为您找到与如何防范系统操作安全相关的共200个结果:
使用过Windows8操作系统的同学们都知道,当我们在系统开机的时候熟练的按下F8键的时候却意外的发现没有弹出高级启动菜单选项,这就意味着我们无法进入系统的安全模式,这可怎么办呢?读文网小编将向大家详细介绍一下在Windows8操作系统中进入安全模式的的方法,希望可以帮助带大家。
手指从屏幕右侧向中间划动或者按“Win+I”快捷键打开Win8的超级按钮(Charm栏),点击“更改电脑设置”。
进入Win8“电脑设置”界面,在左边的选项列表中点击“常规”,然后在右边找到“高级启动”,按下“立即重启”。之后Win8系统便会进入高级启动状态。
Win8系统机器会自动进入系统选择列表,我们在继续、疑难解答、关闭电脑三个选项中选择“疑难解答”。进入疑难解答选择界面之后,选择“高级选项”。
在高级选项中,我们可以看到系统还原、系统印像恢复、自动修复、命令提示符、启动设置等选项,这里我们选择“启动设置”。
进入Win8系统的“启动设置”,我们可以看到具体的描述,其中就包含有“启用安全模式”这一项。点击产“重启”按钮。
稍等片刻,进入“启动设置”界面,这里和以前按F8键看到的启动界面类似,可以看到启用测试、启用低分辨率视频、启用安全模式、启用带网络连接的安全模式等等,大家可以根据自己的需要按数字键4或者5,Win8系统即可进入对应的安全模式。
Win8系统进入安全模式之后会直接跳转至传统桌面,桌面四角会显示“安全模式”字样,并给出安全模式的帮助和支持信息,同时Win8的超级按钮栏也减少为三个功能图标。
浏览量:4
下载量:0
时间:
由于Linux操作系统良好的网络功能,因此在因特网中大部分网站服务器都是使用的Linux作为主操作系统的。那么,作为一名Linux用户,我们该如何通过合理的方法来防范Linux的安全呢?下面读文网小编搜集和整理了一些防范Linux安全的几则措施,现在把它们贡献出来,恳请各位网友能不断补充和完善。
1. BIOS安全
设置BIOS密码且修改引导次序禁止从软盘启动系统。
2. 用户口令
用户口令是Linux安全的一个基本起点,很多人使用的用户口令过于简单,这等于给侵入者敞开了大门,虽然从理论上说,只要有足够的时间和资源可以利用,就没有不能破解的用户口令。但选取得当的口令是难于破解的,较好的用户口令是那些只有他自己容易记得并理解的一串字符,并且绝对不要在任何地方写出来。
3. 默认账号
应该禁止所有默认的被操作系统本身启动的并且不必要的账号,当你第一次安装系统时就应该这么做,Linux提供了很多默认账号,而账号越多,系统就越容易受到攻击。
可以用下面的命令删除账号。
或者用以下的命令删除组用户账号。
4. 口令文件
chattr命令给下面的文件加上不可更改属性,从而防止非授权用户获得权限。
5. 禁止Ctrl+Alt+delete重新启动机器命令
修改/etc/inittab文件,将"ca::ctrlaltdel:/sbin/shutdown -t3 -r now"一行注释掉。然后重新设置/etc/rc.d/init.d/目录下所有文件的许可权限,运行如下命令:
这样便仅有root可以读、写或执行上述所有脚本文件。
6. 限制su命令
如果你不想任何人能够用su作为root,可以编辑/etc/pam.d/su文件,增加如下两行:
这时,仅isd组的用户可以用su作为root。此后,如果你希望用户admin能够用su作为root,可以运行如下命令:
7. 删减登录信息
默认情况下,登录提示信息包括Linux发行版、内核版本名和服务器主机名等。
对于一台安全性要求较高的机器来说这样泄漏了过多的信息。
可以编辑/etc/rc.d/rc.local将输出系统信息的如下行注释掉。
然后,进行如下操作:
浏览量:3
下载量:0
时间:
Linux操作系统的安全性是有目共睹的。但是世上万物不可能十全十美那么,作为一名Linux用户,我们该如何通过合理的方法来防范Linux的安全呢?下面读文网小编搜集和整理了一些防范Linux安全的几则措施,现在把它们贡献出来,恳请各位网友能不断补充和完善。
1、禁止使用ping命令
ping命令是计算机之间进行相互检测线路完好的一个应用程序,计算机间交流数据的传输没有经过任何的加密处理,因此我们在用ping命令来检测某一个服务器时,可能在因特网上存在某个非法分子,通过专门的黑客程序把在网络线路上传输的信息中途窃取,并利用偷盗过来的信息对指定的服务器或者系统进行攻击,为此我们有必要在Linux系统中禁止使用Linux命令。在linux里,如果要想使ping没反应也就是用来忽略icmp包,因此我们可以在Linux的命令行中输入如下命令:echo 1 > /proc/sys/net/ipv4/icmp_echo_igore_all ;如果想恢复使用ping命令,就可以输入echo 0 > /proc/sys/net/ipv4/icmp_echo_igore_all命令。
2、注意对系统及时备份
为了防止系统在使用的过程中发生以外情况而难以正常运行,我们应该对Linux完好的系统进行备份,最好是在一完成Linux系统的安装任务后就对整个系统进行备份,以后可以根据这个备份来验证系统的完整性,这样就可以发现系统文件是否被非法修改过。如果发生系统文件已经被破坏的情况,也可以使用系统备份来恢复到正常的状态。备份信息时,我们可以把完好的系统信息备份在CD-ROM光盘上,以后可以定期将系统与光盘内容进行比较以验证系统的完整性是否遭到破坏。如果对安全级别的要求特别高,那么可以将光盘设置为可启动的并且将验证工作作为系统启动过程的一部分。这样只要可以通过光盘启动,就说明系统尚未被破坏过。
3、改进登录服务器
将系统的登录服务器移到一个单独的机器中会增加系统的安全级别,使用一个更安全的登录服务器来取代Linux自身的登录工具也可以进一步提高安全。在大的Linux网络中,最好使用一个单独的登录服务器用于syslog服务。它必须是一个能够满足所有系统登录需求并且拥有足够的磁盘空间的服务器系统,在这个系统上应该没有其它的服务运行。更安全的登录服务器会大大削弱入侵者透过登录系统窜改日志文件的能力。
4、取消root命令历史记录
在linux下,系统会自动记录用户输入过的命令,而root用户发出的命令往往具有敏感的信息,为了保证安全性,一般应该不记录或者少记录root的命令历史记录。为了设置系统不记录每个人执行过的命令,我们可以在linux的命令行下,首先用cd命令进入到/etc命令,然后用编辑命令来打开该目录下面的profile文件,并在其中输入如下内容:
HISTFILESIZE=0
HISTSIZE=0
当然,我们也可以直接在命令行中输入如下命令:ln -s /dev/null ~/.bash_history 。5、为关键分区建立只读属性
Linux的文件系统可以分成几个主要的分区,每个分区分别进行不同的配置和安装,一般情况下至少要建立/、/usr/local、/var和/home等分区。/usr可以安装成只读并且可以被认为是不可修改的。如果/usr中有任何文件发生了改变,那么系统将立即发出安全报警。当然这不包括用户自己改变/usr中的内容。/lib、/boot和/sbin的安装和设置也一样。在安装时应该尽量将它们设置为只读,并且对它们的文件、目录和属性进行的任何修改都会导致系统报警。
当然将所有主要的分区都设置为只读是不可能的,有的分区如/var等,其自身的性质就决定了不能将它们设置为只读,但应该不允许它具有执行权限。
6、杀掉攻击者的所有进程
假设我们从系统的日志文件中发现了一个用户从我们未知的主机登录,而且我们确定该用户在这台主机上没有相应的帐号,这表明此时我们正在受到攻击。为了保证系统的安全被进一步破坏,我们应该马上锁住指定的帐号,如果攻击者已经登录到指定的系统,我们应该马上断开主机与网络的物理连接。如有可能,我们还要进一步查看此用户的历史记录,再仔细查看一下其他用户是否也已经被假冒,攻击者是否拥有有限权限;最后应该杀掉此用户的所有进程,并把此主机的IP地址掩码加入到文件hosts.deny中。
