精品国产一级在线观看,国产成人综合久久精品亚洲,免费一级欧美大片在线观看

很多人認為Linux天然安全——這顯然是種荒謬的誤解。想象一下，如果我們的筆記本設備未經安全保護且被他人盜取，那么對方往往能夠輕松猜到我們的用戶名為“root”而密碼為“toor”——因為這是大多數人都在無腦使用的默認組合。如果是這樣，Linux的安全性體現在哪里?

為了避免上述問題的出現，我們將通過本篇文章共享15項重要心得，幫助大家在多種Linux發行版當中利用其中的通用邏輯實現安全性強化。

1-記錄主機信息

在進行系統保護之前，我們首先需要創建一份文檔，其中包含全部待檢查條目。另外，在文檔開頭，大家還需要包含以下Linux主機信息：

設備名稱

IP地址

Mac地址

實施安全強化工作的人員姓名

日期

資產編號(如果在企業當中，則需要包含用于標記主機的資產編號)

2-BIOS保護

需要利用密碼保護主機BIOS，避免最終用戶變更或者覆蓋其中的安全設定。每一家計算機制造商都會提供不同的BIOS模式進入方式，接下來則是設定理想的管理密碼。

之后，大家需要禁用外部介質啟動(USB/CD/DVD)。如果不變更此配置，那么任何人都能夠利用U盤啟動系統并訪問其中的數據。

最新的服務器主板內包含一套內部Web服務器，大家可以對其進行遠程訪問。確保變更管理頁面中的默認密碼或者在可行時加以禁用。

3-硬盤加密(保密)

大多數Linux發行版允許大家在安裝前對磁盤進行加密。磁盤加密非常重要，特別是考慮到設備失竊這種可能性的存在。

如下圖所示，大家可以從列表中選擇第三個選項：Guided-use entire disk and set up encrypted LVM(LVM代表邏輯分卷管理器)。

　　如果您的Linux發行版不支持加密，則可選擇TrueCrypt等軟件方案。

　　4-磁盤保護(可用性)

備份對于系統受損以及系統更新bug等問題擁有良好的解決效果。對于重要服務器，我們可以考慮將備份數據傳輸至異地以實現災難恢復。在設計備份方案時，大家需要考慮幾項重要問題，包括舊備份需要保留多久、何時需要進行系統備份(每天一次抑或每周一次)等。

關鍵性系統應分為多個不同分區：

/

/boot

/usr

/home

/tmp

/var

/opt

磁盤分區允許大家在遭遇系統錯誤時保持其性能與安全性。如下圖所示，大家可以看到該選項如何在Kali Linux的安裝過程中進行分區劃分。

　　5-鎖定引導目錄

引導目錄中包含有與Linux內核密切相關的重要文件，因此大家需要確保此目錄被鎖定為只讀模式。首先，打開“fstab”文件。

　　此后，在末尾添加最后的高亮行。

　　完成文件編輯后，大家需要執行以下命令設定其擁有者：

#chown root:root /etc/fstab

此后，我設置了幾項權限用以保護引導設置：

將擁有者與/etc/grub.conf組設定為root用戶：

#chown root:root /etc/grub.conf

在/etc/grub.conf文件上將權限設定為僅root可讀寫：

#chmod og-rwx /etc/grub.conf

單用戶模式要求使用驗證：

#sed -i "/SINGLE/s/sushell/sulogin/" /etc/sysconfig/init

#sed -i "/PROMPT/s/yes/no/" /etc/sysconfig/init

6-禁用USB

某些高重要度系統需要禁用U盤使用。我們可以通過多種方式拒絕U盤存儲介質的接入，以下介紹一種較為普遍的作法：

利用文本編輯器打開 “blacklist.conf” 文件:

#nano /etc/modprobe.d/blacklist.conf

打開后，將以下行添加至文件內容末尾(而后保存并退出):

blacklist usb_storage

此后，打開rc.local文件:

#nano /etc/rc.local

最后，添加以下兩行：

modprobe -r usb_storage

exit 0

7-系統更新

在首次引導完成后，我們必須馬上進行系統更新。總體來講，大家只需要打開終端窗口并執行對應命令即可。在Kali Linux中，大家可以執行如下圖所示的命令：

　　8-檢查已安裝軟件包

列出Linux系統中已經安裝的全部軟件包，并將其中不必要的部分移除。大家需要以嚴格的方式進行篩選，這對于Linux服務器的安全保障非常重要。下面來看如何在Kali Linux中列出全部已有軟件包：

