Linux网络安全策略和保护措施

合理设置NFS服务和NIS服务
NFS（NetworkFileSystem）服务，允许工作站通过网络共享一个或多个服务器输出的文件系统。但对于配置得不好的NFS服务器来讲，用户不经登录就可以阅读或者更改存储在NFS服务器上的文件，使得NFS服务器很容易受到攻击。如果一定要提供NFS服务，要确保基于Linux的NFS服务器支持SecureRPC（SecureRemoteProcedureCall），以便利用DES（DataEncryptionStandard）加密算法和指数密钥交换（ExponentialKeyExchange）技术验证每个NFS请求的用户身份。
NIS（NetworkInformationSystem）服务，是一个分布式数据处理系统，它使网络中的计算机通过网络共享passwd文件，group文件，主机表文件和其他共享的系统资源。通过NIS服务和NFS服务，在整个网络中的各个工作站上操作网络中的数据就像在操作和使用单个计算机系统中的资源一样，并且这种操作过程对用户是透明的。但是NIS服务也有漏洞，在NIS系统中，不怀好意的用户可以利用自己编写的程序来模仿Linux系统中的ypserv响应ypbind的请求，从而截获用户的密码。因此，NIS的用户一定要使用ypbind的secure选项，并且不接受端口号小于1024（非特权端口）的ypserv响应。
小心配置FTP服务
FTP服务与前面讲的Telnet服务一样，用户名和用户密码也是明文传输的。因此，为了系统的安全，必须通过对/etc/ftpusers文件的配置，禁止root，bin，daemon，adm等特殊用户对FTP服务器进行远程访问，通过对/etc/ftphosts的设定限制某些主机不能连入FTP服务器，如果系统开放匿名FTP服务，则任何人都可以下载文件（有时还可以上载文件），因此，除非特别需要一般应禁止匿名FTP服务。
合理设置POP-3和Sendmail等电子邮件服务
对一般的POP-3服务来讲，电子邮件用户的口令是按明文方式传送到网络中的，黑客可以很容易截获用户名和用户密码。要想解决这个问题，必须安装支持加密传送密码的POP-3服务器（即支持AuthenticatedPOP命令），这样用户在往网络中传送密码之前，可以先对密码加密。
老版本的Sendmail邮件服务器程序存在安全隐患，为了确保邮件服务器的安全，应尽可能安装已消除安全隐患的最新版的Sendmail服务器软件。
加强对WWW服务器的管理，提供安全的WWW服务
当一个基于Linux系统的网站建立好之后，绝大部分用户是通过Web服务器，利用WWW浏览器对网络进行访问的，因此必须特别重视Web服务器的安全，无论采用哪种基于HTTP协议的Web服务器软件，都要特别关注CGI脚本（CommonGatewayInterface），这些CGI脚本是可执行程序，一般存放在Web服务器的CGI-BIN目录下面，在配置Web服务器时，要保证CGI可执行脚本只存放于CGI-BIN目录中，这样可以保证脚本的安全，且不会影响到其他目录的安全。
最好禁止提供finger服务
在Linux系统下，使用finger命令，可以显示本地或远程系统中目前已登录用户的详细信息，黑客可以利用这些信息，增大侵入系统的机会。为了系统的安全，最好禁止提供finger服务，即从/usr/bin下删除finger命令。如果要保留finger服务，应将finger文件换名，或修改权限为只允许root用户执行finger命令。
5、结束语
由于Linux操作系统使用广泛，又公开了源码，因此是被广大计算机用户研究得最彻底的操作系统，而Linux本身的配置又相当的复杂，按照前面的安全策略和保护机制，可以将系统的风险降到最低，但不可能彻底消除安全漏洞，作为Linux系统的管理员，头脑中一定要有安全防范意识，定期对系统进行安全检查，发现漏洞要立即采取措施，不给黑客以可乘之机。本文所述的安全措施已在红旗Linux1.0和蓝点Linux上获得验证，并实际应用于我院图书馆计算机集成管理系统中，确保了我院图书馆计算机集成管理系统安全、稳定地运转。