日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

一些FreeBSD相關(guān)的安全問題( 四 )

云知道


不刷新，所有你在機器來操作的活動可以被復(fù)查 。你可以重新配置內(nèi)核參數(shù)如：

SC_NO_HISTORY #取消歷史記錄

SC_DISABLE_DDBKEY # 取消debug鍵
SC_DISABLE_REBOOT # 取消clt-alt-del 鍵

iv)對/bin,/sbin進行安全保護 。

#chflags schg /bin/*
#chflags schg /sbin/*


======================================================================

信息過濾問題
--------------

FreeBSD的包過濾工具具有強大的規(guī)則設(shè)置來過濾你想阻塞的信息，你可以使用
ipfw來實現(xiàn)，不過你需要在內(nèi)核中有一定的選項設(shè)置，如：

需要在編譯內(nèi)核時打開下面選項重新定制內(nèi)核 。

options IPFIREWALL
options IPFIREWALL_VERBOSE
options “IPFIREWALL_VERBOSE_LIMIT=100”
options IPFIREWALL_DEFAULT_TO_ACCEPT

options IPDIVERT

其中第一項設(shè)置IPFIREWALL是用于打開基本的包過濾支持的，只有使用它才能
在內(nèi)核中支持包過濾 。IPFIREWALL_VERBOSE 和IPFIREWALL_VERBOSE_LIMIT設(shè)
置記錄過濾日志，及日志記錄的限制 。IPFIREWALL_DEFAULT_TO_ACCEPT是設(shè)置
IPFIREWALL的缺省行為，在數(shù)據(jù)包不符合所有的過濾規(guī)則的情況下進行轉(zhuǎn)發(fā)，
顯然這是一種寬松的限制，此時系統(tǒng)主要用于屏蔽特定地址和特定服務(wù)，而提
供其他的缺省網(wǎng)絡(luò)能力 。如果沒有定義這個選項，系統(tǒng)就只能允許符合已定義
規(guī)則的數(shù)據(jù)包通過，而屏蔽其他任何數(shù)據(jù)包，這樣在沒有定義過濾規(guī)則的情況
下，系統(tǒng)不能和其他計算機相互通信 。最后一個選項IPDIVERT是用于定義
IPFIREWALL與natd的接口(摘自王波-FreeBSD使用大全連載) 。

你可以建立/etc/firewall.rules建立自己的規(guī)則，并把文件設(shè)置為600屬性，
下面的規(guī)則僅供參考：

ipfw -q -f flush
ipfw -q add 00100 allow ip from any to any via lo0
ipfw -q add 00220 deny log ip from me to any in
#syn fin組合的包一般來說是nmap和queso掃描器使用，所以過濾
ipfw -q add 00225 deny log tcp from any to any in tcpflags syn,fin

# 檢查通信狀態(tài)
ipfw -q add 00230 check-state
ipfw -q add 00235 deny tcp from any to any in established
ipfw -q add 00240 allow ip from any to any out keep-state

# 控制icmp包，只能通過icmp類型來限制
ipfw -q add 00300 allow icmp from any to any icmptype 3
ipfw -q add 00301 allow icmp from any to any icmptype 4
ipfw -q add 00302 allow icmp from any to any icmptype 11

# 允許DHCP通過
ipfw -q add 00401 allow udp from 192.168.2.1 67 to any 68
ipfw -q add 00402 allow udp from 192.168.1.1 67 to any 68

# allow ident requests
ipfw -q add 00500 allow tcp from any to any 113 keep-state setup

# log anything that falls through
ipfw -q add 09000 deny log ip from any to any

其實關(guān)于規(guī)則有很多文章可以參考，這里就不在敘述 。

你可以使用下面命令馬上激活規(guī)則：

# sh /etc/firewall.rules

如果你要在你日志里查看有關(guān)丟棄包的記錄，你需要如下設(shè)置：

# sysctl -w net.inet.ip.fw.verbose=1

如果你要所有這些設(shè)置在機器啟動時候激活，編輯/etc/rc.conf增加如下條目：

firewall_enable="YES"
firewall_logging="YES"
firewall_script="/etc/firewall.rules"

最好你如果要記錄這些信息進行調(diào)試，不要忘了在/etc/syslog.conf中增加如下
條目：

!ipfw
*.* /var/log/ipfw.log

記得在/etc/newsyslog.conf中設(shè)置如下選項：

/var/log/ipfw.log 600 3 100 * Z

=========================================================================

用戶資源限制問題
---------------

從 4.3 BSD Net/2開始，BSD Unix引入了登錄類別這種分類機制來管理用戶使用的資源、記賬和環(huán)境設(shè)置 。FreeBSD系統(tǒng)使用/etc/login.conf中描述的數(shù)據(jù)來將用戶按照登錄環(huán)境、強制性的資源限制以及記賬管理等分為不同的登錄類別，每個用戶的登錄類別記錄在/etc/master.passwd中的該用戶的設(shè)置中 。以下是一個缺省安裝的/etc/login.conf的部份內(nèi)容 。

推薦閱讀