請注意，禁用不必要的服務能夠有效削減攻擊面，因此如果大家在自己的Linux服務器中找到了以下服務，請馬上將其移除：

Telnet server

RSH server

NIS server

TFTP server

TALK server

9-檢查開放端口

正確識別指向互聯網的開放端口非常重要。在Kali Linux中，可使用以下命令以找到任意隱藏的開放端口：

　　10-保護SSH

是的，SSH確實很安全，但大家仍然需要對其加以保護。首先，如果大家能夠禁用SSH，那這本身就是個問題。另外，如果要切實加以使用，大家還需要調整SSH的默認配置。前往/etc/ssh并打開sshd_config文件。

　　將默認端口數22變更為其它，例如99。

確保root無法通過SSH進行遠程登錄：

PermitRootLogin no

允許部分特定用戶接入：

AllowUsers [username]

當然，需要調整的內容遠不止如此。例如，某些企業會添加屏蔽機制以避免攻擊者的進一步深入。我建議大家查看SSH手冊以了解此文件中全部配置的含義。

以下為大家需要確保sshd_config文件中存在的部分其它選項：

Protocol2

IgnoreRhosts to yes

HostbasedAuthentication no

PermitEmptyPasswords no

X11Forwarding no

MaxAuthTries 5

Ciphers aes128-ctr,aes192-ctr,aes256-ctr

ClientAliveInterval 900

ClientAliveCountMax 0

UsePAM yes

最后，在sshd_config上設置權限以確保只有root用戶能夠對其內容進行變更：

#chown root:root /etc/ssh/sshd_config

#chmod 600 /etc/ssh/sshd_config

11- 啟用SELinux

安全強化Linux，即SELinux，是一項內核安全保護機制，用于支持訪問控制安全策略。SELinux擁有以下三種配置模式：

Disabled: 關閉

Permissive: 輸出警告

Enforcing: 執行策略

使用文本編輯器打開config文件：

#nano /etc/selinux/config

確保其中的策略得到執行：

SELINUX=enforcing

　　12- 網絡參數

保護Linux主機網絡活動同樣非常重要。不要假定防火墻能夠搞定一切問題。下面來看在保護主機網絡時需要認真考慮的幾項核心問題：

- 禁用IP轉發：在“/etc/sysctl.conf”中將net.ipv4.ip_forward參數設定為0。

- 禁用發送包重新定向：在“/etc/sysctl.conf”中將net.ipv4.conf.all.send_redirects與net.ipv4.conf.default.send_redirects參數設定為0。

- 禁用ICMP重新定向接受：在“/etc/sysctl.conf”中net.ipv4.conf.all.accept_redirects將與net.ipv4.conf.default.accept_redirects參數設定為0。

- 啟用惡性錯誤消息保護：在“/etc/sysctl.conf”中將net.ipv4.icmp_ignore_bogus_error_responses參數設定為1。

我強烈建議大家在Linux防火墻中應用iptable規則并過濾全部輸入、輸出以及轉發數據包。配置適合自身需求的iptable需要耗費一定時間，但這一切都是值得的。

13- 密碼策略

人們常常會重復使用密碼，而這顯然是一種糟糕的安全實踐。原有密碼會被存儲在/etc/security/opasswd文件當中。我們將利用PAM模塊以管理Linux主機的安全策略。在debian發行版中，打開/etc/pam.d/common-password文件并添加以下兩行：

auth sufficient pam_unix.so likeauth nullok

password sufficient pam_unix.so remember=4 (意味著用戶無法重復使用以往使用過的最后四條密碼。)

另一項需要強制執行的策略為強密碼要求。PAM模塊提供的pam_cracklib能夠保護服務器免受詞典及暴力破解攻擊的危害。要完成這項任務，打開/etc/pam.d/system-auth文件并添加以下行：

/lib/security/$ISA/pam_cracklib.so retry=3 minlen=8 lcredit=-1 ucredit=-2 dcredit=-2 ocredit=-1

Linux會對密碼進行散列處理，以避免其被保存為明文形式。因此，我們需要確保將安全密碼定義中的散列算法設定為SHA512。

另一項有趣的功能是在五次失敗嘗試后鎖定該賬戶。要實現這一效果，大家需要打開/etc/pam.d/password-auth文件并添加以下行：

auth required pam_env.so

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=604800

auth [success=1 default=bad] pam_unix.so

auth [default=die] pam_faillock.so authfail audit deny=5 unlock_time=604800

auth sufficient pam_faillock.so authsucc audit deny=5 unlock_time=604800

auth required pam_deny.so

到這里還沒有完成，我們還需要額外一項步驟。打開/etc/pam.d/system-auth文件并確保添加以下內容：

auth required pam_env.so

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=604800

auth [success=1 default=bad] pam_unix.so

auth [default=die] pam_faillock.so authfail audit deny=5 unlock_time=604800

auth sufficient pam_faillock.so authsucc audit deny=5 unlock_time=604800

auth required pam_deny.so

在五次失敗嘗試后，只有管理員能夠使用以下命令解鎖該賬戶：

# /usr/sbin/faillock --user --reset