为您找到与对于linux的安全加固相关的共200个结果:
现如今,电脑的使用越来越普遍,几乎每家每户都有电脑,而电脑的操作离不开操作系统,在这里,读文网小编就向大家介绍Linux系统虚拟主机安全怎么设置。
美国虚拟主机大都使用Linux操作系统,因此当用户在使用美国虚拟主机的时候,Linux系统的安全问题就成为了使用者最为关心的问题,毕竟谁都希望自己操作的是一个稳定又安全的系统。
什么是Linux呢?Liunx的官方定义:“Linux是一种UNIX操作系统的克隆,它(的内核)由Linux Torvalds以及上组织松散的黑客队伍一起从零开始编写而成。LINUX的目标是保持和POSIX的兼容。”众所周知,Linux是一种开放源代码的操作系统,由于它的自由开放性和技术先进性,顺应了广大软件开发商及用户日益高涨的对信息系统知情权的要求,从而迅速赢得了普遍的支持和认同,并得以迅速传播。
美国虚拟主机Linux系统下的安全设置需要从三个方面去考虑:
首先,Linux系统本身的安全优势:
1、Open的思想,开放源代码,自主改进或定制
2、Free的精神,自由使用
3、完善的功能,内置TCP/IP协议
4、真正意义上的多任务、多用户操作系统
5、完全运行于保护模式,充分利用了CUP性能
6、先进的内存管理机制,更加有效地利用物理内存
7、稳定性,安全性,高效性
8、与UNIX系统在源代码级兼容,符合IEEE POSIX标准
9、支持数十种文件系统格式
10、设备独立性,良好的可移植性
11、无昂贵的版权费,低成本
正是因为Linux的安全特性,使得它在市场中保持了一定的占有率,且市场占有率有扩大的趋势。全球专家预测,Linux在未来几年内将以每年25%的速度增长,中国的Linux和Linux虚拟主机市场更将保持40%。
其次,当你使用Linux操作系统处理安全问题时,下面的一些规则和技巧也许会派上用场。
1.在以root身份登录时,避免做一些常规工作。这会减少你感染病毒的风险,并且可以防止你犯一些错误。
2.如果可能的话,在一台远程机器上工作时,尽量使用加密连接。使用SSH来代替telnet、ftp、rsh、rlogin应当成为标准的操作规范。因为SSH的安全性众所周知。
3.尽量保持与有关的最重要的程序包的最新,最好订阅一些相应的邮件列表以获得bind、postfix、ssh等程序的最新版本的公告。同样的原则也适用于与本地安全相关的软件。
4.禁用你并不绝对需要的任何用于服务器正常工作的任何服务。这会使你的系统更加安全。可以用netstat程序发现套接字状态为LISTEN的开放端口。
5.来自SUSE的RPM程序包都进行了数字签名。你可以在控制台上输入下面的内容来验证任何SUSE RPM程序包的完整性:rpm — chechsig package.rpm。所需要的公共gpg-key要在安装时要复制到root的主目录。
6.经常检查用户和系统文件的备份。请记住:如果你没有测试备份是否正常工作,它就形同虚设,毫无价值。
7.检查你的日志文件。在可能的情况下,编写小型的脚本程序来搜索可疑的项目。
8.设置安全措施要保证其冗余性。多看到一些安全消息总比没有消息要好得多。
最后,在选择美国虚拟主机的时候,一个好的运营商能为用户省却许多麻烦,这包括主机投放机房的位置和质量,运营商的服务质量等等,都是用户必须考虑的因素。而全球电子商务专家中国诺网的美国虚拟主机正是迎合了Linux虚拟主机这个潮流,提供目前市场上最稳定可靠的美国虚拟主机,为什么这样说呢?因为中国诺网在2007年投资180万美金和世界排名第一的达拉斯机房合资增建了中诺美国机房,机房面积约1200平方公尺,可容纳机器约10000台。可以说中诺美国机房继承了达拉斯机房的优质管理及先进的机房管理系统,针对亚洲客户(特别是中国大陆地区)制订出并提供最佳的美国虚拟主机提供方案,特别值得推荐的是以下几款Linux美国虚拟主机:
专业个人型Linux美国虚拟主机:
·支持全球快速浏览—全球客户可以快速打开您的网 站,使您真正实现全球服务
·150M+5个邮箱空间+50人在线
·支持ASP、CGI、PHP
·不支持论坛
·无流量限制,操作系统,用户自行选择
·邮局功能:5个邮箱,总空间50M
·¥480.00元/1年
·五年单价380元 ¥1900.00元/5年
标准企业A型Linux美国虚拟主机:
·支持全球快速浏览—全球客户可以快速打开您的网 站,使您真正实现全球服务
·250M空间+10个企业邮箱+100人在线+100M Mysql数据库
·支持ASP、CGI、PHP
·不支持论坛
·无流量限制,操作系统,用户自行选择
·邮局功能:10个邮箱,总空间100M
·MYSQL数据库:1个数据库,100M总空间
·¥800.00元/1年
·五年单价640元¥3200.00元/5年
专业企业型Linux美国虚拟主机:
·支持全球快速浏览—全球客户可以快速打开您的,使您真正实现全球服务
·800M空间+50个企业邮箱+800人在线+50M Mssql或100MMysql
·支持ASP、ASP.NET、CGI、PHP
·无流量限制,操作系统,用户自行选择
·邮局功能:50个邮箱,总空间500M
·MSSQL数据库:1个数据库,50M总空间,或者,MYSQL数据库:1个数据库,100M总空间
·¥2800.00元/1年
·五年单价2280元 ¥11400.00元/5年
浏览量:2
下载量:0
时间:
当我们都了解如何使windows系统更安全时,我们有几个知道如何使自己的linux服务器变得更安全呢?对于这种情况,读文网小编不得不科普一下这方面的知识:
如果你打算运行一台服务器,可能会想“我有来自Linode的40GB固态硬盘(SSD)存储系统,于是我可以安装想要安装的任何服务。”没错,你的地盘你作主:可以在服务器上安装任意软件。不过,别犯想当然的毛病。连最固若金汤的服务器也会因有人钻了在该服务器上运行的任何未打补丁或易受攻击的软件组件的空子而被劫持。
所以,头一条规则就是让你的服务器尽量精简。只安装你确实需要的那些程序包。要是有不需要的程序包,那就清除。程序包数量越少,代码没打上补丁的可能性就越小。在安装任何软件和依赖程序包(比如ownCloud)之前,你应该读一下ownCloud的说明文档,只安装它需要的那些程序包。
浏览量:2
下载量:0
时间:
SSH服务器配置文件是/etc/ssh/sshd_conf。在你对它进行每一次改动后都需要重新启动SSH服务,以便让改动生效。
今天小编必须要讲解一下比较高级的安全技巧:linux下高级SSH安全技巧,通过高级SSH安全技巧可以更加安全的保护自己的电脑信息!那么下面就由小编给大家讲述下具体内容吧:
有两个SSH协议版本,仅使用SSH协议版本2会更安全,SSH协议版本1有安全问题,包括中间人攻击(man-in-the-middle)和注入(insertion)攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行:
Protocol 2,1
修改为
Protocol 2
浏览量:2
下载量:0
时间:
SELinux一直被认为是最安全的Linux系统,因为SELinux是由美国国家安全局开发的,有多层安全机制。那么SELinux安全机制有哪些?下面读文网小编就为大家介绍一下具体的内容吧,欢迎大家参考和学习。
类型强制策略相比SELinux引入的MAC(强制访问控制)是比较遥远的。然而,在一些情况下,特别是在分类的政府应用的子集中,传统的MLS(多层安全机制)强制访问控制加上TE是非常有价值的。在意识到这个情形之后,SELinux也包括一些MLS的形式。在SELinux中,MLS的特征是可选的,并且相比两个强制访问控制机制来说是次要的。对于绝大部分安全应用来说,包括许多没有很少有数据分类的应用来说,对于增强型安全机制,TE策略是最合适的机制。尽管如此,MLS的添加也提高了一些应用的安全性。
MLS的实际实现是非常复杂的。被MLS系统使用的安全层是分层的敏感度和一系列非层次目录集合(包括空集合)的综合体。这些敏感度和目录被用来反映真实信息的机密性和用户许可。在大多数SELinux策略中,敏感度(s0,s1…)和目录(c0,c1…)被给予通用的名称,使用户空间程序和类库来分配用户有意义的名称。(例如,s0可能与UNCLASSIFIED相关联,s1可能与SECRET相关联。)
为了支持MLS,安全上下文被扩展包含安全层次,例如这些
user_r:role_type:sensitivity[:category,…][-sensitity[:catagory,…]]
注意,MLS安全上下文一定至少有一个安全层(该安全层是由一个单独的敏感度和0个或者是多个目录组成),但是能够包含两个安全层。这两个安全层分别被称作低层(或者是当前进程层)和高层(进程间隙),如果高安全层丢失了,那么他就被认为是和低层(通常情况下)是一样的。特别的,对于大多数客体和进程来说,低安全层和高安全层通常是一样的。一系列的安全层被用于可信任的主体(也就是可以信赖的能够降密信息的主体)和多层客体,例如可能包含不同安全层的客体的目录。为了纵观这个点,我们假设所有的进程和客体都只有单一的安全层。
访问客体的MLS规则和在第一章节中讨论的一样,除了安全层不是分层的而是受支配关系支配的。不相平等关系中一层要低于或者是高于另外一层,在支配关系中,存在一个称作无比的第四状态(也被称作不可比的。请在下面的列表中查看不可比(incomp)的定义)。导致安全层和支配相关而不是和平等关系相关的原因就是目录。,目录与另外一个目录是没有层次关系的。因此,下面列出了能够将两个MLS安全层相联系的四个支配操作符:
dom: (dominate)SL1 dom SL2,如果SL1的灵敏度要比SL2的灵敏度高或者是相等,并且SL1的目录是SL2目录的超级集合。
domby (dominated by)SL1 domby SL2,如果SL1的灵敏度要低于SL2的灵敏度或者是 和SL2相等,同时,SL1的目录是SL2目录的子集。
eq: (equals)SL1 eq SL2,如果SL1的灵敏度和SL2的灵敏度相同,并且SL1的目录 和SL2的目录是同一个集合。
incomp: (incomparable 或者是 noncomparable)SL1 incomp SL2,如果SL1的目录和SL2的目录是不可比的(也就是,两个谁也不是谁的子集)
给定域关系,Bell-La Padula模型的一个变种在SELinux中被实现,一个进程能够“读”一个客体,如果,该进程的当前安全层能够支配客体的安全层,并且能够“写”一个客体,如果进程的安全层是被客体的安全层支配的话。(因此当且仅当两个安全层是相等的时候,才既能读,又能写)。