7、改进系统内部安全机制
我们可以通过改进Linux操作系统的内部功能来防止缓冲区溢出,从而达到增强Linux系统内部安全机制的目的,大大提高了整个系统的安全性。但缓冲区溢出实施起来是相当困难的,因为入侵者必须能够判断潜在的缓冲区溢出何时会出现以及它在内存中的什么位置出现。缓冲区溢出预防起来也十分困难,系统管理员必须完全去掉缓冲区溢出存在的条件才能防止这种方式的攻击。正因为如此,许多人甚至包括Linux Torvalds本人也认为这个安全Linux补丁十分重要,因为它防止了所有使用缓冲区溢出的攻击。但是需要引起注意的是,这些补丁也会导致对执行栈的某些程序和库的依赖问题,这些问题也给系统管理员带来的新的挑战。
8、对系统进行跟踪记录
为了能密切地监视黑客的攻击活动,我们应该启动日志文件,来记录系统的运行情况,当黑客在攻击系统时,它的蛛丝马迹都会被记录在日志文件中的,因此有许多黑客在开始攻击系统时,往往首先通过修改系统的日志文件,来隐藏自己的行踪,为此我们必须限制对/var/log文件的访问,禁止一般权限的用户去查看日志文件。当然,系统中内置的日志管理程序功能可能不是太强,我们应该采用专门的日志程序,来观察那些可疑的多次连接尝试。另外,我们还要小心保护好具有根权限的密码和用户,因为黑客一旦知道了这些具有根权限的帐号后,他们就可以修改日志文件来隐藏其踪迹了。
9、使用专用程序来防范安全
有时,我们通过人工的方法来监视系统的安全比较麻烦,或者是不周密,因此我们还可以通过专业程序来防范系统的安全,目前最典型的方法为设置陷井和设置蜜罐两种方法。所谓陷井就是激活时能够触发报警事件的软件,而蜜罐(honey pot)程序是指设计来引诱有入侵企图者触发专门的报警的陷井程序。通过设置陷井和蜜罐程序,一旦出现入侵事件系统可以很快发出报警。在许多大的网络中,一般都设计有专门的陷井程序。陷井程序一般分为两种:一种是只发现入侵者而不对其采取报复行动,另一种是同时采取报复行动。
10、将入侵消灭在萌芽状态
入侵者进行攻击之前最常做的一件事情就是端号扫瞄,如果能够及时发现和阻止入侵者的端号扫瞄行为,那么可以大大减少入侵事件的发生率。反应系统可以是一个简单的状态检查包过滤器,也可以是一个复杂的入侵检测系统或可配置的防火墙。我们可以采用诸如Abacus Port Sentry这样专业的工具,来监视网络接口并且与防火墙交互操作,最终达到关闭端口扫瞄攻击的目的。当发生正在进行的端口扫瞄时,Abacus Sentry可以迅速阻止它继续执行。但是如果配置不当,它也可能允许敌意的外部者在你的系统中安装拒绝服务攻击。正确地使用这个软件将能够有效地防止对端号大量的并行扫瞄并且阻止所有这样的入侵者。
11、严格管理好口令
前面我们也曾经说到过,黑客一旦获取具有根权限的帐号时,就可以对系统进行任意的破坏和攻击,因此我们必须保护好系统的操作口令。通常用户的口令是保存在文件/etc/passwd文件中的,尽管/etc/passwd是一个经过加密的文件,但黑客们可以通过许多专用的搜索方法来查找口令,如果我们的口令选择不当,就很容易被黑客搜索到。因此,我们一定要选择一个确保不容易被搜索的口令。另外,我们最好能安装一个口令过滤工具,并借用该工具来帮助自己检查设置的口令是否耐得住攻击。
浏览量:2
下载量:0
时间:
Linux系统由于其出色的性能和稳定性、开放源代码的灵活性和可扩展性,以及较低廉的成本,而受到计算机工业界的广泛关注和应用。其系统的安全性就必须要加强,那么linux操作系统如何加固安全?下面大家与读文网小编一起来学习一下吧。
一、磁盘分区
1、如果是新安装系统,
对磁盘分区应考虑安全性:
1)根目录(/)、用户目录(/home)、临时目录(/tmp)和/var目录应分开到不同的磁盘分区;
2)以上各目录所在分区的磁盘空间大小应充分考虑,避免因某些原因造成分区空间用完而导致系统崩溃;
2、对于/tmp和/var目录所在分区,大多数情况下不需要有suid属性的程序,所以应为这些分区添加nosuid属性;
方法一:修改/etc/fstab文件,添加nosuid属性字。例如:
/dev/hda2 /tmp ext2 exec,dev,nosuid,rw 0 0
方法二:如果对/etc/fstab文件操作不熟,建议通过linuxconf程序来修改。
*运行linuxconf程序;
*选择"File systems"下的"Access local drive";
*选择需要修改属性的磁盘分区;
*选择"No setuid programs allowed"选项;
*根据需要选择其它可选项;
*正常退出。(一般会提示重新mount该分区)
二、安装
1、对于非测试主机,不应安装过多的软件包。这样可以降低因软件包而导致出现安全漏洞的可能性。
2、对于非测试主机,在选择主机启动服务时不应选择非必需的服务。例如routed、ypbind等。
三、安全配置与增强
内核升级。起码要升级至2.2.16以上版本。
GNU libc共享库升级。(警告:如果没有经验,不可轻易尝试。可暂缓。)
关闭危险的网络服务。echo、chargen、shell、login、finger、NFS、RPC等
关闭非必需的网络服务。talk、ntalk、pop-2等
常见网络服务安全配置与升级
确保网络服务所使用版本为当前最新和最安全的版本。
取消匿名FTP访问
去除非必需的suid程序
使用tcpwrapper
使用ipchains防火墙
日志系统syslogd
一些细节:
1.操作系统内部的log file是检测是否有网络入侵的重要线索,当然这个假定你的logfile不被侵入者所破坏,如果你有台服务器用专线直接连到Internet上,这意味着你的IP地址是永久固定的地址,你会发现有很多人对你的系统做telnet/ftp登录尝试,试着运行#more /var/log/secure | grep refused 去检查。
2. 限制具有SUID权限标志的程序数量,具有该权限标志的程序以root身份运行,是一个潜在的安全漏洞,当然,有些程序是必须要具有该标志的,象passwd程序。
3.BIOS安全。设置BIOS密码且修改引导次序禁止从软盘启动系统。
4. 用户口令。用户口令是Linux安全的一个最基本的起点,很多人使用的用户口令就是简单的‘password'',这等于给侵入者敞开了大门,虽然从理论上说没有不能确解的用户口令,只要有足够的时间和资源可以利用。比较好的用户口令是那些只有他自己能够容易记得并理解的一串字符,并且绝对不要在任何地方写出来。
5./etc/exports 文件。如果你使用NFS网络文件系统服务,那么确保你的/etc/exports具有最严格的存取权限设置,不意味着不要使用任何通配符,不允许root写权限,mount成只读文件系统。编辑文件/etc/exports并且加:例如:
/dir/to/export host1.mydomain.com(ro,root_squash)
/dir/to/export host2.mydomain.com(ro,root_squash)
/dir/to/export 是你想输出的目录,host.mydomain.com是登录这个目录的机器名,
ro意味着mount成只读系统,root_squash禁止root写入该目录。
为了让上面的改变生效,运行/usr/sbin/exportfs -a
[NextPage]
6.确信/etc/inetd.conf的所有者是root,且文件权限设置为600 。
[root@deep]# chmod 600 /etc/inetd.conf
ENSURE that the owner is root.
