31、系统安全提升指南

最新推荐文章于 2026-06-24 14:45:25 发布

原创最新推荐文章于 2026-06-24 14:45:25 发布 · 100 阅读

0 GEO检测

标签

#系统安全 # 守护进程 # 文件校验和监控

Linux与Unix系统管理自动化精华专栏收录该内容

35 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

系统安全提升指南

在当今数字化的时代，系统安全至关重要。本文将介绍一系列提升系统安全的方法，包括关闭不必要的守护进程、移除不安全的文件、监控文件校验和、使用轻量级目录访问协议、利用 Kerberos 进行安全认证、实施基于主机的防火墙、使用 TCP 包装器以及基于主机的数据包过滤等。

关闭不必要的守护进程

接受网络连接的程序就像系统的一扇门，即使这些门可能是锁着的，但仍有可能被攻破。因此，若不需要某个程序，应将其关闭，以降低系统遭受网络入侵的风险。

以下是一个 CFEngine 任务示例，用于关闭特定平台上的服务：

_kjpnkh:
    class:
        =``Ejop]hh]^ha = $(`eo]^ha[tbo`)
lnk_aooao:
    okh]neot42xokh]neo:
        `phkcej oecj]h=gehh
    na`d]p:
        tbo _pekj=s]nj i]p_dao=8- `abeja=`eo]^ha[tbo
odahh_kii]j`o:
    na`d]p*`eo]^ha[tbo:
        +o^ej+oanre_a tbo opkl peiakqp=2, ejbkni=pnqa
        +o^ej+_dg_kjbec tbo kbb peiakqp=2, ejbkni=pnqa
`eo]^ha:
    okh]neot42xokh]neo:
        +ap_+n_.*`+O55`phkcej

在这个示例中，我们选择关闭用于 X 窗口系统的两个不同守护进程：在 Solaris 上的 phkcej 守护进程处理图形登录，而在 Red Hat 上的 tbo 守护进程是 X 字体服务器，这些在服务器系统中通常是不需要的。

移除不安全的文件

可以使用 CFEngine 禁用系统上的各种文件和程序。当可执行文件和其他文件被禁用时，它们会被重命名为带有 _b eo]^ha 扩展名，并将权限设置为 000`。文件会被移动到全局备份目录进行长期存储。

以下是一个示例：

`eo]^ha:
    class:
        +nkkp+*ndkopo ejbkni=pnqa
        +ap_+dkopo*amqer ejbkni=pnqa
        +qon+he^+rkh`+jo`]l+*gep ejbkni=pnqa
        +qon+he^+rkh`+jo`]l+`abejao ejbkni=pnqa
        +qon+he^+rkh`+jo`]l+l]p_dan ejbkni=pnqa

这个示例禁用了 +nkkp+*ndkopo 和 +ap_+dkopo*amqer 文件，因为使用这些文件通常被认为存在安全风险。同时，还移除了一些旧的 rootkit 安装产生的文件。

需要注意的是，使用 CFEngine 的 eo]^ha 操作移除示例 rootkit 文件并不能从系统中彻底移除 rootkit。建议使用 rootkit 检测程序，如 chkrootkit 。如果确认系统上安装了 rootkit，应将系统从网络中移除，检索重要数据，并重新映像主机。

文件校验和监控

可以使用 CFEngine 监控系统上的二进制文件。对于二进制文件，特别是具有 setuid root 权限的文件，检查其权限并记录校验和非常有用。

以下是一个示例：

behao:
    +^ej+ikqjp ik`a=0111 ksjan=nkkp cnkql=nkkp _pekj=bet]hh _da_goqi=i`1

在许多系统上， +^ej+ikqjp 程序设置了 setuid 位并由 nkkp 用户拥有，这允许普通用户在没有超级用户权限的情况下挂载特定驱动器。上述参数告诉 CFEngine 检查该二进制文件的权限，并将其校验和记录在数据库中。如果校验和发生变化，每次 _b]cajp 运行时都会收到通知。要更新存储的文件校验和，可以在 _kjpnkh 部分设置如下：

_kjpnkh:
    ?da_goqiQl`]pao = $(kj)

使用轻量级目录访问协议（LDAP）

LDAP 允许使用中央信息存储库进行各种系统和应用程序用途。最常见的是存储用户账户信息，包括账户、全名、电话号码、办公室位置等。

使用 LDAP 进行用户目录和认证可以提高站点的整体安全性，原因如下：
- 可以设置用户账户锁定，当用户在一个或多个系统上多次登录失败时，防止攻击者在账户完全锁定之前对所有系统进行猜测。
- 密码可以在多个应用程序中集中管理，允许管理员启用单点登录基础设施，并强制执行强密码策略。

