS是不存在的，只能盡可能地減少OS本身的漏洞需要在設(shè)計時就以安全理論作指導，始終貫穿正確的安全原則在使用時要正確使用安全配置，提高系統(tǒng)安全性28絕對安全的OS是不存在的，只能盡可能地減少OS本身的漏洞2829二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史UNIX系統(tǒng)啟動過程UNIX系統(tǒng)結(jié)構(gòu)29二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史30二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史UNIX系統(tǒng)啟動過程UNIX系統(tǒng)結(jié)構(gòu)30二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史31UNIX后門1970198331UNIX后門197032UNIX系統(tǒng)發(fā)展歷史KenThompson32UNIX系統(tǒng)發(fā)展歷史KenThompson33UNIX系統(tǒng)發(fā)展歷史MulticsMULTiplexedInformationandComputingSystem：多路信息計算系統(tǒng)

UNICSUNiplexed

Information

and

ComputingSystemUNIX后來做了一下改動，稱為UNIX。1969年到197033UNIX系統(tǒng)發(fā)展歷史Multics34UNIX系統(tǒng)發(fā)展歷史DennisM.Ritchie34UNIX系統(tǒng)發(fā)展歷史DennisM.Ritchie35UNIX系統(tǒng)發(fā)展歷史35UNIX系統(tǒng)發(fā)展歷史UNIX系統(tǒng)發(fā)展歷史36UNIX系統(tǒng)發(fā)展歷史3637Linux的官方定義：“Linux是一種UNIX操作系統(tǒng)的克隆，它（的內(nèi)核）由LinusTorvalds以及網(wǎng)絡上組織松散的黑客隊伍一起從零開始編寫而成。Linux的目標是保持和POSIX的兼容?！盠INUX是一個可獨立運作的POSIX兼容操作系統(tǒng)，它也包含了SYSV和BSD的功能。它完全是獨立發(fā)展的，其中沒有包含任何有版權(quán)問題的代碼。LINUX可以在符合GNUPublicLicense的情況下自由傳播。Linux3737Linux的官方定義：“Linux是一種UNIXKernel+cmds/libs+apps+installer=aDISTROLinux38KernelLinux3839UNIXMinixLinuxRichard.StallmanDennis.RitchieKen.ThompsonAndrews.TanenbaumLinux3939UNIXMinixLinuxRichard.Stallm40Minix操作系統(tǒng)

GNU計劃

POSIX標準

Linux內(nèi)核的誕生

Linux

Linux發(fā)展背景4040Minix操作系統(tǒng)Linux發(fā)展背景4041內(nèi)核版本內(nèi)核版本發(fā)展史：1.0—2.0—2.2—2.4—2.6發(fā)行版本如Ubuntu、Fedora、Redhat、TurboLinux、中科紅旗等。

Linux版本4141內(nèi)核版本Linux版本4142二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史UNIX系統(tǒng)啟動過程UNIX系統(tǒng)結(jié)構(gòu)42二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史UNIX系統(tǒng)啟動過程Solaris的啟動過程

系統(tǒng)自檢、顯示系統(tǒng)信息、讀取啟動設(shè)備的0扇區(qū)、在啟動設(shè)備尋找啟動程序、加載啟動程序、啟動內(nèi)核、當系統(tǒng)內(nèi)核運行完畢，加載好所有的驅(qū)動之后，就會把控制權(quán)移交給/sbin/init進程，也就是所有進程的父進程，然后由init讀取/etc/inittab，依次執(zhí)行/etc/rc1(2,3)啟動腳本，最終到達inittab中指定的默認運行級別。

43UNIX系統(tǒng)啟動過程Solaris的啟動過程

系統(tǒng)自檢UNIX系統(tǒng)啟動過程solaris系統(tǒng)在多用戶模式下的啟動過程Init0→Init1→Init2→Init3init0/openboot模式：引導內(nèi)核，加載硬件驅(qū)動，此時可以選擇從cdrom引導進入維護模式。init1/單用戶模式：（加載/分區(qū))登陸進入維護模式，或按Ctrl+D進入多用戶模式init2/網(wǎng)絡工作站模式：(連接網(wǎng)絡，運行網(wǎng)絡工作站服務)運行/etc/rc2腳本連接網(wǎng)絡，啟動S69inet服務,運行部分inetd網(wǎng)絡服務init3/網(wǎng)絡服務器模式：(運行各種網(wǎng)絡服務)運行/etc/rc3腳本啟動網(wǎng)絡服務器44UNIX系統(tǒng)啟動過程solaris系統(tǒng)在多用戶模式下的啟動過Linux啟動過程45Linux啟動過程45init的進程號是1，從這一點就能看出，init進程是系統(tǒng)所有進程的起點，Linux在完成核內(nèi)引導以后，就開始運行init程序。init程序需要讀取配置文件/etc/inittabinittab是一個不可執(zhí)行的文本文件，它有若干行指令所組成。Linux啟動過程46init的進程號是1，從這一點就能看出，init進程是系統(tǒng)所/etc/inittab文件內(nèi)容：#TherunlevelsusedbyRHSare:

#

0-halt(DoNOTsetinitdefaulttothis)

#

1-Singleusermode

#

2-Multiuser,withoutNFS(Thesameas3,ifyoudonothavenetworking)

#

3-Fullmultiusermode

#

4-unused

#

5-X11

#

6-reboot(DoNOTsetinitdefaulttothis)

#

#表示當前缺省運行級別為5(initdefault)；

id:5:initdefault:Linux啟動過程47/etc/inittab文件內(nèi)容：Linux啟動過程47#啟動時自動執(zhí)行/etc/rc.d/rc.sysinit腳本#Systeminitialization.