[root@deep]# stat /etc/inetd.conf
File: "/etc/inetd.conf"
Size: 2869 Filetype: Regular File
Mode: (0600/-rw-------) Uid: ( 0/ root) Gid: ( 0/ root)
Device: 8,6 Inode: 18219 Links: 1
Access: Wed Sep 22 16:24:16 1999(00000.00:10:44)
Modify: Mon Sep 20 10:22:44 1999(00002.06:12:16)
Change:Mon Sep 20 10:22:44 1999(00002.06:12:16)
编辑/etc/inetd.conf禁止以下服务:
ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger,
auth, etc. 除非你真的想用它。
特别是禁止那些r命令.如果你用ssh/scp,那么你也可以禁止掉telnet/ftp。
为了使改变生效,运行#killall -HUP inetd
你也可以运行#chattr +i /etc/inetd.conf使该文件具有不可更改属性。
只有root才能解开,用命令
#chattr -i /etc/inetd.conf
7. TCP_WRAPPERS
默认地,Redhat Linux允许所有的请求,用TCP_WRAPPERS增强你的站点的安全性是举手
之劳,你可以放入
“ALL: ALL”到/etc/hosts.deny中禁止所有的请求,然后放那些明确允许的请求到
/etc/hosts.allow中,如:
sshd: 192.168.1.10/255.255.255.0 gate.openarch.com
对IP地址192.168.1.10和主机名gate.openarch.com,允许通过ssh连接。
配置完了之后,用tcpdchk检查
[root@deep]# tcpdchk
tcpchk是TCP_Wrapper配置检查工具,
它检查你的tcp wrapper配置并报告所有发现的潜在/存在的问题。
8. 别名文件aliases
编辑别名文件/etc/aliases(也可能是/etc/mail/aliases),移走/注释掉下面的行。
# Basic system aliases -- these MUST be present.
MAILER-DAEMON: postmaster
postmaster: root
# General redirections for pseudo accounts.
bin: root
daemon: root
#games: root ?remove or comment out.
#ingres: root ?remove or comment out.
nobody: root
#system: root ?remove or comment out.
#toor: root ?remove or comment out.
#uucp: root ?remove or comment out.
# Well-known aliases.
#manager: root ?remove or comment out.
#dumper: root ?remove or comment out.
#operator: root ?remove or comment out.
# trap decode to catch security attacks
#decode: root
# Person who should get root''s mail
#root: marc
最后更新后不要忘记运行/usr/bin/newaliases,使改变生效。
[NextPage]
9.阻止你的系统响应任何从外部/内部来的ping请求。
既然没有人能ping通你的机器并收到响应,你可以大大增强你的站点的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local,以使每次启动后自动运行。
echo 1 >; /proc/sys/net/ipv4/icmp_echo_ignore_all
10. 不要显示出操作系统和版本信息。
如果你希望某个人远程登录到你的服务器时不要显示操作系统和版本信息,你能改变
/etc/inetd.conf中的一行象下面这样:
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h
加-h标志在最后使得telnet后台不要显示系统信息,而仅仅显示login:
11.The /etc/host.conf file
编辑host.conf文件(vi /etc/host.conf)且加下面的行:
# Lookup names via DNS first then fall back to /etc/hosts.
order bind,hosts
# We don''t have machines with multiple IP addresses on the same card
(like virtual server,IP Aliasing).
multi off
# Check for IP address spoofing.
nospoof on
IP Spoofing: IP-Spoofing is a security exploit that works by tricking
computers in a trust relationship that you are someone that you really aren''t.
12. The /etc/securetty file
该文件指定了允许root登录的tty设备,/etc/securetty被/bin/login程序读取,它的
格式是一行一个被允许的名字列表,如你可以编辑/etc/securetty且注释出下面的行。
tty1
#tty2
#tty3
#tty4
#tty5
#tty6
#tty7
#tty8
-意味着root仅仅被允许在tty1终端登录。
13. 特别的帐号
禁止所有默认的被操作系统本身启动的且不需要的帐号,当你第一次装上系统时就应该做此检查,Linux提供了各种帐号,你可能不需要,如果你不需要这个帐号,就移走它,你有的帐号越多,就越容易受到攻击。
为删除你系统上的用户,用下面的命令:
[root@deep]# userdel username
为删除你系统上的组用户帐号,用下面的命令:
[root@deep]# groupdel username
在终端上打入下面的命令删掉下面的用户。
[root@deep]# userdel adm
[root@deep]# userdel lp
[root@deep]# userdel sync
[root@deep]# userdel shutdown
[root@deep]# userdel halt
[root@deep]# userdel mail
如果你不用sendmail服务器,procmail.mailx,就删除这个帐号。
[root@deep]# userdel news
[root@deep]# userdel uucp
[root@deep]# userdel operator
[root@deep]# userdel games
如果你不用X windows 服务器,就删掉这个帐号。
[root@deep]# userdel gopher
[root@deep]# userdel ftp
如果你不允许匿名FTP,就删掉这个用户帐号。
===
打入下面的命令删除组帐号
[root@deep]# groupdel adm
[root@deep]# groupdel lp
[root@deep]# groupdel mail
如不用Sendmail服务器,删除这个组帐号
[root@deep]# groupdel news
[root@deep]# groupdel uucp
[root@deep]# groupdel games
如你不用X Windows,删除这个组帐号
[root@deep]# groupdel dip
[root@deep]# groupdel pppusers
[root@deep]# groupdel popusers
如果你不用POP服务器,删除这个组帐号
[root@deep]# groupdel slipusers
====
用下面的命令加需要的用户帐号
[root@deep]# useradd username
用下面的命令改变用户口令
[root@deep]# passwd username
用chattr命令给下面的文件加上不可更改属性。
[root@deep]# chattr +i /etc/passwd
[root@deep]# chattr +i /etc/shadow
[root@deep]# chattr +i /etc/group
[root@deep]# chattr +i /etc/gshadow
[NextPage]
14. 阻止任何人su作为root.
如果你不想任何人能够su作为root,你能编辑/etc/pam.d/su加下面的行:
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=isd
意味着仅仅isd组的用户可以su作为root.
然后,如果你希望用户admin能su作为root.就运行下面的命令。
[root@deep]# usermod -G10 admin
16. 资源限制
对你的系统上所有的用户设置资源限制可以防止DoS类型攻击(denial of service attacks)
如最大进程数,内存数量等。例如,对所有用户的限制象下面这样:
编辑/etc/security/limits.con加:
* hard core 0
* hard rss 5000
* hard nproc 20
你也必须编辑/etc/pam.d/login文件加/检查这一行的存在。
session required /lib/security/pam_limits.so
上面的命令禁止core files“core 0”,限制进程数为“nproc 50“,且限制内存使用
为5M“rss 5000”。
17. The /etc/lilo.conf file
a) Add: restricted
加这一行到每一个引导映像下面,就这表明如果你引导时用(linux single),则需要一个password.
b) Add: password=some_password
当与restricted联合用,且正常引导时,需要用户输入密码,你也要确保lilo.conf
文件不能被不属于root的用户可读,也免看到密码明文。下面是例子:
编辑/etc/lilo.conf加:
====
boot=/dev/sda
map=/boot/map
install=/boot/boot.b
prompt
timeout=50
Default=linux
restricted ?add this line.
password=some_password ?add this line.
image=/boot/vmlinuz-2.2.12-20
label=linux
initrd=/boot/initrd-2.2.12-10.img
root=/dev/sda6
read-only
[root@deep]# chmod 600 /etc/lilo.conf (不再能被其他用户可读).
[root@deep]# /sbin/lilo -v (更新lilo配置).
[root@deep]# chattr +i /etc/lilo.conf(阻止该文件被修改)
18. 禁止 Control-Alt-Delete 重启动机器命令
[root@deep]# vi /etc/inittab
ca::ctrlaltdel:/sbin/shutdown -t3 -r now
To
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now
[root@deep]# /sbin/init q
19. 重新设置/etc/rc.d/init.d/目录下所有文件的许可权限
[root@deep]# chmod -R 700 /etc/rc.d/init.d/*
仅仅root可以读,写,执行上述所有script file.
