Linux服务器安全策略详解

随着他们对安全难题的日渐加强，网络安全尚未不仅仅是科技难题，而是一个社会问题。企业必须加强对网络安全的注重，不应被诸多商业宣传所欺骗，认为安装了防火墙、认证授权和侵入检测平台就可以保护网络免受各种伤害。实际上，并没有绝对安全的网络，也没有“无坚不摧”的安全解决方案。从辩证法的视角来说，安全是相对的。如果一味地只依赖技术工具，那还会越来越被动；只有利用社会和法律形式遏制网络，才能变得有效。我国针对打击网络已经有了细化的司法要求，遗憾的是还没有得到大多数企业的注重，这只是本节的写作目的。

下面虽然从技术的视角解读攻击，还从社会的视角剖析攻击者的特点、攻击原因、攻击目标等，攻击和安全防护是矛与盾的关系。安全与反安全之间就是—场大量战斗，了解攻击者是比较重要的。更重要的是按照攻击级别提出解决方案。

攻击是一种旨在影响、损害、削弱、破坏服务器安全的未授权行为。攻击的范围可以从服务拒绝直至完全伤害和破坏服务器。

攻击者使用的操作系统种类比较广泛。Macintosh是极少使用的系统，因为可用于Macintosh操作系统的软件不多，移植所需工具非常麻烦。Windows NT/2000/XP和UNIX是使用最多的系统，Linux也非常常见。同时可以看见越来越多的攻击者正在使用FreeBSD或NetBSD。

（1）能用C、C++或Perl编写程序。大多数原始安全软件都是用很多语言中的一种或几种编写的，攻击者必须才能解释、编译和执行某些代码。更高明一些的攻击者则无法将这些不是专为特定系统编写的代码移植到自己的系统上。同样，他们也研发新的代码组件，以扩展如SATAN的软件（这些程序允许客户将编写的新软件集成进去）。不过随着J2EE平台流行，Java成为新的工具。

（2）深入掌握TCP/IP知识。攻击者必须知道Internet是怎样工作的。攻击者必须对TCP/IP的原始代码有所了解，如IP的构成、帧的封装方法等。

（3）每周使用Internet多于72小时，攻击者不是临时客户。他们虽然知道自己的机器，而且对网络也了如指掌。攻击者必须有丰富的网络使用经验。

（4）至少了解三种操作系统，其中一种操作系统毫无疑问是UNIX或Linux。

（5）大多数攻击者是（或以前是）系统管理员或研发员工，具有开发用户服务器应用的经验。

攻击者因不同原因而伤害不同类型的网络。我们常常能从外媒上了解到一些大公司或政府的网站受到伤害。不过，实际上攻击者典型的目标大多是大型网络。防火墙的使用和维护成本低廉且必须技术支持，小网络不也许用或没法用一些低级产品。攻击大公司、政府的网站会导致非常大的影响。

（1）恶意——他也许是某个公司的心怀不满的员工，或许你曾在某个Usenet组激怒了他。

（2）娱乐——或许你以前夸耀过你的系统的安全性，告诉对方它是怎样坚不可摧，这些都是攻击者无法抗拒的挑战。

（3）获利——有人付给攻击者报酬，让他打开某台机器或获得某公司的商业机密。

（4）好奇——许多攻击者纯粹因为好奇心的驱使，想享受一下攻击过程。

（5）政治——政治因素占攻击原因的很小比例（但是很重要的一种），他们搜寻杂志、新闻报刊中非常的论点，他们借助攻击来表达自己的政治见解和世界观。

系统攻击有许多特点，本节从攻击级别的视角进行说明。图1-6显示了攻击的6个等级，每一层代表一个进入目标网络的深度，我们称之为敏感级（Levels of sensitivity），箭头与层次相连的点标识了对应于每一破译技术的危险程度，我们将它称为攻击状态（States of attack）。

图1-6 攻击的6个等级

— A箭头：表示邮件的攻击。

— B箭头：表示简单拒绝服务攻击。

在级别1范围内的攻击基本上互不相关。包括拒绝服务攻击和邮件，这些伤害大概比较好制止，这是因为这些伤害是以垃圾信息手段进行的。在大多数情况下，只须应用排除方式修改就可以缓解这个难题。拒绝服务攻击包括：简单拒绝服务攻击、分布拒绝服务攻击、DNS分布拒绝服务攻击和FTP攻击。

对于这四种攻击可以采取下列措施：

— 关闭不必要的服务。

— 限制同时开启的SYN半连接数目。

— 缩短SYN半连接的time out时间。

— 及时升级系统补丁。

拒绝服务攻击经常出现，解决此难题的最佳方式就是在inetd.sec文件DENY清单中加入入侵者源主机/网络名阻碍入侵行为，除屏蔽网络联结外，还没有一种主动性的方式可以避免这种伤害。不过必须切记的是，如果确认了一次拒绝服务攻击，应该检测平台能否可能遭遇其他防御，拒绝服务攻击常常是电子欺骗的先行者（甚至是构成部分）。如果观察到某台机器特定端口上的一次全面的Flooding攻击，请观测这个端口，弄清这个端口是干哪个用的，检查它限制哪些服务。如果这种服务是外部平台的构成部分，那么要非常小心。那些似乎拒绝服务的伤害，事实上就是突破网络安全的起初。通常状况下，拒绝服务攻击会大幅很长一段时间。

如果是同步Flooding攻击，这里有一些识别攻击者的方式。攻击者在每一次实施ping时，向目标报出了他的IP地址。虽然没有给出攻击者的E-mail地址，但我们可以追踪其最终源（注意，追踪程序将阐述攻击者出发的真实网络地址，这往往是逆向跟踪程序查找的最终一项内容）。

大多数拒绝服务攻击造成相对较低的危险，即便是那个也许避免重启的伤害也只是是暂时性的弊端。这类伤害在巨大程度上不同于那些想获得网络控制的攻击。

邮件的伤害也叫邮件水灾攻击，发生在当许多邮件被发送至一个目标，发送代理人被覆盖时，邮件水灾会破坏其它交流程序的稳固。用邮件来使一个系统蒙受灾难是残酷的，但却是有效的，攻击者的目的就是要破坏邮件服务器。诱发邮件水灾攻击的有趣方法之一是运用一些邮件申请的手动反应功能。一旦黑客看到对两个不同的平台能作出活跃的、自动的应答时，他能够指使一个邮件发送到另一个。因为它们都是对每个信息作出自动应答，他们制造了一个信息回馈孔，这会比其它平台收集到更多的邮件。至于邮件水灾，通常很容易追查到攻击者。此外，bozo files（kill文件）和排除方式配置基本上能阻挡那些伤害。

— C箭头：表示本地用户获取非授权访问。

— D箭头：表示本地用户获取它们不该拥有的文件写入权限。

— E箭头：表示远程用户获取了非授权账号。

级别2和级别3包括例如本地用户获得到了人们本不可以访问的文件的读写权限这类事件。当然，任何本地用户访问/tmp目录都具备危险性，它还能潜在地铺设一条通向级别3的路。在级别3，用户可以获得写访问权限（并因而过渡到级别4环境）。

级别2攻击是危险的，并很容易发展为级别3、级别4、级别5和级别6。如果运行这些网络，请及时获得上述访问控制设备，如果不照此进行邮件攻击主要是( )，某些人想破坏网络仅仅是时间问题。如果有也许，请监控所有流经端口137~139的消息，其间将形成共享进程。

本地攻击的难度不太大。所谓本地用户（Local user），我们觉得是相对而言的。在网络全球中，本地用户是在本地网络的任一台机器上有口令，因而在某一驱动器上有一个目录的用户（无论哪个目录的服务目的是哪个）。

由本地用户开启的攻击几乎都是从远程登陆开始的。对于ISP，最好的方法是将所有shell账号放置于一个单独的机器上，也就是说，只在一台或多台分配有shell访问的机器上接受登录。这可以使日志管理、访问控制管控、释放协议和其它潜在的安全难题管理更容易些。还需要将放置用户CGI的平台区分离出去。这些器需要隔离在特定的网络区段，也就是说，根据网络的配置状况，它们需要被路由器或网络交换机包围。其拓扑结构需要保证软件地址不能超出这一特定区段。

针对这种运用访问控制构筑所需环境的防御，有两种涉及许可权的关键原因，每一种都能妨碍到级别2是否会升级到级别3、4或5。这些原因是：

① 端口的错误配置。

② 软件中的漏洞。

第一种情况的出现是没有正确理解许可方式，不是每一个UNIX或NT系统管理员都是专家，经验是比较重要的。

第二种情况非常普遍，任何操作系统都有漏洞。对此疑问已经有直接的缓解方法，因为大多数这种漏洞在硬件加载时并不出现。唯一的方法是订阅每一种与故障、漏洞、系统密切相关的邮件列表。

级别2和级别3的主要攻击方式是社会管理邮件（电子邮件攻击的一种）：黑客会欺骗合法客户告知其机密信息或执行任务，有时黑客会假装为网络管理员工向客户群发短信，要求顾客提供平台更新的密码。

— F箭头：表示远程用户获取了特定文件的读权限。

级别4通常与外界无法访问外部文件相关。这种访问能做到的不仅仅确认特定文件能否存在，而且还会读那些文件。级别4还包括这么一些弊端，即远程客户无需账号就可以在服务器上执行有限次数的命令。由于服务器配置失误，有害CGI及溢出问题都或许导致很多漏洞大量发生。

密码攻击法是级别4中的主要伤害法，损坏密码是最常用的伤害方式。用户经常忽视它们的密码，密码政策很难得到推行。黑客有多种工具可以击破技术所保护的密码。一旦黑客拥有了客户的密码，他就拥有众多客户的特权。“密码猜测”是指手工敲入普通密码或借助编好的程序获得密码。一些客户选用简洁的密码——如生日、纪念日或子女起名，不依照字母、数字混合的规则。对黑客来说要猜一串6个字生日数据不用花多长时间。最好的防卫手段便是严格控制开启特权。

— H箭头：表示远程用户获取了特定文件的写权限。

— G箭头：表示远程用户获取了根权限。

级别5和级别6产生于这些绝不需要出现的事被允许发生了的状况下。任何级别5和级别6的漏洞都是致命的。在这一阶段，远程用户可以读、写并执行文件（通常，他们综合各类科技来超过这一阶段）。级别6表示攻击者拥有这台机器的超级用户或管理员许可权。换句话说，攻击者具有对机器的全部控制权，可以在任何时刻完全关闭或者毁灭此网络。

级别5和级别6的主要攻击是TCP/IP连续偷窃、被动通道听取和信息包拦截。这些都是为开启网络搜集重要信息的方式，不像拒绝服务攻击，这些方式有更多类似偷窃的性质，比较隐秘、不易被看到。

TCP/IP连续偷窃指抓住连续数字，这些数字拿来让黑客的信息包看起来合法化，当一个系统规定与其它平台对话，系统会交换TCP同时形成的数据，如果这种数据不是具有随意性的，黑客会搜集很多数据的算法，被偷的突发事件会被拿来把黑客伪装成一个或两个原始系统，允许他连接防火墙信息包的过滤器，这在连接IP时更有效。

一次失败的TCP/IP攻击能让黑客阻拦两个团体之间的交易，提供中间人袭击的良好机会邮件攻击主要是( )，然后黑客会在不被受害者注意的状况下控制一方或双方的交易。

通过主动，黑客会操控和登记信息，也会从目标平台上所有可借助的通道找到可通过的致命要害。黑客会寻求联机和密码的结合点，认出申请合法的通道。

信息包拦截是指在目标平台中约束一个活跃的听者程序，以拦截和修改所有的或非常的信息的地址。信息可被改送到非法平台阅读，然后不加改变地送回给黑客。

（1）级别1攻击的处理方式主要是：过滤处于地址并与攻击者的ISP联系。对防止拒绝服务攻击的方式感兴趣的听众请查看徐一丁先生的文章“分布式拒绝服务攻击（DDoS）原理及应对”，，此处不再赘述。

（2）级别2攻击可以在外部处理。根据Gartner调查证实，目前，70%的攻击虽然来自组织外部。基本做法就是冻结或消除攻击者的账户。级别2攻击者一般常伴随使用外部嗅探器，防范手段可以参考“防范网络嗅探”，。

（3）对级别3、级别4和级别5、级别6攻击的反应，如果经历过超过级别2的伤害，问题就严重了。

— 首先备份重要的企业关键数据。

— 隔离该网络网段，使攻击行为仅发生在一个小范围内。

— 允许行为再次进行。如有可能，不要急于把攻击者赶出系统，为下一步做打算。

— 记录所有行为，收集证据。

收集的证据包括平台注册文件、应用登陆文件、AAA（Authentication, Authorization, Accounting认证、授权、计费）登录文件，RADIUS（Remote Authentication Dial-In User Service）登录、网络单元登录（Network Element Logs）、防火墙登录、HIDS（Host-base IDS，基于主机的入侵检测系统）事件、NIDS（网络入侵监测平台）事件、磁盘驱动器、隐含文件等。

收集证据时要留意，在移动或拆解任何设施之前都要拍照；在调查中要遵守双方法则，即在信息收集中要大约有两个人，以避免篡改信息；应记录所采用的所有方法，以及对配置修改的任何改变，要把这种记录保存在安全的地方。

（4）进行各类尝试（使用网络的不同部分）以识别出攻击源。

（5）为了使用法律武器打击行为，必须保留证据。而产生证据必须时间，为了做到这一点，必须遭受伤害的冲击（虽然可以建立一些安全机制来保证伤害不损伤网络）。对此情形，我们不但要实行一些法律形式，而且需要起码请一家权威的安全公司协助阻止这些。这类操作的最重要特征就是取得的物证，并查找者的地址，提供所拥有的日志。对于所收集到的证据，应进行有效地保存。在起初时制作两份，一个用于检测证据，另一个用于法律验证。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-123418-1.html