如果系统没有自带 LDAP 服务器或需要额外的 LDAP 客户端，可以考虑使用 OpenLDAP（ OpenLDAP 官网）或 Fedora Directory Server（ Fedora Directory Server 官网）。

基于 Kerberos 的安全认证

Kerberos 是一种用于在不可信网络上的可信主机之间进行认证的系统。通常，Kerberos 服务器用于在不通过网络发送用户密码的情况下认证远程用户。

使用 Kerberos 进行认证具有以下优点：
- 用户密码很少通过网络发送，即使发送也是经过强加密的。
- 可以使用一个认证服务用于多个不同的软件包，例如 SSH 登录、访问受限的 Web 服务器和访问 Samba 共享等。

要使用 Kerberos，首先需要设置一个 Kerberos 服务器，这可能需要一定的时间和精力。同时，要确保系统上需要用户认证的程序能够使用 Kerberos。大多数系统支持 PAM（可插拔认证模块），这使得使用 Kerberos 进行系统级认证变得容易。

实施基于主机的防火墙

防火墙是一种基于规则或策略设置来阻止或禁止 IP 流量的硬件或软件。在网络边缘部署防火墙是常见的做法，近年来，越来越多的个人计算机也开始运行防火墙软件。

即使主机没有运行任何不必要的网络守护进程，本地防火墙仍然可以提供以下帮助：
- 如果不需要的流量通过了边界防火墙，本地防火墙仍然可以阻止它，这被称为深度防御，是一种明智的安全策略。
- 系统可以防止来自本地网络中不需要的主机的连接。
- UNIX 操作系统有时需要守护进程在网络上运行和监听，以确保基本系统正常工作。但可能不需要这些守护进程接受来自远程主机的连接，此时使用防火墙保护这些程序是唯一的选择。

使用 TCP 包装器

TCP 包装器是一个可以由 ejap 执行的程序（通常名为 p_l 或 ej*p_l ），它对网络连接进行检查，应用访问控制规则，并最终启动必要的程序。

要激活 TCP 包装器，需要修改 +ap_+ejap *_kjb 文件中的条目，调用 p_l` 程序：

a`epbehao:
    [+ap_+ejap`*_kjb
        Nalh]_a=hh +qon+o^ej+ej*bpl` Sepd +qon+o^ej+p_l`
        Nalh]_a=hh +qon+o^ej+ej*pahjap` Sepd +qon+o^ej+p_l`
        @abeja?h]ooao ik`ebea`[ejap`
    ]

同时，不要忘记向 ejap 发送 DQL 信号：

lnk_aooao:
    ik`ebea`[ejap`:
        ejap` oecj]h=DQL

启用 TCP 包装器可以增强所选网络服务的安全性，还可以通过使用 +ap_+dkopo*]hhks 和 +ap_+dkopo* aju` 文件来限制对这些服务的访问。

基于主机的数据包过滤

数据包过滤是一种根据过滤规则允许或禁止 IP 流量进入系统网络接口的方法。在我们的示例中，Linux 发行版（Debian 和 Red Hat）使用 iptables 软件，而 Solaris 使用 IPFilter 软件。

以下是在 Debian 上设置 iptables 的步骤：
1. 定义防火墙策略 ：确定允许和禁止的流量。
2. 创建 iptables 规则 ：实现定义的策略。
3. 使用 CFEngine 复制文件 ：将规则文件复制到目标主机。
4. 配置系统 ：在网络接口启动之前启动防火墙规则。
5. 重启网络接口或重启主机 ：验证防火墙设置。

以下是一个实现日志主机策略的 iptables 规则集示例：

#!/bin/bash
L=PD=/o^ej
# 清空规则
iptables -F
iptables -X
# 设置默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT
# 允许已建立和相关的连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# 允许特定服务
iptables -A INPUT -p tcp --dport 10000 -j ACCEPT
iptables -A INPUT -p tcp --dport 10001 -j ACCEPT
iptables -A INPUT -p tcp --dport 10002 -j ACCEPT
iptables -A INPUT -p tcp --dport 10003 -j ACCEPT
# 其他规则...