20. The /etc/rc.d/rc.local file
默认地,当你login到linux server时,它告诉你linux版本名,内核版本名和服务器
主机名。它给了你太多的信息,如果你就希望得到提示login: ,编辑
/etc/rc.d/rc.local放#在下面的行前面:
--
# This will overwrite /etc/issue at every boot. So, make any changes you
# want to make to /etc/issue here or you will lose them when you reboot.
#echo "" >; /etc/issue
#echo "$R" >;>; /etc/issue
#echo "Kernel $(uname -r) on $a $(uname -m)" >;>; /etc/issue
#
#cp -f /etc/issue /etc/issue.net
#echo >;>; /etc/issue
--
然后,做下面的事情:
[root@deep]# rm -f /etc/issue
[root@deep]# rm -f /etc/issue.net
[root@deep]# touch /etc/issue
[root@deep]# touch /etc/issue.net
21. 被root拥有的程序的位。
移走那些被root拥有程序的s位标志,当然有些程序需要这个,用命令‘chmod a-s’完成这个。
注:前面带(*)号的那些程序一般不需要拥有s位标志。
[root@deep]# find / -type f ( -perm -04000 -o -perm -02000 ) -exec ls –lg {} ;
-rwsr-xr-x 1 root root 33120 Mar 21 1999 /usr/bin/at
*-rwsr-xr-x 1 root root 30560 Apr 15 20:03 /usr/bin/chage
*-rwsr-xr-x 1 root root 29492 Apr 15 20:03 /usr/bin/gpasswd
-rwsr-xr-x 1 root root 3208 Mar 22 1999 /usr/bin/disable-paste
-rwxr-sr-x 1 root man 32320 Apr 9 1999 /usr/bin/man
-r-s--x--x 1 root root 10704 Apr 14 17:21 /usr/bin/passwd
-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/suidperl
-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/sperl5.00503
-rwxr-sr-x 1 root mail 11432 Apr 6 1999 /usr/bin/lockfile
-rwsr-sr-x 1 root mail 64468 Apr 6 1999 /usr/bin/procmail
-rwsr-xr-x 1 root root 21848 Aug 27 11:06 /usr/bin/crontab
-rwxr-sr-x 1 root slocate 15032 Apr 19 14:55 /usr/bin/slocate
*-r-xr-sr-x 1 root tty 6212 Apr 17 11:29 /usr/bin/wall
*-rws--x--x 1 root root 14088 Apr 17 12:57 /usr/bin/chfn
*-rws--x--x 1 root root 13800 Apr 17 12:57 /usr/bin/chsh
*-rws--x--x 1 root root 5576 Apr 17 12:57 /usr/bin/newgrp
*-rwxr-sr-x 1 root tty 8392 Apr 17 12:57 /usr/bin/write
-rwsr-x--- 1 root squid 14076 Oct 7 14:48 /usr/lib/squid/pinger
-rwxr-sr-x 1 root utmp 15587 Jun 9 09:30 /usr/sbin/utempter
*-rwsr-xr-x 1 root root 5736 Apr 19 15:39 /usr/sbin/usernetctl
*-rwsr-xr-x 1 root bin 16488 Jul 6 09:35 /usr/sbin/traceroute
-rwsr-sr-x 1 root root 299364 Apr 19 16:38 /usr/sbin/sendmail
-rwsr-xr-x 1 root root 34131 Apr 16 18:49 /usr/libexec/pt_chown
-rwsr-xr-x 1 root root 13208 Apr 13 14:58 /bin/su
*-rwsr-xr-x 1 root root 52788 Apr 17 15:16 /bin/mount
*-rwsr-xr-x 1 root root 26508 Apr 17 20:26 /bin/umount
*-rwsr-xr-x 1 root root 17652 Jul 6 09:33 /bin/ping
-rwsr-xr-x 1 root root 20164 Apr 17 12:57 /bin/login
*-rwxr-sr-x 1 root root 3860 Apr 19 15:39 /sbin/netreport
-r-sr-xr-x 1 root root 46472 Apr 17 16:26 /sbin/pwdb_chkpwd
[root@deep]# chmod a-s /usr/bin/chage
[root@deep]# chmod a-s /usr/bin/gpasswd
[root@deep]# chmod a-s /usr/bin/wall
[root@deep]# chmod a-s /usr/bin/chfn
[root@deep]# chmod a-s /usr/bin/chsh
[root@deep]# chmod a-s /usr/bin/newgrp
[root@deep]# chmod a-s /usr/bin/write
[root@deep]# chmod a-s /usr/sbin/usernetctl
[root@deep]# chmod a-s /usr/sbin/traceroute
[root@deep]# chmod a-s /bin/mount
[root@deep]# chmod a-s /bin/umount
[root@deep]# chmod a-s /bin/ping
[root@deep]# chmod a-s /sbin/netreport
你可以用下面的命令查找所有带s位标志的程序:
[root@deep]# find / -type f ( -perm -04000 -o -perm -02000 ) -exec ls -lg {} ;
>; suid-sgid-results
把结果输出到文件suid-sgid-results中。
[NextPage]
为了查找所有可写的文件和目录,用下面的命令:
[root@deep]# find / -type f ( -perm -2 -o -perm -20 ) -exec ls -lg {} ; >; ww-files-results
[root@deep]# find / -type d ( -perm -2 -o -perm -20 ) -exec ls -ldg {} ; >; ww-directories-results
用下面的命令查找没有拥有者的文件:
[root@deep]# find / -nouser -o -nogroup >; unowed-results
用下面的命令查找所有的.rhosts文件:
[root@deep]# find /home -name .rhosts >; rhost-results
建议替换的常见网络服务应用程序
WuFTPD
WuFTD从1994年就开始就不断地出现安全漏洞,黑客很容易就可以获得远程root访问(Remote Root Access)的权限,而且很多安全漏洞甚至不需要在FTP服务器上有一个有效的帐号。最近,WuFTP也是频频出现安全漏洞。
