[ 永遠的UNIX::UNIX技術資料的寶庫 ]   GB | BIG5
首頁 > 安全技術 > 系統 > 正文
Linux安全防護十招
本文出自:http://www.pcworld.com.cn 作者: 丁望 (2001-08-29 15:00:00)
系統安全性對用戶來說至關重要，Linux用戶也不例外。筆者就自己使用Linux的經歷，總結了一些增強Linux安全
防護的小竅門，在此介紹給大家。
1．為LILO增加開機口令

----在/etc/lilo.conf文件中增加選項，從而使LILO啟動時要求輸入口令，以加強系統的安全性。具體設置如下: 

----boot=/dev/hda

----map=/boot/map

----install=/boot/boot.b

----time-out=60 #等待1分鐘

----prompt

----default=linux

----password=

---- #口令設置

----image=/boot/vmlinuz-2.2.14-12

----label=linux

----initrd=/boot/initrd-2.2.14-12.img

----root=/dev/hda6

----read-only

----此時需注意，由在LILO中口令是以明碼方式存放的，所以還需要將

----lilo.conf的文件屬性設置為只有root可以讀寫。

----# chmod 600 /etc/lilo.conf

----當然，還需要進行如下設置，使

----lilo.conf的修改生效。

----# /sbin/lilo -v 

2．設置口令最小長度和

----最短使用時間

----口令是系統中認証用戶的主要手段，系統安裝時默認的口令最小長度通常為5，但為保証口令不易被猜測攻擊，
可增加口令的最小長度，至少等8。為此，需修改文件/etc/login.defs中參數PASS_MIN_LEN。同時應限制口令使
用時間，保証定期更換口令，建議修改參數PASS_MIN_DAYS。 

3．用戶超時注銷

----如果用戶離開時忘記注銷賬戶，則可能給系統安全帶來隱患。可修改/etc/profile文件，保証賬戶在一段時間
沒有操作，自動從系統注銷。

----編輯文件/etc/profile，在“HISTFILESIZE=”行的下一行增加如下一行: 

----TMOUT=600

----則所有用戶將在10分鐘無操作自動注銷。 

4．禁止訪問重要文件

----對系統中的某些關鍵性文件如inetd.conf、services和lilo.conf等可修改其屬性，防止意外修改和被普通
用戶查看。

----首先改變文件屬性為600: 

----# chmod 600 /etc/inetd.conf

----保証文件的屬主為root，然還可以將其設置為不能改變: 

----# chattr +i /etc/inetd.conf

----這樣，對該文件的任何改變都將被禁止。

----只有root重新設置復位標志才能進行修改: 

----# chattr -i /etc/inetd.conf 

5．允許和禁止遠程訪問

----在Linux中可通過/etc/hosts.allow 和/etc/hosts.deny 這2個文件允許和禁止遠程主機對本地服務的訪問。
通常的做法是: 

----(1)編輯hosts.deny文件，加入下列行: 

----# Deny access to everyone. 

----ALL: ALL@ALL

----則所有服務對所有外部主機禁止，除非由hosts.allow文件指明允許。

----(2)編輯hosts.allow 文件，可加入下列行: 

----#Just an example: 

----ftp: 202.84.17.11 xinhuanet.com

----則將允許IP地址為202.84.17.11和主機名為xinhuanet.com的機器作為Client訪問FTP服務。

----(3)設置完成，可用tcpdchk檢查設置是否正確。 

6．限制Shell命令記錄大小

----默認情況下，bash shell會在文件$HOME/.bash_history中存放多達500條命令記錄(根據具體的系統不同，默
認記錄條數不同)。系統中每個用戶的主目錄下都有一個這樣的文件。在此筆者強烈建議限制該文件的大小。

----您可以編輯/etc/profile文件，修改其中的選項如下: HISTFILESIZE=30或HISTSIZE=30 

7．注銷時刪除命令記錄

----編輯/etc/skel/.bash_logout文件，增加如下行: 

----rm -f $HOME/.bash_history

----這樣，系統中的所有用戶在注銷時都會刪除其命令記錄。

----如果只需要針對某個特定用戶，如root用戶進行設置，則可只在該用戶的主目錄下修改/$HOME/.bash_history
文件，增加相同的一行即可。 

8．禁止不必要的SUID程序

----SUID可以使普通用戶以root權限執行某個程序，因此應嚴格控制系統中的此類程序。

----找出root所屬的帶s位的程序: 

----# find / -type f \( -perm -04000 -o -perm -02000 \) -print |less

----禁止其中不必要的程序: 

----# chmod a-s program_name 

9．檢查開機時顯示的信息

----Linux系統啟動時，屏幕上會滾過一大串開機信息。如果開機時發現有問題，需要在系統啟動進行檢查，可輸
入下列命令: 

----#dmesg >bootmessage

----該命令將把開機時顯示的信息重定向輸出到一個文件bootmessage中。 

10．磁盤空間的維護

----經常檢查磁盤空間對維護Linux的文件系統非常必要。而Linux中對磁盤空間維護使用最多的命令就是df和du了。

----df命令主要檢查文件系統的使用情況，通常的用法是: 

----#df -k

----Filesystem 1k-blocks Used Available Use% Mounted on 

----/dev/hda3 1967156 1797786 67688 96% / 

----du命令檢查文件、目錄和子目錄佔用磁盤空間的情況，通常帶-s選項使用，只顯示需檢查目錄佔用磁盤空間的總計，
而不會顯示下面的子目錄佔用磁盤的情況。

----% du -s /usr/X11R6/*

----34490 /usr/X11R6/bin

----1 /usr/X11R6/doc

----3354 /usr/X11R6/include 

(作者地址: 北京市宣西大街57號新華社技術局，100803; E-mail:xnadin@sina.com) (http://www.fanqiang.com)     進入【UNIX論壇】
相關文章
Linux安全防護十招 (2001-08-29 15:00:00)
linux安全攻略 (2001-05-10 20:52:11)
Linux安全設置手冊 (2001-04-19 16:30:51)
 

★  樊強制作 歡迎分享  ★