十項Linux安全管理技巧經驗匯總
此文章主要向大家描述的是十項Linux安全管理技巧的經驗匯總，以及正確保證Linux操作系統的安全將面臨最新的挑戰。同時文章也介紹了一系列實用的Linux安全管理經驗，以下就是相關內容的具體描述。
由于Linux操作系統是一個開放源代碼的免費操作系統，因此受到越來越多用戶的歡迎。隨著Linux操作系統在我國的不斷普及，有關的政府部門更是將基于Linux開發具有自主版權的操作系統提高到保衛國家信息安全的高度來看待，因此我們不難預測今后Linux操作系統在我國將得到更快更大的發展。雖然Linux與UNIX很類似，但它們之間也有一些重要的差別。對于眾多的習慣了UNIX和Windows NT的系統管理員來講，如何保證Linux操作系統的安全將面臨許多新的挑戰。本文介紹了一系列實用的Linux安全管理經驗。
一、文件系統
在Linux系統中，分別為不同的應用安裝單獨的主分區將關鍵的分區設置為只讀將大大提高文件系統的安全。這主要涉及到Linux自身的ext2文件系統的只添加(只添加)和不可變這兩大屬性。
文件分區Linux的文件系統可以分成幾個主要的分區，每個分區分別進行不同的配置和安裝，一般情況下至少要建立/、/usr/local、/var和/home等分區。/usr可以安裝成只讀并且可以被認為是不可修改的。如果/usr中有任何文件發生了改變，那么系統將立即發出安全報警。當然這不包括用戶自己改變/usr中的內容。/lib、/boot和/sbin的安裝和設置也一樣。在安裝時應該盡量將它們設置為只讀，并且對它們的文件、目錄和屬性進行的任何修改都會導致系統報警。
當然將所有主要的分區都設置為只讀是不可能的,有的分區如/var等，其自身的性質就決定了不能將它們設置為只讀，但應該不允許它具有執行權限。
擴展ext2使用ext2文件系統上的只添加和不可變這兩種文件屬性可以進一步提高安全級別。不可變和只添加屬性只是兩種擴展ext2文件系統的屬性標志的方法。一個標記為不可變的文件不能被修改，甚至不能被根用戶修改。一個標記為只添加的文件可以被修改，但只能在它的后面添加內容，即使根用戶也只能如此。
可以通過chattr命令來修改文件的這些屬性，如果要查看其屬性值的話可以使用lsattr命令。要想了解更多的關于ext2文件屬性的信息，可使用命令man chattr來尋求幫助。這兩上文件屬性在檢測黑客企圖在現有的文件中安裝入侵后門時是很有用的。為了安全起見，一旦檢測到這樣的活動就應該立即將其阻止并發出報警信息。
如果你的關鍵的文件系統安裝成只讀的并且文件被標記為不可變的，入侵者必須重新安裝系統才能刪除這些不可變的文件但這會立刻產生報警，這樣就大大減少了被非法入侵的機會。
保護log文件當與log文件和log備份一起使用時不可變和只添加這兩種文件屬性特別有用。系統Linux安全管理管理員應該將活動的log文件屬性設置為只添加。當log被更新時，新產生的log備份文件屬性應該設置成不可變的，而新的活動的log文件屬性又變成了只添加。這通常需要在log更新腳本中添加一些控制命令。
二、備份
在完成Linux系統的安裝以后應該對整個系統進行備份，以后可以根據這個備份來驗證系統的完整性，這樣就可以發現系統文件是否被非法竄改過。如果發生系統文件已經被破壞的情況，也可以使用系統備份來恢復到正常的狀態。
CD-ROM備份當前最好的系統備份介質就是CD-ROM光盤，以后可以定期將系統與光盤內容進行比較以驗證系統的完整性是否遭到破壞。如果對安全級別的要求特別高，那么可以將光盤設置為可啟動的并且將驗證工作作為系統啟動過程的一部分。這樣只要可以通過光盤啟動，就說明系統尚未被破壞過。
如果你創建了一個只讀的分區，那么可以定期從光盤映像重新裝載它們。即使象/boot、/lib和/sbin這樣不能被安裝成只讀的分區，你仍然可以根據光盤映像來檢查它們，甚至可以在啟動時從另一個安全的映像重新下載它們。
其它方式的備份雖然/etc中的許多文件經常會變化，但/etc中的許多內容仍然可以放到光盤上用于系統完整性驗證。其它不經常進行修改的文件，可以備份到另一個系統(如磁帶)或壓縮到一個只讀的目錄中。這種辦法可以在使用光盤映像進行驗證的基礎上再進行額外的系統完整性檢查。
既然現在絕大多數操作系統現在都在隨光盤一起提供的，制作一個CD-ROM緊急啟動盤或驗證盤操作起來是十分方便的，它是一種十分有效而又可行的驗證方法。
以上的相關內容就是對十項Linux安全管理技巧經驗總結的介紹，望你能有所收獲。
【編輯推薦】