它的最好的替代程序是ProFTPD。ProFTPD很容易配置,在多数情况下速度也比较快,而且它的源代码也比较干净(缓冲溢出的错误比较少)。有许多重要的站点使用ProFTPD。sourceforge.net就是一个很好的例子(这个站点共有3,000个开放源代码的项目,其负荷并不小啊!)。一些Linux的发行商在它们的主FTP站点上使用的也是ProFTPD,只有两个主要Linux的发行商(SuSE和Caldera)使用WuFTPD。
ProFTPD的另一个优点就是既可以从inetd运行又可以作为单独的daemon运行。这样就可以很容易解决inetd带来的一些问题,如:拒绝服务的攻击(denial of service attack),等等。系统越简单,就越容易保证系统的安全。WuFTPD要么重新审核一遍全部的源代码(非常困难),要么完全重写一遍代码,否则WuFTPD必然要被ProFTPD代替。
Telnet
Telnet是非常非常不安全的,它用明文来传送密码。它的安全的替代程序是OpenSSH。
OpenSSH在Linux上已经非常成熟和稳定了,而且在Windows平台上也有很多免费的客户端软件。Linux的发行商应该采用OpenBSD的策略:安装OpenSSH并把它设置为默认的,安装Telnet但是不把它设置成默认的。对于不在美国的Linux发行商,很容易就可以在Linux的发行版中加上OpenSSH。美国的Linux发行商就要想一些别的办法了(例如:Red Hat在德国的FTP服务器上(ftp.redhat.de)就有最新的OpenSSH的rpm软件包)。
Telnet是无可救药的程序。要保证系统的安全必须用OpenSSH这样的软件来替代它。
Sendmail
最近这些年,Sendmail的安全性已经提高很多了(以前它通常是黑客重点攻击的程序)。然而,Sendmail还是有一个很严重的问题。一旦出现了安全漏洞(例如:最近出现的Linux内核错误),Sendmail就是被黑客重点攻击的程序,因为Sendmail是以root权限运行而且代码很庞大容易出问题。
几乎所有的Linux发行商都把Sendmail作为默认的配置,只有少数几个把Postfix或Qmail作为可选的软件包。但是,很少有Linux的发行商在自己的邮件服务器上使用Sendmail。SuSE和Red Hat都使用基于Qmail的系统。
Sendmail并不一定会被别的程序完全替代。但是它的两个替代程序Qmail和Postfix都比它安全、速度快,而且特别是Postfix比它容易配置和维护。
su
su是用来改变当前用户的ID,转换成别的用户。你可以以普通用户登录,当需要以root身份做一些事的时候,只要执行“su”命令,然后输入root的密码。su本身是没有问题的,但是它会让人养成不好的习惯。如果一个系统有多个管理员,必须都给他们root的口令。
su的一个替代程序是sudo。Red Hat 6.2中包含这个软件。sudo允许你设置哪个用户哪个组可以以root身份执行哪些程序。你还可以根据用户登录的位置对他们加以限制(如果有人“破”了一个用户的口令,并用这个帐号从远程计算机登录,你可以限制他使用sudo)。Debian也有一个类似的程序叫super,与sudo比较各有优缺点。
让用户养成良好的习惯。使用root帐号并让多个人知道root的密码并不是一个好的习惯。这就是www.apache.org被入侵的原因,因为它有多个系统管理员他们都有root的特权。一个乱成一团的系统是很容易被入侵的。
named
大部分Linux的发行商都解决了这个问题。named以前是以root运行的,因此当named出现新的漏洞的时候,很容易就可以入侵一些很重要的计算机并获得root权限。现在只要用命令行的一些参数就能让named以非root的用户运行。而且,现在绝大多数Linux的发行商都让named以普通用户的权限运行。命令格式通常为:named -u ; -g ;
INN
在INN的文档中已经明确地指出:“禁止这项功能(verifycancels),这项功能是没有用的而且将被除掉”。大约在一个月前,一个黑客发布了当“verifycancels”生效的时候入侵INN的方法。Red Hat是把“verifycancels”设为有效的。任何setuid/setgid的程序或网络服务程序都要正确地安装并且进行检查以保证尽量没有安全漏洞。
安全守则
1. 废除系统所有默认的帐号和密码。
2. 在用户合法性得到验证前不要显示公司题头、在线帮助以及其它信息。
3. 废除“黑客”可以攻击系统的网络服务。
4. 使用6到8位的字母数字式密码。
5. 限制用户尝试登录到系统的次数。
6. 记录违反安全性的情况并对安全记录进行复查。
7. 对于重要信息,上网传输前要先进行加密。
8. 重视专家提出的建议,安装他们推荐的系统“补丁”。
9. 限制不需密码即可访问的主机文件。
10.修改网络配置文件,以便将来自外部的TCP连接限制到最少数量的端口。不允许诸如tftp,sunrpc,printer,rlogin或rexec之类的协议。
11.用upas代替sendmail。sendmail有太多已知漏洞,很难修补完全。
12.去掉对操作并非至关重要又极少使用的程序。
13.使用chmod将所有系统目录变更为711模式。这样,攻击者们将无法看到它们当中有什么东西,而用户仍可执行。
14.只要可能,就将磁盘安装为只读模式。其实,仅有少数目录需读写状态。
15.将系统软件升级为最新版本。老版本可能已被研究并被成功攻击,最新版本一般包括了这些问题的补救。
看过“ linux操作系统安全加固 ”
浏览量:6
下载量:0
时间:
Linux操作系统由于其开放源代码的特性,可在一定程度上避免后门程序的隐患,这对于关注信息保密性的用户而言非常重要。下面大家与读文网小编一起来学习一下linux操作系统的安全性吧。
1、用户/文件权限的划分
用户权限在Windows操作系统里也不陌生,但是Linux操作系统的用户权限和文件权限要比Windows操作系统里严格有效。比较明显的一个案例就是,即便是你在Windows操作系统里设置了多用户,但是不同的用户之间通过一定的方式,还是能够互访文件的,这就失去了权限的意义。
LINUX文件权限针对的对象分三类(互斥的关系):
1. user(文件的拥有者)
2. group(文件拥有者所在的组,但不包括user)
3. other(其它用户,即user和group以外的)
LINUX用一个3位二进制数对应着文件的3种权限(1表示有该权限,0表示无):
第1位 读 r 100 4
第2位 写 w 010 2
第3位 执行 x 001 1
查看权限
#ls -l
第一列,一共10位(drwxrwxrwx),就代表了文件的权限:
1)第一个d代表是一个目录,如果显示“-”,则说明不是一个目录
2)2-4代表user的权限
3)5-7代表group的权限
4)8-10代表other的权限
对于后9位:
r 代表可读(read),其值是4
w 代表可写(write),其值是2
x 代表可执行(execute),其值是1
- 代表没有相应权限,其值是0
修改文件权限
# chmod [ugoa][+-=][rwx] 文件名
1)用户
u 代表user
g 代表group
o 代表other
a 代表全部的人,也就是包括u,g和o
2)行动
+ 表示添加权限
- 表示删除权限
= 表示使之成为唯一的权限
3)权限
rwx也可以用数字表示法,不过很麻烦要自己算,比如 rw=6
常见权限
-rw—— (600) 只有所有者才有读和写的权限
-rw-r——r—— (644) 只有所有者才有读和写的权限,组群和其他人只有读的权限
-rwx—— (700) 只有所有者才有读,写,执行的权限
-rwxr-xr-x (755) 只有所有者才有读,写,执行的权限,组群和其他人只有读和执行的权限
-rwx——x——x (711) 只有所有者才有读,写,执行的权限,组群和其他人只有执行的权限
-rw-rw-rw- (666) 每个人都有读写的权限
-rwxrwxrwx (777) 每个人都有读写和执行的权限,最大权限。
也许你会说,Windows操作系统里不也内置了防火墙,Linux系统内置防火墙有什么特殊之处。其实,iptables不仅仅是一个防火墙,而且即便是一个防火墙,它与我们常见的Windows操作系统下的防火墙相比,更加的专业性能更强大。
