linux服务器安全防御

　　随着开源系统Linux的盛行，其在大中型企业的应用也在逐渐普及，很多企业的应用服务都是构筑在其之上，例如Web服务、数据库服务、集群服务等等。因此，Linux的安全性就成为了企业构筑安全应用的一个基础，是重中之重，如何对其进行安全防护是企业需要解决的一个基础性问题，这里就跟大家讲讲linux服务器安全防御。

　　linux服务器安全防御

　　linux服务器安全防御，很多企业没有自己专门的安全攻防团队，却又对于服务器安全又有很高的需求，因此大部分都是与安全厂商合作，使用服务器安全防御产品保护服务器的安全，这里跟大家介绍一下安全狗的服务器主动防御系统。

　　比较全能的产品可以试试服务器安全狗这款免费的服务器主动防御系统，可以比较全面的提升服务器的防护能力，抵抗一定程度的入侵攻击，有需要的朋友可以自行下载使用。

　　付费的服务器主动防御系统可以了解下安全狗的云磐产品，用户可以根据自己的需求进行选择相对应的服务和扩充，以下是云磐产品的介绍。

　　免费服务器安全狗：http://free.safedog.cn/server_safedog.html

　　云磐：一站式云安全SaaS平台：http://www.safedog.cn/index/publicCloudIndex.html

　　安全狗以 SECaaS安全即为用户提供一站 式的云安全产品与服务，包括(云)主机安全、WEB 应用安全、网站防篡改、抗 DDoS 云服务、安全大数据态势感知等，同时平台配备 7*24

　　小时的安全专家服务，真 正为用户构建安全即服务模式的纵深防御产品和服务，为业务发展保驾护航。

　　日志分析及态势感知云服务

　　云磐融合大数据分析技术、可视化技术、威胁情报技术于一体，为企业构建的新一代云安全管理平台。

　　安全大数据分析，全方位融合安全数据，进行多维度智能分析

　　可视化大屏展示，提供整体态势感知、攻防对抗态势、流量访问态势、威胁事件态势四屏展示

　　态势预测，可发现威胁态势的走向，预见风险，防范于未然

　　威胁情报驱动，依托于安全狗观鸿威胁情报服务平台

　　Web应用安全云服务

　　云磐通过网络层过滤和主机层应用自保护(RASP)相结合的技术，既能够过滤传统常见的攻击又可以对异常变形和未知漏洞的高级攻击进行识别，达到双层纵深防御的效果。

　　集中管理网站和WAF防护节点

　　通过平台设置各个防护节点安全策略，并下发至防护节点

　　以可视化的形式统计网站的安全状态，展现网站的风险和威胁

　　集中管理网站和WAF防护节点

　　网页防篡改云服务

　　云磐采用第二代密码水印技术+第三代系统驱动级文件保护技术双结合，对网站安全进行双重防护，具有响应速度快、判断准确、资源暂用少及部署灵活等特点。

　　基于内核驱动防护技术，支持单独文件、文件夹及多级文件夹目录内容篡改保护

　　水印技术阻止被篡改网页流出，并自动恢复被篡改文件

　　支持断线状态下阻止篡改内容流出，返回篡改提示页面

　　完全防护技术，支持大规模连续篡改攻击防护

　　(云)主机安全服务

　　云磐采用先进的端点检测及响应(EDR)技术模型及自适应安全架构相结合的理念思路来构建的新一代 ( 云 ) 主机入侵监测及安全管理云服务系统。

　　解决公有云环境中遇到的安全及管理问题

　　解决新安全形势下数据中心安全问题

　　结合威胁情报进行主机终端异常行为捕获及分析

　　满足 ( 云 ) 等保 2.0 对于主机安全的合规性要求

　　抗DDoS云服务

　　云磐提供了高效流量清洗中心，针对从网络层到应用层的攻击流量进行精确清洗。目前可清洗的流量峰值超过500Gbps。采用即用即开的机制，通过敏锐流量监测机制来弹性判断用户是否需要开启抗D服务。

