第十章 linux安全管理及高级应用

《第十章 linux安全管理及高级应用》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、基于Linux操作系统教程OperatingSystemCoursebasedonLinux第十章Linux安全管理及高级应用目标掌握Linux安全管理和超级用户掌握Linux文件系统的安全了解安全检查和物理安全掌握全屏幕编辑软件的使用第十章Linux安全管理及高级应用开始Linux安全管理及高级应用10.1Linux安全管理10.2常用应用软件返回本章首页10.1Linux安全管理10.1.1Linux安全管理和超级用户10.1.2Linux文件系统安全10.1.3作为root运行的程序10.1.4校验用户口令/etc/passwd文件10.1.5查找同组用户/etc/grou

2、p文件10.1.6增加、删除、用户10.1.7安全检查10.1.8加限制的环境10.1.9物理安全返回本章首页10.1.1Linux安全管理和超级用户Linux安全管理主要分为四个方面：（1）防止未授权存取：这是计算机安全最重要的问题。用户意识，良好的口令管理（由系统管理员和用户双方配合），登录活动记录和报告，用户和网络活动的周期检查，这些都是防止未授权存取的关键。（2）防止泄密：这也是计算机安全的一个重要问题。防止已授权或未授权的用户相互存取相互的重要信息。文件系统查帐，su登录和报告，用户意识，加密都是防止泄密的关键。（3）防止用户拒绝系统的管理：这一方面的安全应由操作系统来

3、完成。一个系统不应被一个有意试图使用过多资源的用户损害。（4）防止丢失系统的完整性：这一安全方面与一个好系统管理员的实际工作（例如：周期地备份文件系统，系统崩溃后运行fsck检查，修复文件系统，当有新用户时，检测该用户是否可能使系统崩溃的软件）和保持一个可靠的操作系统有关（即用户不能经常性地使系统崩溃）。返回本节10.1.2Linux文件系统安全（1）LINUX文件系统概述（2）设备文件（3）/etc/mknod命令（4）安全考虑（5）find命令（6）secure程序（7）ncheck命令（8）安装和拆卸文件系统返回本节（1）Linux文件系统概述Linux文件系统是Linux

4、系统的心脏部分，提供了层次结构的目录和文件。文件系统将磁盘空间划分为每1024个字节一组，称为块（block）。编号从0到整个磁盘的最大块数。全部块可划分为四个部分，块0称为引导块，文件系统不用该块；块1称为专用块，专用块含有许多信息，其中有磁盘大小和全部块的其它两部分的大小。从块2开始是索引节点表，索引节点表中含有索引节点，表的块数是可变的。索引节点表之后是空闲存储块（数据存储块），可用于存放文件内容。在linux系统中有一个表，告诉文件系统如何将物理结构转换为逻辑结构。这就涉及到索引节点了。索引节点是一个64字节长的表，含有有关一个文件的信息，其中有文件大小，文件所有者，文件

5、存取许可方式，以及文件为普通文件，目录文件还是特别文件等。返回本节（2）设备文件在/dev中的文件通常称为设备文件，用ls/dev命令可以看看系统中的一些设备：acuo呼叫自动拨号器console系统控制台dsknn块方式操作磁盘分区kmem核心内存mem内存lp打印机mto块方式操作磁带rdsknn流方式操作的磁盘分区rmto流方式操作的磁带swap交换区syscon系统终端ttynn终端口x25网络端口返回本节（3）/etc/mknod命令用于建立设备文件。只有root能使用这个命令建立设备文件。其参数是文件名，字母c或b分别代表字符特别文件或块特别文件，主设备号，次设备号。

6、块特别文件是像磁带，磁盘这样一些以块为单位存取数据的设备。字符特别文件是如像终端，打印机，MODEM，或者其它任何与系统通讯时，一次传输一个字符的设备，包括模仿对磁盘进行字符方式存取的磁盘驱动器。主设备号指定了系统子程序（设备驱动程序），当在设备上执行I/O时，系统将调用这个驱动程序。调用设备驱动程序时，次设备号将传递给该驱动程序（次设备规定具体的磁盘驱动器，带驱动器，信号线编号，或磁盘分区）。每种类型的设备一般都有自己的设备驱动程序。返回本节（4）安全考虑从安全的观点来看，任何设备上进行的I/O操作只经过了少量的渠道（即设备文件）。用户不能直接地存取设备。所以如果正确地设置了磁

7、盘分区的存取许可，用户就只能通过LINUX文件系统存取磁盘。文件系统有内部安全机制（文件许可）是很好的。不幸的是，如果磁盘分区设置得不正确，任何用户都能够写一个程序读磁盘分区中的每个文件，作法很简单：读一索引节点，然后以磁盘地址表中块号出现的顺序，依次读这些块号指出的存有文件内容的块。故除了root以外，决不要使盘分区对任何人可写。要避免磁盘分区（以及其它设备）可读可写，应当在建立设备文件前先用umask命令设置文件建立屏蔽值。返回本节Umask值：Umask的值确定新创建的文件