iptables是与Linux内核集成的IP信息包过滤系统,如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器,则该系统有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。
netfilter/iptables IP信息包过滤系统是一种功能强大的工具,可用于添加、编辑和除去规则,这些规则是在做信息包过滤决定时,防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中,而这些表集成在 Linux 内核中。在信息包过滤表中,规则被分组放在我们所谓的链(chain)中。
虽然netfilter/iptables IP信息包过滤系统被称为单个实体,但它实际上由两个组件netfilter和iptables组成。
netfilter组件也称为内核空间(kernelspace),是内核的一部分,由一些信息包过滤表组成,这些表包含内核用来控制信息包过滤处理的规则集。
iptables组件是一种工具,也称为用户空间(userspace),它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用 Red Hat Linux 7.1 或更高版本,否则需要下载该工具并安装使用它。
netfilter/iptables 的最大优点是它可以配置有状态的防火墙,这是 ipfwadm 和 ipchains 等以前的工具都无法提供的一种重要功能。有状态的防火墙能够指定并记住为发送或接收信息包所建立的连接的状态。防火墙可以从信息包的连接跟踪状态获得该信息。在决定新的信息包过滤时,防火墙所使用的这些状态信息可以增加其效率和速度。这里有四种有效状态,名称分别为 ESTABLISHED 、 INVALID 、 NEW 和 RELATED。
状态 ESTABLISHED 指出该信息包属于已建立的连接,该连接一直用于发送和接收信息包并且完全有效。INVALID 状态指出该信息包与任何已知的流或连接都不相关联,它可能包含错误的数据或头。状态 NEW 意味着该信息包已经或将启动新的连接,或者它与尚未用于发送和接收信息包的连接相关联。最后, RELATED 表示该信息包正在启动新连接,以及它与已建立的连接相关联。
netfilter/iptables 的另一个重要优点是,它使用户可以完全控制防火墙配置和信息包过滤。您可以定制自己的规则来满足您的特定需求,从而只允许您想要的网络流量进入系统。
另外,netfilter/iptables 是免费的,这对于那些想要节省费用的人来说十分理想,它可以代替昂贵的防火墙解决方案。
SELinux是Security-Enhanced Linux的简称,是美国国家安全局NSA(The National Security Agency)和SCC(Secure Computing Corporation)开发的 Linux的一个扩张强制访问控制安全模块。原先是在Fluke上开发的,2000年以GNU GPL发布。
SELinux(Security-Enhanced Linux) 是对于强制访问控制的实现,是Linux上最杰出的新安全子系统。NSA是在Linux社区的帮助下开发了一种访问控制体系,在这种访问控制体系的限制下,进程只能访问那些在他的任务中所需要文件。SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上,也可以作为其他发行版上容易安装的包得到。
对于目前可用的 Linux安全模块来说,SELinux 是功能最全面,而且测试最充分的,它是在 20 年的 MAC 研究基础上建立的。SELinux 在类型强制服务器中合并了多级安全性或一种可选的多类策略,并采用了基于角色的访问控制概念。
大部分使用SELinux的人使用的都是SELinux就绪的发行版,他们都是在内核中启用SELinux的,并且提供一个可定制的安全策略,还提供很多用户层的库和工具,它们都可以使用 SELinux 的功能。
SELinux是一种基于域-类型模型(domain-type)的强制访问控制(MAC)安全系统,它由NSA编写并设计成内核模块包含到内核中,相应的某些安全相关的应用也被打了SELinux的补丁,最后还有一个相应的安全策略。
众所周知,标准的UNIX安全模型是"任意的访问控制"DAC。就是说,任何程序对其资源享有完全的控制权。假设某个程序打算把含有潜在重要信息的文件扔到/tmp目录下,那么在DAC情况下没人能阻止他!而MAC情况下的安全策略完全控制着对所有资源的访问。这是MAC和DAC本质的区别。SELinux提供了比传统的UNⅨ权限更好的访问控制。
点评:
Linux操作系统在服务器领域已经占据了很强的领地,这与其自身的免费、开源以及极高的安全性分不开的。做好Linux操作系统的维护,需要善用Linux系统高效的工具资源。只有熟练运用、熟知Linux脾性才能将这个默默无闻的宝物发挥到极致。
看过“ linux操作系统安全性 ”
浏览量:2
下载量:0
时间:
众所周知,网络安全是一个非常重要的课题,而服务器是网络安全中最关键的环节。Linux被认为是一个比较安全的Internet服务器,作为一种开放源代码操作系统,一旦Linux系统中发现有安全漏洞,Internet上来自世界各地的志愿者会踊跃修补它。下面大家与读文网小编一起来学习一下linux操作系统安全设置吧。
1. 交换机的安全
启用VLAN技术:交换机的某个端口上定义VLAN ,所有连接到这个特定端口的终端都是虚拟网络的一部分,并且整个网络可以支持多个VLAN。VLAN通过建立网络防火墙使不必要的数据流量减至最少,隔离各个VLAN间的传输和可能出现的问题,使网络吞吐量大大增加,减少了网络延迟。在虚拟网络环境中,可以通过划分不同的虚拟网络来控制处于同一物理网段中的用户之间的通信。这样一来有效的实现了数据的__,而且配置起来并不麻烦,网络管理员可以逻辑上重新配置网络,迅速、简单、有效地平衡负载流量,轻松自如地增加、删除和修改用户,而不必从物理上调整网络配置。
2. 路由器的安全
根据路由原理安全配置路由器路由器是整个网络的核心和心脏, 保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施。
(1)堵住安全漏洞
限制系统物理访问是确保路由器安全的最有效方法之一。限制系统物理访问的一种方法就是将控制台和终端会话配置成在较短闲置时间后自动退出系统。避免将调制解调器连接至路由器的辅助端口也很重要。一旦限制了路由器的物理访问,用户一定要确保路由器的安全补丁是最新的。
(2)避免身份危机
入侵者常常利用弱口令或默认口令进行攻击。加长口令、选用30到60天的口令有效期等措施有助于防止这类漏洞。另外,一旦重要的IT员工辞职,用户应该立即更换口令。用户应该启用路由器上的口令加密功能。
(3)禁用不必要服务
近来许多安全事件都凸显了禁用不需要本地服务的重要性。需要注意的是,一个需要用户考虑的因素是定时。定时对有效操作网络是必不可少的。即使用户确保了部署期间时间同步,经过一段时间后,时钟仍有可能逐渐失去同步。用户可以利用名为网络时。
浏览量:2
下载量:0
时间:
WinXP系统自微软推出以来,便以美观的界面迅速捕获了一堆的系统用户,再加上其稳定性和强大的网络功能,更是为用户所推崇。然而在使用的过程中,用户们才渐渐发掘虽然XP界面美观而又稳定,但是在系统上安全问题却不能不让我们用户加以防范。那么,如何在XP系统下设置安全的操作环境呢?下面就跟着读文网小编一起看看吧!!!
“终端服务”是WindowsXP在Windows2000系统(Windows2000利用此服务实现远程的服务器托管)上遗留下来的一种服务形式。用户利用终端可以实现远程控制。“终端服务”和“远程协助”是有一定区别的,虽然都实现的是远程控制,终端服务更注重用户的登录管理权限,它的每次连接都需要当前系统的一个具体登录ID,且相互隔离,“终端服务”独立于当前计算机用户的邀请,可以独立、自由登录远程计算机。
在WindowsXP系统下,“终端服务”是被默认打开的,(Windows2000系统需要安装相应的组件,才可以开启和使用终端服务)也就是说,如果有人知道你计算机上的一个用户登录ID,并且知道计算机的IP,它就可以完全控制你的计算机。
在WindowsXP系统里关闭“终端服务”的方法如下:右键选择“我的电脑”、“属性”,选择“远程”项,去掉“允许用户远程连接到这台计算机”前面的“√”即可。
浏览量:2
下载量:0
时间:
操作系统漏洞是指计算机操作系统(如Windows XP)本身所存在的问题或技术缺陷,操作系统产品提供商通常会定期对已知漏洞发布补丁程序提供修复服务。