　　快速感知，弹性控制，可快速适应不同流量的攻击

　　全面抵抗CC攻击以及各种纯流量攻击

　　专家全程参与防御，协助做出最正确的响应措施

　　能力强劲，可清洗的流量峰值超过500Gbps

　　服务器主动防御系统

　　多引擎，精准查杀网页木马、各类病毒

　　独有的安全狗云查杀引擎、网马引擎与专业的二进制病毒引擎结合，精确查杀各类网页木马和主流病毒。多引擎智能查杀病毒，全面保障服务器安全。

　　三层网络防护，实时保护网络安全

　　强有力的网络防护，实时监测IP和端口访问的合法性，实时拦截ARP攻击、Web攻击(抗CC)、DDOS攻击、暴力破解。

　　全面的文件/注册表保护，杜绝非法篡改

　　全面开放保护规则，同时支持监控网站目录，有效保护重要文件、目录与注册表不被篡改与删除，实时防止网站被上传网页木马。系统默认规则与用户自定义规则全支持，灵活定制，全面保护。

　　底层驱动防护，屏蔽入侵提权

　　驱动级保护，拦截更快速，有效防止未授权的非法用户登录服务器，实时阻止非法创建和修改系统帐号。

　　服务器安全加固，避免配置风险

　　全面的服务器体检，暴露安全隐患，当前系统健康情况了然于心，同时提供贴心的优化建议措施，加固服务器更简单，系统运行更快速，更安全。

　　linux服务器安全防御

　　1、强化：密码管理

　　设定登录密码是一项非常重要的安全措施，如果用户的密码设定不合适，就很容易被破译，尤其是拥有超级用户使用权限的用户，如果没有良好的密码，将给系统造成很大的安全漏洞。

　　目前密码破解程序大多采用字典***以及暴力***手段，而其中用户密码设定不当，则极易受到字典***的威胁。很多用户喜欢用自己的英文名、生日或者账户等信息来设定密码，这样，***可能通过字典***或者是社会工程的手段来破解密码。所以建议用户在设定密码的过程中，应尽量使用非字典中出现的组合字符，并且采用数字与字符相结合、大小写相结合的密码设置方式，增加密码被***破解的难度。而且，也可以使用定期修改密码、使密码定期作废的方式，来保护自己的登录密码。

　　在多用户系统中，如果强迫每个用户选择不易猜出的密码，将大大提高系统的安全性。但如果passwd程序无法强迫每个上机用户使用恰当的密码，要确保密码的安全度，就只能依靠密码破解程序了。实际上，密码破解程序是***工具箱中的一种工具，它将常用的密码或者是英文字典中所有可能用来作密码的字都用程序加密成密码字，然后将其与Linux系统的/etc/passwd密码文件或/etc/shadow影子文件相比较，如果发现有吻合的密码，就可以求得明码了。在网络上可以找到很多密码破解程序，比较有名的程序是crack和john the ripper.用户可以自己先执行密码破解程序，找出容易被***破解的密码，先行改正总比被***破解要有利。

　　2、限定：网络服务管理

　　早期的Linux版本中，每一个不同的网络服务都有一个服务程序(守护进程，Daemon)在后台运行，后来的版本用统一的/etc/inetd服务器程序担此重任。Inetd是Internetdaemon的缩写，它同时监视多个网络端口，一旦接收到外界传来的连接信息，就执行相应的TCP或UDP网络服务。由于受inetd的统一指挥，因此Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检查/etc/inetd.conf文件，在不要的服务前加上“#”号。

　　一般来说，除了http、smtp、telnet和ftp之外，其他服务都应该取消，诸如简单文件传输协议tftp、网络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和time等。还有一些报告系统状态的服务，如finger、efinger、systat和netstat等，虽然对系统查错和寻找用户非常有用，但也给***提供了方便之门。例如，***可以利用finger服务查找用户的电话、使用目录以及其他重要信息。因此，很多Linux系统将这些服务全部取消或部分取消，以增强系统的安全性。Inetd除了利用/etc/inetd.conf设置系统服务项之外，还利用/etc/services文件查找各项服务所使用的端口。因此，用户必须仔细检查该文件中各端口的设定，以免有安全上的漏洞。

