linux资源及网络安全配置

一、资源安全管理

1、保护关键分区

在Linux系统中，可以将不同的应用安装在不同的分区上，每个分区分别进行不同的配置，可以将关键分区设置为只读，这样可以大大提高Linux文件系统的安全。Linux文件系统可以分为几个主要的分区，一般情况下至少需要建立/boot、/lib、/sbin、/usr/local、/var和/home等分区。

/usr可以安装成只读，并且可以被认为是不可修改的，如果/usr中有任何文件发生了改变，那么系统将立即发出安全报警。

/boot、/lib和/sbin的安装和设置也一样，在安装时尽量将它们设为只读。
不过有些分区是不能设为只读的，比如/var。

[hyh@localhost ~]$su - root  切换root用户
Password:
[root@localhost ~]# cd  /    
[root@localhost /]# ls  查看根目录有哪些分区

[root@localhost /]# ls  -l     查看分区的权限位
[root@localhost /]# ls  -ld  /usr 查看usr分区的权限位

[root@localhost /]# ls  -ld  /var查看var分区的权限位

[root@localhost /]# ls  -ld /bin查看bin分区的权限位

[root@localhost /]# touch  /bin/test.txt  root用户在/BIN 分区创建新文件test.txt

[root@localhost /]# ls  /bin 验证创建成功否？

[root@localhost /]# chattr +i  /bin 加i属性使得root用户也不能在/BIN 创建改变文件

[root@localhost /]# lsattr -d  /bin 验证i属性加成功否？

[root@localhost /]# touch  /bin/test2.txt 验证root已不能创建文件？

2、保护文件

在ext3文件系统中有“不可变”和“只添加”这两种文件属性，使用他们可以进一步提高文件的安全级别。标记为“不可变”的文件不能被修改，根用户也不能修改。标记为“只添加”的文件可以被修改，但是只能在它的后面添加新内容，根用户也是如此。可以使用lsattr命令查看这些属性，可以使用chattr命令来修改文件的这些属性。
比如系统管理员可以将log文件属性设置为“只添加”。

[root@localhost log]# chattr +a  /var/log/yum.log “a”属性yum.log文件属性设置为“只添加”

[root@localhost log]# lsattr  /var/log/yum.log   验证文件属性

[root@localhost ~]# echo  "hello,alice" >>  /var/log/yum.log 向yum.log 添加数据"hello,alice"

[root@localhost ~]# vi  /var/log/yum.log 验证添加成功否?

：加q退出vi编辑器

[root@localhost ~]# cat  /var/log/yum.log 浏览文件内容

二、网络安全管理

1、取消不必要的服务

Linux中有两种服务类型：一种是仅在有需要时才执行的服务；另一种是一直在执行的服务。

（1）需要时才执行的服务。早期的Linux版本中，每一个不同的网络服务都有一个服务程序在后台运行，现在的版本用统一的xinetd服务器程序担此重任。

xinetd（eXtendedInterNET services Daemon）被称为“扩展的超级服务器”（之前是inetd），其作用是根据网络请求装入网络程序。xinetd同时监视多个网络端口，一旦接收到外界传来的连接信息，就执行相应的TCP或UDP网络服务。要取消不必要的服务可以修改/etc/xinetd.conf文件。

[root@localhost ~]# vi  /etc/xinetd.conf 修改文件

（2）一直在执行的服务。这类服务在系统启动时就开始执行，需要修改/etc/rc.d/rc5.d/中的文件，比如提供文件服务的NFS服务器和提供NNTP新闻服务的news服务器都属于这类服务，如果没有必要，最好将这些服务取消。

（3）/etc/services文件使得服务器和客户端的程序能够将服务的名字转成端口号，只有root用户才有权修改这个文件，而且通常情况下这个文件是没有必要修改的，因为这个文件中已经包含了常用的服务所对应的端口号。为了提高安全性，可以执行#chattr +i /etc/services命令，避免该文件未经授权的删除和修改。

[root@localhost rc5.d]# vi  /etc/services

[root@localhost rc5.d]#chattr  +i  /etc/services 使得包括root在内的任何用户都不能改变services文件设置

2、隐藏系统信息

默认情况下，登录提示信息包括Linux发行版的名称、版本、内核版本和主机名等信息，这些信息对于黑客入侵是很有帮助的，因此，出于服务器的安全考虑，需要将这些信息修改或注释掉。应该只显示一个“login:”提示符。
操作时删除/etc/issue和/etc/issue.net文件中的内容即可。

[root@localhost rc5.d]# vi  /etc/issue   issue文件是用户从本地登录时看到的提示(注释或删除内容)

[root@localhost rc5.d]# vi  /etc/issue.net   issue.net文件是用户从网络登录（如telnet、ssh）系统时看到的登录提示(注释或删除内容)。

3．登录终端设置

在/etc/securetty文件指定了允许root用户登录的tty设备，由/bin/login程序读取，其格式是一个被允许的名字列表，可以编辑/etc/securetty且注释掉如下所示的行：

# vi /etc/securetty

console
tty1
# tty2
# tty3
# tty4
...

这样，root用户只能在tty1终端登录。

4．tcp_wrappers（服务访问控制程序/应用级防火墙）

可以使用tcp_wrappers来阻止一些外部入侵。最好的策略就是先阻止所有的主机，然后再建立允许访问该系统的主机列表。

（1）编辑/etc/hosts.deny文件，加入：ALL: ALL@ALL, PARANOID

（2）编辑/etc/hosts.allow文件，加入允许访问的主机列表，比如：ftp: 202.196.0.101 ztg.edu.com，202.196.0.101是允许访问ftp服务的IP地址，ztg.edu.com是允许访问ftp服务的主机名。

（3）使用tcpdchk命令检查tcp wrapper的设置是否正确。

5．定期检查系统中的日志

（1）/var/log/messages日志文件。检查/var/log/messages日志文件，查看外部用户的登录情况。

（2）history文件。检查用户主目录/home/username下的历史文件，即“.history”文件。

6．防止ping

在/etc/rc.d/rc.local文件增加：“echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all”，防止别人ping自己的系统，从而增加系统的安全性。

vi /etc/rc.d/rc.local

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

7．防IP欺骗

在/etc/host.conf文件增加一行：“nospoof on”，防止IP欺骗。

8．使用ssh远程登录Linux系统。

9．删除或禁用r字头命令（rm，rmdir ,reboot）。

[root@localhost /]# rm –r  /var/log/ yum.log 删除文件

[root@localhost /]#cd  /var/log

[root@localhost log]# rm -rf  *   强行删除当前目录内所有文件(非常不安全!)

[root@localhost log]# whereisrm

[root@localhost log]# ls  -l  /bin/rm
-rwxr-xr-x. 1 root root 58960 Nov 22  2013 /bin/rm

利用alias 修改命令功能以到达禁用原命令功能的目的

10．使用防火墙iptables，防止网络攻击。

11．使用表中的命令对系统进行系统安全检查。

#Whoami           当前用户？
#W                所有登录用户包括网络登录的？
#Who              所有登录用户包括网络登录的？
#history          历史命令记录
#clear            清屏
#last             曾经登录的用户
#top              活动进程
#netstat          查看网络状态