3.6 Linux安全设置

1. 总的原则

首先要明确一个观点：在服务器上做任何操作，升级和修改任何配置文件或软件，都必须首先考虑安全性，不是越新的东西就越好，这也是为什么Linux管理感觉上和Windows有所不同的地方。Windows首先推荐大家去使用它的最新版本软件和操作系统，其实这是一种商业行为，从系统管理上来讲，这是很不好的，使用新的软件和系统可能带来新的问题，有些甚至是致命的。因此，还是应该考虑选择稳定的长期使用的软件版本来使用。

2. 关于分区

一个潜在的黑客如果要攻击用户的Linux服务器，他首先就会尝试缓冲区溢出。在过去的几年中，以缓冲区溢出为类型的安全漏洞是最为常见的一种形式。更为严重的是，缓冲区溢出漏洞占了远程网络攻击的绝大多数，这种攻击可以轻易使得一个匿名的Internet用户有机会获得一台主机的部分或全部的控制权。

为了防止此类攻击，在安装系统时就应该注意。如果用root分区记录数据，如log文件和E-mail，就可能因为拒绝服务产生大量日志或垃圾邮件，从而导致系统崩溃。所以建议为/var开辟单独的分区，用来存放日志和邮件，以避免root分区被溢出。最好为特殊的应用程序单独开一个分区，特别是可以产生大量日志的程序，还有建议为/home单独开一个分区，这样这些分区就不会被填满了，从而就避免了部分针对Linux分区溢出的恶意攻击。

3. 关于BIOS

应该设定一个BIOS密码，不接收软盘启动。这样可以阻止不怀好意的人用专门的启动盘启动用户的Linux系统，并避免别人更改BIOS设置，如更改软盘启动设置或不弹出密码框直接启动服务器等。

4. 关于口令

口令是系统中认证用户的主要手段，系统安装时默认的口令最小长度通常为5，但为保证口令不易被猜测攻击，可增加口令的最小长度，建议大于等于8位。为此，需修改文件/etc/login.defs中的参数PASS_MIN_LEN（口令最小长度）。同时应限制口令使用时间，保证定期更换口令，建议修改参数PASS_MIN_DAYS（口令使用时间）。

5. 关于Pⅰng

如果没有人能ping通用户的计算机并收到响应，就可以大大增强用户的站点的安全性。可以在/etc/rc.d/rc.local中加入下面的一行命令：

      echo 1 >/proc/sys/net/ipv4/icmp_echo_ignore_all

这样，在每次启动后会自动运行，这样就可以阻止用户的系统响应任何从外部或者内部来的ping请求。

6. 关于Telnet

如果希望用户通过Telnet远程登录到用户的服务器时不显示操作系统和版本信息（可以避免有针对性的漏洞攻击），用户应该改写/etc/inetd.conf中的如下一行：

      telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h

加-h标志在最后使得telnet后台不要显示系统信息，而仅仅显示login。

7. 关于特权账号

禁止所有默认的被操作系统本身启动的且不需要的账号，当用户第一次装上系统时就应该做此检查，Linux提供了各种账号，用户可能不需要，对于不需要的账号，可采用如下方法处理：

● 删除系统上的用户，使用下面的命令：userdel username。

● 删除系统上的组用户账号，使用下面的命令：groupdel username。

● 删除特权用户账号，使用下面的命令：

          userdel adm
          userdel lp
          userdel sync
          userdel shutdown
          userdel halt
          userdel mail

● 如果不用sendmail服务器，就删除如下几个账号：

          userdel news
          userdel uucp
          userdel operator
          userdel games

● 如果不用X Windows服务器，就删除如下几个账号：

          userdel gopher

● 如果不允许匿名FTP，就删除这个用户账号：

          userdel ftp

8. 关于su命令

如果不想任何人能够su为root，应该在/etc/pam.d/su文件中加入下面几行：

      auth sufficient /lib/security/pam_rootok.so debug
      auth required /lib/security/pam_wheel.so group=isd

这意味着仅仅isd组的用户可以su作为root。如果希望用户admin能su作为root，就运行下面的命令：

      usermod -G10 admin

suid程序也是非常危险的，这些程序被普通用户以euid=0（即root）的身份执行，只能有少量程序被设置为suid。用这个命令列出系统的suid二进制程序：

        suneagle# find / -perm -4000-print

可以用chmod -s去掉一些不需要程序的suid位。

9. 关于账户注销

如果系统管理员在离开系统时忘了从root注销，系统应该能够自动从shell中注销。这就需要设置一个特殊的Linux变量“tmout”，用以设定时间。同样，如果用户离开计算机时忘记了注销账户，则可能给系统安全带来隐患。可以修改/etc/profile文件，保证账户在一段时间没有操作后，自动从系统注销。编辑文件/etc/profile，在“histfilesize=”行的下一行增加如下一行：

          tmout=600

则所有用户将在10分钟无操作后自动注销。

注意：

修改了该参数后，必须退出并重新登录root，更改才能生效。

10. 关于系统文件

对于系统中的某些关键性文件如passwd、passwd.old、passwd._、shadow、shadown._、inetd.conf、services和lilo.conf等可修改其属性，防止意外修改和被普通用户查看。如将inetd文件属性改为600：

      # chmod 600 /etc/inetd.conf

这样就保证文件的属主为root，然后还可以将其设置为不能改变:

      # chattr +i /etc/inetd.conf

这样，对该文件的任何改变都将被禁止。当然，也可以设置成只有root重新设置复位标志后才能进行修改:

      # chattr -i /etc/inetd.conf

11. 关于用户资源

对系统上所有的用户设置资源限制可以防止DoS类型攻击，如最大进程数、内存数量等。例如，对所有用户的限制，编辑/etc/security/limits.con加入以下几行：

          ＊ hard core 0
          ＊ hard rss 5000
          ＊ hard nproc 20

同时也必须编辑/etc/pam。d/login文件，检查这一行的存在：

          session required /lib/security/pam_limits.so

上面的命令禁止core files（“core 0”），限制进程数为20（“nproc 20”），且限制内存使用为5 MB（“rss 5000”）。

12. 关于NFS服务器

由于NFS服务器漏洞比较多，所以一定要小心。如果要使用NFS网络文件系统服务，那么确保用户的/etc/exports具有最严格的存取权限设置，这并不意味着不要使用任何通配符，不允许root写权限，mount成只读文件系统。可以编辑文件/etc/exports并且加入如下的行：

          /dir/to/export host1.mydomain.com(ro，root_squash)
          /dir/to/export host2.mydomain.com(ro，root_squash)

其中/dir/to/export是想输出的目录，host.mydomain.com是登录这个目录的计算机名，ro意味着mount成只读系统，root_squash禁止root写入该目录。最后为了让上面的改变生效，还要运行/usr/sbin/exportfs -a命令。

13. 关于开启的服务

默认的Linux就是一个强大的系统，运行了很多的服务。但有许多服务是不需要的，很容易引起安全风险。这个文件就是/etc/inetd.conf，它制定了/usr/sbin/inetd将要监听的服务，用户可能只需要其中的两个：telnet和ftp，其他的类如shell，login，exec，talk，ntalk，imap，pop-2，pop-3，finger，auth，etc.，除非用户真的想用这些服务，否则建议关闭。

可以先用下面的命令显示没有被注释处理的服务：

          grep -v “#” /etc/inetd.conf

用这个命令统计目前服务的总数：

      ps -eaf/wc -l

需要特别注意的是以下3个服务漏洞很多，所以建议用户关闭它们：S34yppasswdd（NIS服务器）；S35ypserv（NIS服务器）；S60nfs（NFS服务器）。

可以运行#killall -HUP inetd命令来关闭不需要的服务。当然，也可以运行

          #chattr +i /etc/inetd.conf

如果用户想使inetd.conf文件具有不可更改属性，而只有root才能解开，可采用以下命令：

          #chattr -i /etc/inetd.conf

当用户关闭一些服务以后，可以重新运行以上命令看看少了多少服务。运行的服务越少，系统自然越安全。可以使用下面命令察看哪些服务在运行：

          netstat -na --ip

注意：

如果用户使用的是Redhat，那就方便多了。Redhat提供一个工具来帮助用户关闭服务，输入/usr/sbin/setup，然后选择“system services”，就可以定制系统启动时使用哪些服务。

另外一个选择是chkconfig命令，很多Linux版本的系统都自带这个工具。脚本名字中的数字是启动的顺序，以大写的K开头的是杀死进程用的。

14. 关于日志

所有的日志都在/var/log下（仅对Linux系统而言），默认情况下Linux的日志就已经很强大了，但除ftp外。用户可以通过修改/etc/ftpaccess或者/etc/inetd.conf来保证每一个ftp连接日志都能够记录下来。下面是一个修改inetd.conf的例子，假如有下一行：

      ftp   stream   tcp   nowait   root   /usr/sbin/tcpd  in.ftpd -l -L -i -o

其中：

● -l——每一个ftp连接都写到syslog。

● -L——记录用户的每一个命令。

● -i——文件received，记录到xferlog。

● -o——文件transmitted，记录到xferlog。

注意：

不要太相信日志，因为绝大部分黑客都会采用一定的手段消除入侵的痕迹。如果用户不放心，可以安装一个Sniffer来更好地监控系统。

15. 关于TCP_WRAPPERS

默认的Redhat Linux允许所有的请求，这是很危险的。用TCP_WRAPPERS来增强站点的安全性简直是举手之劳，可以将禁止所有的请求放入“ALL: ALL”到/etc/hosts.deny中，然后将那些明确允许的请求放到/etc/hosts.allow中，如：

          sshd: 192.168.1.10/255.255.255.0 gate.openarch.com

意为对IP地址192.168.1.10和主机名gate.openarch.com，允许通过ssh连接。配置完了之后，用tcpdchk检查，可以直接执行tcpdchk。在这里，tcpchk是TCP_Wrapper配置检查工具，它检查用户的tcp wrapper配置并报告所有发现的潜在/存在的问题。

16. 关于补丁

用户应该经常到所安装的Linux系统发行商的主页上去找最新的补丁。例如：对于Redhat系统而言可以在http://www.redhat.com/corp/support/errata/上找到补丁。幸运的是，在Redhat6.1以后的版本带有一个自动升级工具up2date，它能自动测定哪些rpm包需要升级，然后自动从Redhat的站点下载并完成安装。