linux系統(tǒng)安全管理策略

Linux系統(tǒng)安全管理摘要：Linux系統(tǒng)使用越來越廣泛，關(guān)系Linux的安全越來越受到人們的重視，本文結(jié)合筆者在Linux系統(tǒng)安全管理方面的一些經(jīng)驗體會，從賬戶、密碼策略、文件權(quán)限，日志管理、遠(yuǎn)程訪問等5個方面，對linux系統(tǒng)安全談?wù)勛约旱捏w會，供大家參考關(guān)鍵詞：安全策略、安全審計 (導(dǎo)入語)隨著社會信息化的發(fā)展，計算機安全問題日益嚴(yán)重，建立安全防范體系的需求越來越強烈操作系統(tǒng)是整個計算機信息系統(tǒng)的核心，操作系統(tǒng)安全是整個安全防范體系的基礎(chǔ)，同時也是信息安全的重要內(nèi)容本課題將通過研究linux操作系統(tǒng)的安全策略訪問模型，結(jié)合國內(nèi)、外的相關(guān)安全標(biāo)準(zhǔn)和已有的先進(jìn)技術(shù)，將密碼服務(wù)與高級別存取控制機制有機地結(jié)合起來，探索適合國情的安全操作系統(tǒng)結(jié)構(gòu)，最終形成一個適應(yīng)各類安全產(chǎn)品系統(tǒng)安全需求的結(jié)構(gòu)化保護(hù)級實用操作系統(tǒng)并且通過推動安全操作系統(tǒng)的應(yīng)用，取得良好的經(jīng)濟效益和社會效益一、 引言隨著Internet／Intranet網(wǎng)絡(luò)的日益普及，Linux作為一個現(xiàn)代的操作系統(tǒng)，正在各個方面得到廣泛的應(yīng)用Linux在服務(wù)器、嵌入式等方面已經(jīng)取得不俗的成績，在桌面系統(tǒng)方面，也逐漸受到歡迎于是Linux的安全問題也逐漸受到人們的重視。

Linux是一個開放式系統(tǒng)，可以在網(wǎng)絡(luò)上找到許多現(xiàn)成的程序和工具，這既方便了用戶，也方便了黑客，因為他們也能很容易地找到程序和工具來潛入 Linux系統(tǒng)，或者盜取Linux系統(tǒng)上的重要信息因此，詳細(xì)分析Linux系統(tǒng)的安全機制，找出它可能存在的安全隱患，給出相應(yīng)的安全策略和保護(hù)措施是十分必要的針對Linux的基本安全防護(hù)，筆者這里稍做介紹二、linux系統(tǒng)的安全策略（一）linux系統(tǒng)的賬號策略1、管理員的工作中，相當(dāng)重要的一環(huán)就是管理賬號在管理 Linux 主機的賬號時，一個最重要的方面就是確保每一個UID僅僅使用一次 另外就是設(shè)置有限的登陸次數(shù)來預(yù)防無休止的登陸攻擊，通過編輯/etc/pam.d/system-auth，添加下面兩句可以設(shè)置賬戶最多連續(xù)登陸5次，超過5次賬戶將被鎖定，只有管理員才能幫助解鎖 auth required pam_tally.so deny=5 account required pam_tally.so 2.密碼策略要求 (1)口令時效和口令長度的設(shè)置口令時效和口令長度是一種系統(tǒng)機制，用于強制口令在特定的時間長度后失效對用戶來說，這可能帶來了一些麻煩，但是它確保了口令會定期進(jìn)行更改，是一項很好的安全措施。

默認(rèn)情況下，絕大多數(shù)的Linux版本并沒有打開口令時效，不過要想打開卻非常簡單通過編輯/etc/login.defs，你可以指定幾個參數(shù)，來設(shè)置口令實效和口令長度的默認(rèn)設(shè)定： PASS_MAX_DAYS99999 PASS_MIN_DAYS 0 PASS_MIN_LEN5 PASS_WARN_AGE7 當(dāng)設(shè)置口令時效的天數(shù)為99999時，實際上相當(dāng)于關(guān)閉了口令時效一般設(shè)定為90天或者更短時間來更改一次PASS_MIN_DAYS參數(shù)則設(shè)定了在本次密碼修改后，下次允許更改密碼之前所需的最少天數(shù)PASS_MIN_LEN是指密碼設(shè)置的最小長度，一般定義為8位以上PASS_WARN_AGE的設(shè)定則指明了在口令失效前多少天開始通知用戶更改密碼（一般在用戶剛剛登陸系統(tǒng)時就會收到警告通知） (2)控制密碼使用頻率控制適度的密碼重用頻率，也可以為密碼的安全策略提供良好的保護(hù)，可以通過編輯/etc/pam.d/system-auth設(shè)定密碼重用一般設(shè)置重用密碼前更換密碼的最小次數(shù)為4次 password required pam_unix.so remember=3 use_authtok md5 shadow 或者 password sufficient pam_unix.so remember=3 use_authtok md5 shadow。

3.Linux的基本文件權(quán)限要求 Linux中每一個文件都具有特定的屬性，主要包括文件類型和文件權(quán)限兩個方面可以分為5種不同的類型：普通文件、目錄文件、鏈接文件、設(shè)備文件和管道文件所謂的文件權(quán)限，是指對文件的訪問權(quán)限，包括對文件的讀、寫、刪除、執(zhí)行Linux 是一個多用戶操作系統(tǒng)，它允許多個用戶同時登錄和工作因此正確的文件權(quán)限設(shè)定是非常重要的與系統(tǒng)安全關(guān)系較為密切的幾個文件目錄權(quán)限設(shè)置要求如下表： 4.Linux日志文件管理 日志對于系統(tǒng)安全來說，非常重要，它記錄了系統(tǒng)每天發(fā)生的各種各樣的事情，你可以通過它來檢查錯誤發(fā)生的原因，或者受到攻擊時攻擊者留下的痕跡因此，保護(hù)系統(tǒng)日志安全，不被內(nèi)部用戶或外部入侵者修改或刪除顯得尤為重要 在Linux系統(tǒng)中，有三個主要的日志子系統(tǒng)： 連接時間日志——由多個程序執(zhí)行，把紀(jì)錄寫入到/var/log/wtmp和/var/run/utmp，login等程序更新wtmp和utmp文件，使系統(tǒng)管理員能夠跟蹤誰在何時登錄到系統(tǒng) 進(jìn)程統(tǒng)計——由系統(tǒng)內(nèi)核執(zhí)行當(dāng)一個進(jìn)程終止時，為每個進(jìn)程往進(jìn)程統(tǒng)計文件(pacct或acct)中寫一個紀(jì)錄。

進(jìn)程統(tǒng)計的目的是為系統(tǒng)中的基本服務(wù)提供命令使用統(tǒng)計 錯誤日志——由syslogd(8)執(zhí)行各種系統(tǒng)守護(hù)進(jìn)程、用戶程序和內(nèi)核通過syslog(3)向文件/var/log/messages報告值得注意的事件另外有許多UNIX程序創(chuàng)建日志像HTTP和FTP這樣提供網(wǎng)絡(luò)服務(wù)的服務(wù)器也保持詳細(xì)的日志 Linux的日志文件很多，但是/var/log/wtmp，/var/log/messages，/var/log/faillog（權(quán)限設(shè)置為600） ，/var/log/secure （如果是Debian，/var/log/auth.log將代替它)最好是存在的 如果服務(wù)器支持很多的用戶的話，這些日志文件的大小會很快地增加，在服務(wù)器硬盤不是非常充足的情況下，必須采取措施限制日志文件的大小，定期做好日志備份和清除是非常重要的 5.Linux的遠(yuǎn)程登錄：使用OPENSSH代替FTP和Telnet 我們通常使用的網(wǎng)絡(luò)傳輸程序FTP和Telnet等在本質(zhì)上都是不安全的，因為它們在網(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)，黑客利用嗅探器非常容易截 獲這些口令和數(shù)據(jù)SSH的英文全稱是Secure SHell。

通過使用SSH，用戶可以把所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密，這樣即使網(wǎng)絡(luò)中的黑客能夠劫持用戶所傳輸?shù)臄?shù)據(jù)，如果不能解密的話，也不能對數(shù)據(jù)傳輸構(gòu)成真正的威脅另外，傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的，所以可以加快傳輸?shù)乃俣萐SH有很多功能，它既可以代替Telnet，又可以為FTP提供一個安全的“傳輸通道”在不安全的網(wǎng)路通信環(huán)境中，它提供了很強的驗證機制與非常安全的通信環(huán)境SSH（Secure Shell）最初由芬蘭的一家公司開發(fā)，但由于受版權(quán)和加密算法的限制，很多人轉(zhuǎn)而使用免費的替代軟件OpenSSH命令行使用OPENSSH比較麻煩這里介紹gFTP和OPENSSH整合在一齊，提供一個圖形化加密傳輸方案gFTP和Windows下的 CuteFTP一樣使用非常簡單，而且?guī)缀跛械腖inux發(fā)行版本都帶有g(shù)FTP，不需要安裝就可以使用本論文由無憂論文網(wǎng)整理提供 Windows下支持SSH的客戶端軟件不少，推薦使用Putty和Filezilla 目前很多公司企業(yè)對信息安全問題日益重視，完善的信息安全控制架構(gòu)，先進(jìn)的管理和技術(shù)的結(jié)合，才能真正滿足公司企業(yè)的需要三、安全審計審計是模擬社會監(jiān)督機制而引入到計算機系統(tǒng)中，用于監(jiān)視并記錄系統(tǒng)活動的一種機制。

審計機制的主要目標(biāo)是檢測和判定對系統(tǒng)的滲透，識別操作并記錄進(jìn)程安全級活動的情況本系統(tǒng)中的審計事件分為可信事件與系統(tǒng)調(diào)用系統(tǒng)對每個用戶審計的內(nèi)容不同，需要設(shè)置系統(tǒng)的審計事件掩碼和用戶的審計事件掩碼在形成審計記錄時，核心將根據(jù)審計掩碼進(jìn)行選擇四、結(jié)論本方案通過對Linux核心結(jié)構(gòu)和操作系統(tǒng)域外層安全體系的層次結(jié)構(gòu)的研究，遵循國內(nèi)、外的相關(guān)安全標(biāo)準(zhǔn)，將三種安全策略模型和已有的先進(jìn)技術(shù)有機地結(jié)合起來，增加了強制訪問控制、最小特權(quán)、可信路徑等安全功能，成功的在Linux操作系統(tǒng)上得已實現(xiàn)，基本達(dá)到了GB17859-1999中規(guī)定的結(jié)構(gòu)化保護(hù)級（相當(dāng)于《TCSEC》標(biāo)準(zhǔn)的B2級）的要求操作系統(tǒng)安全增強技術(shù)作為信息安全的關(guān)鍵部分，得到了國內(nèi)、外的普遍重視在安全領(lǐng)域，系統(tǒng)的安全性總是相對的因此，對安全模型的研究和建模以及信息安全系統(tǒng)體系和方案設(shè)計的研究還有待進(jìn)一步的深入本設(shè)計方案已經(jīng)在Linux操作系統(tǒng)上得到具體的實現(xiàn)，還有待于在實際應(yīng)用中對安全操作系統(tǒng)進(jìn)一步的考驗和完善五、結(jié)束語由于時間水平有限，歡迎讀者指導(dǎo)參考文獻(xiàn): [1]王一川 Linux黑客大曝光:Linux安全機密與解決方案[M].清華大學(xué)出版社,2002～10～1 [2]汪 輝等:Linux安全最大化(第二版）[M].電子工業(yè)出版社, 2002～1～1 [3] 石文昌, 孫玉芳, 梁洪亮. 經(jīng)典BLP安全公理的一種適應(yīng)性標(biāo)記實施方法及其正確性[J]. 計算機研究與發(fā)展, 2001,11 (38): 1366~1371[4] 季慶光，唐柳英.《結(jié)構(gòu)化保護(hù)級》安全操作系統(tǒng)安全策略模型[R]. 北京：中科院信息安全技術(shù)工程研究中心，中軟網(wǎng)絡(luò)技術(shù)股份有限公司，2002. 。