鸟哥的linux私房菜 鸟哥的 linux 私房菜----认识网络安全

《鸟哥的linux私房菜 鸟哥的 linux 私房菜----认识网络安全》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、鸟哥的linux私房菜鸟哥的Linux私房菜----认识网络安全鸟哥的Linux私房菜为取得较佳浏览结果，请爱用firefox浏览本网页

2、繁体主站

3、简体主站

4、基础篇

5、服务器

6、企业应用

7、桌面应用

8、安全管理

9、讨论板

10、酷学园

11、书籍戡误

12、鸟哥我

13、昆山资传

14、认识网络安全切换分辨率为800x600最近更新日期：2006/09/06本文已不再维护，更新文章请参考这里在介绍了『网络基础』、『限制联机portnumber』、『网络升级套件』之后，再来准备要上Internet了吗？！如果只是想要上Internet去浏览，那么自然没有问题，如果是想要对Internet开放网络服务，那么最好还是先认

15、识一下网络安全会比较好一些。什么？套件也更新了，port37也关闭了，还需要认识什么网络安全啊？！呵呵！当然啦！因为难保我们的主机不会被新的套件漏洞以及阻断式攻击(DoS)所困扰啊！在这个章节里面，我们会稍微介绍一些基础的网络防护观念，尤其是系统管理员应该要做的事情吶！1.网络封包联机进入主机的流程1.1封包进入主机的流程1.2主机能作的保护：权限设定、套件更新、SELinux2.主机的细部权限规划：ACL的使用2.1什么是ACL？2.2如何启动ACL？2.3ACL的设定技巧：getfacl,setfacl3.一些常见的攻击手法与主机的保护方式4.被入侵后的修复工作4.1网管

16、人员的额外技巧与任务4.2入侵恢复工作5.重点回顾6.课后练习7.参考数据8.37针对本文的建议：http://phorum.vbird.org/viewtopic.php?p=网络封包联机进入主机的流程在这一章当中，我们要讨论的是，当来自一个网络上的联机要求想进入我们的主机时，这个网络封包在进入主机实际取得数据的整个流程是如何？了解了整个流程之后，你才会发现：原来系统操作的基本概念是如此的重要！而你也才会了解要如何保护你的主机安全吶！闲话少说，咱们赶紧来瞧一瞧先。封包进入主机的流程在网络基础章节当中我们谈到过目前的网络架构主要是TCP/IP为主，而绝大部分的网络联机是双向的

17、，其中又以TCP封包为代表。另外，根据Server/Client的联机方向与TCP/IP的概念，我们会知道建立一条可靠的网络联机需要一组SocketPair的辅助，亦即成对的来源与目标之IP与port啰，以使联机的两端可以顺利的连接到相对的应用软件上。上面谈到的这些都是属于网络的基础概念，在这里我们要谈的是，那么要让这个TCP封包顺利的进入到Linux主机上，然后使用port所对应的软件来存取系统的文件系统资源时，还得要经过哪些关卡呢？举例来说，如果你的Linux主机有开启WWW的port80网络服务，而port80是由一个名称为httpd的程序所启动的，这个程序的配置文件为

18、httpd.conf，那么Client的联机要进入到你Linux主机的WWW时，37会经过什么阶段呢？基本上，会经过如下图的几个阶段：图一、网络封包进入本机的流程顺序封包过滤防火墙：IPFiltering或NetFilter要进入Linux本机的封包都会先通过Linux核心的预设防火墙，就是称为IPFilter或NetFilter的咚咚，简单的说，就是iptables这个软件所提供的防火墙功能。iptables这个Linux默认的防火墙软件可以针对网络封包的IP,port,MAC,以及联机状态如SYN,ACK等数据进行分析，以过滤不受欢迎的网络封包呢！举例来说，如果有个IP为

19、aaa.bbb.ccc.ddd是个恶意网站来源，那你就可以透过iptables抵挡来自该IP的网络封包的联机，以达到基本的主机防火墙功能。这部份我们会在下一章深入了解。第二层防火墙：TCPWrappers通过IPFilter之后，网络封包会开始接受Superdaemons及TCP_Wrappers的检验，那个是什么呢？呵呵！说穿了就是/etc/hosts.allow与/etc/hosts.deny的配置文件功能啰。这个功能也是针对TCP的Header进行再次的分析，同样你可以设定一些机制来抵制某些IP或Port，好让来源端的封包被丢弃或通过检验；服务(daemon)的功能：前

20、面这两个动作基本上是Linux默认的功能，而这第三个步骤就是属于软件功能了。举例来说，你可以在httpd.conf这个配置文件之内规范某些IP来源不能使用37httpd这个服务来取得主机的数据，那么即使该IP通过前面两层的过滤，他依旧无法取得主机的资源喔！但要注意的是，如果httpd这支程序本来就有问题的话，那么client端将可直接利用httpd软件的漏洞来入侵主机，而不需要取得主机内root的密pd这支程序可以读取才行啊！如果你前面三关的设定都OK，最终权限设定错误，用户依旧无法浏览你的网页数据的。