《网络安全与防火墙技术5unix安全性及防护》由会员分享，可在线阅读，更多相关《网络安全与防火墙技术5unix安全性及防护（42页珍藏版）》请在金锄头文库上搜索。
1、5 UNIX安全性及防护,5.1 UNIX的安全机制 5.1.1 UNIX系统简介 5.1.2 UNIX系统的安全机制 1)文件许可权 文件权限是UNIX文件系统的关键。UNIX系统使用两个编号把文件许可权与它们对应的用户和工作组连接起来。User ID(UID，用户身份号)是分配给系统上每个登录名的惟一编号。Group ID(GID,工作组身份号)是识别每个工作组的惟一编号。当一个文件存储到系,统上时，同时存储了用户的UID和GID，UNIX系统就可以对文件的访问权限加以限制。 有两个文件用来存储UID和GID信息，它们是/etc/passwd，识别每个用户的UID和用户所属主工作组的GID
2、;/etc/group,识别每个工作组的GID，并列出每个用户除主工作组外的其余组名。文件许可权设置为三个不同级别：文件所有者(owner)、工作组(group)和普通用户(everyone)，管理员可以为一个文件设定自己拥有的访问权限、与用户同组的其他用户对文件的访问权限和所有除上述用户外的其他用户对文件的访问权限。权限设置为读、写和执行。,2)账户管理 UNIX系统中的用户都有一个用户名username (有时称为login name,即登录名)来标志该用户。当把一个新的账户加入系统中时，系统管理员给该账号指定一个惟一的用户标识符(UID)。UID是系统内部一个用户的标志。系统管理员同时也
3、把用户加入一个或多个组(group)。每个组都有一个类似于UID的组标识符(GID)，它是系统内部一个组的标志。一个用户的UID和GID决定该用户对文件和其他系统资源拥有的权限。,在账户管理中，涉及到对口令文件、GROUP文件的管理，下面分别介绍口令文件、口令字段、影子口令、GROUP文件与SUID和SGID。 口令文件(/etc/passwd)所有用户授权验证请求都使用口令文件/etc/passwd进行验证。 口令字段从前面的passwd文件输出信息中可以看到，各加密口令的密文清晰明了，这是因为用户需要能够对passwd文件具有读取的能力，以执行授权验证过程。,影子口令为了解决用户可以查看p
4、asswd文件中的加密口令这个问题，一种办法是把密文存放在其他地方，这就是使用影子口令(Shadow Password)所要达到的目的：它使得用户可以把口令存放在一个只有超级用户可以访问到的地方，从而避免系统中的所有用户都可以访问到这些信息。 GROUP文件(/etc/group)在前面内容中已经介绍过，group文件用于识别各工作组相连的GID和工作组成员。 SUID/SGID设置用户ID(SUID)和设置用户组ID(SGID)属性允许用户以特殊权限来运行程序。,5.2 UNIX安全策略 5.2.1 系统管理安全 1)防止未授权存取 这是网络环境中重要的安全问题，要防止未被授权使用系统的用户
5、进入系统，由系统管理员和用户配合建立良好的口令管理机制，登录活动记录、审计和报告，用户和网络活动的周期检查等，这些都是防止未授权访问的关键。 2)文件系统管理,系统管理人员要重点保护上述文件和目录的安全性，经常检查系统文件和目录的许可权限和所有者。系统管理员可做一个程序根据系统提供的规则文件(在/etc/permlist文件中)所描述的文件所有者和许可权规则检查各文件。 要建立和应用系统的安全机制，例如，修改“shell”，使其在等待了一定时间并且无任务时会自动终止运行；修改“1ogin”，使其能输出用户登录的最后时间，且3次无效登最后将其挂起；确保不让root在除控制台外的任何地方登录。,对
6、于在UNIX系统中的暂存目录(/tmp和/usr/tmp)，程序员和许多系统命令都使用它们，如果用这些目录存放暂存文件，别的用户可能会破坏这些文件，必须要将其屏蔽起来或者建立自己的暂存目录：“$HOME/tmp”。而不要将重要文件存放于公共的暂存目录。UNIX系统上有一独特的情形是“设备文件”，要特别注意设备文件的存取许可。 UNIX系统与连接在系统上的各种设备之间的通讯是通过设备文件来实现的，所有连接到系统上的设备都在/dev目录中有一个文件与其对应。当在这些文件上执行I/O操作,时，由UNIX系统将I/O操作转换成实际设备的动作。如文件/dev/mem是系统的内存，在某一特定时间内存区可能
7、含有用户登录口令或运行程序的口令，某部分文件的编辑缓冲区，以及用户不愿让其他人存取的种种信息，为了安全起见，这个文件对普通用户是不可读的。 通过对文件加密来保护安全。crypt命令可提供给用户文件加密的功能，它使用一个关键词将标准输入的信息编码为不可读的杂乱字符串，送到标准输出设备；当再次使用此命令，用同一关键词作用于加密后的文件，即可恢复文件内容；在文件加密后，应删除原始文件，只留下加密后的版本，但注意别忘记加密关键词。此外要注意由于crypt程序可能被做成特洛伊木马，所以不能用口令作,为关键词，并且最好在加密前用pack或compress命令对文件进行压缩后再加密。 作为用户要经常检查自己
8、的口令和文件，例如可用“ls-a”命令列出当前目录中的全部文件，包括文件名以“.”开头的文件，查看所有文件的存取许可方式和文件所有者，任何不属于自己的但存在于自己目录中的文件都应检查一下。 用户不要让自己的文件或目录可被他人写。如“.profile”文件，它是用户HOME目录下的文件，在用户登录时就被执行，若该文件对其他人也是可写的，则系统的任何用户都能修改此文件并使其按自己的意愿工作，,从而可使其他用户具有与该用户相同的权限，所以要确保自己的“.profile”除自己外对他人都不可读写。如不信任本组其他用户，可将umask设置为“022”；若不想其他用户读自己的文件或目录，就将umask设置
9、为“006/007”；若不允许同组用户存取自己的文件和目录，则将uamsk设置为“077”。暂存文件按当前umask设置，存放重要数据的暂存文件也要注意确保对其他用户不可读。 拷贝和移动文件时，要注意文件的存取许可的“变异”和“继承”。用“cp”命令拷贝文件时，若目的文件不存在则将同时拷贝源文件,的存取许可SUID和SGID许可。拷贝的文件将被拷贝的用户所有，因此拷贝他人的文件时应注意其存取许可，不要让其他用户的SUID程序改变了自己文件的存取许可，从而影响自己的文件安全。用“mv”命令移文件时，新移的文件存取许可与原文件相同，“mv”仅改变文件名。只要一个用户拥有目录的“写”和“搜索”许可，
10、就可移走该目录中某人的SUID程序且不改变其存取许可。若目录许可设置不正确，则用户的SUID程序可被移到一个他不能修改和删除的目录中，将出现安全漏洞。此外，要小心使用“cpio”命令，它能覆盖不在本用户当前目录结构中的文件，因此在使用前可用“t”选项列出要被拷贝的文件。,5.2.2 安全检查 UNIX系统中有一些检查程序，如find和secure等。它们能搜索文件系统，寻找出SUID(系统用户ID)/SGID(系统用户组)文件、设备文件、任意可写的系统文件、有相同UID/GID的用户等。这些文件对系统安全至关重要，如两个特殊的命令程序SUID和GUID，它们的主要特点是：执行SUID程序的账户
11、会在本程序终止前拥有与该程序的所有者相同的UID，与此类似执行GUID程序的账户会在本程序终止前，拥有与该程序的所有者相同的GID。因为在UNIX系统中，检查账户权限的惟一根据就是该账户的UID或GID，所以这两种程序往往会被黑客们所利,用，制造了许多入侵事件，特别是针对超级用户的程序，因此若无存在的必要应该将它们从系统中清除掉。要查出不寻常的系统使用情况，如大量的占用磁盘、大量的使用CPU时间、大量的进程、大量使用su的企图、大量无效登录、大量的到某一网络的传输以及一些等待的系统请求等。此外还要注意检查久未使用的登录账户，并确保没有不设口令的登录账户。 UNIX记账软件包也可用作安全检查工具
12、，除最后登录时间的记录外，记账系统还能保存全天运行的所有进程的完整记录，对于一个进程所存储的信息包括：UID，命令名，,进程开始执行与结束的时间，CPU时间和实际消耗的时间，该进程是否是root进程等，这将有助于系统管理员了解系统中的用户在干什么。acctcon命令可以列出一天的账目表，表明系统中有多个记账数据文件。在accton的输出中可查找一个用户过多的登录过程，如果有这样的情况，则说明可能有人在尝试登录、猜测口令、企图非法进入系统。还有其他一些检查命令可以检查用户对文件系统的使用情况，报告整个文件系统当前的空间使用情况，检查当前系统中正在运行的所有进程，告诉系统管理员系统中工作的进展情况
13、及检查用户的登录时间、登录终端，记录用户企图破译root口令进入root的无效操作信息等。,系统管理员可定期(如每星期)或不定期地随机抽选一个用户，将该用户的安全检查结果(用户的登录情况简报和SUID/SGID文件列表等)发送给他的管理部门和他本人，这样做可以使用户考虑安全问题，拥有大量可写文件的用户将每星期得到一次邮件，直到他们取消文件的写许可为止。此外，列出用户的SUID程序将引起用户注意自己有SUID程序，使用户注意检查是否有不是自己建立的SUID程序。在未检查用户文件系统的SUIDSGID程序和设备文件之前，不要安装用户文件系统。如SUID/SGID程序确有必要，应建立一个新用户供该软
14、件运行，而不要让这些程序具有系统的SUID或SGID。,5.3 UNIX安全配置 1)用户和文件配置 删除所有不用的账户 选择合适的密码策略 超级用户配置 只允许wheel组(超级用户所在组)的用户通过su命令改变为root用户 限制用户对主机资源的使用 保护一些文件免被改动 /etc/exports文件如果使用NFS网络文件系统服务，那么应确保/etc/exports具有最严格的存取权限设置，这意味着不要使用任何通配符，不允许root写权限，mount只读文件系统。,2)网络配置 对于旧的Linux系统，配置/etc/inetd.conf，去掉不用的服务，对于较新的系统，则应当配置xinet
15、d.conf以及/etc/xinetd.d/，建议配置时，先备份原有配置，然后去掉所有的服务，然后再根据需要添加。 避免域名欺骗，修改“/etc/host.cof”文件。 3)系统配置 禁止Control-Alt-Delete关闭系统命令,/etc/lilo.con配置 因为LILO对Linux系统非常重要，所以要尽可能地保护好它。LILO最重要的配置文件是“/etc”目录下的“lilo.conf”文件。用这个文件可以配置或提高LILO程序以及Linux系统的安全性。下面是LILO程序的3个重要的选项设置。 加入：timeout=00。这项设置设定LILO为引导默认的系统之前，等候用户输入的时
16、间。C2安全等级规定这个时间间隔必须设成0，因为多重引导会使系统的安全措施形同虚设。除非想用多重引导，否则最好把这项设成0。,加入：restricted。当LILO引导的时候，输入参数Linux single，进入单用户(single)模式。因为单用户模式没有口令验证，所以可以在LILO引导时，加上口令保护。“restricted”选项只能和“password”合起来用。注意要给每个内核都要加上口令保护。 加入：password。用单用户模式启动Linux系统的时候，系统要求用户输入这个口令。注意：口令是大小写敏感的，要让“/etc/lilo.conf”文件除了root之外，其他用户没有读的权限，这样也就看不到口令了。,4)常见服务的安全防护 随着WWW服务器使用的日益广泛，WWW服务器的访问控制和安全性能保障也就成了一个重要的内容。WWW服务器的安全配置，一个是对网页的访问进行访问权限控制，另外一个是防止服务器受到拒绝服务攻击的影响。以下主要针对Apache，讨论如何进行安全配置。 Apache可以很好地解决上述问题。Apach
