將防止用戶無意中建立任何人都能寫的文件(022/026).要小心選擇此值,如果限
制太嚴,則用戶會在自己的.profile中重新調(diào)用umask以抵制系統(tǒng)管理員的意愿,
如果用戶大量使用小組權限共享文件,系統(tǒng)管理員就一要設置限制小組存取權限
的屏蔽值.系統(tǒng)管理員必須建立系統(tǒng)安全和用戶的"痛苦量"間的平衡(痛苦量是
安全限制引起的憤怒的函數(shù)).定期地用grep命令查看用戶.profile文件中的
umask,可了解系統(tǒng)安全限制是否超過了用戶痛苦極限.
系統(tǒng)管理員可每星期隨機抽選一個用戶,將該用戶的安全檢查結(jié)果(用戶的
登錄情況簡報,SUID/SGID文件列表等)發(fā)送給他的管理部門和他本人.主要有四
個目的:
. 大多數(shù)用戶會收到至少有一個文件檢查情況的郵件,這將引起用戶考慮安
全問題(雖然并不意味著用戶們會采取加強安全的行動).
. 有大量可寫文件的用戶,將一星期得到一次郵件,直到他們?nèi)∠蓪懳募?
的寫許可為止.冗長的煩人的郵件信息也許足以促使這些用戶采取措施,
刪除文件的寫許可.
. 郵件將列出用戶的SUID程序,引起用戶注意自己有SUID程序,使用戶知道
是否有不是自己建立的SUID程序.
. 送安全檢查表可供用戶管理自己的文件,并使用戶知道對文件的管理關系
到數(shù)據(jù)安全.如果系統(tǒng)管理員打算這樣做,應事先讓用戶知道,以便他們了
解安全檢查郵件的目的.
發(fā)送郵件是讓用戶具有安全意識,不要抱怨發(fā)送郵件.
管理意識是提高安全性的另一個重要因素.如果用戶的管理部門對安全要求
不強烈,系統(tǒng)管理員可能也忘記強化安全規(guī)則.最好讓管理部門建立一套每個人
都必須遵守的安全標準,如果系統(tǒng)管理員在此基礎上再建立自己的安全規(guī)則,就
強化了安全.管理有助于加強用戶意識,讓用戶明確,信息是有價值的資產(chǎn).
系統(tǒng)管理員應當使安全保護方法對用戶盡可能地簡單,提供一些提高安全的
工具,如:公布鎖終端的lock程序,讓用戶自己運行secure程序,將pwexp(檢查用
戶口令信息的程序)放入/etc/profile中,使用戶知道自己的口令時間.多教給用
戶一些關于系統(tǒng)安全的知識,確保用戶知道自己的許可權限和umask命令的設置
值.如果注意到用戶在做蠢事,就給他們一些應當怎樣做才對的提示.用戶知道的
關于安全的知識越多,系統(tǒng)管理員在保護用戶利益方面做的事就越少.
13.系統(tǒng)管理員意識
(1)保持系統(tǒng)管理員個人的登錄安全
若系統(tǒng)管理員的登錄口令泄密了,則竊密者離竊取root只有一步之遙了,
因為系統(tǒng)管理員經(jīng)常作為root運行,竊密者非法進入到系統(tǒng)管理員的戶頭后,
將用特洛依木馬替換系統(tǒng)管理員的某些程序,系統(tǒng)管理員將作為root運行這些
已被替換的程序.正是因為這個原因,在UNIX系統(tǒng)中,管理員的戶頭最常受到攻
擊.即使su命令通常要在任何都不可讀的文件中記錄所有想成為root的企圖,
還可用記帳數(shù)據(jù)或ps命令識別運行su命令的用戶.也是如此,系統(tǒng)管理員作為
root運行程序時應當特別小心,因為最微小的疏忽也可能"沉船".下列一些指
導規(guī)則可使系統(tǒng)管理員駕駛一艘"堅固的船":
. 不要作為root或以自己的登錄戶頭運行其他用戶的程序,首先用su命令進
入用戶的戶頭.
. 決不要把當前工作目錄排在PATH路徑表的前邊,那樣實際是招引特洛依木
馬.當系統(tǒng)管理員用su命令進入root時,他的PATH將會改變,就讓PATH保持
這樣,以避免特洛依木馬的侵入.
. 敲入/bin/su執(zhí)行su命令.若有su源碼,將其改成必須用全路徑名運行(即
su要確認argv[0]的頭一個字符是"/"才運行).隨著時間的推移,用戶和管
理員將養(yǎng)成敲/bin/su的習慣.
推薦閱讀
- win10系統(tǒng)中電腦關機無反應具體處理步驟
- SCO UNIX 根文件系統(tǒng)的清理
- Unix系統(tǒng)中按需定制用戶工作環(huán)境
- UNIX常用的系統(tǒng)調(diào)用
- Win10系統(tǒng)中瀏覽器提示已完畢但網(wǎng)頁上有錯誤具體處理步驟
- win7系統(tǒng)中調(diào)節(jié)壁紙大小具體操作方法
- 程序員安全
- 5g信號塔輻射安全距離是多少
- 網(wǎng)絡安全
- 如何完成UNIX系統(tǒng)中大批量數(shù)據(jù)的自動備份