si::sysinit:/etc/rc.d/rc.sysinit

rc.sysinit是一個bashshell的腳本，它主要是完成一些系統(tǒng)初始化的工作，rc.sysinit是每一個運行級別都要首先運行的重要腳本。它主要完成的工作有：激活交換分區(qū)，檢查磁盤，加載硬件模塊以及其它一些需要優(yōu)先執(zhí)行任務。rc.sysinit約有850多行，但是每個單一的功能還是比較簡單，而且?guī)в凶⑨?，建議大家閱讀自己機器上的該文件，以了解系統(tǒng)初始化所詳細情況。Linux啟動過程48#啟動時自動執(zhí)行/etc/rc.d/rc.sysinit腳本

l0:0:wait:/etc/rc.d/rc0

l1:1:wait:/etc/rc.d/rc1

l2:2:wait:/etc/rc.d/rc2

l3:3:wait:/etc/rc.d/rc3

l4:4:wait:/etc/rc.d/rc4

l5:5:wait:/etc/rc.d/rc5

l6:6:wait:/etc/rc.d/rc6#當運行級別為5時，以5為參數(shù)運行/etc/rc.d/rc腳本，init將等待其返回(wait)

Linux啟動過程49l0:0:wait:/etc/rc.d/rc0

/etc/rc.d/rc是一個Shell腳本，它接受5作為參數(shù)，去執(zhí)行/etc/rc.d/rc5.d/目錄下的所有的rc啟動腳本/etc/rc.d/rc5.d/目錄中的這些啟動腳本實際上都是一些鏈接文件，而不是真正的rc啟動腳本，真正的rc啟動腳本實際上都是放在/etc/rc.d/init.d/目錄下。Linux啟動過程50/etc/rc.d/rc是一個Shell腳本，它接受5作為參rc執(zhí)行完畢后，返回init。這時基本系統(tǒng)環(huán)境已經(jīng)設(shè)置好了，各種守護進程也已經(jīng)啟動了。init接下來會打開6個終端，以便用戶登錄系統(tǒng)。通過按Alt+Fn(n對應1-6)可以在這6個終端中切換。在inittab中的以下6行就是定義了6個終端：

1:2345:respawn:/sbin/mingettytty1

2:2345:respawn:/sbin/mingettytty2

3:2345:respawn:/sbin/mingettytty3

4:2345:respawn:/sbin/mingettytty4

5:2345:respawn:/sbin/mingettytty5

6:2345:respawn:/sbin/mingettytty6Linux啟動過程51rc執(zhí)行完畢后，返回init。這時基本系統(tǒng)環(huán)境已經(jīng)設(shè)置好了，啟動過程啟動過程類似于UNIX，但在Linux中，系統(tǒng)運行級別是并行式的，也就是系統(tǒng)加載完內(nèi)核和mount/文件系統(tǒng)之后，就會直接跳轉(zhuǎn)到相應的默認運行級別。在Solaris中，采取了一種串行化的引導方式。52啟動過程啟動過程類似于UNIX，但在Linux中，系統(tǒng)運行級53二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史UNIX系統(tǒng)啟動過程UNIX系統(tǒng)結(jié)構(gòu)系統(tǒng)框架文件系統(tǒng)網(wǎng)絡服務53二、UNIX系統(tǒng)原理UNIX系統(tǒng)發(fā)展歷史UNIX系統(tǒng)框架54UNIX系統(tǒng)框架54UNIX系統(tǒng)框架55UNIX系統(tǒng)框架55UNIX系統(tǒng)框架56UNIX系統(tǒng)框架56UNIX內(nèi)核結(jié)構(gòu)57UNIX內(nèi)核結(jié)構(gòu)57UNIX文件系統(tǒng)58UNIX文件系統(tǒng)58UNIX文件系統(tǒng)類型正規(guī)文件：（ASCII文本文件，二進制數(shù)據(jù)文件，二進制可執(zhí)行文件等）目錄特殊文件(如塊設(shè)備文件等）鏈接（軟鏈接、硬鏈接）Sockets（進程間通信時使用的特殊文件，以.sock結(jié)尾）59UNIX文件系統(tǒng)類型正規(guī)文件：（ASCII文本文件，二進制數(shù)UNIX文件系統(tǒng)的權(quán)限#ls–altest drwxr-xr-x3rootroot1024Sep1311:58test在unix中用模式位表示文件的類型及權(quán)限 通常由一列10個字符來表示，每個字符表示一個模式設(shè)置第1位:表示文件類型。d表示目錄，-表示普通文件，l表示鏈接文件等等

每個文件和目錄有三組權(quán)限，一組是文件的擁有者、一組是文件所屬組的成員、一組是其他所有用戶。

第2-10位：表示文件權(quán)限"r"表示可讀，"w"表示可寫，"x"表示可執(zhí)行。一共9位(每組3位)，合起來稱為模式位(modebits)

60UNIX文件系統(tǒng)的權(quán)限#ls–altest60UNIX系統(tǒng)網(wǎng)絡服務一些重要的文件說明/etc/inetd.conf /etc/inetd.conf決定inetd啟動網(wǎng)絡服務時，啟動哪些服務，用什么命令啟動這些服務，以及這些服務的相關(guān)信息