根据QQ软件安全组对流行盗号木马病毒的分析数据显示,部分盗号木马病毒能够利用某些操作系统漏洞侵入用户计算机,伺机盗取QQ密码。即使计算机杀毒软件能够及时清除盗号木马,盗号木马仍可以再次利用系统漏洞反复入侵您的计算机。因此,我们强烈建议您定期检查修复操作系统漏洞。检查及修复操作系统漏洞的方法如下:
操作系统自动更新
请您确认和保持当前计算机操作系统的自动更新设置为开启状态,操作系统产品提供商通常会及时发布补丁升级程序自动更新您使用的操作系统。
以Windows XP操作系统为例,您可以打开“开始”菜单,单击“控制面板”,在新开启的窗口中依次打开“Windows安全中心”和“自动更新”查看当前计算机的自动更新设置。
QQ软件自动检测系统漏洞
登录QQ后,如果发现操作系统漏洞,qq安全中心将根据用户的个人设置情况发出通知:
点击“全部修复”选项,则QQ将帮助用户自动下载操作系统官方提供的补丁程序,自动修复发现的操作系统漏洞。
QQ提示用户修复的操作系统漏洞通常是被较多盗号木马利用的“紧急”漏洞,如果您不需要QQ自动检测操作系统漏洞,可以在QQ软件设置中心修改默认的设置项:
当您选择“不需要提示,我不想修复系统漏洞”时,QQ将自动屏蔽漏洞修复功能。
使用安全软件修复系统漏洞
您可以定期使用QQ医生等安全修复类软件检查全部操作系统漏洞,我们推荐您使用QQ医生产品定期全面扫描系统漏洞。
看了“QQ安全修复操作系统漏洞”的还看了:
5.如何防止电脑被黑客入侵
浏览量:3
下载量:0
时间:
我们的电脑中有许多的防护措施,它都是电脑生产厂家在电脑出厂之前自带的,但是电脑毕竟是工具,使用者是人,因此我们不能一味的听从电脑的命令,而是要学会使用电脑,让人成为主体,去真正的学会保护我们的电脑安全。那么我们究竟应当懂得那些基本常识,才能让我们的电脑安全呢,今天呢,就让读文网小编来教大家几招,学习一下如何去保护我们电脑的操作系统吧。
首先,我们很多人为了保护我们电脑的内部隐私,都会给我们电脑的开机设置开机密码,但是设置开机密码虽然是必要的,但同时也要注意的是,第一,我们的开机密码一定不要设计的过于简单,那么即使你有开机密码,那么也是形同虚设。第二就是千万不要把你的开机密码与你的银行卡密码之类的设置为一样的,因为一旦你将开机密码不慎显露出去的话,那么你的其他个人信息也会暴露,后果将会是十分严重。
然后,我们要把我们的电脑尽量安装一些防火墙或者是一些杀毒软件,这些东西的选择要选择一些具有著名厂商生产的,这样质量也是有所保证的。同时我们也要自己学会组件防火墙。市场更换自己的防火墙地址。同时在安装了安全防护软件或者是杀毒软件后,也要经常使用这些安全软件对我们的电脑进行杀毒检查,而且需要对系统的缓存垃圾进行清理,因为一些病毒往往就是影藏在这些的系统垃圾之中。
同时,我们要对我们下载的一些软件进行更新下载,时常保存他们的最新的更新状态。同时,要对那些有系统漏洞的电脑软件下载一些补丁进行处理。而更加重要的是,我们更要对我们的电脑杀毒软件进行更新,只有他们的病毒库进行实时更新,才能更好的防护在网上各种层出不穷的新型病毒了。
最后,我们要对一些比较重要的系统文件或者是重要个人信息进行备份处理,而且这些备份资料尽量不要放在电脑上,而是放置在U盘或者是云端上,这样当我们的电脑一旦发生问题的时候,那些重要信息就不至于丢失,能够第一时间找回来。这样就尽可能的把我们的损失降到最低。这是防患于未然的最佳办法
以上就是小编为大家整理的一些关于电脑系统防护的一些基本常识,供大家参照学习。
浏览量:2
下载量:0
时间:
为了防止非法用户入侵你的电脑,我们需要对笔记本电脑操作系统进行相应的安全设置。
1.BIOS安全设置
(1)设置开机密码
在笔记本电脑BIOS中,密码大多分为“User Password”以及“Supervisor Password”,这两种密码都可限制他人进入系统,唯一的差别在于“Supervisor Password”拥有完全修改BIOS设置的权利,“User Password”则没有。由于笔记本电脑多半是自己使用的机会较多,所以建议直接使用“Supervisor Password”替笔记本电脑“上锁”,既可保护电脑安全,又可拥有全部权限。
按电源键启动笔记本电脑,按下F2键进入BIOS设置菜单。切换到“Security”选项卡,然后将光标移到“Set Supervisor Password”项,回车后输入要设置的密码,此时会出现提示密码设置完成的对话框,回车即可完成密码设置。最后将光标移到“Password on boot”项,设置其为“Enabled”,这样就基本完成了此次设置。当你重新启动电脑后,笔记本电脑不会直接进入Windows,而是首先要求你输入 密码,输入正确的密码后,才能顺利完成开机,输入错误可再重试,但超过3次之后系统会完全死锁,此时就必须关闭电脑再重新开机了。
(2)开启防毒功能
启动型病毒会在开机时侵入内存,并破坏开始扇区。我们需要启动笔记本电脑的BIOS防毒功能,来抵御启动型病毒的攻击。
按电源键启动笔记本电脑,按下F2键进入BIOS设置菜单。切换到“Security”选项卡,然后将光标移到“Boot Sector Virus Protection”项,设置其为“Enabled”即可。
开启此功能后,如果有启动病毒企图破坏开始扇区,BIOS会查觉到此操作,并显示 “有程序企图改写开始扇区”的提示,这时你只要按下N键拒绝即可。
2.Windows密码安全设置
作为用户来说,使用密码来保护系统是首要的。下面介绍在Windows XP中如何进行密码保护的方法。
(1)如何设置可靠的密码
单击“开始→控制面板”菜单项,打开“控制面板”窗口,双击“管理工具”图标,在打开的窗口中双击“本地安全策略”图标,打开“本地安全设置”窗 口。在左侧列表中展开“账户策略→密码策略”项,在右侧列表中就会出现一系列的密码设置项,经过这里的配置,就可以建立一个完备的密码策略,使密码得到最 大限度的保护。如图5所示。在设置时,首先需要启用“密码必须符合复杂性要求”策略,然后设置“密码最短存留期”,最后开启“强制密码历史”。设置好后, 在“控制面板”中重新设置管理员的密码,这时的密码不仅是安全的(不低于6位且包含不同类别的字符),而且以后修改密码时也不易出现与以前重复的情况。
(2)重设账户密码
即使你忘记了Windows登录密码,也不是完全没有可能解决这个问题的。如果你的笔记本电脑有一个系统管理员账户,你可以使用此账户登录Windows并为其他账户重设密码。
打开“控制面板”窗口,双击“用户账户”图标,根据你的系统的设置,在打开的窗口中选择忘记密码的账户名,单击“重设密码”和“更改密码”(选项名称视你是否连接到域而定),然后根据提示输入2次新的密码,单击“确定”按钮即可。
注意:“重设密码”按钮对于登录到域环境的用户有可能无效,这一操作只适用于修改Windows登录密码,不适用于修改域登录密码。重设Windows密码可能会导致登录站点和网络连接的密码丢失,但是至少你不会因为忘记密码而无法进行任何操作。
3.Windows系统安全设置
(1)禁止远程协助,屏蔽闲置的端口
在Windows XP上有一项名为“远程协助”的功能,它允许用户在使用电脑发生困难时,向MSN上的好友发出远程协助邀请,来帮助自己解决问题。而这个“远程协助”功能 正是某些病毒所要攻击的RPC(Remote Procedure Call)服务在Windows XP上的表现形式,建议用户不要使用该功能。
右键单击“我的电脑”,选择“属性”命令,在打开的对话框中单击“远程”选项卡,然后取消“允许从这台计算机发送远程协助邀请”选项即可。
使用系统自带的“TCP/IP筛选服务”能够限制端口(这是最佳的安全防范形式)。打开“控制面板”窗口,双击“网络连接”图标,在打开的窗口中右 键单击网络连接图标(视具体情况而定),选择“属性”命令,在打开对话框的“常规”选项卡中,双击“Internet协议(TCP/IP)”选项,然后在 打开的对话框中单击“高级”按钮,在打开的“高级TCP/IP设置”对话框中单击“选项”选项卡,单击“属性”按钮,在打开的对话框中通过“只允许”单选 框,分别添加“TCP”、“UDP”、“IP”等网络协议允许的端口,未提供各种服务的情况,可以屏蔽掉所有的端口。
浏览量:2
下载量:0
时间:
安装同一操作系统,严格说,三两年也就是一次。因此,必须立足当前,着眼长远,不可草率行事。安装前后,应当严谨、科学,遵循“六步走”
第一步:安装前用不同的查杀病毒、木马的软件进行全面扫描查杀,确保各个磁盘均无病毒木马之类。此后备份:1.C盘(或拟安装磁盘)重要资料;2.IE收藏夹中珍藏的网页;3.驱动程序(最好用驱动精灵生成自安装.EXE文件)。