　　在后继的Linux版本中(比如Red Hat Linux7.2之后)，取而代之的是采用xinetd进行网络服务的管理。

　　当然，具体取消哪些服务不能一概而论，需要根据实际的应用情况来定，但是系统管理员需要做到心中有数，因为一旦系统出现安全问题，才能做到有步骤、有条不紊地进行查漏和补救工作，这点比较重要。

　　3、严格审计：系统登录用户管理

　　在进入Linux系统之前，所有用户都需要登录，也就是说，用户需要输入用户账号和密码，只有它们通过系统验证之后，用户才能进入系统。

　　与其他Unix操作系统一样，Linux一般将密码加密之后，存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件，虽然文件中保存的密码已经经过加密，但仍然不太安全。因为一般的用户可以利用现成的密码破译工具，以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅读该文件。

　　在Linux系统中，如果要采用影子文件，必须将所有的公用程序重新编译，才能支持影子文件。这种方法比较麻烦，比较简便的方法是采用插入式验证模块(PAM)。很多Linux系统都带有Linux的工具程序PAM，它是一种身份验证机制，可以用来动态地改变身份验证的方法和要求，而不要求重新编译其他公用程序。这是因为PAM采用封闭包的方式，将所有与身份验证有关的逻辑全部隐藏在模块内，因此它是采用影子档案的最佳帮手。

　　此外，PAM还有很多安全功能：它可以将传统的DES加密方法改写为其他功能更强的加密方法，以确保用户密码不会轻易地遭人破译;它可以设定每个用户使用电脑资源的上限;它甚至可以设定用户的上机时间和地点。

　　Linux系统管理人员只需花费几小时去安装和设定PAM，就能大大提高Linux系统的安全性，把很多***阻挡在系统之外。

　　4、设定：用户账号安全等级管理

　　除密码之外，用户账号也有安全等级，这是因为在Linux上每个账号可以被赋予不同的权限，因此在建立一个新用户ID时，系统管理员应该根据需要赋予该账号不同的权限，并且归并到不同的用户组中。

　　在Linux系统中的部分文件中，可以设定允许上机和不允许上机人员的名单。其中，允许上机人员名单在/etc/hosts.allow中设置，不允许上机人员名单在/etc/hosts.deny中设置。此外，Linux将自动把允许进入或不允许进入的结果记录到/var/log/secure文件中，系统管理员可以据此查出可疑的进入记录。

　　每个账号ID应该有专人负责。在企业中，如果负责某个ID的职员离职，管理员应立即从系统中删除该账号。很多***事件都是借用了那些很久不用的账号。

　　在用户账号之中，***最喜欢具有root权限的账号，这种超级用户有权修改或删除各种系统设置，可以在系统中畅行无阻。因此，在给任何账号赋予root权限之前，都必须仔细考虑。

　　Linux系统中的/etc/securetty文件包含了一组能够以root账号登录的终端机名称。例如，在RedHatLinux系统中，该文件的初始值仅允许本地虚拟控制台(rtys)以root权限登录，而不允许远程用户以root权限登录。最好不要修改该文件，如果一定要从远程登录为root权限，最好是先以普通账号登录，然后利用su命令升级为超级用户。

　　5、谨慎使用：“r系列”远程程序管理

　　在Linux系统中有一系列r字头的公用程序，比如rlogin，rcp等等。它们非常容易被***用来***我们的系统，因而非常危险，因此绝对不要将root账号开放给这些公用程序。由于这些公用程序都是用。rhosts文件或者hosts.equiv文件核准进入的，因此一定要确保root账号不包括在这些文件之内。

　　由于r等远程指令是***们用来***系统的较好途径，因此很多安全工具都是针对这一安全漏洞而设计的。例如，PAM工具就可以用来将r字头公用程序有效地禁止掉，它在/etc/pam.d/rlogin文件中加上登录必须先核准的指令，使整个系统的用户都不能使用自己home目录下的。rhosts文件。

