Linux安全

　　UNIX的系统安全和系统管理员有很大的关系。安装越多的服务，越容易导致系统的安全漏洞。一些其它的操作系统，如：SCO，实际上更容易有安全漏洞，因为，为了更加“用户友好”，这些操作系统集成了更多的服务。

　　Linux本身是稳定和安全的，但是它可以以不同的形式发行。在安装Linux时候，最好先最小化安装，然后再加上必要的软件。这样可以减小某个程序出现安全隐患的可能。如果管理得好，Linux可以是最安全的系统。

　　如果在系统中有隐患存在，在网络上成千上万的自愿者就会指出隐患，并给出修正。大的公司，比如：商业软件公司，只能把有限的人力用于解决这方面的问题。把问题都公开出来，对它们来说可能没有什么好处，而且通过正规的发行和升级渠道，一个小小修正到用户手中都要很长的时间。也许这些修正会以补丁的方式出现，但是商业软件的系统管理员都倾向于使用现成的软件，而且自以为这些软件都是很专业的。

　　在编程的时候随时可能发生错误，但是，当有上万个人在看程序的源代码，这些错误就能很快地被发现。现在全球共有一千二百万的Linux拷贝，想想看，这是一种什么情况。如果系统有安全漏洞，很容易就被某个人发现了。

　　这一章将讨论一些保护服务器安全的一般方法。我们假定这台服务器是连在Internet上的。在通常情况下，有些服务，如：NFS、Samba、Imap和Pop只是供内部用户使用的。当然，也可以把这台服务器和外界隔离，这样就可以简单地避免外部的入侵。但是这没有什么实际意义，我们下面要介绍的是如何避免来自外部的和内部的攻击。

　　1. 基础知识

　　尽量少让外人知道有关系统的信息。有时候简单地用finger程序就能知道不少系统信息，比如：有多少用户、管理员什么时候登录、什么时候工作、他们是谁、谁现在在用这个系统以及其它有利于黑客猜出用户口令的信息。你可以用一个强大的finger daemon和tcpd限制可以连接到服务器的用户以及他们可以知道的有关系统的信息。但是，最好还是把finger软件包卸载掉。

　　日志是了解Linux系统运行情况的唯一方法。当然，这是以黑客没有破坏日志文件为前提的，但是这种情况很少见。把所有的连接都记录下来，可以发现攻击者和他们试图进行的攻击。如果你看不懂日志，可以向别人请教，一定要学会看懂它们。向别人请教你不懂的东西这是很正常的，不要不好意思。我自己就是从不断地犯错误和改正错误中学到不少知识的。因为骄傲自大不能学到东西和本身的资质差是两码事。看下面的《31. 创建所有重要的日志文件的硬拷贝》，你可以学到怎样管理日志文件的一些有用的知识。

　　限制系统中SUID的程序。SUID的程序是以root（UNIX世界中的上帝）权限运行的程序。有时候这是必须的，但是在多数情况下这没有必要。因为SUID程序可以做任何root可以做的事，这样有更多的机会出现安全隐患。也许，它们有时候会带来安全隐患，有时候不会，但是黑客可以利用SUID的程序来破坏系统的安全。这就是一种叫exploit的程序的由来。exploit程序是一种利用SUID程序的程序或脚本，具有很大的破坏力，可以用来得到root的shell、获取password文件、读其他人的邮件、删除文件，等等。这方面的知识可以参考《34. 带“s”位的程序》。

　　2. BIOS安全，设定引导口令

　　禁止从软盘启动，并且给BIOS加上密码。每次启动的时候都手工检查一下BIOS，这样可以提高系统的安全性。禁止从软盘启动，可以阻止别人用特殊的软盘启动你的计算机；给BIOS加上密码，可以防止有人改变BIOS的参数，比如：允许从硬盘启动或不用输入口令就可以引导计算机。

　　3. 安全策略

　　有一点很重要而且必须指出的是：如果你不知道要保护什么，那么更本没有办法保证系统的安全。所以必须要有一个安全策略，基于这样的一个策略才可以决定哪些东西允许别人访问，哪些不允许。如何制定一个安全策略完全依赖于你对于安全的定义。下面的这些问题提供一些一般的指导方针：

　　* 你怎么定义保密的和敏感的信息？

　　* 你想重点防范哪些人？

　　* 远程用户有必要访问你的系统吗？

　　* 系统中有保密的或敏感的信息吗？

　　* 如果这些信息被泄露给你的竞争者和外面的人有什么后果？

　　* 口令和加密能够提供足够的保护吗？

　　* 你想访问Internet吗？

　　* 你允许系统在Internet上有多大的访问量？

　　* 如果发现系统被黑客入侵了，下一步该怎么做？

　　这个列表很短，真正的安全策略可能包含比这多得多的内容。可能你要做的第一件是：评估一下你偏执的程度。任何一个安全策略多少都有一定程度的偏执：确定到底在多大程度上相信别人，包括内部的人和外部的人。安全策略必须在允许用户合理地使用可以完成工作所必须的信息和完全禁止用户使用信息之间找到平衡点。这个平衡点就是由系统策略决定的。