第二步:确保给拟安装系统预留充足的磁盘空间(建议NTFS文件格式)。使用原版(不主张使用所谓“美化版”“精简版”或者“XX版”之类)+解除安装操作系统。最好采取格式化安装方式。
第三步:安装驱动程序(运行自安装.EXE文件),调整网络、显示和声音设置。注意:此时不要上网浏览网页。
第四步:安装网络安全防范软件(注意搭配合理、配合默契)。开启系统和安全防范软件自动更新(推荐到Microsoft Update下载所有自定义更新,这有助于有些软件的正常运行)。
第五步:运行激活和正版验证解除。备份系统盘根目录有关文件。记录以下数据:1.从开机到运行启动时间;2.打开特定网页的速度;3.各方面有无异常现象。
第六步:进行系统优化设置。同时,本着“不在多,而在精”和“使用原版、循序渐进”的原则,逐步安装常用软件:安装一个,确认系统运行无异常后,再安装下一个。在安装软件过程中,注意:1.增加查杀病毒、木马的扫描频率;2.与第五步有关数据进行比对以确定原因。安装完毕并确保系统运行正常后,做一个 GHOST备份,以备不时之需。
遵循“六步走”安装操作系统,完全可以达到:1.完整保存重要资料和系统启动文件。2.避免病毒木马乘虚而入进行偷袭。3.避免因滥装软件带来系统异常的隐患。
浏览量:2
下载量:0
时间:
电脑安装的是什么操作系统类型查看方法有很多种方式,那么使用命令怎么查看计算机操作系统呢?今天读文网小编与大家分享下使用命令查看计算机操作系统的具体操作步骤,有需要的朋友不妨了解下。
1、首先点击键盘上面的“Win+R”组合键,直接激活“运行”程序,如图所示:
2、在“运行”输入框里面直接输入“cmd”,然后就点击“回车”,如图所示:
3、打开“命令提示符”窗口之后,在命令提示符的光标地方键入“winver”,再点击回车键。
4、稍等一会,电脑就会弹出一个指定的窗口,如图所示:
5、根据弹出窗口里面的信息提示,就能够清楚的查看自己电脑的操作系统类型。
浏览量:6
下载量:0
时间:
Win10系统自带系统映像备份功能,那么win10怎么备份操作系统呢?读文网小编分享了win10备份操作系统的方法,希望可以帮助到大家。
1、点击桌面左下角的“Windows”按钮,从打开的扩展面板中找到“设置”按钮点击进入。
2、并从打开的“设置”界面中,找到“更新和安全”项点击进入详细设置界面。
3、待进入“更新和安全”界面后,切换到“备份”选项卡,点击“转到‘备份和还原(Windows7)”按钮,
4、从打开的新窗口中,点击“备份”栏目中的“设置备份”按钮。
5、此时将打开“设置备份”窗口,在此选择“保存备份的位置”,建议将备份文件保存到外部存储设备中。选择要备份文件的磁盘,点击“下一步”按钮。
6、接下来显示“备份的内容”选择界面,在此按默认选择(“请Windows选择(推荐)”)项,点击“下一步”按钮。
7、最后再确认一下所设备的备份选项,正确无误后点击“保存设置并进行备份”按钮。
8、此时将自动返回“备份和还原”界面,同时进入“系统备份”操作。整个过程大约需要一定的时间,在此耐心等待整个备份操作的完成。
浏览量:3
下载量:0
时间:
Windows操作中心是一个查看警报和执行操作的中心位置,它可帮助保持 Windows 稳定运行,不过在win7系统下,windows操作中心貌似很少用户会进入查看,那么你知道win7系统无法进入操作中心怎么办吗?下面是读文网小编整理的一些关于win7系统无法进入操作中心的相关资料,供你参考。
1、点击桌面左下角的“开始”按钮,然后在弹出的菜单中点击“控制面板”,如下图所示:
2、在控制面板选项中,点击“操作中心”选项,如下图所示:
3、在操作中心面板中,点击左上角的“更改操作中心设置”选项,如下图所示:
4、进入到操作中心设置窗口后,我们可以根据自己的需要把一些提示消息关闭,然后点击“确定”按钮,如下图所示:
5、这样我们就把操作中心的信息提示给关闭了,在没开启的情况下,我们不会在接受到操作中心的信息提示了,对于那些不喜欢被操作中心的信息所干扰的朋友的就可以进行这个设置。
win7系统无法进入操作中心的相关
浏览量:3
下载量:0
时间:
U盘是一种能够方便用户便携式存储数据的设备,U盘在我们的生活中较为广泛被使用,不过有些用户在win7系统下使用U盘时进行备份或转移资料后,在不使用U盘时,使用安全弹出U盘时出现电脑自动重启的问题,那么你知道win7系统安全弹出U盘出现电脑重启怎么办吗?下面是读文网小编整理的一些关于win7系统安全弹出U盘出现电脑重启的相关资料,供你参考。
1、返回到桌面位置,找到“这台电脑”图标,直接鼠标右键点击这台电脑,在出现的菜单里面选中选择设备管理器选项。
2、这样就能够打开win8系统设备管理器窗口,在窗口里面依次点击并展开左边菜单里面的通用串行总线控制器,然后鼠标右键点击里面的第一个usb root hub,接着点击“禁用”选项,就可以断开u盘连接。
3、需要重新启用u盘的话,先打开设备管理器,鼠标右键点击已禁用的usb root hub,此时显示的是启用,最后直接单击“启用”按钮进行重新启用连接u盘就行了。
win7系统安全弹出U盘出现电脑重启的相关
浏览量:5
下载量:0
时间:
Linux系统进程在一定条件下可以对任何文件、数据库等进行操作。如果此进程被不法分子用作其他不法用途,将会给系统带来重大危害。那么下面跟着读文网小编来一起了解下Linux系统怎么设置安全管理吧。
1.引导程序安全
Linux系统的root密码是很容易破解的,当然前提是你没有设置引导程序密码,如GRUB或LILO,为了防止通过引导程序破译root密码,强烈建议设置GRUB或LILO的引导密码,可以编辑其配置文件/etc/grub.conf或/etc/lilo.conf,设置password参数。
2.不安全权限设置
大家常见的Linux下文件权限是r w x,其实还有一种权限叫s,如果给某个文件赋予的s权限,那么这个文件在执行的时候就会拥有相应宿主用户或宿主组用户的权限,例如:
#chmod u+s testfile
#ls -la testfile
rwsr----- root root 10 testfile
这样,当这个文件被其它用户执行的时候,此用户就具有了此文件宿主用户root的对testfile的执行权限。类似,当文件的宿主组具有s权限后,执行此文件的用户就具有了此文件宿主组用户对此文件的权限,这是相当危险的。
大家可以试想下,如果命令chmod的文件被赋予了s权限,那么其它用户还有什么事情是不能做的呢?那它就可以更改任何文件的权限了,当然,s权限需要和x权限结合使用,没有x权限的s权限是没有任何意义的。
3.自动注销
当某个用户使用服务器后忘记注销,也是很危险的事情,此时,管理员可以设置/etc/profile文件的timeout参数,当用户一段时间不做任何操作时,系统自动注销此用户。
4. 设置口令复杂度
为了防止系统用户口令过于简单而被破译,可以编辑/etc/login.defs文件,设置系统用户口令复杂度,例如口令最长,最短,过期时间等。
5.禁止不必要用户登陆系统
为了防止其它非系统用户登陆系统,可以在添加用户时,赋予此用户不存在的主目录和不存在的shell环境,当然,最好还更改/etc/passwd和/etc/shadow两个文件的访问权限,使之后root用户可以访问。
Linux系统特点就是因为它是一款免费传播类操作系统,使其具有服务器应有的天然特性,但也正是因为有这些特性,所以在管理不当的情况下,也会造成很严重的安全性问题,所以我们的好好使用它,保护它!
看过“Linux系统怎么设置安全管理”
浏览量:4
下载量:0
时间:
装了双系统的用户会发现,电脑开机按F8或者按下Shift+F8都进入不了Windows操作系统的安全模式。那么双系统如何进入安全模式呢?接下来大家跟着读文网小编一起来了解一下双系统进入安全模式的解决方法吧。
1、首先使用组合快捷键:window +R 调出运行框,输入“msconfig”,然后按回车键运行,如下图:
2、之后即可进入系统配置对话框,然后我们点击引导选项,然后选中win7系统的引导项,把安全模式打上勾就OK。
注:要进入哪个系统的安全模式,就选择哪个引导项就行。
3、之后我们再重新启动系统,即可择进入安全模式的系统,之后系统就会自动进入安全模式了。
在安全模式操作完之后,要记得把引导项修改回来,不然会一直进去安全模式的,步骤同上,就是把安全模式的打的勾给取消就行了。
看过“双系统如何进入安全模式”
浏览量:3
下载量:0
时间: