|
五、將入侵消滅在萌芽狀態(tài)
入侵者進(jìn)行攻擊之前最常做的一件事情就是端號(hào)掃瞄，如果能夠及時(shí)發(fā)現(xiàn)和阻止入侵者的端號(hào)掃瞄行為，那么可以大大減少入侵事件的發(fā)生率。反應(yīng)系統(tǒng)可以是一個(gè)簡(jiǎn)單的狀態(tài)檢查包過濾器，也可以是一個(gè)復(fù)雜的入侵檢測(cè)系統(tǒng)或可配置的防火墻。
● AbacusPortSentryAbacusPortSentry是開放源代碼的工具包，它能夠監(jiān)視網(wǎng)絡(luò)接口并且與防火墻交互操作來關(guān)閉端口掃瞄攻擊。當(dāng)發(fā)生正在進(jìn)行的端口掃瞄時(shí)，AbacusSentry可以迅速阻止它繼續(xù)執(zhí)行。但是如果配置不當(dāng)，它也可能允許敵意的外部者在你的系統(tǒng)中安裝拒絕服務(wù)攻擊。
AbacusPortSentry如果與Linux中透明的代理工具一起使用可以提供一個(gè)非常有效地入侵防范措施。這樣可以將為所有IP地址提供通用服務(wù)的未使用端口重定向到PortSentry中，PortSentry可以在入侵者采取進(jìn)一步行動(dòng)之前及時(shí)檢測(cè)到并阻止端口掃瞄。
AbacusPortSentry能夠檢測(cè)到慢掃瞄（slowscan），但它不能檢測(cè)到結(jié)構(gòu)化攻擊（structuredattack）。這兩種方式最終目的都要試圖掩蓋攻擊意圖。慢掃瞄就是通過將端口掃瞄分散到很長(zhǎng)的時(shí)間內(nèi)來完成，而在結(jié)構(gòu)化的攻擊中，攻擊者試圖通過掃瞄或探測(cè)多個(gè)源地址中來掩蓋自己的真實(shí)攻擊目標(biāo)。
正確地使用這個(gè)軟件將能夠有效地防止對(duì)IMAP服務(wù)大量的并行掃瞄并且阻止所有這樣的入侵者。AbacusSentry與Linux2.2內(nèi)核的IPChains工具一起使用時(shí)最有效，IPChains能夠自動(dòng)將所有的端口掃瞄行為定向到PortSentry。
Linux2.0內(nèi)核可以使用IPChains進(jìn)行修補(bǔ)，AbacusPortSentry也可以與早期的2.0版內(nèi)核中的ipfwadm工具一起使用，ipfwadm在2.2版本以后被IPChains取代了。
AbacusPortSentry還可以被配置來對(duì)Linux系統(tǒng)上的UDP掃瞄作出反應(yīng)，甚至還可以對(duì)各種半掃瞄作出反應(yīng)，如FIN掃瞄，這種掃描試圖通過只發(fā)送很小的探測(cè)包而不是建立一個(gè)真正的連接來避免被發(fā)現(xiàn)。
當(dāng)然更好的辦法就是使用專門的入侵檢測(cè)系統(tǒng)，如ISS公司的RealSecure等，它們可以根據(jù)入侵報(bào)警和攻擊簽名重新配置防火墻。但這樣的產(chǎn)品一般價(jià)格較高，普及的用戶承受起來有困難。
六、反攻擊檢測(cè)
系統(tǒng)主要通過阻止入侵企圖來防止入侵，而反攻擊系統(tǒng)則可以反向進(jìn)行端口掃瞄或發(fā)起其它的攻擊，這一著讓入侵者不僅入侵陰謀未能得逞，反而“引狼入室”，招致反攻擊。
有些安全系統(tǒng)如AbacusSentry具有一定的反攻擊能力。比如有的站點(diǎn)有了防止用戶通過telnet進(jìn)行連接，在應(yīng)答telnet連接請(qǐng)求時(shí)，系統(tǒng)將返回一些不受歡迎的惡意信息。這只是一種最簡(jiǎn)單也是最輕微的反攻擊措施。
一般情況下并不提倡使用反攻擊功能，因?yàn)檫@樣的反攻擊措施很容易被非法利用來攻擊其它的系統(tǒng)。
七、改進(jìn)登錄
服務(wù)器將系統(tǒng)的登錄服務(wù)器移到一個(gè)單獨(dú)的機(jī)器中會(huì)增加系統(tǒng)的安全級(jí)別，使用一個(gè)更安全的登錄服務(wù)器來取代Linux自身的登錄工具也可以進(jìn)一步提高安全。
在大的Linux網(wǎng)絡(luò)中，最好使用一個(gè)單獨(dú)的登錄服務(wù)器用于syslog服務(wù)。它必須是一個(gè)能夠滿足所有系統(tǒng)登錄需求并且擁有足夠的磁盤空間的服務(wù)器系統(tǒng)，在這個(gè)系統(tǒng)上應(yīng)該沒有其它的服務(wù)運(yùn)行。更安全的登錄服務(wù)器會(huì)大大削弱入侵者透過登錄系統(tǒng)竄改日志文件的能力。
● 安全syslog即使使用單獨(dú)的登錄服務(wù)器，Linux自身的syslog工具也是相當(dāng)不安全的。因此，有人開發(fā)了所謂的安全log服務(wù)器，將密碼簽名集成到日志中。這會(huì)確保入侵者即使在竄改系統(tǒng)日志以后也無法做到不被發(fā)現(xiàn)�，F(xiàn)在最常用的用于取代syslog的安全log服務(wù)器稱為“安全syslog（ssyslong）”，用戶可以從CoreSDI站點(diǎn)http://www.core-sdi.com/ssylog處下載這個(gè)工具。這個(gè)守護(hù)程序?qū)崿F(xiàn)一個(gè)稱為PEQ-1的密碼協(xié)議來實(shí)現(xiàn)對(duì)系統(tǒng)日志的遠(yuǎn)程審計(jì)。即使在入侵者獲得系統(tǒng)超級(jí)用戶權(quán)限的情況下也仍然可以進(jìn)行審計(jì)，因?yàn)閰f(xié)議保證了以前以及入侵過程中的的log信息沒有審計(jì)者（在遠(yuǎn)程可信任的主機(jī)上）的通知無法被修改。
● syslog-ng另一個(gè)取代syslog的工具是syslog-ng（下一代的syslog）。這是一個(gè)更加可配置的守護(hù)進(jìn)程，它提供了密碼簽名來檢測(cè)對(duì)日志文件的竄改。密碼安全登錄服務(wù)器和遠(yuǎn)程審計(jì)功能一起可以使入侵者極難進(jìn)行日志竄改并且非常容易被檢測(cè)到這樣的不良企圖。用戶可以從www.babit.hu/products/syslog-ng.html處下載這個(gè)工具。
八、使用單一登錄
系統(tǒng)維護(hù)分散的大網(wǎng)絡(luò)環(huán)境中的多個(gè)用戶帳號(hào)對(duì)于系統(tǒng)管理員來講是一件非常頭疼的事情�，F(xiàn)在有一些單一的登錄（signon）系統(tǒng)不僅可以減輕管理員的負(fù)擔(dān)，而同時(shí)還提高了安全級(jí)別。
網(wǎng)絡(luò)信息服務(wù)（NIS）是一個(gè)很好的單一登錄系統(tǒng)，它在Sun公司的YellowPage服務(wù)的基礎(chǔ)上發(fā)展來的，它的基本安全特性不夠健狀，由于不斷有一些bug和脆弱性被公布，因此有人戲稱它為網(wǎng)絡(luò)入侵者服務(wù)（NetworkIntruderService）。NIS的更新版本NIS+原NIS的不足進(jìn)行了改進(jìn)，現(xiàn)在已經(jīng)有了用于Linux的NIS+版本。
Kerberos也是一種非常有名的單一登錄系統(tǒng)。Kerberosv4具有一些很有名的安全漏洞，如入侵者可以離線進(jìn)行窮盡攻擊Kerberoscookie而不會(huì)被發(fā)現(xiàn)。Ketberosv5大大進(jìn)行了改進(jìn)，不會(huì)再有v4的問題。
在大的網(wǎng)絡(luò)中，象NIS和Kerberos這樣的單一的登錄系統(tǒng)雖然有有利的一面，但也有它不利的一面。一方面，在不同系統(tǒng)上都具有認(rèn)證機(jī)制有助于隔離該功能并且減少它與其它服務(wù)相互之間的影響。另一方面，一旦一個(gè)系統(tǒng)中的某個(gè)帳號(hào)被破壞，所有可通過這個(gè)帳號(hào)訪問的系統(tǒng)都將同樣遭到破壞。因此在單一的登錄系統(tǒng)中特別要求具有較高防猜測(cè)水平的口令字。
基于Windows的網(wǎng)絡(luò)在WindowsNT域系統(tǒng)中有自己的單一登錄系統(tǒng)。Linux系統(tǒng)可以根據(jù)Windows系統(tǒng)進(jìn)行認(rèn)證。這允許用戶在Windows系統(tǒng)下修改、維護(hù)和管理它們的帳號(hào)和口令字并且修改結(jié)果會(huì)在同時(shí)在UNIX登錄中得到體現(xiàn)。如使用pam_smb，Linux系統(tǒng)可以根據(jù)WindowsSMBDomain進(jìn)行認(rèn)證。這在以Windows網(wǎng)絡(luò)管理為中心的網(wǎng)絡(luò)中是相當(dāng)方便的，但它也帶來了Windows認(rèn)證系統(tǒng)自身的一些不安全性。
九、掌握最新安全產(chǎn)品和技術(shù)
作為一個(gè)系統(tǒng)管理員，還必須時(shí)刻跟蹤Linux安全技術(shù)的發(fā)展動(dòng)向，并且適時(shí)采用更先進(jìn)的Linux安全工具。目前國際上有許多有關(guān)Linux安全的研究和開發(fā)項(xiàng)目，目前至少有三個(gè)安全Linux項(xiàng)目已經(jīng)啟動(dòng)，每個(gè)項(xiàng)目的目標(biāo)都有自己的側(cè)重點(diǎn)，它們分別是：
● 安全Linux（SecureLinux）安全Linux（www.reseau.nl/securelinux）項(xiàng)目的目標(biāo)是提供一個(gè)用于Internet服務(wù)器系統(tǒng)的安全的Linux分發(fā)。該項(xiàng)目管理者正尋求在這個(gè)產(chǎn)品中集成強(qiáng)大的密碼和一些額外的Web服務(wù)器功能。既然它是在美國之外創(chuàng)建的，人們可望能夠得到改進(jìn)的密碼安全而不會(huì)受到美國安全產(chǎn)品出口法律的限制。
● BastilleLinuxBastilleLinux(www.bastille-linux.org）項(xiàng)目尋求在Linux環(huán)境中建立一個(gè)類似OpenBSD的標(biāo)準(zhǔn)。該項(xiàng)目宣稱的目標(biāo)是為臺(tái)式機(jī)創(chuàng)建一個(gè)安全的分發(fā)，使網(wǎng)絡(luò)管理者可以不用擔(dān)心用戶的安全。
● Kha0sLinuxKha0sLinux（www.kha0s.org）正尋求創(chuàng)建了一個(gè)具有強(qiáng)加密和類似OpenBSD的安全政策的最小的安全Linux分發(fā)。該小組目前正在它的Web站點(diǎn)上請(qǐng)求全球用戶和廠商的參與和合作。
除此之外，下面兩點(diǎn)對(duì)于管理員提高Linux安全管理水平也是十分有用的：
訪問安全Linux郵件列表現(xiàn)在有許多關(guān)于Linux安全的郵件列表，如securedistros@nl.linux.org、Kha0s-dev@kha0s.org等，經(jīng)常訪問這些郵件列表可以得到大量的安全信息。
還有另一個(gè)通用的郵件列表是security-audit@ferret.lmh.ox.ac.uk，它是專門討論源代碼的安全審計(jì)的。這個(gè)列表可能與其它的郵件列表有大量的重復(fù)，但如果想了解源代碼審計(jì)和相關(guān)的安全問題的話還是很值得一讀的。
十、多管齊下
任何一種單一的安全措施其防范能力都是有限的，一個(gè)安全的系統(tǒng)必須采取多種安全措施，多管齊下才能更好的保證安全。假如一個(gè)Linux系統(tǒng)采取了以上各種安全措施，那么要想侵入你的系統(tǒng)，攻擊者將不得不繞過防火墻、避開入侵檢測(cè)系統(tǒng)、跳過陷井程序、通過系統(tǒng)過濾器、逃過你的日志監(jiān)視器、修改文件系統(tǒng)屬性、破壞安全登錄服務(wù)器才能最終達(dá)到目的。由于其中任何一個(gè)環(huán)節(jié)都可能激發(fā)報(bào)警，因此入侵者要想侵入這樣的系統(tǒng)而又不被發(fā)現(xiàn)幾乎是不可能的。
出處：相關(guān)論壇
責(zé)任編輯：moby
上一頁 高級(jí)Linux安全管理技巧 [1] 下一頁
◎進(jìn)入論壇計(jì)算機(jī)技術(shù)版塊參加討論
|
第 1 頁 
第 2 頁 高級(jí)Linux安全管理技巧 [2]