/etc/service /etc/services文件記錄一些常用的接口及其所提供的服務的對應關(guān)系。/etc/protocols /etc/protocols文件記錄協(xié)議名及其端口的關(guān)系。61UNIX系統(tǒng)網(wǎng)絡服務一些重要的文件說明61UNIX系統(tǒng)網(wǎng)絡服務/etc/Rc*.d /etc/inittab定義了系統(tǒng)缺省運行級別，系統(tǒng)進入新運行級別需要做什么/etc/init.d /etc/init.d目錄包含了系統(tǒng)的一些啟動腳本62UNIX系統(tǒng)網(wǎng)絡服務/etc/Rc*.d62Inetd服務#more/etc/inetd.conf#systatstreamtcpnowaitroot/usr/bin/psps-ef#系統(tǒng)進程監(jiān)控服務，允許遠程察看進程#netstatstreamtcpnowaitroot/usr/bin/netstatnetstat-finet#網(wǎng)絡狀態(tài)監(jiān)控服務，允許遠程察看網(wǎng)絡狀態(tài)#timestreamtcp6nowaitrootinternal#timedgramudp6waitrootinternal#網(wǎng)絡時間服務，允許遠程察看系統(tǒng)時間#echostreamtcp6nowaitrootinternal#echodgramudp6waitrootinternal#網(wǎng)絡測試服務，回顯字符串63Inetd服務#more/etc/inetd.conf63Inetd服務#namedgramudpwaitroot/usr/sbin/in.tnamedin.tnamed#named，DNS服務器#telnetstreamtcp6nowaitroot/usr/sbin/in.telnetdin.telnetd#telnet服務器#ftpstreamtcp6nowaitroot/usr/sbin/in.ftpdin.ftpd-a#ftp服務器64Inetd服務#namedgramudp/etc/servicesmore/etc/services#Networkservices,Internetstyle#tcpmux1/tcpecho7/tcpecho7/udpdiscard9/tcpsinknulldiscard9/udpsinknullsystat11/tcpusersdaytime13/tcpdaytime13/udpnetstat15/tcp65/etc/servicesmore/etc/service/etc/serviceschargen19/tcpttytstsourcechargen19/udpttytstsourceftp-data20/tcpftp21/tcpssh22/tcp#SecureShelltelnet23/tcpsmtp25/tcpmailtime37/tcptimservertime37/udptimservername42/udpnameserverdomain53/udpdomain53/tcp66/etc/serviceschargen167三、UNIX系統(tǒng)安全機制身份驗證訪問控制網(wǎng)絡服務安全備份/恢復日志系統(tǒng)內(nèi)核安全技術(shù)67三、UNIX系統(tǒng)安全機制身份驗證68三、UNIX系統(tǒng)安全機制身份驗證訪問控制網(wǎng)絡服務安全備份/恢復日志系統(tǒng)內(nèi)核安全技術(shù)68三、UNIX系統(tǒng)安全機制身份驗證身份驗證Linux系統(tǒng)登錄過程Linux帳號管理PAM安全驗證機制69身份驗證Linux系統(tǒng)登錄過程69Linux系統(tǒng)登錄過程基于用戶名和口令通過終端登錄Linux的過程：Init進程確保為每個終端連接（或虛擬終端）運行一個getty進程，getty進程監(jiān)聽對應的終端并等待用戶登錄Getty輸出一條歡迎信息（此歡迎信息保存在/etc/issue文件中），并提示用戶輸入用戶名，接著getty激活loginlogin要求用戶輸入口令，并根據(jù)系統(tǒng)中的etc/passwd文件來檢查用戶名和口令的一致性若一致，啟動一個shell；否則login進程推出，進程終止Init進程注意到login進程終止，則會再次為該終端啟動getty進程70Linux系統(tǒng)登錄過程基于用戶名和口令70身份驗證Linux系統(tǒng)登錄過程Linux帳號管理PAM安全驗證機制71身份驗證Linux系統(tǒng)登錄過程71Linux帳號管理口令文件/etc/passwd/etc/passwd文件用于存放用戶的基本信息每個賬戶在該文件中有擁有一個相應的條目72Linux帳號管理口令文件/etc/passwd72/etc/passwd舉例73/etc/passwd舉例73/etc/passwd中條目定義登錄帳號:密碼域:UID:GID:用戶信息:主目錄:用戶shell登錄帳號：即用戶的登錄名密碼域：口令被加密后的密文UID，用戶ID，為0～MAXINT-1之間的一個整數(shù)GID，組ID，來自/etc/group，為0～MAXINT-1之間的一個整數(shù)用戶信息，用于標識諸如用戶的全名、位置和電話號碼等信息，可以不設(shè)置主目錄，為用戶的起始登錄目錄，如/home/chenxl用戶shell，用戶登錄后所用的shell路徑名，如/bin/sh74/etc/passwd中條目定義登錄帳號:密碼域:UID:G用戶可以修改口令條目中的部分信息：命令passwd：更改口令命令chfn：更改第五個字段中的用戶信息命令chsh：更改第七個字段，shell路徑名其余的字段由系統(tǒng)管理員設(shè)置75用戶可以修改口令條目中的部分信息：75身份驗證Linux系統(tǒng)登錄過程Linux帳號管理文件PAM安全驗證機制76身份驗證Linux系統(tǒng)登錄過程76PAM安全驗證機制PluggableAuthenticationModules目的：提供一個框架和一套編程接口，將認證工作由程序員交給管理員允許管理員在多種認證方法之間做出選擇，能夠改變本地認證方法而不需要重新編譯與認證相關(guān)的應用程序以共享庫的形式提供77PAM安全驗證機制PluggableAuthenticatPAM安全驗證機制功能包括：加密口令（包括DES和其他加密算法）對用戶進行資源限制，防止DOS攻擊允許隨意Shadow口令限制特定用戶在指定時間從指定地點登錄引入概念“clientplug-inagents”，使PAM支持C/S應用中的機器78PAM安全驗證機制功能包括：7879三、UNIX系統(tǒng)安全機制身份驗證訪問控制網(wǎng)絡服務安全備份/恢復日志系統(tǒng)內(nèi)核安全技術(shù)79三、UNIX系統(tǒng)安全機制身份驗證特權(quán)管理Linux繼承了傳統(tǒng)Unix的特權(quán)管理機制，即基于超級用戶的特權(quán)管理機制?；舅枷耄?）普通用戶沒有任何特權(quán)，超級用戶擁有系統(tǒng)內(nèi)所有的特權(quán)2）當進程要進行某特權(quán)操作時，系統(tǒng)檢查進程所代表的用戶是否為超級用戶，即檢查進程的UID是否為03）當普通用戶的某些操作涉及特權(quán)操作時，通過setuid/setgid來實現(xiàn)缺點：容易被hacker利用從2.1版開始，Linux內(nèi)核中實現(xiàn)了基于權(quán)能的特權(quán)管理機制80特權(quán)管理Linux繼承了傳統(tǒng)Unix的特權(quán)管理機制，即基于超Linux基于權(quán)限字的文件系統(tǒng)訪問控制在Linux中，所有的活動都可以看成是主體對客體的一系列操作客體：一種信息實體，或是從其他主體/客體接受信息的實體如文件、內(nèi)存、進程消息、網(wǎng)絡包或者I/O設(shè)備主體：一個用戶或者代表用戶的進程，它引起信息在客體之間的流動81Linux基于權(quán)限字的文件系統(tǒng)訪問控制在Linux中，所有的Linux中自主訪問控制機制的基本思想系統(tǒng)中每個主體都有唯一的UID，并且總是屬于某一個用戶組，而每個用戶組有唯一的GID對客體的訪問權(quán)限：r/w/x三種。針對某客體，用戶：u/g/o三種。上述信息構(gòu)成一個訪問控制矩陣82Linux中自主訪問控制機制的基本思想系統(tǒng)中每個主體都有唯一setuid/setgid為維護系統(tǒng)的安全性，對于某些客體，普通用戶不應具有某種訪問權(quán)限，但是出于某些特殊需要，用戶由必須能超越對這些客體的受限訪問例如，對/etc/passwd文件，用戶不具有寫訪問權(quán)限，但又必須允許用戶能夠修改該文件，以修改自己的密碼。setuid/setgid使得代表普通用戶的進程不繼承用戶的uid和gid，而是繼承該進程所對應的應用程序文件的所有者的uid和gid，即普通用戶暫時獲得其他用戶身份，并通過該身份訪問客體83setuid/setgid為維護系統(tǒng)的安全性，對于某些客體，84三、UNIX系統(tǒng)安全機制身份驗證訪問控制網(wǎng)絡服務安全備份/恢復日志系統(tǒng)內(nèi)核安全技術(shù)84三、UNIX系統(tǒng)安全機制身份驗證Linux網(wǎng)絡服務Linux的網(wǎng)絡層次結(jié)構(gòu)圖85Linux網(wǎng)絡服務Linux的網(wǎng)絡層次結(jié)構(gòu)圖85早期的網(wǎng)絡服務管理程序inetd/etc/rc.d/rc.local激活inetd根據(jù)/etc/inetd.conf監(jiān)聽處理客戶連接應當禁止不需要的服務，降低風險86早期的網(wǎng)絡服務管理程序inetd/etc/rc.d/rc.l擴展后的xinetd配置文件：/etc/xinetd.conf與前者完全不同，而且不兼容組合了下列文件/etc/inetd.conf/etc/hosts.allow/etc/hosts.deny87擴展后的xinetd配置文件：/etc/xinetd.con系統(tǒng)默認使用xinetd的服務標準internet服務，如http，telnet，ftp等信息服務，如finger，netstat，systat等郵件服務，如imap，pop3，smtp等RPC服務，如rquotad，rstatd，rusersd，sprayd，walld等BSD服務，如comsat，exec，login，ntalk，shelltalk等內(nèi)部服務，如chargen，daytime，echo等安全服務，如irc等其他，如name，tftp，uucp，wu-ftp等88系統(tǒng)默認使用xinetd的服務標準internet服務，如h89三、UNIX系統(tǒng)安全機制身份驗證訪問控制網(wǎng)絡服務安全備份/恢復日志系統(tǒng)內(nèi)核安全技術(shù)89三、UNIX系統(tǒng)安全機制身份驗證Linux備份/恢復備份技術(shù)腳本…一些商業(yè)化軟件備份的存儲設(shè)備遠程網(wǎng)絡設(shè)備、磁帶驅(qū)動器、其他可移動媒體備份單位文件（目錄）驅(qū)動器映像90Linux備份/恢復備份技術(shù)90Linux備份/恢復一般情況下，以下目錄需要備份/etc/var/home/root/opt一般不需備份的/proc/dev等等91Linux備份/恢復一般情況下，以下目錄需要備份9192三、UNIX系統(tǒng)安全機制身份驗證訪問控制網(wǎng)絡服務安全備份/恢復日志系統(tǒng)內(nèi)核安全技術(shù)92三、UNIX系統(tǒng)安全機制身份驗證Linux日志系統(tǒng)記錄和捕捉各種活動，包括黑客的活動系統(tǒng)記賬連接記賬：跟蹤當前用戶的會話、登錄和退出的活動/var/log/utmp/var/log/wtmp進程記賬：對進程活動的記錄/var/log/pacct93Linux日志系統(tǒng)記錄和捕捉各種活動，包括黑客的活動93安全審計Linux系統(tǒng)的審計機制，基本思想：審計事件分為系統(tǒng)事件和內(nèi)核事件系統(tǒng)事件由審計服務進程syslogd來維護與管理配置文件：/etc/syslog.conf內(nèi)核事件由內(nèi)核審計線程klogd來維護與管理獲得并記錄Linux內(nèi)核信息94安全審計Linux系統(tǒng)的審計機制，基本思想：9495三、UNIX系統(tǒng)安全機制身份驗證訪問控制網(wǎng)絡服務安全備份/恢復日志系統(tǒng)內(nèi)核安全技術(shù)95三、UNIX系統(tǒng)安全機制身份驗證Linux內(nèi)核安全技術(shù)可加載的內(nèi)核模塊LKMLinux的內(nèi)核防火墻96Linux內(nèi)核安全技術(shù)可加載的內(nèi)核模塊LKM96可加載的內(nèi)核模塊LKM早期，Monolithic的缺陷混雜，各組成部分之間的界限不明顯可擴展性、可剪裁性差；需要重新編譯Linux0.99，引入LKM