将这个脚本复制到 +ap_+japskng+eb)lna)ql* +` 目录，并确保脚本可执行。脚本会在网络接口启动之前运行，这样可以确保在启动接口时始终有数据包过滤规则。

通过以上方法，可以全面提升系统的安全性，保护系统免受各种网络威胁。在实际应用中，应根据具体需求和环境进行适当的配置和调整。

系统安全提升指南

防火墙策略示例分析

上文中给出了一个实现日志主机策略的 iptables 规则集示例，下面对其进行详细分析：

规则	解释
`#!/bin/bash`	声明这是一个 Bash 脚本
`L=PD=/o^ej`	定义一个变量 `L=PD` ，值为 `/o^ej`
`iptables -F`	清空所有规则链中的规则
`iptables -X`	删除所有用户自定义的规则链
`iptables -P INPUT DROP`	设置 `INPUT` 链的默认策略为丢弃所有未匹配规则的数据包
`iptables -P FORWARD DROP`	设置 `FORWARD` 链的默认策略为丢弃所有未匹配规则的数据包
`iptables -P OUTPUT ACCEPT`	设置 `OUTPUT` 链的默认策略为接受所有未匹配规则的数据包
`iptables -A INPUT -i lo -j ACCEPT`	允许本地回环接口（ `lo` ）的所有流量通过
`iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT`	允许已建立和相关的连接的数据包通过
`iptables -A INPUT -p tcp --dport 10000 -j ACCEPT`	允许目标端口为 10000 的 TCP 流量通过
`iptables -A INPUT -p tcp --dport 10001 -j ACCEPT`	允许目标端口为 10001 的 TCP 流量通过
`iptables -A INPUT -p tcp --dport 10002 -j ACCEPT`	允许目标端口为 10002 的 TCP 流量通过
`iptables -A INPUT -p tcp --dport 10003 -j ACCEPT`	允许目标端口为 10003 的 TCP 流量通过

这个规则集的主要目的是创建一个相对安全的防火墙策略，只允许特定的流量进入系统，同时允许系统主动发起的连接的返回流量通过。

系统安全提升流程总结

为了更清晰地展示系统安全提升的步骤，下面给出一个 mermaid 流程图：

graph LR
    A[开始] --> B[关闭不必要的守护进程]
    B --> C[移除不安全的文件]
    C --> D[文件校验和监控]
    D --> E[使用 LDAP]
    E --> F[基于 Kerberos 的安全认证]
    F --> G[实施基于主机的防火墙]
    G --> H[使用 TCP 包装器]
    H --> I[基于主机的数据包过滤]
    I --> J[结束]

这个流程图展示了系统安全提升的主要步骤，从关闭不必要的守护进程开始，逐步进行各项安全措施的实施，最终完成系统安全的提升。

关键技术点对比

为了帮助读者更好地理解不同安全技术的特点和适用场景，下面给出一个关键技术点的对比表格：

技术	优点	缺点	适用场景
关闭不必要的守护进程	减少系统暴露面，降低被攻击风险	可能影响部分功能正常使用，需要仔细检查	通用，适用于各种系统
移除不安全的文件	消除潜在的安全隐患	可能误删重要文件，需要谨慎操作	发现存在安全风险的文件时
文件校验和监控	及时发现文件被篡改情况	需要定期维护校验和数据库，占用一定资源	对文件完整性要求较高的系统
LDAP	集中管理用户账户信息，提高安全性和管理效率	设置和维护相对复杂	中大型企业或组织
Kerberos	安全的认证方式，保护用户密码	配置和管理较为复杂，需要一定技术能力	多系统间用户认证场景
基于主机的防火墙	提供深度防御，增强系统安全性	可能影响网络性能，规则配置复杂	通用，尤其是需要保护本地系统的场景
TCP 包装器	增强网络服务安全性，配置相对简单	功能相对有限，不能替代防火墙	特定网络服务的访问控制
基于主机的数据包过滤	精确控制 IP 流量，提高网络安全性	规则配置复杂，需要专业知识	对网络流量有严格控制需求的系统

通过这个表格，读者可以根据自己的需求和系统特点，选择合适的安全技术来提升系统的安全性。

总结

系统安全是一个复杂而重要的领域，需要综合运用多种技术和方法来保障。本文介绍了一系列提升系统安全的方法，包括关闭不必要的守护进程、移除不安全的文件、监控文件校验和、使用 LDAP 和 Kerberos 进行认证、实施基于主机的防火墙、使用 TCP 包装器和基于主机的数据包过滤等。通过合理配置和使用这些技术，可以有效降低系统被攻击的风险，保护系统和数据的安全。

在实际应用中，应根据系统的具体需求和环境，选择合适的安全措施，并进行适当的调整和优化。同时，要定期检查和更新系统的安全配置，以应对不断变化的安全威胁。希望本文能为读者提供一些有用的参考和指导，帮助大家提升系统的安全性。