正是因为SELinux有了多重的安全机制,所以越来多政府部门和大公司使用SELinux系统的服务器,以保障信息的安全。
浏览量:3
下载量:0
时间:
现在很多人都觉不认为自己的电脑安装了安全杀毒软件就已经安全了。系统防黑加固能够扫描检测电脑容易被黑客攻击而存在的“软肋”问题,如远程注册表服务、Teinet服务和隐藏的盘符共享和数据库密码等等安全弱点,而360安全卫士是自带防黑加固功能,能够对这些薄弱项目进行全面检测,让我们电脑防卸黑客入侵,大大提高系统的安全性,下面读文网小编介绍下360安全卫士防黑加固功能的使用方法。
1、下载360安全卫士并安装,然后打开主界面,点击右下方的“更多”选项;
2、在电脑安全选项下面找到防黑加固;
3、点击防黑加固进入;
4、点击立即检测,这时候软件就会检测出系统目前存在的问题,具体可以通过检测结果看出来。然后就根据当前的状态以及加固建议,对问题进行处理。
5、立即处理后点击完成就行了;
6、这里只是一般简系统安全处理的方法,日常使用的时候要养成好的操作习惯,不要加载那些不安全的控件等。
以上对win7 64位360安全卫士防黑加固功能的认识与了解,是不是发现防黑加固功能很是实用,对我们系统安全有很大帮助呢?如果你想提高电脑系统的安全性能,不妨一起来开启防黑加固功能吧。
浏览量:2
下载量:0
时间:
现在互联网的重要性越来越大,很多人也对一些技术很感兴趣,那么你知道Linux网站安全加固吗?下面是读文网小编整理的一些关于Linux网站安全加固的相关资料,供你参考。
php安全配置:
1. 确保运行php的用户为一般用户,如www
2. php.ini参数设置
open_basedir可将用户访问文件的活动范围限制在指定的区域,通常是其家目录的路径,也可用符号"."来代表当前目录。注意用open_basedir指定的限制实际上是前缀,而不是目录名。
举例来说: 若"open_basedir = /home/wwwroot", 那么目录"/home/wwwroot"和"/home/wwwroot1"都是可以访问的。所以如果要将访问限制在仅为指定的目录,请用斜线结束路径名。
注意:
从网上获取的资料来看,open_basedir会对php操作io的性能产生很大的影响。研究资料表明,配置了php_basedir的脚本io执行速度会比没有配置的慢10倍甚至更多,请大家自己衡量
open_basedir也可以同时设置多个目录, 在Windows中用分号分隔目录,在任何其它系统中用冒号分隔目录。当其作用于Apache模块时,父目录中的open_basedir路径自动被继承。
mysql安全配置:
1. MySQL版本的选择
在正式生产环境中,禁止使用4.1系列的MySQL数据库。至少需要使用5.1.39或以上版本。
2. 网络和端口的配置
在数据库只需供本机使用的情况下,使用–skip-networking参数禁止监听网络 。
3. 确保运行MySQL的用户为一般用户,如mysql,注意存放数据目录权限为mysql
4. 开启mysql二进制日志,在误删除数据的情况下,可以通过二进制日志恢复到某个时间点
5. 认证和授权
(1) 禁止root账号从网络访问数据库,root账号只允许来自本地主机的登陆。
(2) 删除匿名账号和空口令账号
web服务器安全配置:
确保运行Nginx或者Apache的用户为一般用户,如www,注意存放数据目录权限为www
防止sql注入代码
if ( $query_string ~* ".*[;'<>].*" ){ return 404;}
关闭存放数据上传等目录的PHP解析
location ~* ^/(attachments|data)/.*.(php|php5)${deny all ;}
针对Apache:关闭图片目录/上传等目录的PHP解析
order allow,deny
Deny from all
木马查杀与防范:
php木马快速查找命令
grep -r --include=*.php '[^a-z]eval($_POST' /home/wwwroot/
grep -r --include=*.php 'file_put_contents(.*$_POST[.*]);' /home/wwwroot/
利用find mtime查找最近两天或者发现木马的这几天,有哪些PHP文件被修改
find -mtime -2 -type f -name *.php
防范:
1. 做好之前的安全措施,比如禁用相关PHP函数
2. 改变目录和文件属性
3. 为防止跨站 感染,需要做虚拟主机目录隔离
(1) nginx 的简单实现方法
利用nginx跑多个虚拟主机,习惯的php.ini的open_basedir配置:
open_basedir = ./:tmp:/home/wwwroot/
注:/home/wwwroot/是放置所有虚拟主机的web路径
黑客 可以利用任何一个站点的webshell进入到/home/wwwroot/目录下的任何地方,这样对各个虚拟主机的危害就很大
例如: /data/www/wwwroot目录下有2个虚拟主机
修改php.ini
open_basedir = ./:/tmp:/home/wwwroot/www.a.cn:/home/wwwroot/b.cn
这样用户上传webshell就无法跨目录访问了。
(2) Apache的实现方法,控制跨目录访问
在虚拟机主机配置文件中加入
php_admin_value open_basedir "/tmp:/home/wwwroot/www.a.cn
看过文章“Linux网站安全加固”
浏览量:2
下载量:0
时间:
Linux是一种类Unix的操作系统。从理论上讲,Unix本身的设计并没有什么重大的安全缺陷。然而,作为开放式操作系统,它不可避免地存在一些安全隐患。那么怎么提高Linux系统安全?下面跟着读文网小编一起来了解一下吧。
1.选择全磁盘加密(FDE)
无论哪种操作系统所使用,我们建议您加密整个硬盘。
如果你对饿笔记本电脑丢失或被盗,用一个简单的登陆密码并不能保护你的数据安全,一个小偷可以利用USB秘钥的方式直接进入你的Linux系统窃取数据,而不需通过密码。
通过加密硬盘驱动器,可以确保您的数据安全,因为小偷如果没有FDE密码就不能够读取什么。
FDE加密的知识你的主文件夹,你不必担心临时文件,交换文件或者其他目录的文件,在你没有意识的情况下被访问。
在Ubuntu和Fedora和许多的Linux发行版,全瓷盘加密是在安装时使用的权利。你可以在安装的时候选择是否启动它。
当然,记得要选择一个正确的密码!
2.软件跟上更新
同样,无论你使用哪种操作系统,你都应该保持操作系统中的应用程序,如Web浏览器,PDF阅读器和视频播放器等软件是最新的。
大多数的Linux发行版实现是非常容易的。
在Ubuntu上,默认情况下,系统会自动安装更新。
捏可以仔细检查系统的设置——软件更新——更新。
你要确保重要的安全更新选择是打开的。
3.学习使用Linux的防火墙
Linux内核包含一个防火墙组件叫做iptables,它给你一个强大的方式来管理网络流量,并保持了很多各种各样的网络攻击。
在Ubuntu上你也将有一个称为单纯性防火墙(UFW)应用程序,前端程序简化了设置的iptables。
默认情况下UFW是禁用的,但你可以通过做打开它在命令提示符下:
要了解更多关于iptables和它能做什么,你可能尝试一个图形化配置工具,如GUFW或UFW前端。
在Fedora上,你会发现FirewallD,这是默认启用的替代防火墙管理工具FirewallD,称为防火墙配置;您可以从命令提示符下安装:
4.拧紧了安全浏览器
许多免费的扩展插件可以改善你的浏览器,但是这同样也带来了安全隐私的问题,不管你使用的Mozilla Firefox浏览器,谷歌Chrome或其他浏览器。
5.使用防病毒软件
之所以最后提这一点,是因为这个方式拥有很多争议。
有些人会告诉你,在Linux操作系统中安全防毒软是毫无意义的。其实这是一个非常错误的观念。
为什么不呢?如果你通过一个受感染的文件感染到其它文件,那么如果你有杀毒软件,就能够保护你的系统不再被攻击。降低了你被攻击的危险。
以上就是提高Linux系统安全的五大方法,只要我们根据上面介绍的方法在平时多加注意和运用就能提高系统的安全性,防范于未然。
浏览量:2
下载量:0
时间:
由于Linux操作系统良好的网络功能,因此在因特网中大部分网站服务器都是使用的Linux作为主操作系统的。那么,作为一名Linux用户,我们该如何通过合理的方法来防范Linux的安全呢?下面读文网小编搜集和整理了一些防范Linux安全的几则措施,现在把它们贡献出来,恳请各位网友能不断补充和完善。
1. BIOS安全
设置BIOS密码且修改引导次序禁止从软盘启动系统。
2. 用户口令
用户口令是Linux安全的一个基本起点,很多人使用的用户口令过于简单,这等于给侵入者敞开了大门,虽然从理论上说,只要有足够的时间和资源可以利用,就没有不能破解的用户口令。但选取得当的口令是难于破解的,较好的用户口令是那些只有他自己容易记得并理解的一串字符,并且绝对不要在任何地方写出来。
3. 默认账号
应该禁止所有默认的被操作系统本身启动的并且不必要的账号,当你第一次安装系统时就应该这么做,Linux提供了很多默认账号,而账号越多,系统就越容易受到攻击。
可以用下面的命令删除账号。
或者用以下的命令删除组用户账号。
4. 口令文件
chattr命令给下面的文件加上不可更改属性,从而防止非授权用户获得权限。
5. 禁止Ctrl+Alt+delete重新启动机器命令
修改/etc/inittab文件,将"ca::ctrlaltdel:/sbin/shutdown -t3 -r now"一行注释掉。然后重新设置/etc/rc.d/init.d/目录下所有文件的许可权限,运行如下命令:
这样便仅有root可以读、写或执行上述所有脚本文件。
6. 限制su命令
如果你不想任何人能够用su作为root,可以编辑/etc/pam.d/su文件,增加如下两行:
这时,仅isd组的用户可以用su作为root。此后,如果你希望用户admin能够用su作为root,可以运行如下命令:
7. 删减登录信息
默认情况下,登录提示信息包括Linux发行版、内核版本名和服务器主机名等。
对于一台安全性要求较高的机器来说这样泄漏了过多的信息。
可以编辑/etc/rc.d/rc.local将输出系统信息的如下行注释掉。
然后,进行如下操作:
浏览量:2
下载量:0
时间:
Linux操作系统的安全性是有目共睹的。但是世上万物不可能十全十美那么,作为一名Linux用户,我们该如何通过合理的方法来防范Linux的安全呢?下面读文网小编搜集和整理了一些防范Linux安全的几则措施,现在把它们贡献出来,恳请各位网友能不断补充和完善。