LoadableKernelModule內(nèi)核功能動態(tài)擴充技術(shù)雙刃劍威脅：內(nèi)核級入侵97可加載的內(nèi)核模塊LKM早期，Monolithic的缺陷97Linux內(nèi)核防火墻內(nèi)核防火墻早期的ipfwadmIpchainsNetfilter/iptables組合98Linux內(nèi)核防火墻內(nèi)核防火墻98其他安全機制口令脆弱性警告口令有效期一次性口令口令加密算法影子文件帳戶加鎖限制性shell文件系統(tǒng)加載限制加密文件系統(tǒng)與透明加密文件系統(tǒng)根用戶的限制安全shell防火墻入侵檢測99其他安全機制口令脆弱性警告文件系統(tǒng)加載限制99100四、UNIX系統(tǒng)安全性問題啟動威脅口令破解權(quán)限提升信息竅取系統(tǒng)崩潰拒絕服務其它100四、UNIX系統(tǒng)安全性問題啟動威脅101五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級安全工具101五、如何加強UNIX系統(tǒng)安全性安全設(shè)置102五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級102五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置BIOS的安全設(shè)置加密碼LILO的安全配置設(shè)置權(quán)限#chmod600/etc/lilo.conf/etc/lilo.conf設(shè)置為不可變

#

chattr

+i

/etc/lilo.conf103啟動項安全設(shè)置BIOS的安全設(shè)置103LILO的安全配置/etc/lilo.conf的例子

boot=/dev/hda

map=/boot/map

install=/boot/boot.b

prompt

timeout=00

default=linux

image=/boot/vmlinuz-2.2.12-20 label=linux

root=/dev/hda1

read-only

restricted

password=kpAsSb0rv_f/etc/lilo.conf的例子

boot=/dev/hda

map=/boot/map

install=/boot/boot.b

prompt

timeout=00

default=linux

image=/boot/vmlinuz-2.2.12-20 label=linux

root=/dev/hda1

read-only

restricted

password=kpAsSb0rv_f104LILO的安全配置/etc/lilo.conf的例子

bo105五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級105五、如何加強UNIX系統(tǒng)安全性安全設(shè)置linux賬號安全設(shè)置一個合適的密碼Root帳號安全性使root只能從console或者使用ssh登陸修改/etc/securetty，去除終端ttyp0-ttyp9請使用全路徑執(zhí)行命令不要允許有非root用戶可寫的目錄存在root的路徑里禁止root用戶遠程登錄編輯文件/etc/pam.d/login，添加/etc/pam.d/loginauthrequiredpam_securetty.so106linux賬號安全設(shè)置一個合適的密碼106禁止root用戶遠程登錄禁止root用戶遠程登錄編輯文件/etc/pam.d/login，添加/etc/pam.d/loginauthrequiredpam_securetty.so107禁止root用戶遠程登錄禁止root用戶遠程登錄編輯文件/elinux賬號安全密碼長度的強制定義修改/etc/login.defs將PASS_MIN_LEN5改為PASS_MIN_LEN8

自動注銷帳號的登錄Vi/etc/profile

在"HISTFILESIZE="后面加入下面這行： TMOUT=3005分鐘內(nèi)都沒有動作，那么系統(tǒng)會自動注銷這個賬戶108linux賬號安全密碼長度的強制定義108linux賬號安全使用PAM（可插拔認證模塊）禁止任何人通過su命令改變?yōu)閞oot#vi/etc/pam.d/su，在開頭添加下面兩行：authsufficient/lib/security/pam_rootok.soauthrequired/lib/security/Pam_wheel.sogroup=wheel#usermod–G10username這表明只有“wheel”組的成員可以使用su命令成為root用戶109linux賬號安全使用PAM（可插拔認證模塊）禁止任何人通過linux賬號安全刪除不需要的特殊的帳號#userdeladm#userdellp#userdelsync#userdelshutdown#userdelhalt#userdelnews#userdeluucp#userdeloperator#userdelgopher110linux賬號安全刪除不需要的特殊的帳號110linux賬號安全刪除不需要的特殊的組[root@kcn]#groupdeladm[root@kcn]#groupdellp[root@kcn]#groupdelnews[root@kcn]#groupdeluucp[root@kcn]#groupdeldip[root@kcn]#groupdelpppusers[root@kcn]#groupdelpopusers(deletethisgroupifyoudon’tusepopserverforemail).[root@kcn]#groupdelslipusers111linux賬號安全刪除不需要的特殊的組111linux賬號安全chattr命令給口令和組文件加上不可更改屬性#chattr+i/etc/passwd#chattr+i/etc/shadow#chattr+i/etc/group#chattr+i/etc/gshadow112linux賬號安全chattr命令給口令和組文件加上不可更改113五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級113五、如何加強UNIX系統(tǒng)安全性安全設(shè)置Linux系統(tǒng)服務安全設(shè)置防止IP欺騙修改“/etc/host.conf”文件,加入下面這行：

#LookupnamesviaDNSfirstthenfallbackto/etc/hosts.

orderbind,hosts

#WehavemachineswithmultipleIPaddresses.

multion

#CheckforIPaddressspoofing.

nospoofon

114Linux系統(tǒng)服務安全設(shè)置防止IP欺騙114Linux系統(tǒng)服務安全設(shè)置檢查/etc/inetd.conf服務#chmod600/etc/inetd.conf#chattr+i/etc/inetd.conf關(guān)閉無用的服務取消下列服務中不需要的：ftp,telnet,shell,login,exec,talk,ntalk,imap,pop-2,pop-3,finger,auth等115Linux系統(tǒng)服務安全設(shè)置檢查/etc/inetd.con116五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級116五、如何加強UNIX系統(tǒng)安全性安全設(shè)置IP關(guān)閉ip轉(zhuǎn)發(fā)（或創(chuàng)建/etc/notrouter)＃ndd–set/dev/ipip_forwarding0關(guān)閉轉(zhuǎn)發(fā)包廣播由于轉(zhuǎn)發(fā)包廣播在默認狀態(tài)下是允許的，為了防止被用來實施smurf攻擊，關(guān)閉這一特性。#ndd–set/dev/ipip-forward_directed_broadcasts0關(guān)閉源路由轉(zhuǎn)發(fā)＃ndd–set/dev/ipip_forward_src_routed0網(wǎng)絡安全設(shè)置117IP網(wǎng)絡安全設(shè)置117IP關(guān)閉響應echo廣播＃ndd–set/dev/ipip_respond_to_echo_broadcast0關(guān)閉響應時間戳廣播#ndd–set/dev/ipip_respond_to_timestamp_broadcast0關(guān)閉地址掩碼廣播#ndd–set/dev/ipip_respind_to_address_mask_broadcast0#ndd–set/dev/ipip-forward_directed_broadcasts0關(guān)閉源路由轉(zhuǎn)發(fā)＃ndd–set/dev/ipip_forward_src_routed0網(wǎng)絡安全設(shè)置118IP網(wǎng)絡安全設(shè)置118網(wǎng)絡安全設(shè)置ICMP防止ping在/etc/rc.d/rc.local文件中增加如下一行：echo1＞/proc/sys/net/ipv4/icmp_echo_ignore_all119網(wǎng)絡安全設(shè)置ICMP119網(wǎng)絡安全設(shè)置ARP攻擊加固減少過期時間#ndd–set/dev/arparp_cleanup_interval60000#ndd-set/dev/ipip_ire_flush_interval60000默認是300000毫秒（5分鐘）加快過期時間，并不能避免攻擊，但是使得攻擊更加困難，帶來的影響是在網(wǎng)絡中會大量的出現(xiàn)ARP請求和回復請不要在繁忙的網(wǎng)絡上使用。120網(wǎng)絡安全設(shè)置ARP攻擊加固120網(wǎng)絡安全設(shè)置ARP攻擊加固建立靜態(tài)ARP編輯文件filename，內(nèi)容如下：

08:00:20:ba:a1:f2

user.

08:00:20:ee:de:1f

這是一種很有效的方法，而且對系統(tǒng)影響不大。缺點是破壞了動態(tài)ARP協(xié)議使用arp–ffilename加載上述文件禁止ARPifconfiginterface–arp網(wǎng)卡不會發(fā)送ARP和接受ARP包。但是使用前提是使用靜態(tài)的ARP表，如果不在apr表中的計算機，將不能通信。121網(wǎng)絡安全設(shè)置ARP攻擊加固121122五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級122五、如何加強UNIX系統(tǒng)安全性安全設(shè)置Linux其它安全配置使“/etc/services”文件免疫防止未經(jīng)許可的刪除或添加服務：

#chattr+i/etc/services限制root從不同的控制臺進行登陸#Vi/etc/securetty在不需要登陸的TTY設(shè)備前添加“#”標志123Linux其它安全配置使“/etc/services”文件免Linux其它安全配置限制用戶對系統(tǒng)資源的使用，防止DOS攻擊編輯limits.conf文件（vi/etc/security/limits.conf）加入或改變下面這些行：*hardcore0 /*表示禁止創(chuàng)建core文件

*hardnproc20 /*進程數(shù)限制到20*hardrss5000 /*除root之外，其他用戶都最多只能用5M內(nèi)存124Linux其它安全配置限制用戶對系統(tǒng)資源的使用，防止DOS攻Linux其它安全配置禁止Control-Alt-Delete鍵盤關(guān)閉命令在"/etc/inittab"文件中注釋掉下面這行#ca::ctrlaltdel:/sbin/shutdown-t3-rnow

#/sbin/initq使這項改動生效。給"/etc/rc.d/init.d"下文件設(shè)置權(quán)限#chmod-R700/etc/rc.d/init.d/*表示只有root才允許讀、寫、執(zhí)行該目錄下的script文件125Linux其它安全配置禁止Control-Alt-DeletLinux其它安全配置隱藏系統(tǒng)信息#Vi/etc/rc.d/rc.local

在下面顯示的這些行前加一個“#”，把輸出信息的命令注釋掉。

#Thiswilloverwrite/etc/issueateveryboot.So,makeanychangesyou#wanttomaketo/etc/issuehereoryouwilllosethemwhenyoureboot.#echo"">/etc/issue#echo"$R">>/etc/issue#echo"Kernel$(uname-r)on$a$(uname-m)">>/etc/issue##cp-f/etc/issue/etc/#echo>>/etc/issue126Linux其它安全配置隱藏系統(tǒng)信息126Linux其它安全配置遠程Telnet避免顯示系統(tǒng)和版本信息#Vi/etc/inetd.conftelnetstreamtcpnowaitroot/usr/sbin/tcpdin.telnetd-h在最后加“-h”可以使當有人登陸時只顯示一個login:提示，而不顯示系統(tǒng)歡迎信息。127Linux其它安全配置遠程Telnet避免顯示系統(tǒng)和版本信息Linux其它安全配置禁止ping響應在/etc/rc.d/rc.local文件中增加如下一行：echo1＞

/proc/sys/net/ipv4/icmp_echo_ignor_all

清除歷史命令設(shè)置系統(tǒng)不記錄每個人執(zhí)行過的命令，就在/etc/profile里設(shè)置：

HISTFILESIZE=0

HISTSIZE=0

128Linux其它安全配置禁止ping響應128Linux其它安全配置禁止不使用的SUID/SGID程序查找root-owned程序中使用's'位的程序：#find/-typef(-perm-04000-o-perm-02000)-execls-lg{}\;用下面命令禁止選中的帶有's'位的程序：#chmoda-s[program]

129Linux其它安全配置禁止不使用的SUID/SGID程序12Linux其它安全配置設(shè)置sendmail的基本安全禁止relay禁止vrfy、expn命令限制郵件大小修改sendmail的歡迎提示升級版本設(shè)置DNS的基本安全配置TCP_WRAPPERS訪問列表130Linux其它安全配置設(shè)置sendmail的基本安全130131五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級131五、如何加強UNIX系統(tǒng)安全性安全設(shè)置應用服務安全要點DNSFTPTELNETMAILWebTcp_wrapper132應用服務安全要點DNS132Bind服務器安全配置基本安全配置Bind服務器的訪問控制133Bind服務器安全配置基本安全配置133Bind服務器安全配置基本安全配置隱藏版本信息 在options節(jié)中增加自定義的BIND版本信息，可隱藏BIND服務器的真正版本號。

例如： version

"Who

knows?";

//

version

9.9.9;

此時如果通過DNS服務查詢BIND版本號時，返回的信息就是"Who

knows?"。

134Bind服務器安全配置基本安全配置134Bind服務器安全配置基本安全配置named進程啟動選項-r：關(guān)閉域名服務器的遞歸查詢功能（缺省為打開）。該選項可在配置文件的options中使用"recursion"選項覆蓋。-u和-g：定義域名服務器運行時所使用的UID和GID,這用于丟棄啟動時所需要的root特權(quán)。

135Bind服務器安全配置基本安全配置135Bind服務器安全配置Bind服務器的訪問控制:限制查詢限制區(qū)域傳輸關(guān)閉遞歸查詢136Bind服務器安全配置Bind服務器的訪問控制:136Bind服務器安全配置/etc/named.confoptions{directory“/var/named”;

allow-query/24; //限制查詢

allow-transfer{;/24; //限制區(qū)域傳輸recursionno; //關(guān)閉遞歸查詢

};};137Bind服務器安全配置/etc/named.conf137Ftp安全要點用ftpusers限制ftp用戶ftpusers文件包含了所有在password文件中存在,但不允許登陸系統(tǒng)ftp的用戶名稱。建議關(guān)閉匿名FTP模式FTP服務暴露系統(tǒng)敏感信息

編輯/etc/default/ftpd文件，在文件中的加進以下一項 BANNER=XXXX(XXXX可以任意改變?yōu)槿魏我粋€版本信息)

將該系統(tǒng)版本信息屏蔽.用SCP代替ftp138Ftp安全要點用ftpusers限制ftp用戶138TELNET改變TELNET登錄的提示編輯/etc/motd文件避免顯示系統(tǒng)和版本信息編輯/etc/inetd.conf文件：telnetstreamtcpnowaitroot/usr/sbin/tcpdin.telnetd

-h

加-h表示telnet不顯示系統(tǒng)信息。推薦使用ssh代替不安全的telnet139TELNET改變TELNET登錄的提示139Sendmail安全配置關(guān)掉expn和vrfy命令

修改文件/etc/sendmail.cf，將O

PrivacyOptions=authwarnings改為O

PrivacyOptions=authwarnings,novrfy,noexpn

/etc/aliases的權(quán)限設(shè)為644#Chmod644/etc/aliases從/etc/aliases里刪除decode別名140Sendmail安全配置關(guān)掉expn和vrfy命令140Sendmail安全配置限制可以審核郵件隊列內(nèi)容的人通常情況下，任何人都可以使用"mailq"命令來查看郵件隊列的內(nèi)容。 #vi

/etc/sendmail.cf

將O

PrivacyOptions=authwarnings,noexpn,novrfy

改為：O

PrivacyOptions=authwarnings,noexpn,novrfy,restrictmailq

關(guān)閉openrelay141Sendmail安全配置限制可以審核郵件隊列內(nèi)容的人141Sendmail安全配置重要的sendmail文件設(shè)置不可更改位

#

chattr

+i

/etc/sendmail.cf

#

chattr

+i

/etc/sendmail.cw

#

chattr

+i

/etc/sendmail.mc

#

chattr

+i

/etc/null.mc

#

chattr

+i

/etc/aliases

#

chattr

+i

/etc/mail/access142Sendmail安全配置重要的sendmail文件設(shè)置不可更Sendmail安全配置增強Sendmail的抗DoS攻擊能力1.最大郵件大小

配置參數(shù)：MaxMessageSize

參數(shù)描述：每封郵件的最大尺寸，越大越容易被攻擊致命。

默認值：不限制

推薦值：5M

2.每封郵件的最多接收者

配置參數(shù)：MaxRecipientsPerMessage

參數(shù)描述：如果設(shè)定了的話，每封郵件只能同時抄送給指定數(shù)量的收信人。超過此數(shù)目就會返回一個452的錯誤代碼。

143Sendmail安全配置增強Sendmail的抗DoS攻擊能Sendmail安全配置設(shè)置smtp身份驗證及時更新安裝最新版本的Sendmail144Sendmail安全配置設(shè)置smtp身份驗證144Apache安全配置要點Apache安全要點Apache的ip限制和認證設(shè)置重要配置文件的保護 ApacheWeb服務器有三個主要的配置文件，它們一般位于/usr/local/apache/conf目錄。這三個文件是： httpd.conf—》文件是主配置文件； srm.conf—》填加資源文件； access.conf—》設(shè)置文件的訪問權(quán)限。145Apache安全配置要點Apache安全要點145Apache安全配置要點146Apache安全配置要點146Apache安全配置要點Apache的安裝配置和運行修改httpd.conf文件,以Nobody用戶運行Apache檢查ServerRoot目錄的權(quán)限是否恰當。使非超級用戶不能修改該目錄中的內(nèi)容。Apache的主目錄對應于ApacheServer配置文件httpd.conf的ServerRoot控制項中，應為：

