Linux的12个安全策略

《Linux的12个安全策略》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、尽管Linux在安全设计上比其他一些操作系统具有一定的先天优势，但它也决不像早先一些人认为的“绝对安全”，近年来，基于Linux的安全事件也多有发生。《实用技术》栏目也曾陆续对Linux安全问题进行过一些探讨，作为对这一部分内容的总结和进一步补充完善，本期我们邀请中科院计算所李洋博士系统全面地介绍确保Linux安全的若干原则和方法。2004年，英国一家安全公司对当年一月份发生的安全攻击事件进行调查，在成功的安全攻击中，约有80%（共计13654次）是成功地攻击了Linux服务器，只有2005次是成功地攻击了Windows服务器。调查报告认

2、为针对Linux的安全攻击成功次数上升是因为很多采用了Linux系统的公司并未正确地配置、管理Linux。该报告指出：问题出在他们的网管而不是Linux本身。这再次印证了安全学方面的一个基本观点：安全问题首先是人的问题，然后才是技术的问题。世界上没有绝对安全的系统，如果疏于管理、没有正确配置，就算是FreeBSD也照样会被攻击、入侵。这篇报告发布后，网友评论说：从这个角度来说，无论是Linux还是Windows，在安全方面最大的问题都不是产品本身，而是使用的人有没有实践一些基本的安全原则，例如“Defaulttoasecuremode”、

3、“Applytheprincipleofleastprivilege”、注意经常打补丁等。补丁是一定要打的，并不只是Windows才有补丁，Linux照样需要打补丁，照样会有安全漏洞。那些认为只要把Windows换成Linux就可以一劳永逸高枕无忧的人，就大错特错了。另据伦敦安全分析及咨询机构mi2g公司最近的一份调查结果显示，从2003年11月到2004年10月份共发生了24万次攻击事件。这些攻击事件既有黑客远程手动攻击，也有通过病毒、蠕虫或其他恶意程序发动的攻击。分析结果显示，其中65％的攻击对象为Linux系统，共发生154846起

4、攻击事件，25％的攻击对象为Windows。而最安全的操作系统要属基于BSDUnix的操作系统。Mi2g公司表示，导致Linux系统最容易遭受攻击的原因是该操作系统各项功能组件过于分散，因为它们分别来自不同的企业，拥有着不同的特性。分析结果还发现，遭到攻击的用户多为个人用户和小型企业用户。其被攻击比例为80％，而大中型企业的被攻击比例仅为8.5％。据Mi2g透露，他们的分析数据主要来自北美、欧洲和亚洲的银行和保险机构，同时还包括一些监控数据和来自黑客组织的内部数据。2005年，另一份权威报告——《2005NorthAmericanLinu

5、xandWindowsTCOComparisonReport,Part2:HardeningSecurityIsKeytoReducingRiskandTCO》对Linux以及Windows的安全性进行了对比，他们对北美的550家企业安全状况进行调查并并得出了一些重要结论，下面给出部分与Linux相关具有参考意义的结论：●没有任何操作系统是被证明为hack-proof的，也就是说，被证明不能被攻破的，Linux也是可以被攻破的，因而需要防护；●人为的错误（包括不遵守安全规程，不采取必要的安全措施，实行常规的安全检查，进行及时的打补丁工作等

6、等）是导致系统不安全的重要原因；●针对Linux的攻击呈现日趋上升的态势。该报告也给出了针对性的提示：●加强员工的培训，包括安全意识、安全工具的使用、安全规程的培训等等；●及时给系统打补丁，防范攻击以及病毒入侵；●实行常规的安全审计以及系统风险评估。从上述给出的几份权威的安全分析报告，我们不难看出，“世上没有不透风的墙”，Linux操作系统作为一种软件，与Windows操作系统一样，必然存在漏洞。而随着它在全世界范围内的普及使用，目前针对其的攻击越来越多，安全事件也呈上升趋势，形势非常严峻。要想在技术日益发展、纷繁芜杂的网络环境中，保证L

7、inux系统的安全性，需要切实做好事前预防以及事后恢复的工作，这很大程度上取决于人的因素。人是决定系统安全的第一要素。在保障Linux安全的过程中，业界经历了多年的积累，有许多重要的原则和手段可以借鉴，从系统管理到网络管理都有比较成熟的经验。本文将结合笔者的自身经验，给出这些重要的原则和手段，提供给用户参考使用，希望用户能够在使用过程中举一反三，并能够根据自己的实践总结出新的、行之有效的方法。1、取消不必要的网络服务早期的Linux版本中，每一个不同的网络服务都有一个服务程序（守护进程，Daemon）在后台运行，后来的版本用统一的/etc

8、/inetd服务器程序担此重任。Inetd是Internetdaemon的缩写，它同时监视多个网络端口，一旦接收到外界传来的连接信息，就执行相应的TCP或UDP网络服务。由于受inetd的统一