　　6、限制：root用户权限管理

　　Root一直是Linux保护的重点，由于它权力无限，因此最好不要轻易将超级用户授权出去。但是，有些程序的安装和维护工作必须要求有超级用户的权限，在这种情况下，可以利用其他工具让这类用户有部分超级用户的权限。sudo就是这样的工具。

　　sudo程序允许一般用户经过组态设定后，以用户自己的密码再登录一次，取得超级用户的权限，但只能执行有限的几个指令。例如，应用sudo后，可以让管理磁带备份的管理人员每天按时登录到系统中，取得超级用户权限去执行文档备份工作，但却没有特权去作其他只有超级用户才能作的工作。

　　sudo不但限制了用户的权限，而且还将每次使用sudo所执行的指令记录下来，不管该指令的执行是成功还是失败。在大型企业中，有时候有许多人同时管理Linux系统的各个不同部分，每个管理人员都有用sudo授权给某些用户超级用户权限的能力，从sudo的日志中，可以追踪到谁做了什么以及改动了系统的哪些部分。

　　值得注意的是，sudo并不能限制所有的用户行为，尤其是当某些简单的指令没有设置限定时，就有可能被***滥用。例如，一般用来显示文件内容的/etc/cat指令，如果有了超级用户的权限，***就可以用它修改或删除一些重要的文件。

　　7、追踪***踪迹：日志管理

　　当用户仔细设定了各种与Linux相关的配置(最常用日志管理选项)，并且安装了必要的安全防护工具之后，Linux操作系统的安全性的确大为提高，但是却并不能保证防止那些比较熟练的网络***的***。

　　在平时，网络管理人员要经常提高警惕，随时注意各种可疑状况，并且按时检查各种系统日志文件，包括一般信息日志、网络连接日志、文件传输日志以及用户登录日志等。在检查这些日志时，要注意是否有不合常理的时间记载。例如：

　　正常用户在半夜三更登录;

　　不正常的日志记录，比如日志只记录了一半就切断了，或者整个日志文件被删除了;

　　用户从陌生的网址进入系统;

　　因密码错误或用户账号错误被摈弃在外的日志记录，尤其是那些一再连续尝试进入失败，但却有一定模式的试错法;

　　非法使用或不正当使用超级用户权限su的指令;

　　重新开机或重新启动各项服务的记录。

　　上述这些问题都需要系统管理员随时留意系统登录的用户状况以及查看相应日志文件，许多背离正常行为的蛛丝马迹都应当引起高度注意。

　　8、横向扩展：综合防御管理

　　防火墙、IDS等防护技术已经成功地应用到网络安全的各个领域，而且都有非常成熟的产品。

　　在Linux系统来说，有一个自带的Netfilter/Iptables防火墙框架，通过合理地配置其也能起到主机防火墙的功效。在Linux系统中也有相应的轻量级的网络***检测系统Snort以及主机***检测系统LIDS(Linux Intrusion Detection System)，使用它们可以快速、高效地进行防护。

　　需要提醒注意的是：在大多数的应用情境下，我们需要综合使用这两项技术，因为防火墙相当于安全防护的第一层，它仅仅通过简单地比较IP地址/端口对来过滤网络流量，而IDS更加具体，它需要通过具体的数据包(部分或者全部)来过滤网络流量，是安全防护的第二层。综合使用它们，能够做到互补，并且发挥各自的优势，最终实现综合防御。

　　9、评测：漏洞追踪及管理

　　Linux作为一种优秀的开源软件，其自身的发展也日新月异，同时，其存在的问题也会在日后的应用中慢慢暴露出来。***对新技术的关注从一定程度上来说要高于我们防护人员，所以要想在网络***的战争中处于有利地位，保护Linux系统的安全，就要求我们要保持高度的警惕性和对新技术的高度关注。用户特别是使用Linux作为关键业务系统的系统管理员们，需要通过Linux的一些权威网站和论坛上尽快地获取有关该系统的一些新技术以及一些新的系统漏洞的信息，进行漏洞扫描、***测试等系统化的相关配套工作，做到防范于未然，提早行动，在漏洞出现后甚至是出现前的最短时间内封堵系统的漏洞，并且在实践中不断地提高安全防护的技能，这样才是一个比较的解决办法和出路。

　　10、保持更新：补丁管理

　　Linux作为一种优秀的开源软件，其稳定性、安全性和可用性有极为可靠的保证，世界上的Linux高手共同维护着个优秀的产品，因而起流通渠道很多，而且经常有更新的程序和系统补丁出现，因此，为了加强系统安全，一定要经常更新系统内核。

