提升Linux系统安全系数的十大策略发布时间:2011-3-0710:09作者:未知来源:51Testing软件测试网采编字体:HYPERLINK"javascript:doZoom('12');"\t"_self"小HYPERLINK"javascript:doZoom('14');"\t"_self"中HYPERLINK"javascript:doZoom('16');"\t"_self"大|HYPERLINK"http://www.51testing.com/batch.common.php?action=viewnews&op=up&itemid=229485&catid=96"\t"_self"上一篇HYPERLINK"http://www.51testing.com/batch.common.php?action=viewnews&op=down&itemid=229485&catid=96"\t"_self"下一篇|HYPERLINK"javascript:doPrint();"\t"_self"打印|HYPERLINK"http://bbs.51testing.com/thread-77515-1-1.html"\t"_blank"我要投稿|推荐标签：HYPERLINK"http://www.51testing.com/?action-tag-tagname-Linux"\t"_blank"LinuxHYPERLINK"http://www.51testing.com/?action-tag-tagname-%B2%D9%D7%F7%CF%B5%CD%B3"\t"_blank"操作系统一、取消不必要的服务早期的Unix版本中，每一个不同的网络服务都有一个服务程序在后台运行，后来的版本用统一的/etc/inetd服务器程序担此重任。Inetd是Internetdaemon的缩写，它同时监视多个网络端口，一旦接收到外界传来的连接信息，就执行相应的TCP或UDP网络服务。由于受inetd的统一指挥，因此HYPERLINK"javascript:;"\t"_self"Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检查/etc/inetd.conf文件，在不要的服务前加上“＃”号。一般来说，除了http、smtp、telnet和ftp之外，HYPERLINK"javascript:;"\t"_self"其他服务都应该取消，诸如简单文件传输协议tftp、网络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和time等。还有一些报告系统状态的服务，如finger、efinger、systat和netstat等，虽然对系统查错和寻找用户非常有用，但也给黑客提供了方便之门。例如，黑客可以利用finger服务查找用户的电话、使用目录以及其他重要信息。因此，很多Linux系统将这些服务全部取消或部分取消，以增强系统的安全性。Inetd除了利用/etc/inetd.conf设置系统服务项之外，还利用/etc/services文件查找各项服务所使用的端口。因此，用户必须仔细检查该文件中各端口的设定，以免有安全上的漏洞。在Linux中有两种不同的服务型态：一种是仅在有需要时才执行的服务，如finger服务；另一种是一直在执行的永不停顿的服务。这类服务在系统启动时就开始执行，因此不能靠修改inetd来停止其服务，而只能从修改/etc/rc.d/rc[n].d/文件或用Runleveleditor去修改它。提供文件服务的NFS服务器和提供NNTP新闻服务的news都属于这类服务，如果没有必要，最好取消这些服务。二、限制系统的出入在进入Linux系统之前，所有用户都需要登录，也就是说，用户需要输入用户账号和密码，只有它们通过系统验证之后，用户才能进入系统。与其他Unix操作系统一样，Linux一般将密码加密之后，存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件，虽然文件中保存的密码已经经过加密，但仍然不太安全。因为一般的用户可以利用现成的密码破译工具，以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅读该文件。在Linux系统中，如果要采用影子文件，必须将所有的公用程序重新编译，才能支持影子文件。这种方法比较麻烦，比较简便的方法是采用插入式验证模块（PAM）。很多Linux系统都带有Linux的工具程序PAM，它是一种身份验证机制