ServerRoot/usr/local/apache

httpd.conf、srm.conf和access.conf的權(quán)限設(shè)置是否適當使用TCPWrappers。使用商業(yè)化的更安全的軟件代替。147Apache安全配置要點Apache的安裝配置和運行147Tcp_wrapperTcp_wrapper在inetd接到客戶請求時啟動，具有存取管理啟動目標服務器的程序功能。Tcpd啟動時，讀取文件/etc/hosts.allow及/etc/hosts.deny。/etc/hosts.allow：允許服務的主機/etc/hosts.deny：禁止服務的主機Tcpd解釋設(shè)置文件方式如果為用hosts.allow允許的主機則充許。如果為用hosts.deny禁止的主機則禁止。兩種文件均無描述的主機，則允許148Tcp_wrapperTcp_wrapper在inetd接到149五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級149五、如何加強UNIX系統(tǒng)安全性安全設(shè)置系統(tǒng)升級全面的服務升級ftpSshDnsMail….獲取最新系統(tǒng)補丁廠商網(wǎng)絡服務開發(fā)安全公司150系統(tǒng)升級全面的服務升級150151五、如何加強UNIX系統(tǒng)安全性安全設(shè)置啟動項安全設(shè)置設(shè)置帳號安全系統(tǒng)服務安全設(shè)置網(wǎng)絡安全設(shè)置其它安全配置應用服務安全要點系統(tǒng)升級安全工具151五、如何加強UNIX系統(tǒng)安全性安全設(shè)置Linux安全工具Sxid系統(tǒng)監(jiān)控程序Skey一次性口令的一個工具Nmap網(wǎng)絡映射器，探測主機，控測哪些服務在運行OpenSSH替代telnet/rcp，保護數(shù)據(jù)的傳輸Tcpdump檢查網(wǎng)絡通訊數(shù)據(jù)Snort開源網(wǎng)絡入侵檢測系統(tǒng)152Linux安全工具Sxid152Linux安全工具Iptables防火墻，幾乎集成到所有Linux發(fā)行版中Chkrootkit掃描系統(tǒng)中的木馬、蠕蟲Nessus網(wǎng)絡漏洞掃描器Tripwire文件完整性檢查器portsentry防止端口被掃描153Linux安全工具Iptables153154UNIX后門分析THOMPSON在cc.c中留下了2個后門，第1個針對login，第2個針對cc，并給出了代碼大綱

compile(s)

char*s

{

if(match(s,"pattern1"){

compile("backdoor1";

return;

}

if(match(s,"pattern2"){

compile("backdoor2";

return;

}

......

}154UNIX后門分析THOMPSON在cc.c中留下了2個六、總結(jié)UNIX系統(tǒng)原理UNIX安全機制如何增強UNIX安全性155六、總結(jié)UNIX系統(tǒng)原理155156結(jié)束謝謝156結(jié)束謝謝CNITSEC11:47:04157UNIX操作系統(tǒng)安全中國信息安全測評中心2022年12月19日CNITSEC22:51:211UNIX操作系統(tǒng)安全158課程目的了解UNIX系統(tǒng)的安全性增強安全意識提高UNIX系統(tǒng)安全性2課程目的了解UNIX系統(tǒng)的安全性159主要內(nèi)容操作系統(tǒng)安全UNIX系統(tǒng)原理UNIX系統(tǒng)安全機制UNIX系統(tǒng)安全問題如何加強UNIX系統(tǒng)安全性總結(jié)3主要內(nèi)容操作系統(tǒng)安全160一、操作系統(tǒng)安全安全性安全威脅安全特征4一、操作系統(tǒng)安全安全性161一、操作系統(tǒng)安全安全性安全威脅安全度量5一、操作系統(tǒng)安全安全性162安全性保密性完整性可用性6安全性保密性163一、操作系統(tǒng)安全安全性安全威脅安全度量7一、操作系統(tǒng)安全安全性安全威脅威脅：對安全的潛在破壞泄露：對信息的非授權(quán)訪問欺騙：虛假數(shù)據(jù)被接收破壞：中斷或者妨礙正常操作篡奪：對系統(tǒng)某些部分的非授權(quán)控制攻擊：導致破壞發(fā)生的行為164安全威脅威脅：對安全的潛在破壞8SOS安全威脅安全威脅的來源計算機結(jié)構(gòu)上的安全缺陷操作系統(tǒng)的不安全性網(wǎng)絡協(xié)議的不安全性人的問題165SOS安全威脅安全威脅的來源9安全威脅操作系統(tǒng)面臨的安全威脅保密性威脅完整性威脅可用性威脅166安全威脅操作系統(tǒng)面臨的安全威脅10保密性威脅信息的保密性：信息的隱藏目的是讓信息對非授權(quán)的用戶不可見主要來源于計算機在敏感領(lǐng)域的使用軍事應用企業(yè)應用保密性也指保護數(shù)據(jù)的存在性存在性有時候比數(shù)據(jù)本身更能暴露信息保密性威脅主要是信息泄露167保密性威脅信息的保密性：信息的隱藏11保密性威脅方式嗅探（竊聽）：對信息的非法攔截，是某種形式的信息泄露木馬和后門間諜軟件隱通道168保密性威脅方式嗅探（竊聽）：12完整性威脅信息的完整性指的是信息的可信程度。具有完整性的信息應該是沒有經(jīng)過非法的或者是未經(jīng)授權(quán)的數(shù)據(jù)改變。包括信息內(nèi)容的完整