1、禁止使用ping命令
ping命令是计算机之间进行相互检测线路完好的一个应用程序,计算机间交流数据的传输没有经过任何的加密处理,因此我们在用ping命令来检测某一个服务器时,可能在因特网上存在某个非法分子,通过专门的黑客程序把在网络线路上传输的信息中途窃取,并利用偷盗过来的信息对指定的服务器或者系统进行攻击,为此我们有必要在Linux系统中禁止使用Linux命令。在linux里,如果要想使ping没反应也就是用来忽略icmp包,因此我们可以在Linux的命令行中输入如下命令:echo 1 > /proc/sys/net/ipv4/icmp_echo_igore_all ;如果想恢复使用ping命令,就可以输入echo 0 > /proc/sys/net/ipv4/icmp_echo_igore_all命令。
2、注意对系统及时备份
为了防止系统在使用的过程中发生以外情况而难以正常运行,我们应该对Linux完好的系统进行备份,最好是在一完成Linux系统的安装任务后就对整个系统进行备份,以后可以根据这个备份来验证系统的完整性,这样就可以发现系统文件是否被非法修改过。如果发生系统文件已经被破坏的情况,也可以使用系统备份来恢复到正常的状态。备份信息时,我们可以把完好的系统信息备份在CD-ROM光盘上,以后可以定期将系统与光盘内容进行比较以验证系统的完整性是否遭到破坏。如果对安全级别的要求特别高,那么可以将光盘设置为可启动的并且将验证工作作为系统启动过程的一部分。这样只要可以通过光盘启动,就说明系统尚未被破坏过。
3、改进登录服务器
将系统的登录服务器移到一个单独的机器中会增加系统的安全级别,使用一个更安全的登录服务器来取代Linux自身的登录工具也可以进一步提高安全。在大的Linux网络中,最好使用一个单独的登录服务器用于syslog服务。它必须是一个能够满足所有系统登录需求并且拥有足够的磁盘空间的服务器系统,在这个系统上应该没有其它的服务运行。更安全的登录服务器会大大削弱入侵者透过登录系统窜改日志文件的能力。
4、取消root命令历史记录
在linux下,系统会自动记录用户输入过的命令,而root用户发出的命令往往具有敏感的信息,为了保证安全性,一般应该不记录或者少记录root的命令历史记录。为了设置系统不记录每个人执行过的命令,我们可以在linux的命令行下,首先用cd命令进入到/etc命令,然后用编辑命令来打开该目录下面的profile文件,并在其中输入如下内容:
HISTFILESIZE=0
HISTSIZE=0
当然,我们也可以直接在命令行中输入如下命令:ln -s /dev/null ~/.bash_history 。5、为关键分区建立只读属性
Linux的文件系统可以分成几个主要的分区,每个分区分别进行不同的配置和安装,一般情况下至少要建立/、/usr/local、/var和/home等分区。/usr可以安装成只读并且可以被认为是不可修改的。如果/usr中有任何文件发生了改变,那么系统将立即发出安全报警。当然这不包括用户自己改变/usr中的内容。/lib、/boot和/sbin的安装和设置也一样。在安装时应该尽量将它们设置为只读,并且对它们的文件、目录和属性进行的任何修改都会导致系统报警。
当然将所有主要的分区都设置为只读是不可能的,有的分区如/var等,其自身的性质就决定了不能将它们设置为只读,但应该不允许它具有执行权限。
6、杀掉攻击者的所有进程
假设我们从系统的日志文件中发现了一个用户从我们未知的主机登录,而且我们确定该用户在这台主机上没有相应的帐号,这表明此时我们正在受到攻击。为了保证系统的安全被进一步破坏,我们应该马上锁住指定的帐号,如果攻击者已经登录到指定的系统,我们应该马上断开主机与网络的物理连接。如有可能,我们还要进一步查看此用户的历史记录,再仔细查看一下其他用户是否也已经被假冒,攻击者是否拥有有限权限;最后应该杀掉此用户的所有进程,并把此主机的IP地址掩码加入到文件hosts.deny中。
7、改进系统内部安全机制
我们可以通过改进Linux操作系统的内部功能来防止缓冲区溢出,从而达到增强Linux系统内部安全机制的目的,大大提高了整个系统的安全性。但缓冲区溢出实施起来是相当困难的,因为入侵者必须能够判断潜在的缓冲区溢出何时会出现以及它在内存中的什么位置出现。缓冲区溢出预防起来也十分困难,系统管理员必须完全去掉缓冲区溢出存在的条件才能防止这种方式的攻击。正因为如此,许多人甚至包括Linux Torvalds本人也认为这个安全Linux补丁十分重要,因为它防止了所有使用缓冲区溢出的攻击。但是需要引起注意的是,这些补丁也会导致对执行栈的某些程序和库的依赖问题,这些问题也给系统管理员带来的新的挑战。
8、对系统进行跟踪记录
为了能密切地监视黑客的攻击活动,我们应该启动日志文件,来记录系统的运行情况,当黑客在攻击系统时,它的蛛丝马迹都会被记录在日志文件中的,因此有许多黑客在开始攻击系统时,往往首先通过修改系统的日志文件,来隐藏自己的行踪,为此我们必须限制对/var/log文件的访问,禁止一般权限的用户去查看日志文件。当然,系统中内置的日志管理程序功能可能不是太强,我们应该采用专门的日志程序,来观察那些可疑的多次连接尝试。另外,我们还要小心保护好具有根权限的密码和用户,因为黑客一旦知道了这些具有根权限的帐号后,他们就可以修改日志文件来隐藏其踪迹了。
9、使用专用程序来防范安全
有时,我们通过人工的方法来监视系统的安全比较麻烦,或者是不周密,因此我们还可以通过专业程序来防范系统的安全,目前最典型的方法为设置陷井和设置蜜罐两种方法。所谓陷井就是激活时能够触发报警事件的软件,而蜜罐(honey pot)程序是指设计来引诱有入侵企图者触发专门的报警的陷井程序。通过设置陷井和蜜罐程序,一旦出现入侵事件系统可以很快发出报警。在许多大的网络中,一般都设计有专门的陷井程序。陷井程序一般分为两种:一种是只发现入侵者而不对其采取报复行动,另一种是同时采取报复行动。
10、将入侵消灭在萌芽状态
入侵者进行攻击之前最常做的一件事情就是端号扫瞄,如果能够及时发现和阻止入侵者的端号扫瞄行为,那么可以大大减少入侵事件的发生率。反应系统可以是一个简单的状态检查包过滤器,也可以是一个复杂的入侵检测系统或可配置的防火墙。我们可以采用诸如Abacus Port Sentry这样专业的工具,来监视网络接口并且与防火墙交互操作,最终达到关闭端口扫瞄攻击的目的。当发生正在进行的端口扫瞄时,Abacus Sentry可以迅速阻止它继续执行。但是如果配置不当,它也可能允许敌意的外部者在你的系统中安装拒绝服务攻击。正确地使用这个软件将能够有效地防止对端号大量的并行扫瞄并且阻止所有这样的入侵者。
11、严格管理好口令
前面我们也曾经说到过,黑客一旦获取具有根权限的帐号时,就可以对系统进行任意的破坏和攻击,因此我们必须保护好系统的操作口令。通常用户的口令是保存在文件/etc/passwd文件中的,尽管/etc/passwd是一个经过加密的文件,但黑客们可以通过许多专用的搜索方法来查找口令,如果我们的口令选择不当,就很容易被黑客搜索到。因此,我们一定要选择一个确保不容易被搜索的口令。另外,我们最好能安装一个口令过滤工具,并借用该工具来帮助自己检查设置的口令是否耐得住攻击。
浏览量:2
下载量:0
时间:
开发网站的时候,常常需要自己配置Linux服务器。如何搭建一个安全的Linux服务器?下面跟着读文网小编一起来了解一下吧。
在Linux系统中,TCP/IP网络是通过若干个文本文件进行配置的,也许你需要编辑这些文件来完成联网工作,但是这些配置文件大都可以通过配置命令linuxconf(其中网络部分的配置可以通过netconf命令来实现)。下面介绍基本的TCP/IP网络配置文件。
*/etc/conf.modules文件
该配置文件定义了各种需要在激活时加载的模块的参数信息。这里主要着重讨论关于网卡的配置。在使用Linux做网关的情况下,Linux服务器至少需要配置两块网卡。为了减少激活时可能出现的问题,Linux内核不会自动检测多个网卡。对于没有将网卡的驱动编译到内核而是作为模块动态加载的系统若需要安装多块网卡,应该在“conf.modules”文件中进行相应的配置。
若设备驱动被编译为模块(内核的模块):对于PCI设备,模块将自动检测到所有已经安装到系统上的设备;对于ISA卡,则需要向模块提供IO地址,以使模块知道在何处寻找该卡,这些信息在“/etc/conf.modules”中提供。
对于PCI卡,仅仅需要alias命令来使ethN和适当的驱动模块名关联,PCI卡的IO地址将会被自动的检测到。对于PCI卡,编辑“conf.modules”文件如下:aliaseth03c905aliaseth13c905若驱动已经被编译进了内核:系统激活时的PCI检测程序将会自动找到所有相关的网卡。ISA卡一般也能够被自动检测到,但是在某些情况下,ISA卡仍然需要做下面的配置工作:
在“/etc/lilo.conf”中增加配置信息,其方法是通过LILO程序将激活参数信息传递给内核。对于ISA卡,编辑“lilo.conf”文件,增加如下内容:append="ether="0,0,eth0ether="0,0,eth1"注:先不要在“lilo.conf”中加入激活参数,测试一下你的ISA卡,若失败再使用激活参数。
如果用传递激活参数的方法,eth0和eth1将按照激活时被发现的顺序来设置。
*/etc/HOSTNAME文件:
该文件包含了系统的主机名称,包括完全的域名,如:deep.openarch.com
*/etc/sysconfig/network-scripts/ifcfg-ethN文件:
在RedHat中,系统网络设备的配置文件保存在“/etc/sysconfig/network-scripts”目录下,ifcfg-eth0包含第一块网卡的配置信息,ifcfg-eth1包含第二块网卡的配置信息。
*/etc/resolv.conf文件:
该文件是由域名解析器(resolver,一个根据主机名解析IP地址的库)使用的配置文件,示例如下:
searchopenarch.comnameserver208.164.186.1nameserver208.164.186.2
“searchdomainname.com”表示当提供了一个不包括完全域名的主机名时,在该主机名后添加domainname.com的后缀;“nameserver”表示解析域名时使用该地址指定的主机为域名服务器。其中域名服务器是按照文件中出现的顺序来查询的。
*/etc/host.conf文件:
该文件指定如何解析主机名。Linux通过解析器库来获得主机名对应的IP地址。下面是一个“/etc/host.conf”的示例:
orderbind,hosts
multion
ospoofon
“orderbind,hosts”指定主机名查询顺序,这里规定先使用DNS来解析域名,然后再查询“/etc/hosts”文件(也可以相反)。
“multion”指定是否“/etc/hosts”文件中指定的主机可以有多个地址,拥有多个IP地址的主机一般称为多穴主机。
“nospoofon”指不允许对该服务器进行IP地址欺骗。IP欺骗是一种攻击系统安全的手段,通过把IP地址伪装成别的计算器,来取得其它计算器的信任。
*/etc/sysconfig/network文件
该文件用来指定服务器上的网络配置信息。
*/etc/hosts文件
当机器激活时,在可以查询DNS以前,机器需要查询一些主机名到IP地址的匹配。这些匹配信息存放在/etc/hosts文件中。在没有域名服务器情况下,系统上的所有网络程序都通过查询该文件来解析对应于某个主机名的IP地址。
*/etc/inetd.conf文件
众所周知,作为服务器来说,服务端口开放越多,系统安全稳定性越难以保证。所以提供特定服务的服务器应该尽可能开放提供服务必不可少的端口,而将与服务器服务无关的服务关闭,比如:一台作为www和Ftp服务器的机器,应该只开放80和25端口,而将其它无关的服务如:fingerauth等服务关掉,以减少系统漏洞。
而inetd,也叫作“超级服务器”,就是监视一些网络请求的守护进程,其根据网络请求来调用相应的服务进程来处理连接请求。inetd.conf则是inetd的配置文件。inetd.conf文件告诉inetd监听哪些网络端口,为每个端口激活哪个服务。在任何的网络环境中使用Linux系统,第一件要做的事就是了解一下服务器到底要提供哪些服务。不需要的那些服务应该被禁止掉,最好卸载掉,这样黑客就少了一些攻击系统的机会。查看“/etc/inetd.conf”文件,了解一下inetd提供哪些服务。用加上注释的方法(在一行的开头加上#号),禁止任何不需要的服务,再给inetd进程发一个SIGHUP信号。
第一步:把文件的权限限改成600。
[root@deep]#chmod600/etc/inetd.conf
第二步:确信文件的所有者是root。
[root@deep]#stat/etc/inetd.conf
第三步:编辑“inetd.conf”文件(vi/etc/inetd.conf),禁止所有不需要的服务,如:ftp、telnet、shell、login、exec、talk、ntalk、imap、pop-2、pop-3、finger、auth,等等。如果你觉得某些服务有用,可以不禁止这些服务。但是,把这些服务禁止掉,系统受攻击的可能性就会小很多。改变后的“inetd.conf”文件的内容如下面所示:
#Tore-readthisfileafterchanges,justdoa'killall-HUPinetd'##echostreamtcpnowaitrootinternal#echodgramudpwaitrootinternal#discardstreamtcpnowaitrootinternal#discarddgramudpwaitrootinternal#daytimestreamtcpnowaitrootinternal#daytimedgramudpwaitrootinternal#chargenstreamtcpnowaitrootinternal#chargendgramudpwaitrootinternal#timestreamtcpnowaitrootinternal#timedgramudpwaitrootinternal##Thesearestandardservices.##ftpstreamtcpnowaitroot/usr/sbin/tcpdin.ftpd-l-a#telnetstreamtcpnowaitroot/usr/sbin/tcpdin.telnetd##Shell,login,exec,comsatandtalkareBSDprotocols.
看过“ 如何搭建一个安全的Linux服务器 ”
浏览量:2
下载量:0
时间:
众所周知,网络安全是一个非常重要的课题,而服务器是网络安全中最关键的环节。Linux被认为是一个比较安全的Internet服务器,作为一种开放源代码操作系统,一旦Linux系统中发现有安全漏洞,Internet上来自世界各地的志愿者会踊跃修补它。下面大家与读文网小编一起来学习一下linux操作系统安全设置吧。
1. 交换机的安全
启用VLAN技术:交换机的某个端口上定义VLAN ,所有连接到这个特定端口的终端都是虚拟网络的一部分,并且整个网络可以支持多个VLAN。VLAN通过建立网络防火墙使不必要的数据流量减至最少,隔离各个VLAN间的传输和可能出现的问题,使网络吞吐量大大增加,减少了网络延迟。在虚拟网络环境中,可以通过划分不同的虚拟网络来控制处于同一物理网段中的用户之间的通信。这样一来有效的实现了数据的__,而且配置起来并不麻烦,网络管理员可以逻辑上重新配置网络,迅速、简单、有效地平衡负载流量,轻松自如地增加、删除和修改用户,而不必从物理上调整网络配置。
2. 路由器的安全
根据路由原理安全配置路由器路由器是整个网络的核心和心脏, 保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施。
(1)堵住安全漏洞
限制系统物理访问是确保路由器安全的最有效方法之一。限制系统物理访问的一种方法就是将控制台和终端会话配置成在较短闲置时间后自动退出系统。避免将调制解调器连接至路由器的辅助端口也很重要。一旦限制了路由器的物理访问,用户一定要确保路由器的安全补丁是最新的。
(2)避免身份危机
入侵者常常利用弱口令或默认口令进行攻击。加长口令、选用30到60天的口令有效期等措施有助于防止这类漏洞。另外,一旦重要的IT员工辞职,用户应该立即更换口令。用户应该启用路由器上的口令加密功能。
(3)禁用不必要服务
近来许多安全事件都凸显了禁用不需要本地服务的重要性。需要注意的是,一个需要用户考虑的因素是定时。定时对有效操作网络是必不可少的。即使用户确保了部署期间时间同步,经过一段时间后,时钟仍有可能逐渐失去同步。用户可以利用名为网络时。
浏览量:2
下载量:0
时间:
Linux操作系统由于其开放源代码的特性,可在一定程度上避免后门程序的隐患,这对于关注信息保密性的用户而言非常重要。下面大家与读文网小编一起来学习一下linux操作系统的安全性吧。
1、用户/文件权限的划分
用户权限在Windows操作系统里也不陌生,但是Linux操作系统的用户权限和文件权限要比Windows操作系统里严格有效。比较明显的一个案例就是,即便是你在Windows操作系统里设置了多用户,但是不同的用户之间通过一定的方式,还是能够互访文件的,这就失去了权限的意义。
LINUX文件权限针对的对象分三类(互斥的关系):
1. user(文件的拥有者)
2. group(文件拥有者所在的组,但不包括user)
3. other(其它用户,即user和group以外的)
LINUX用一个3位二进制数对应着文件的3种权限(1表示有该权限,0表示无):
第1位 读 r 100 4
第2位 写 w 010 2
第3位 执行 x 001 1
查看权限
#ls -l
第一列,一共10位(drwxrwxrwx),就代表了文件的权限:
1)第一个d代表是一个目录,如果显示“-”,则说明不是一个目录
2)2-4代表user的权限
3)5-7代表group的权限
4)8-10代表other的权限
对于后9位:
r 代表可读(read),其值是4
w 代表可写(write),其值是2
x 代表可执行(execute),其值是1
- 代表没有相应权限,其值是0
修改文件权限
# chmod [ugoa][+-=][rwx] 文件名
1)用户
u 代表user
g 代表group
o 代表other
a 代表全部的人,也就是包括u,g和o
2)行动
+ 表示添加权限
- 表示删除权限
= 表示使之成为唯一的权限
3)权限
rwx也可以用数字表示法,不过很麻烦要自己算,比如 rw=6
常见权限
-rw—— (600) 只有所有者才有读和写的权限
-rw-r——r—— (644) 只有所有者才有读和写的权限,组群和其他人只有读的权限
-rwx—— (700) 只有所有者才有读,写,执行的权限
-rwxr-xr-x (755) 只有所有者才有读,写,执行的权限,组群和其他人只有读和执行的权限
-rwx——x——x (711) 只有所有者才有读,写,执行的权限,组群和其他人只有执行的权限
-rw-rw-rw- (666) 每个人都有读写的权限
-rwxrwxrwx (777) 每个人都有读写和执行的权限,最大权限。
也许你会说,Windows操作系统里不也内置了防火墙,Linux系统内置防火墙有什么特殊之处。其实,iptables不仅仅是一个防火墙,而且即便是一个防火墙,它与我们常见的Windows操作系统下的防火墙相比,更加的专业性能更强大。
iptables是与Linux内核集成的IP信息包过滤系统,如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器,则该系统有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。
netfilter/iptables IP信息包过滤系统是一种功能强大的工具,可用于添加、编辑和除去规则,这些规则是在做信息包过滤决定时,防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中,而这些表集成在 Linux 内核中。在信息包过滤表中,规则被分组放在我们所谓的链(chain)中。
虽然netfilter/iptables IP信息包过滤系统被称为单个实体,但它实际上由两个组件netfilter和iptables组成。
netfilter组件也称为内核空间(kernelspace),是内核的一部分,由一些信息包过滤表组成,这些表包含内核用来控制信息包过滤处理的规则集。
iptables组件是一种工具,也称为用户空间(userspace),它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用 Red Hat Linux 7.1 或更高版本,否则需要下载该工具并安装使用它。
netfilter/iptables 的最大优点是它可以配置有状态的防火墙,这是 ipfwadm 和 ipchains 等以前的工具都无法提供的一种重要功能。有状态的防火墙能够指定并记住为发送或接收信息包所建立的连接的状态。防火墙可以从信息包的连接跟踪状态获得该信息。在决定新的信息包过滤时,防火墙所使用的这些状态信息可以增加其效率和速度。这里有四种有效状态,名称分别为 ESTABLISHED 、 INVALID 、 NEW 和 RELATED。
状态 ESTABLISHED 指出该信息包属于已建立的连接,该连接一直用于发送和接收信息包并且完全有效。INVALID 状态指出该信息包与任何已知的流或连接都不相关联,它可能包含错误的数据或头。状态 NEW 意味着该信息包已经或将启动新的连接,或者它与尚未用于发送和接收信息包的连接相关联。最后, RELATED 表示该信息包正在启动新连接,以及它与已建立的连接相关联。
netfilter/iptables 的另一个重要优点是,它使用户可以完全控制防火墙配置和信息包过滤。您可以定制自己的规则来满足您的特定需求,从而只允许您想要的网络流量进入系统。
另外,netfilter/iptables 是免费的,这对于那些想要节省费用的人来说十分理想,它可以代替昂贵的防火墙解决方案。
SELinux是Security-Enhanced Linux的简称,是美国国家安全局NSA(The National Security Agency)和SCC(Secure Computing Corporation)开发的 Linux的一个扩张强制访问控制安全模块。原先是在Fluke上开发的,2000年以GNU GPL发布。
SELinux(Security-Enhanced Linux) 是对于强制访问控制的实现,是Linux上最杰出的新安全子系统。NSA是在Linux社区的帮助下开发了一种访问控制体系,在这种访问控制体系的限制下,进程只能访问那些在他的任务中所需要文件。SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上,也可以作为其他发行版上容易安装的包得到。
对于目前可用的 Linux安全模块来说,SELinux 是功能最全面,而且测试最充分的,它是在 20 年的 MAC 研究基础上建立的。SELinux 在类型强制服务器中合并了多级安全性或一种可选的多类策略,并采用了基于角色的访问控制概念。
大部分使用SELinux的人使用的都是SELinux就绪的发行版,他们都是在内核中启用SELinux的,并且提供一个可定制的安全策略,还提供很多用户层的库和工具,它们都可以使用 SELinux 的功能。
SELinux是一种基于域-类型模型(domain-type)的强制访问控制(MAC)安全系统,它由NSA编写并设计成内核模块包含到内核中,相应的某些安全相关的应用也被打了SELinux的补丁,最后还有一个相应的安全策略。
众所周知,标准的UNIX安全模型是"任意的访问控制"DAC。就是说,任何程序对其资源享有完全的控制权。假设某个程序打算把含有潜在重要信息的文件扔到/tmp目录下,那么在DAC情况下没人能阻止他!而MAC情况下的安全策略完全控制着对所有资源的访问。这是MAC和DAC本质的区别。SELinux提供了比传统的UNⅨ权限更好的访问控制。
点评:
Linux操作系统在服务器领域已经占据了很强的领地,这与其自身的免费、开源以及极高的安全性分不开的。做好Linux操作系统的维护,需要善用Linux系统高效的工具资源。只有熟练运用、熟知Linux脾性才能将这个默默无闻的宝物发挥到极致。
看过“ linux操作系统安全性 ”
浏览量:2
下载量:0
时间:
Linux系统由于其出色的性能和稳定性、开放源代码的灵活性和可扩展性,以及较低廉的成本,而受到计算机工业界的广泛关注和应用。其系统的安全性就必须要加强,那么linux操作系统如何加固安全?下面大家与读文网小编一起来学习一下吧。
一、磁盘分区
1、如果是新安装系统,
对磁盘分区应考虑安全性:
1)根目录(/)、用户目录(/home)、临时目录(/tmp)和/var目录应分开到不同的磁盘分区;
2)以上各目录所在分区的磁盘空间大小应充分考虑,避免因某些原因造成分区空间用完而导致系统崩溃;
2、对于/tmp和/var目录所在分区,大多数情况下不需要有suid属性的程序,所以应为这些分区添加nosuid属性;
方法一:修改/etc/fstab文件,添加nosuid属性字。例如:
/dev/hda2 /tmp ext2 exec,dev,nosuid,rw 0 0
方法二:如果对/etc/fstab文件操作不熟,建议通过linuxconf程序来修改。
*运行linuxconf程序;
*选择"File systems"下的"Access local drive";
*选择需要修改属性的磁盘分区;
*选择"No setuid programs allowed"选项;
*根据需要选择其它可选项;
*正常退出。(一般会提示重新mount该分区)
二、安装
1、对于非测试主机,不应安装过多的软件包。这样可以降低因软件包而导致出现安全漏洞的可能性。
2、对于非测试主机,在选择主机启动服务时不应选择非必需的服务。例如routed、ypbind等。
三、安全配置与增强
内核升级。起码要升级至2.2.16以上版本。
GNU libc共享库升级。(警告:如果没有经验,不可轻易尝试。可暂缓。)
关闭危险的网络服务。echo、chargen、shell、login、finger、NFS、RPC等
关闭非必需的网络服务。talk、ntalk、pop-2等
常见网络服务安全配置与升级
确保网络服务所使用版本为当前最新和最安全的版本。
取消匿名FTP访问
去除非必需的suid程序
使用tcpwrapper
使用ipchains防火墙
日志系统syslogd
一些细节:
1.操作系统内部的log file是检测是否有网络入侵的重要线索,当然这个假定你的logfile不被侵入者所破坏,如果你有台服务器用专线直接连到Internet上,这意味着你的IP地址是永久固定的地址,你会发现有很多人对你的系统做telnet/ftp登录尝试,试着运行#more /var/log/secure | grep refused 去检查。
2. 限制具有SUID权限标志的程序数量,具有该权限标志的程序以root身份运行,是一个潜在的安全漏洞,当然,有些程序是必须要具有该标志的,象passwd程序。
3.BIOS安全。设置BIOS密码且修改引导次序禁止从软盘启动系统。
4. 用户口令。用户口令是Linux安全的一个最基本的起点,很多人使用的用户口令就是简单的‘password'',这等于给侵入者敞开了大门,虽然从理论上说没有不能确解的用户口令,只要有足够的时间和资源可以利用。比较好的用户口令是那些只有他自己能够容易记得并理解的一串字符,并且绝对不要在任何地方写出来。
5./etc/exports 文件。如果你使用NFS网络文件系统服务,那么确保你的/etc/exports具有最严格的存取权限设置,不意味着不要使用任何通配符,不允许root写权限,mount成只读文件系统。编辑文件/etc/exports并且加:例如:
/dir/to/export host1.mydomain.com(ro,root_squash)
/dir/to/export host2.mydomain.com(ro,root_squash)
/dir/to/export 是你想输出的目录,host.mydomain.com是登录这个目录的机器名,
ro意味着mount成只读系统,root_squash禁止root写入该目录。
为了让上面的改变生效,运行/usr/sbin/exportfs -a
[NextPage]
6.确信/etc/inetd.conf的所有者是root,且文件权限设置为600 。
[root@deep]# chmod 600 /etc/inetd.conf
ENSURE that the owner is root.
[root@deep]# stat /etc/inetd.conf
File: "/etc/inetd.conf"
Size: 2869 Filetype: Regular File
Mode: (0600/-rw-------) Uid: ( 0/ root) Gid: ( 0/ root)
Device: 8,6 Inode: 18219 Links: 1
Access: Wed Sep 22 16:24:16 1999(00000.00:10:44)
Modify: Mon Sep 20 10:22:44 1999(00002.06:12:16)
Change:Mon Sep 20 10:22:44 1999(00002.06:12:16)
编辑/etc/inetd.conf禁止以下服务:
ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger,
auth, etc. 除非你真的想用它。
特别是禁止那些r命令.如果你用ssh/scp,那么你也可以禁止掉telnet/ftp。
为了使改变生效,运行#killall -HUP inetd
你也可以运行#chattr +i /etc/inetd.conf使该文件具有不可更改属性。
只有root才能解开,用命令
#chattr -i /etc/inetd.conf
7. TCP_WRAPPERS
默认地,Redhat Linux允许所有的请求,用TCP_WRAPPERS增强你的站点的安全性是举手
之劳,你可以放入
“ALL: ALL”到/etc/hosts.deny中禁止所有的请求,然后放那些明确允许的请求到
/etc/hosts.allow中,如:
sshd: 192.168.1.10/255.255.255.0 gate.openarch.com
对IP地址192.168.1.10和主机名gate.openarch.com,允许通过ssh连接。
配置完了之后,用tcpdchk检查
[root@deep]# tcpdchk
tcpchk是TCP_Wrapper配置检查工具,
它检查你的tcp wrapper配置并报告所有发现的潜在/存在的问题。
8. 别名文件aliases
编辑别名文件/etc/aliases(也可能是/etc/mail/aliases),移走/注释掉下面的行。
# Basic system aliases -- these MUST be present.
MAILER-DAEMON: postmaster
postmaster: root
# General redirections for pseudo accounts.
bin: root
daemon: root
#games: root ?remove or comment out.
#ingres: root ?remove or comment out.
nobody: root
#system: root ?remove or comment out.
#toor: root ?remove or comment out.
#uucp: root ?remove or comment out.
# Well-known aliases.
#manager: root ?remove or comment out.
#dumper: root ?remove or comment out.
#operator: root ?remove or comment out.
# trap decode to catch security attacks
#decode: root
# Person who should get root''s mail
#root: marc
最后更新后不要忘记运行/usr/bin/newaliases,使改变生效。
[NextPage]
9.阻止你的系统响应任何从外部/内部来的ping请求。
既然没有人能ping通你的机器并收到响应,你可以大大增强你的站点的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local,以使每次启动后自动运行。
echo 1 >; /proc/sys/net/ipv4/icmp_echo_ignore_all
10. 不要显示出操作系统和版本信息。
如果你希望某个人远程登录到你的服务器时不要显示操作系统和版本信息,你能改变
/etc/inetd.conf中的一行象下面这样:
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h
加-h标志在最后使得telnet后台不要显示系统信息,而仅仅显示login:
11.The /etc/host.conf file
编辑host.conf文件(vi /etc/host.conf)且加下面的行:
# Lookup names via DNS first then fall back to /etc/hosts.
order bind,hosts
# We don''t have machines with multiple IP addresses on the same card
(like virtual server,IP Aliasing).
multi off
# Check for IP address spoofing.
nospoof on
IP Spoofing: IP-Spoofing is a security exploit that works by tricking
computers in a trust relationship that you are someone that you really aren''t.
12. The /etc/securetty file
该文件指定了允许root登录的tty设备,/etc/securetty被/bin/login程序读取,它的
格式是一行一个被允许的名字列表,如你可以编辑/etc/securetty且注释出下面的行。
tty1
#tty2
#tty3
#tty4
#tty5
#tty6
#tty7
#tty8
-意味着root仅仅被允许在tty1终端登录。
13. 特别的帐号
禁止所有默认的被操作系统本身启动的且不需要的帐号,当你第一次装上系统时就应该做此检查,Linux提供了各种帐号,你可能不需要,如果你不需要这个帐号,就移走它,你有的帐号越多,就越容易受到攻击。
为删除你系统上的用户,用下面的命令:
[root@deep]# userdel username
为删除你系统上的组用户帐号,用下面的命令:
[root@deep]# groupdel username
在终端上打入下面的命令删掉下面的用户。
[root@deep]# userdel adm
[root@deep]# userdel lp
[root@deep]# userdel sync
[root@deep]# userdel shutdown
[root@deep]# userdel halt
[root@deep]# userdel mail
如果你不用sendmail服务器,procmail.mailx,就删除这个帐号。
[root@deep]# userdel news
[root@deep]# userdel uucp
[root@deep]# userdel operator
[root@deep]# userdel games
如果你不用X windows 服务器,就删掉这个帐号。
[root@deep]# userdel gopher
[root@deep]# userdel ftp
如果你不允许匿名FTP,就删掉这个用户帐号。
===
打入下面的命令删除组帐号
[root@deep]# groupdel adm
[root@deep]# groupdel lp
[root@deep]# groupdel mail
如不用Sendmail服务器,删除这个组帐号
[root@deep]# groupdel news
[root@deep]# groupdel uucp
[root@deep]# groupdel games
如你不用X Windows,删除这个组帐号
[root@deep]# groupdel dip
[root@deep]# groupdel pppusers
[root@deep]# groupdel popusers
如果你不用POP服务器,删除这个组帐号
[root@deep]# groupdel slipusers
====
用下面的命令加需要的用户帐号
[root@deep]# useradd username
用下面的命令改变用户口令
[root@deep]# passwd username
用chattr命令给下面的文件加上不可更改属性。
[root@deep]# chattr +i /etc/passwd
[root@deep]# chattr +i /etc/shadow
[root@deep]# chattr +i /etc/group
[root@deep]# chattr +i /etc/gshadow
[NextPage]
14. 阻止任何人su作为root.
如果你不想任何人能够su作为root,你能编辑/etc/pam.d/su加下面的行:
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=isd
意味着仅仅isd组的用户可以su作为root.
然后,如果你希望用户admin能su作为root.就运行下面的命令。
[root@deep]# usermod -G10 admin
16. 资源限制
对你的系统上所有的用户设置资源限制可以防止DoS类型攻击(denial of service attacks)
如最大进程数,内存数量等。例如,对所有用户的限制象下面这样:
编辑/etc/security/limits.con加:
* hard core 0
* hard rss 5000
* hard nproc 20
你也必须编辑/etc/pam.d/login文件加/检查这一行的存在。
session required /lib/security/pam_limits.so
上面的命令禁止core files“core 0”,限制进程数为“nproc 50“,且限制内存使用
为5M“rss 5000”。
17. The /etc/lilo.conf file
a) Add: restricted
加这一行到每一个引导映像下面,就这表明如果你引导时用(linux single),则需要一个password.
b) Add: password=some_password
当与restricted联合用,且正常引导时,需要用户输入密码,你也要确保lilo.conf
文件不能被不属于root的用户可读,也免看到密码明文。下面是例子:
编辑/etc/lilo.conf加:
====
boot=/dev/sda
map=/boot/map
install=/boot/boot.b
prompt
timeout=50
Default=linux
restricted ?add this line.
password=some_password ?add this line.
image=/boot/vmlinuz-2.2.12-20
label=linux
initrd=/boot/initrd-2.2.12-10.img
root=/dev/sda6
read-only
[root@deep]# chmod 600 /etc/lilo.conf (不再能被其他用户可读).
[root@deep]# /sbin/lilo -v (更新lilo配置).
[root@deep]# chattr +i /etc/lilo.conf(阻止该文件被修改)
18. 禁止 Control-Alt-Delete 重启动机器命令
[root@deep]# vi /etc/inittab
ca::ctrlaltdel:/sbin/shutdown -t3 -r now
To
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now
[root@deep]# /sbin/init q
19. 重新设置/etc/rc.d/init.d/目录下所有文件的许可权限
[root@deep]# chmod -R 700 /etc/rc.d/init.d/*
仅仅root可以读,写,执行上述所有script file.
20. The /etc/rc.d/rc.local file
默认地,当你login到linux server时,它告诉你linux版本名,内核版本名和服务器
主机名。它给了你太多的信息,如果你就希望得到提示login: ,编辑
/etc/rc.d/rc.local放#在下面的行前面:
--
# This will overwrite /etc/issue at every boot. So, make any changes you
# want to make to /etc/issue here or you will lose them when you reboot.
#echo "" >; /etc/issue
#echo "$R" >;>; /etc/issue
#echo "Kernel $(uname -r) on $a $(uname -m)" >;>; /etc/issue
#
#cp -f /etc/issue /etc/issue.net
#echo >;>; /etc/issue
--
然后,做下面的事情:
[root@deep]# rm -f /etc/issue
[root@deep]# rm -f /etc/issue.net
[root@deep]# touch /etc/issue
[root@deep]# touch /etc/issue.net
21. 被root拥有的程序的位。
移走那些被root拥有程序的s位标志,当然有些程序需要这个,用命令‘chmod a-s’完成这个。
注:前面带(*)号的那些程序一般不需要拥有s位标志。
[root@deep]# find / -type f ( -perm -04000 -o -perm -02000 ) -exec ls –lg {} ;
-rwsr-xr-x 1 root root 33120 Mar 21 1999 /usr/bin/at
*-rwsr-xr-x 1 root root 30560 Apr 15 20:03 /usr/bin/chage
*-rwsr-xr-x 1 root root 29492 Apr 15 20:03 /usr/bin/gpasswd
-rwsr-xr-x 1 root root 3208 Mar 22 1999 /usr/bin/disable-paste
-rwxr-sr-x 1 root man 32320 Apr 9 1999 /usr/bin/man
-r-s--x--x 1 root root 10704 Apr 14 17:21 /usr/bin/passwd
-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/suidperl
-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/sperl5.00503
-rwxr-sr-x 1 root mail 11432 Apr 6 1999 /usr/bin/lockfile
-rwsr-sr-x 1 root mail 64468 Apr 6 1999 /usr/bin/procmail
-rwsr-xr-x 1 root root 21848 Aug 27 11:06 /usr/bin/crontab
-rwxr-sr-x 1 root slocate 15032 Apr 19 14:55 /usr/bin/slocate
*-r-xr-sr-x 1 root tty 6212 Apr 17 11:29 /usr/bin/wall
*-rws--x--x 1 root root 14088 Apr 17 12:57 /usr/bin/chfn
*-rws--x--x 1 root root 13800 Apr 17 12:57 /usr/bin/chsh
*-rws--x--x 1 root root 5576 Apr 17 12:57 /usr/bin/newgrp
*-rwxr-sr-x 1 root tty 8392 Apr 17 12:57 /usr/bin/write
-rwsr-x--- 1 root squid 14076 Oct 7 14:48 /usr/lib/squid/pinger
-rwxr-sr-x 1 root utmp 15587 Jun 9 09:30 /usr/sbin/utempter
*-rwsr-xr-x 1 root root 5736 Apr 19 15:39 /usr/sbin/usernetctl
*-rwsr-xr-x 1 root bin 16488 Jul 6 09:35 /usr/sbin/traceroute
-rwsr-sr-x 1 root root 299364 Apr 19 16:38 /usr/sbin/sendmail
-rwsr-xr-x 1 root root 34131 Apr 16 18:49 /usr/libexec/pt_chown
-rwsr-xr-x 1 root root 13208 Apr 13 14:58 /bin/su
*-rwsr-xr-x 1 root root 52788 Apr 17 15:16 /bin/mount
*-rwsr-xr-x 1 root root 26508 Apr 17 20:26 /bin/umount
*-rwsr-xr-x 1 root root 17652 Jul 6 09:33 /bin/ping
-rwsr-xr-x 1 root root 20164 Apr 17 12:57 /bin/login
*-rwxr-sr-x 1 root root 3860 Apr 19 15:39 /sbin/netreport
-r-sr-xr-x 1 root root 46472 Apr 17 16:26 /sbin/pwdb_chkpwd
[root@deep]# chmod a-s /usr/bin/chage
[root@deep]# chmod a-s /usr/bin/gpasswd
[root@deep]# chmod a-s /usr/bin/wall
[root@deep]# chmod a-s /usr/bin/chfn
[root@deep]# chmod a-s /usr/bin/chsh
[root@deep]# chmod a-s /usr/bin/newgrp
[root@deep]# chmod a-s /usr/bin/write
[root@deep]# chmod a-s /usr/sbin/usernetctl
[root@deep]# chmod a-s /usr/sbin/traceroute
[root@deep]# chmod a-s /bin/mount
[root@deep]# chmod a-s /bin/umount
[root@deep]# chmod a-s /bin/ping
[root@deep]# chmod a-s /sbin/netreport
你可以用下面的命令查找所有带s位标志的程序:
[root@deep]# find / -type f ( -perm -04000 -o -perm -02000 ) -exec ls -lg {} ;
>; suid-sgid-results
把结果输出到文件suid-sgid-results中。
[NextPage]
为了查找所有可写的文件和目录,用下面的命令:
[root@deep]# find / -type f ( -perm -2 -o -perm -20 ) -exec ls -lg {} ; >; ww-files-results
[root@deep]# find / -type d ( -perm -2 -o -perm -20 ) -exec ls -ldg {} ; >; ww-directories-results
用下面的命令查找没有拥有者的文件:
[root@deep]# find / -nouser -o -nogroup >; unowed-results
用下面的命令查找所有的.rhosts文件:
[root@deep]# find /home -name .rhosts >; rhost-results
建议替换的常见网络服务应用程序
WuFTPD
WuFTD从1994年就开始就不断地出现安全漏洞,黑客很容易就可以获得远程root访问(Remote Root Access)的权限,而且很多安全漏洞甚至不需要在FTP服务器上有一个有效的帐号。最近,WuFTP也是频频出现安全漏洞。
它的最好的替代程序是ProFTPD。ProFTPD很容易配置,在多数情况下速度也比较快,而且它的源代码也比较干净(缓冲溢出的错误比较少)。有许多重要的站点使用ProFTPD。sourceforge.net就是一个很好的例子(这个站点共有3,000个开放源代码的项目,其负荷并不小啊!)。一些Linux的发行商在它们的主FTP站点上使用的也是ProFTPD,只有两个主要Linux的发行商(SuSE和Caldera)使用WuFTPD。
ProFTPD的另一个优点就是既可以从inetd运行又可以作为单独的daemon运行。这样就可以很容易解决inetd带来的一些问题,如:拒绝服务的攻击(denial of service attack),等等。系统越简单,就越容易保证系统的安全。WuFTPD要么重新审核一遍全部的源代码(非常困难),要么完全重写一遍代码,否则WuFTPD必然要被ProFTPD代替。
Telnet
Telnet是非常非常不安全的,它用明文来传送密码。它的安全的替代程序是OpenSSH。
OpenSSH在Linux上已经非常成熟和稳定了,而且在Windows平台上也有很多免费的客户端软件。Linux的发行商应该采用OpenBSD的策略:安装OpenSSH并把它设置为默认的,安装Telnet但是不把它设置成默认的。对于不在美国的Linux发行商,很容易就可以在Linux的发行版中加上OpenSSH。美国的Linux发行商就要想一些别的办法了(例如:Red Hat在德国的FTP服务器上(ftp.redhat.de)就有最新的OpenSSH的rpm软件包)。
Telnet是无可救药的程序。要保证系统的安全必须用OpenSSH这样的软件来替代它。
Sendmail
最近这些年,Sendmail的安全性已经提高很多了(以前它通常是黑客重点攻击的程序)。然而,Sendmail还是有一个很严重的问题。一旦出现了安全漏洞(例如:最近出现的Linux内核错误),Sendmail就是被黑客重点攻击的程序,因为Sendmail是以root权限运行而且代码很庞大容易出问题。
几乎所有的Linux发行商都把Sendmail作为默认的配置,只有少数几个把Postfix或Qmail作为可选的软件包。但是,很少有Linux的发行商在自己的邮件服务器上使用Sendmail。SuSE和Red Hat都使用基于Qmail的系统。
Sendmail并不一定会被别的程序完全替代。但是它的两个替代程序Qmail和Postfix都比它安全、速度快,而且特别是Postfix比它容易配置和维护。
su
su是用来改变当前用户的ID,转换成别的用户。你可以以普通用户登录,当需要以root身份做一些事的时候,只要执行“su”命令,然后输入root的密码。su本身是没有问题的,但是它会让人养成不好的习惯。如果一个系统有多个管理员,必须都给他们root的口令。
su的一个替代程序是sudo。Red Hat 6.2中包含这个软件。sudo允许你设置哪个用户哪个组可以以root身份执行哪些程序。你还可以根据用户登录的位置对他们加以限制(如果有人“破”了一个用户的口令,并用这个帐号从远程计算机登录,你可以限制他使用sudo)。Debian也有一个类似的程序叫super,与sudo比较各有优缺点。
让用户养成良好的习惯。使用root帐号并让多个人知道root的密码并不是一个好的习惯。这就是www.apache.org被入侵的原因,因为它有多个系统管理员他们都有root的特权。一个乱成一团的系统是很容易被入侵的。
named
大部分Linux的发行商都解决了这个问题。named以前是以root运行的,因此当named出现新的漏洞的时候,很容易就可以入侵一些很重要的计算机并获得root权限。现在只要用命令行的一些参数就能让named以非root的用户运行。而且,现在绝大多数Linux的发行商都让named以普通用户的权限运行。命令格式通常为:named -u ; -g ;
INN
在INN的文档中已经明确地指出:“禁止这项功能(verifycancels),这项功能是没有用的而且将被除掉”。大约在一个月前,一个黑客发布了当“verifycancels”生效的时候入侵INN的方法。Red Hat是把“verifycancels”设为有效的。任何setuid/setgid的程序或网络服务程序都要正确地安装并且进行检查以保证尽量没有安全漏洞。
安全守则
1. 废除系统所有默认的帐号和密码。
2. 在用户合法性得到验证前不要显示公司题头、在线帮助以及其它信息。
3. 废除“黑客”可以攻击系统的网络服务。
4. 使用6到8位的字母数字式密码。
5. 限制用户尝试登录到系统的次数。
6. 记录违反安全性的情况并对安全记录进行复查。
7. 对于重要信息,上网传输前要先进行加密。
8. 重视专家提出的建议,安装他们推荐的系统“补丁”。
9. 限制不需密码即可访问的主机文件。
10.修改网络配置文件,以便将来自外部的TCP连接限制到最少数量的端口。不允许诸如tftp,sunrpc,printer,rlogin或rexec之类的协议。
11.用upas代替sendmail。sendmail有太多已知漏洞,很难修补完全。
12.去掉对操作并非至关重要又极少使用的程序。
13.使用chmod将所有系统目录变更为711模式。这样,攻击者们将无法看到它们当中有什么东西,而用户仍可执行。
14.只要可能,就将磁盘安装为只读模式。其实,仅有少数目录需读写状态。
15.将系统软件升级为最新版本。老版本可能已被研究并被成功攻击,最新版本一般包括了这些问题的补救。
看过“ linux操作系统安全加固 ”
浏览量:6
下载量:0
时间:
有网友问到:“linux系统有没有什么安全软件”,其实很多人不明白为什么大家都说Linux的安全性不是很高吗?怎么还要安全软件?下面大家与读文网小编一起来学习一下吧。
首先,Linux比其它操作系统更稳定更安全。理论上Linux是有可能被病毒侵害的。但实际上 Linux机器几乎不可能遭受病毒的攻击。所以我这里的问题是为什么要为Linux准备防病毒软件,为了更好理解,我准备了以下理由:
Linux平台安装杀毒软件的原因:
● 从Linux平台扫描Windows驱动
● 通过网络扫描Windows工作站
● 在Linux服务器中扫描接收和发送的邮件
● 扫描发送给其它机器的重要文件
下面向你推荐最好的免费的Linux平台杀毒软件
1、ClamAV 杀毒
ClamAV 杀毒是Linux平台最受欢迎的杀毒软件,ClamAV属于免费开源产品,支持多种平台,如:Linux/Unix、MAC OS X、Windows、OpenVMS。ClamAV是基于病毒扫描的命令行工具,但同时也有支持图形界面的ClamTK工具。ClamAV主要用于邮件服务器扫描邮件。它有多种接口从邮件服务器扫描邮件,支持文件格式有如:ZIP、RAR、TAR、GZIP、BZIP2、HTML、DOC、PDF,、SIS CHM、RTF等等。ClamAV有自动的数据库更新器,还可以从共享库中运行。命令行的界面让ClamAV运行流畅,你不必以后台进程的方式运行,当你想扫描时只需输入扫描命令指定文件或目录就行,更多信息点击这里。
2、Avast Linux 家庭版
对于你的计算机来说,Avast是最好的防病毒解决方案之一。Avast Linux家庭版是免费的,只能用户家庭或者非商业用途。简单易用的用户界面和其它特性使得Avast变得逐渐流行起来,同样支持GUI和命令行两种工具。所有用户都能轻松地操作,因为它有简单界面(初级用户)高级界面(高级用户),Avast有以下一些特性:自动更新、内置邮件扫描器等,你可以从这个网址找到更多信息。
3、Avria
另一个Linux下最好的杀毒软件是Avria免费杀毒版,Avria提供可扩展配置,控制你的计算机成为可能。它有一些很强大的特性,例如:简单的脚本安装方式、命令行扫描器、自动更新(产品、引擎、VDF)、自我完整性程序检查等等。你可以从这个PDF中找到更多关于安装和特性的信息。
4、AVG 免费版杀毒
现在有超过10亿用户使用AVG杀毒,同样是Linux机器中不错的杀毒专家,免费版提供的特性比高级版要少。AVG目前还不支持图形界面。提供防病毒和防间谍工具,AVG运行速度很快,占用系统资源很少,支持主流Linux版本如:Debian、Ubuntu、Red hat、Cent OS、FreeBSD等等,更多信息可查看它的特性及下载页面。
5、F-PROT 杀毒
F-PORT属于Linux用户中的一种新的杀毒解决方案,对家庭用户免费。它有使用克龙(cron)工具的任务调度的特性,能在指定时间执行扫描任务。同时它还可以扫描USB HDD、Pendrive、CD-ROM、网络驱动、指定文件或目录、引导区病毒扫描、镜像。更多信息你可以查看F-PORT的特性页面,可以从这里下载。
从以上讨论中可看出,每种杀毒软件都有它自己的特性,有些支持良好的图形界面,有些更适合命令行扫描,根据这些特性选择一款最适合你自己的吧!
看过“ linux系统安全软件 ”
浏览量:2
下载量:0
时间:
Linux不论在功能上、价格上或性能上都有很多优点,然而,作为开放式操作系统,它不可避免地存在一些安全隐患。那么你知道Linux系统安全性能怎么提高吗?小编带来了Linux系统安全性能提高的具体方法,下面大家跟着读文网小编一起来学习一下吧。
从计算机安全的角度看,世界上没有绝 对密不透风、百分之百安全的计算机系统,Linux系统也不例外。采用以上的安全守则,虽然可以使Linux系统的安全性大大提高,使顺手牵羊型的黑客和 电脑玩家不能轻易闯入,但却不一定能阻挡那些身怀绝技的武林高手,因此,企业用户还需要借助防火墙等其他安全工具,共同防御黑客入侵,才能确保系统万无一 失。
看过“ Linux系统安全性能怎么提高 ”
浏览量:2
下载量:0
时间:
当用户在使用虚拟主机的时候,Linux系统的安全问题就成为了使用者最为关心的问题,那么Linux虚拟主机怎么进行安全设置呢?接下来大家跟着读文网小编一起来了解一下Linux虚拟主机进行安全设置的解决方法吧。
什么是Linux呢?Liunx的官方定义:“Linux是一种UNIX操作系统的克隆,它(的内核)由Linux Torvalds以及网络上组织松散的黑客队伍一起从零开始编写而成。LINUX的目标是保持和POSIX的兼容。”众所周知,Linux是一种开放源代码的操作系统,由于它的自由开放性和技术先进性,顺应了广大软件开发商及用户日益高涨的对信息系统知情权的要求,从而迅速赢得了普遍的支持和认同,并得以迅速传播。
美国虚拟主机Linux系统下的安全设置需要从三个方面去考虑:
首先,Linux系统本身的安全优势:
1、Open的思想,开放源代码,自主改进或定制
2、Free的精神,自由使用
3、完善的网络功能,内置TCP/IP协议
4、真正意义上的多任务、多用户操作系统
5、完全运行于保护模式,充分利用了CUP性能
6、先进的内存管理机制,更加有效地利用物理内存
7、稳定性,安全性,高效性
8、与UNIX系统在源代码级兼容,符合IEEE POSIX标准
9、支持数十种文件系统格式
10、设备独立性,良好的可移植性
11、无昂贵的版权费,低成本
正是因为Linux的安全特性,使得它在市场中保持了一定的占有率,且市场占有率有扩大的趋势。全球专家预测,Linux在未来几年内将以每年25%的速度增长,中国的Linux和Linux虚拟主机市场更将保持40%。
其次,当你使用Linux操作系统处理安全问题时,下面的一些规则和技巧也许会派上用场。
1.在以root身份登录时,避免做一些常规工作。这会减少你感染病毒的风险,并且可以防止你犯一些错误。
2.如果可能的话,在一台远程机器上工作时,尽量使用加密连接。使用SSH来代替telnet、ftp、rsh、rlogin应当成为标准的操作规范。因为SSH的安全性众所周知。
3.尽量保持与网络有关的最重要的程序包的最新,最好订阅一些相应的邮件列表以获得bind、postfix、ssh等程序的最新版本的公告。同样的原则也适用于与本地安全相关的软件。
4.禁用你并不绝对需要的任何用于服务器正常工作的任何网络服务。这会使你的系统更加安全。可以用netstat程序发现套接字状态为LISTEN的开放端口。
5.来自SUSE的RPM程序包都进行了数字签名。你可以在控制台上输入下面的内容来验证任何SUSE RPM程序包的完整性:rpm — chechsig package.rpm。所需要的公共gpg-key要在安装时要复制到root的主目录。
6.经常检查用户和系统文件的备份。请记住:如果你没有测试备份是否正常工作,它就形同虚设,毫无价值。
7.检查你的日志文件。在可能的情况下,编写小型的脚本程序来搜索可疑的项目。
8.设置安全措施要保证其冗余性。多看到一些安全消息总比没有消息要好得多。
最后,在选择美国虚拟主机的时候,一个好的运营商能为用户省却许多麻烦,这包括主机投放机房的位置和质量,运营商的服务质量等等,都是用户必须考虑的因素。而全球电子商务专家中国诺网的美国虚拟主机正是迎合了Linux虚拟主机这个潮流,提供目前市场上最稳定可靠的美国虚拟主机,为什么这样说呢?因为中国诺网在2007年投资180万美金和世界排名第一的达拉斯机房合资增建了中诺美国机房,机房面积约1200平方公尺,可容纳机器约10000台。可以说中诺美国机房继承了达拉斯机房的优质管理及先进的机房管理系统,针对亚洲客户(特别是中国大陆地区)制订出并提供最佳的美国虚拟主机提供方案,特别值得推荐的是以下几款Linux美国虚拟主机:
专业个人型Linux美国虚拟主机:
·支持全球快速浏览—全球客户可以快速打开您的网 站,使您真正实现全球服务
·150M+5个邮箱空间+50人在线
·支持ASP、CGI、PHP
·不支持论坛
·无流量限制,操作系统,用户自行选择
·邮局功能:5个邮箱,总空间50M
·¥480.00元/1年
·五年单价380元 ¥1900.00元/5年
标准企业A型Linux美国虚拟主机:
·支持全球快速浏览—全球客户可以快速打开您的网 站,使您真正实现全球服务
·250M空间+10个企业邮箱+100人在线+100M Mysql数据库
·支持ASP、CGI、PHP
·不支持论坛
·无流量限制,操作系统,用户自行选择
·邮局功能:10个邮箱,总空间100M
·MYSQL数据库:1个数据库,100M总空间
·¥800.00元/1年
·五年单价640元¥3200.00元/5年
专业企业型Linux美国虚拟主机:
·支持全球快速浏览—全球客户可以快速打开您的网站,使您真正实现全球服务
·800M空间+50个企业邮箱+800人在线+50M Mssql或100MMysql
·支持ASP、ASP.NET、CGI、PHP
·无流量限制,操作系统,用户自行选择
·邮局功能:50个邮箱,总空间500M
·MSSQL数据库:1个数据库,50M总空间,或者,MYSQL数据库:1个数据库,100M总空间
·¥2800.00元/1年
·五年单价2280元 ¥11400.00元/5年
看过“Linux虚拟主机怎么进行安全设置”
浏览量:2
下载量:0
时间:
Linux系统进程在一定条件下可以对任何文件、数据库等进行操作。如果此进程被不法分子用作其他不法用途,将会给系统带来重大危害。那么下面跟着读文网小编来一起了解下Linux系统怎么设置安全管理吧。
1.引导程序安全
Linux系统的root密码是很容易破解的,当然前提是你没有设置引导程序密码,如GRUB或LILO,为了防止通过引导程序破译root密码,强烈建议设置GRUB或LILO的引导密码,可以编辑其配置文件/etc/grub.conf或/etc/lilo.conf,设置password参数。
2.不安全权限设置
大家常见的Linux下文件权限是r w x,其实还有一种权限叫s,如果给某个文件赋予的s权限,那么这个文件在执行的时候就会拥有相应宿主用户或宿主组用户的权限,例如:
#chmod u+s testfile
#ls -la testfile
rwsr----- root root 10 testfile
这样,当这个文件被其它用户执行的时候,此用户就具有了此文件宿主用户root的对testfile的执行权限。类似,当文件的宿主组具有s权限后,执行此文件的用户就具有了此文件宿主组用户对此文件的权限,这是相当危险的。
大家可以试想下,如果命令chmod的文件被赋予了s权限,那么其它用户还有什么事情是不能做的呢?那它就可以更改任何文件的权限了,当然,s权限需要和x权限结合使用,没有x权限的s权限是没有任何意义的。
3.自动注销
当某个用户使用服务器后忘记注销,也是很危险的事情,此时,管理员可以设置/etc/profile文件的timeout参数,当用户一段时间不做任何操作时,系统自动注销此用户。
4. 设置口令复杂度
为了防止系统用户口令过于简单而被破译,可以编辑/etc/login.defs文件,设置系统用户口令复杂度,例如口令最长,最短,过期时间等。
5.禁止不必要用户登陆系统
为了防止其它非系统用户登陆系统,可以在添加用户时,赋予此用户不存在的主目录和不存在的shell环境,当然,最好还更改/etc/passwd和/etc/shadow两个文件的访问权限,使之后root用户可以访问。
Linux系统特点就是因为它是一款免费传播类操作系统,使其具有服务器应有的天然特性,但也正是因为有这些特性,所以在管理不当的情况下,也会造成很严重的安全性问题,所以我们的好好使用它,保护它!
看过“Linux系统怎么设置安全管理”
浏览量:4
下载量:0
时间: