系統安全之Linux服務器攻防技術介紹

隨著Linux企業應用的擴展，有大量的網絡服務器使用Linux操作系統。Linux服務器的安全性能受到越來越多的關注，這里根據Linux服務器受到的深度以級別形式列出，并提出不同的解決方案。對Linux服務器的定義是：是一種旨在妨礙、損害、削弱、Linux服務器安全的未授權行為。的范圍可以從服務直至完全危害和Linux服務器。對Linux服務器有許多種類，本文從深度的角度說明，我們把分為四級。

　　隨著Linux企業應用的擴展，有大量的網絡服務器使用Linux操作系統。Linux服務器的安全性能受到越來越多的關注，這里根據Linux服務器受到的深度以級別形式列出，并提出不同的解決方案。

　　對Linux服務器的定義是：是一種旨在妨礙、損害、削弱、Linux服務器安全的未授權行為。的范圍可以從服務直至完全危害和Linux服務器。對Linux服務器有許多種類，本文從深度的角度說明，我們把分為四級。

　　級別一：服務（DoS）

　　由于DoS工具的泛濫，及所針對的協議層的缺陷短時無法改變的事實，DoS也就成為了流傳最廣、最難防范的方式。

　　服務包括分布式服務、反射式分布服務、DNS分布服務、FTP等。大多數服務導致相對低級的，即便是那些可能導致系統重啟的也僅僅是暫時性的問題。這類在很大程度上不同于那些想獲取網絡控制的，一般不會對數據安全有影響，但是服務會持續很長一段時間，非常難纏。

　　到目前為止，沒有一個絕對的方法可以這類。但這并不表明我們就應束手就擒，除了強調個人主機加強不被利用的重要性外，加強對服務器的管理常重要的一環。一定要安裝驗證軟件和過濾功能，檢驗該報文的源地址的真實地址。另外對于幾種服務可以采用以下措施：關閉不必要的服務、同時打開的Syn半連接數目、縮短Syn半連接的timeout時間、及時更新系統補丁。

　　級別二：本地用戶獲取了他們非授權的文件的讀寫權限

　　本地用戶是指在本地網絡的任一臺機器上有口令、因而在某一驅動器上有一個目錄的用戶。本地用戶獲取到了他們非授權的文件的讀寫權限的問題是否構成很大程度上要看被訪問文件的關鍵性。任何本地用戶隨意訪問臨時文件目錄（/tmp）都具有性，它能夠潛在地鋪設一條通向下一級別的徑。

　　級別二的主要方法是：黑客用戶告知其機密信息或執行任務，有時黑客會網絡管理人員向用戶發送郵件，要求用戶給他系統升級的密碼。

　　由本地用戶啟動的幾乎都是從遠程登錄開始。對于Linux服務器，最好的辦法是將所有shell賬號放置于一個單獨的機器上，也就是說，只在一臺或多臺分配有shell訪問的服務器上接受注冊。這可以使日志管理、訪問控制管理、協議和其他潛在的安全問題管理更容易些。還應該將存放用戶CGI的系統區分出來。這些機器應該隔離在特定的網絡區段，也就是說，根據網絡的配置情況，它們應該被由器或網絡交換機包圍。其拓撲結構應該確保硬件地址也不能超出這個區段。

　　級別三：遠程用戶獲得文件的讀寫權限

　　第別的能做到的不只是核實特定文件是否存在，而且還能讀寫這些文件。造成這種情況的原因是：Linux服務器配置中出現這樣一些弱點：即遠程用戶無需有效賬號就可以在服務器上執行有限數量的命令。

　　密碼法是第別中的主要法，損壞密碼是最常見的方法。密碼破解是用以描述在使用或不使用工具的情況下滲透網絡、系統或資源以解鎖用密碼的資源的一個術語。用戶常常忽略他們的密碼，密碼政策很難得到實施。黑客有多種工具可以擊敗技術和社會所的密碼。主要包括：字典（Dictionaryattack）、混合（Hybridattack）、蠻力（Bruteforceattack）。一旦黑客擁有了用戶的密碼，他就有很多用戶的。密碼猜想是指手工進入普通密碼或通過編好程序的正本取得密碼。一些用戶選擇簡單的密碼—如生日、紀念日和配偶名字，卻并不遵循應使用字母、數字混合使用的規則。對黑客來說要猜出一串8個字生日數據不用花多長時間。

　　防范第別的的最好的防衛方法便是嚴格控制進入，即使用有效的密碼。

　　◆主要包括密碼應當遵循字母、數字、大小寫（因為Linux對大小寫是有區分）混合使用的規則。

　　◆使用象“#”或“%”或“$”這樣的特殊字符也會添加復雜性。例如采用countbak一詞，在它后面添加“#$”（countbak#$），這樣您就擁有了一個相當有效的密碼。

　　級別四：遠程用戶獲得根權限

　　第四級別是指那些決不應該發生的事發生了，這是致命的。表示者擁有Linux服務器的根、超級用戶或管理員許可權，可以讀、寫并執行所有文件。換句話說，者具有對Linux服務器的全部控制權，可以在任何時刻都能夠完全關閉甚至此網絡。

　　級別四主要形式是TCP/IP連續偷竊，被動通道聽取和信息包攔截。TCP/IP連續偷竊，被動通道聽取和信息包攔截，是為進入網絡收集重要信息的方法，不像服務，這些方法有更多類似偷竊的性質，比較隱蔽不易被發現。一次成功的TCP/IP能讓黑客阻攔兩個團體之間的交易，提供中間人襲擊的良好機會，然后黑客會在不被者注意的情況下控制一方或雙方的交易。通過被動，黑客會和登記信息，把文件送達，也會從目標系統上所有可通過的通道找到可通過的致命要害。黑客會尋找聯機和密碼的結合點，認出申請的通道。信息包攔截是指在目標系統約束一個活躍的聽者程序以攔截和更改所有的或特別的信息的地址。信息可被改送到非法系統閱讀，然后不加改變地送回給黑客。

　　TCP/IP連續偷竊實際就是網絡嗅探，注意如果您確信有人接了嗅探器到自己的網絡上，可以去找一些進行驗證的工具。這種工具稱為時域反射計量器(TimeDomainReflectometer，TDR)。TDR對電磁波的和變化進行測量。將一個TDR連接到網絡上，能夠檢測到未授權的獲取網絡數據的設備。不過很多中小公司沒有這種價格昂貴的工具。對于防范嗅探器的最好的方法是：

　　1、安全的拓撲結構。嗅探器只能在當前網絡段上進行數據捕獲。這就意味著，將網絡分段工作進行得越細，嗅探器能夠收集的信息就越少。

　　2、會話加密。不用特別地擔心數據被嗅探，而是要想辦法使得嗅探器不認識嗅探到的數據。這種方法的優點是明顯的：即使者嗅探到了數據，這些數據對他也是沒有用的。

　　特別提示：應對的反擊措施

　　對于超過第二級別的您就要特別注意了。因為它們可以不斷的提升級別，以滲透Linux服務器。此時，我們可以采取的反擊措施有：

　　◆首先備份重要的企業關鍵數據。

　　◆改變系統中所有口令，通知用戶找系統管理員得到新口令。

　　linux服務器安全◆隔離該網絡網段使行為僅出現在一個小范圍內。

　　◆允許行為繼續進行。如有可能，不要急于把者趕出系統，為下一步作準備。

　　◆記錄所有行為，收集。這些包括：系統登錄文件、應用登錄文件、AAA（Authentication、Authorization、Accounting，認證、授權、計費）登錄文件，RADIUS（RemoteAuthenticationDial-InUserService）登錄，網絡單元登錄（NetworkElementLogs）、防火墻登錄、HIDS（Host-baseIDS，基于主機的入侵檢測系統）事件、NIDS（網絡入侵檢測系統）事件、磁盤驅動器、隱含文件等。收集時要注意：在移動或拆卸任何設備之前都要拍照；在調查中要遵循兩人，在信息收集中要至少有兩個人，以防止信息；應記錄所采取的所有步驟以及對配置設置的任何改變，要把這些記錄保存在安全的地方。檢查系統所有目錄的存取許可，檢測Permslist是否被修改過。

　　◆進行各種嘗試(使用網絡的不同部分)以識別出源。

　　◆為了使用法律武器打擊犯為，必須保留，而形成需要時間。為了做到這一點，必須的沖擊(雖然可以制定一些安全措施來確保不損害網絡)。對此情形，我們不但要采取一些法律手段，而且還要至少請一家有權威的安全公司協助這種犯罪。這類操作的最重要特點就是取得犯罪的、并查找犯罪者的地址，提供所擁有的日志。對于所搜集到的，應進行有效地保存。在開始時制作兩份，一個用于評估，另一個用于法律驗證。

　　◆找到系統漏洞后設法堵住漏洞，并進行測試。

　　網絡安全已經不僅僅是技術問題，而是一個社會問題。企業應當提高對網絡安全重視，如果一味地只依靠技術工具，那就會越來越被動；只有發揮社會和法律方面打擊網絡犯罪，才能更加有效。我國對于打擊網絡犯罪已經有了明確的司釋，遺憾的是大多數企業只重視技術環節的作用而忽略法律、社會因素，這也是本文的寫作目的。

　　服務（DoS）

　　DoS即DenialOfService，服務的縮寫，可不能認為是微軟的DOS操作系統！DoS即讓目標機器停止提供服務或資源訪問，通常是以消耗服務器端資源為目標，通過偽造超過服務器處理能力的請求數據造成服務器響應阻塞，使正常的用戶請求得不到應答，以實現目的。

億恩科技地址(ADD)：鄭州市黃河路129號天一大廈608室 郵編(ZIP)：450008 傳真(FAX)：0371-60123888
   聯系：億恩小凡
   QQ：89317007
   電話:0371-63322206

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]