　　Kernel是Linux操作系统的核心，它常驻内存，用于加载操作系统的其他部分，并实现操作系统的基本功能。由于Kernel控制计算机和网络的各种功能，因此，它的安全性对整个系统安全至关重要。早期的Kernel版本存在许多众所周知的安全漏洞，而且也不太稳定，只有2.0.x以上的版本才比较稳定和安全(一般说来，内核版本号为偶数的相对稳定，而为奇数的则一般为测试版本，用户们使用时要多留意)，新版本的运行效率也有很大改观。在设定Kernel的功能时，只选择必要的功能，千万不要所有功能照单全收，否则会使Kernel变得很大，既占用系统资源，也给***留下可乘之机。

　　linux服务器安全防御

　　使用单用户模式进入系统

　　Linux启动后出现boot:提示时，使用一个特殊的命令，如linuxsingle或linux 1，就能进入单用户模式(Single-User mode)。这个命令非常有用，比如忘记超级用户(root)密码。重启系统，在boot:提示下输入linux single(或linux 1)，以超级用户进入系统后，编辑Passwd 文件，去掉root一行中的x 即可。

　　防范对策：

　　以超级用户(root)进入系统，编辑/etc/inittab 文件，改变id：3：

　　initdefault 的设置，在其中额外加入一行(如下)，让系统重新启动进入单用户模式的时候，提示输入超级用户密码：

　　~ ~:S:walt:/sbin/sulogin

　　然后执行命令：/sbin/init q，使这一设置起效。

　　在系统启动时向核心传递危险参数在Linux下最常用的引导装载(boot loader)工具是LILO，它负责管理启动系统(可以加入别的分区及操作系统)。但是一些非法用户可能随便启动Linux或者在系统启动时向核心传递危险参数，这也是相当危险的。

　　防范对策：

　　编辑文件/etc/lilo.conf，在其中加入restricted参数，这一参数必须同下面一个要讲的password 参数一起使用，表明在boot：提示下，传递给Linux 内核一些参数时，需要你输入密码。password 参数可以同restricted 一起使用，也可以单独使用，下面将分别说明。同restricted 一起使用：只有在启动时需要传递给内核参数时，才会要求输入密码，而在正常(缺省)模式下，是不需要密码的，这一点一定要注意。

　　单独使用(没有同restricted 一起使用)：表示不管用什么启动模式，Linux总会要求输入密码;如果没有密码，就没有办法启动Linux，在这种情况下的安全程度更高，相当于外围又加入一层防御措施。当然也有坏处——你不能远程重启系统，除非你加上restricted 参数。

　　由于密码是明文没有加密，所以/etc/lilo.conf文件一定要设置成只有超级用户可读，可使用下面的命令进行设置：

　　c hmod 600 /ietc/lilo.conf

　　然后执行命令：/sbin/lilo -V，将其写入boot sector，并使这一改动生效。

　　^D ' / [&

　　为了加强/etc/liIo.conf 文件的安全，你还可以设置这个文件为不可改变的属性，可使用命令：

　　c hattr 十i/etc/lilo.conf

　　如果日后你要修改/etc/liIo.conf 文件，用chattr -i/etc/lilo.conf命令去掉这个属性即可。

　　使用“Ctrl+Alt+Del”组合键重新启动对于这一点，非常重要，也非常容易忽略，如果非法用户能接触到服务器的键盘，他就可以用组合键“Ctrl+AIt+Del”使你的服务器重启。

　　防范对策：

　　编辑/etc/inittab 文件，给ca：：ctrlaltdel：/sbin/shutdown-t3 -r now加上注释###ca：：ctrlaltdeI：/sbin/shutdown-t3 -r now。

　　然后执行命令：/sbin/init q，使这一改动生效。

　　关于linux服务器安全防御就介绍到这里，如果您对于服务器防护有更高的需求或者是遇到无法解决的服务器安全问题，可以向安全狗寻求技术支持，我们会安排专业的技术团队为您提供相应的技术解决方案，保证您的服务器安全稳定运行。