中小企業(yè)由于缺少經(jīng)驗豐富的Linux網(wǎng)絡(luò)管理員和安全產(chǎn)品采購資金 。筆者將從服務(wù)器安全、網(wǎng)絡(luò)設(shè)備的安全、接入互聯(lián)網(wǎng)的安全和內(nèi)部網(wǎng)絡(luò)的安全四個方面來解決企業(yè)的煩惱 。
如今許多中小用戶因業(yè)務(wù)發(fā)展，不斷更新或升級網(wǎng)絡(luò)，從而造成自身用戶環(huán)境差異較大，整個網(wǎng)絡(luò)系統(tǒng)平臺參差不齊，服務(wù)器端大多采用;Linux系統(tǒng)的，而PC端使用Windows系統(tǒng) 。所以在企業(yè)應(yīng)用中往往是Linux/Unix和Windows操作系統(tǒng)共存形成異構(gòu)網(wǎng)絡(luò) 。中小企業(yè)由于缺少經(jīng)驗豐富的Linux網(wǎng)絡(luò)管理員和安全產(chǎn)品采購資金，所以對于網(wǎng)絡(luò)安全經(jīng)常缺乏缺乏全面的考慮 。筆者將從服務(wù)器安全、網(wǎng)絡(luò)設(shè)備的安全、接入互聯(lián)網(wǎng)的安全和內(nèi)部網(wǎng)絡(luò)的安全四個方面來解決企業(yè)的煩惱 。
一、服務(wù)器安全：
1.;關(guān)閉無用的端口
任何網(wǎng)絡(luò)連接都是通過開放的應(yīng)用端口來實現(xiàn)的 。如果我們盡可能少地開放端口，就使網(wǎng)絡(luò)攻擊變成無源之水，從而大大減少了攻擊者成功的機會 。
首先檢查你的inetd.conf文件 。inetd在某些端口上守侯，準(zhǔn)備為你提供必要的服務(wù) 。如果某人開發(fā)出一個特殊的inetd守護程序，這里;就存在一個安全隱患 。你應(yīng)當(dāng)在inetd.conf文件中注釋掉那些永不會用到的服務(wù)(如：echo、gopher、rsh、rlogin、rexec、;ntalk、finger等) 。注釋除非絕對需要，你一定要注釋掉rsh、rlogin和rexec，而telnet建議你使用更為安全的ssh來代替，;然后殺掉lnetd進程 。這樣inetd不再監(jiān)控你機器上的守護程序，從而杜絕有人利用它來竊取你的應(yīng)用端口 。你最好是下載一個端口掃描程序掃描你的系;統(tǒng)，如果發(fā)現(xiàn)有你不知道的開放端口，馬上找到正使用它的進程，從而判斷是否關(guān)閉它們 。
2.;刪除不用的軟件包
在進行系統(tǒng)規(guī)劃時，總的原則是將不需要的服務(wù)一律去掉 。默認的Linux就是一個強大的系統(tǒng)，運行了很多的服務(wù) 。但有許多服務(wù)是不需要的，很容易引;起安全風(fēng)險 。這個文件就是/etc/inetd.conf，它制定了/usr/sbin/inetd將要監(jiān)聽的服務(wù)，你可能只需要其中的兩個：;telnet和ftp，其它的類如shell、login、exec、talk、ntalk、imap、pop-2、pop-3、finger、auth;等，除非你真的想用它，否則統(tǒng)統(tǒng)關(guān)閉 。
3.;不設(shè)置缺省路由
在主機中，應(yīng)該嚴(yán)格禁止設(shè)置缺省路由，即default;route 。建議為每一個子網(wǎng)或網(wǎng)段設(shè)置一個路由，否則其它機器就可能通過一定方式訪問該主機
4.;口令管理
口令的長度一般不要少于8個字符，口令的組成應(yīng)以無規(guī)則的大小寫字母、數(shù)字和符號相結(jié)合，嚴(yán)格避免用英語單詞或詞組等設(shè)置口令，而且各用戶的口令應(yīng);該養(yǎng)成定期更換的習(xí)慣 。另外，口令的保護還涉及到對/etc/passwd和/etc/shadow文件的保護，必須做到只有系統(tǒng)管理員才能訪問這2個文;件 。安裝一個口令過濾工具加npasswd，能幫你檢查你的口令是否耐得住攻擊 。如果你以前沒有安裝此類的工具，建議你現(xiàn)在馬上安裝 。如果你是系統(tǒng)管理;員，你的系統(tǒng)中又沒有安裝口令過濾工具，請你馬上檢查所有用戶的口令是否能被窮盡搜索到，即對你的/ect/passwd文件實施窮盡搜索攻擊 。
5.;分區(qū)管理
一個潛在的攻擊，它首先就會嘗試緩沖區(qū)溢出 。在過去的幾年中，以緩沖區(qū)溢出為類型的安全漏洞是最為常見的一種形式了 。更為嚴(yán)重的是，緩沖區(qū)溢出漏洞;占了遠程網(wǎng)絡(luò)攻擊的絕大多數(shù)，這種攻擊可以輕易使得一個匿名的Internet用戶有機會獲得一臺主機的部分或全部的控制權(quán)!
為了防止此類攻擊，我們從安裝系統(tǒng)時就應(yīng)該注意 。如果用root分區(qū)記錄數(shù)據(jù)，如log文件，就可能因為拒絕服務(wù)產(chǎn)生大量日志或垃圾郵件，從而導(dǎo)致;系統(tǒng)崩潰 。所以建議為/var開辟單獨的分區(qū)，用來存放日志和郵件，以避免root分區(qū)被溢出 。最好為特殊的應(yīng)用程序單獨開一個分區(qū)，特別是可以產(chǎn)生大量;日志的程序，還建議為/home單獨分一個區(qū)，這樣他們就不能填滿/分區(qū)了，從而就避免了部分針對Linux分區(qū)溢出的惡意攻擊 。
推薦閱讀
- 認識安全入侵的利器 嗅探軟件逐個了解
- 圖 U盤及硬盤安裝、配置、中文化 Puppy linux 4.00
- 圖 隨身系統(tǒng):Puppy Linux 4.00 初體驗
- iphonex中更新系統(tǒng)的操作步驟
- 蘋果系統(tǒng)跳一跳怎么刷分 微信跳一跳ios系統(tǒng)刷分方法
- 教程:三萬元搭建Linux服務(wù)器集群
- 圖 Linux系統(tǒng)服務(wù)器防病毒實戰(zhàn)
- 五個頂級Linux安全工具大放送
- GRUB引導(dǎo)下進Linux單用戶模式的三種方式
- 新手看招:簡述Linux操作系統(tǒng)文件搜索