【正文】 的登錄日期可能就被 清除了. . /etc/passwd文件中的口令時效域?qū)⒛芨嬖V系統(tǒng)管理員,用戶的口令是否過期了,若過期,則意味著自過期以來, 系統(tǒng)記錄了久未用的戶頭,檢查過程簡單,且不需要記帳系統(tǒng)所需要的磁盤資源,缺點是也許系統(tǒng)管理員不想在系統(tǒng)上設置口令時效,而且這一方法僅在口令的最大 有效期(只有幾周)才是準確的. . 系統(tǒng)管理員可以寫一個程序,每天(和重新引導系統(tǒng)時)掃描/etc/wtmp,自己保留下用戶最后登錄時間記錄,這一方法的好處是不需要記帳程序,并且時 間準確, 心破壞系統(tǒng)安全,使其不能報告任何異常事件,也可能停止系統(tǒng)記帳,刪除記帳文件,使系統(tǒng)管理員不 :系統(tǒng)管理沒越熟悉自己的用戶和用戶的工作習慣,就越能快速發(fā)現(xiàn)系統(tǒng)中任何不尋常的事件,而不尋常的事件意味 著系統(tǒng)已被人竊密. (4)系統(tǒng)泄密后怎么辦? 發(fā)現(xiàn)有人已經(jīng)破壞了系統(tǒng)安全的時候, 不是蓄意的,而且公司沒有關于破壞安全的規(guī)章,也未造成損壞,則系統(tǒng)管理員只需清理系統(tǒng),則應當報 告有關人士,那就得做最壞的假設了:肇事者已設法成為root且本系統(tǒng)的文件和程序已經(jīng) ,他造成了什么損壞?還應當對整個文件做一次全面的檢查,并不只是檢查SUID和SGID, 安全被一個敵對的用戶破壞了,應當采用下面的步驟: . 關系統(tǒng),然后重新引導,不要進入多用戶方式,進入單用戶方式. . 安裝含有本系統(tǒng)原始UNIX版本的帶和軟盤. . 將/bin,/usr/bin,/etc,/usr/lib中的文件拷貝到一個暫存目錄中. . 將暫存目錄中所有文件的校驗和(用原始版本的suM程序拷貝做校驗和, 不 要用/bin中的suM程序做)與系統(tǒng)中所有對就的文件的校驗和進行比較,如果有任何差別,是由于安裝了新版 本的程序,用暫存目錄中的命令替換系統(tǒng)中的原有命令. . 在確認系統(tǒng)中的命令還未被竄改之前,并將PATH設置為僅在暫存目錄中搜索命令. . 根據(jù)暫存目錄中所有系統(tǒng)命令的存取許可,檢查系統(tǒng)中所有命令的存取許可. . 檢查所有系統(tǒng)目錄的存取許可,如果用了perms,檢查permlist文件是否被竄改過. . 如果系統(tǒng)UNIX(/unix)的校驗和不同于原版的校驗和,并且系統(tǒng)管理員從未修改過核心,則應當認為,一個非法者很能干,但是在檢查備份中的有趣文件之前,不能做文件恢復. . 改變系統(tǒng)中的所有口令,通知用戶他們的口令已改變,應找系統(tǒng)管理員得到新口令. . 當用戶來要新口令時,告訴用戶發(fā)生了一次安全事故,他們應查看自己的文件和目錄是否潛伏著危害(如SUID文件,特洛依木馬,任何人可寫的目錄),并報告系統(tǒng)管理員任何異乎尋常的情況. . 設法查清安全破壞是如何發(fā)生的?如果沒有肇事者說明, 統(tǒng)時,可以將shell,sum命令,所有文件的校驗和存放在安全的介質(zhì)上(帶,軟盤,硬盤和任何可以卸下并鎖焉起來的介質(zhì)).于是不必再從原版系統(tǒng)帶上 重新裝入文件,可以安裝備份介質(zhì),裝入shell和sum, 算校驗和的程序,破壞者將不能知道該程序的算法,如果將該程序及校驗和保存在帶上,這一方法的保密問題就減小到一個物理的安全問題,即只需將帶鎖起 來...... (1)加限制的shell(rsh) 該shell幾乎與普通的shell相同,但是該shell的設計能限制一個用戶的能力,不允許用戶有某些標準shell所允許的行為: . 不能改變工作目錄(cd). . 不能改變PATH或SHELL shell變量. . 不能使用含有/的命令名. . 不能重定向輸出(和). . 不能用exec執(zhí)行程序. 用 戶在登錄時,該用戶將 被注銷. 這些簡單的限制,:系統(tǒng)V加限制的shell實 際上不是很安全,(如 env,cp,ln),用戶將能逃避加限制的shell,進入非限制的shell. (2)用chroot()限制用戶 如果的確想限制一個用戶,可用chroot()子程序為用戶建立一個完全隔離的環(huán)境,改變 了進程對根目錄的概念,因此可用于將一個用戶封在整個文件系統(tǒng)的某一層目錄結(jié)構(gòu)中,使用戶無法用cd命令轉(zhuǎn)出該層目錄結(jié)構(gòu),不能存取文件系統(tǒng)中其余部分的 ,并建立用戶可用命令的鏈到系 統(tǒng)的/bin目錄中相應命令文件上(若在不同的文件系統(tǒng)則應拷貝命令文件).還應建立新的passwd文件,保留系統(tǒng)登錄戶頭(為了使ls l正確地報告與受限制的子文件系統(tǒng)中的文件相關的正確登錄名)和用戶帳戶,但系統(tǒng)帳戶的口令改為NOLOGIN以使受限制的用戶不能取得系統(tǒng)登錄的真實 口令,使破密,以便受限制的用戶可以執(zhí)行不同的啟動命令./dev目錄中的終端設備文件被鏈接到新的/dev目錄下,因為命令who ,login命令有chroot()(最 后一個域)是*,login將調(diào)用chroot()()執(zhí)行 login,()并不是把root封鎖在一個子文件系統(tǒng)中,所以給受限制用戶用的命令時 應加以考慮,交給用戶使用的命令應當取自清除了SUID ,但要記住,當與敵對用戶打交道時,鏈接到chroot目錄結(jié)構(gòu)(尤其是命令) 一個像這樣的限制環(huán)境,應確保對安裝到新的/bin的每條命令都做過測試, 行,還得在加限制的子文件系統(tǒng)中加服務目錄或文件如:/tmp, /etc/termcap, /usr/lib/terminfo,/dev/mem,/dev/kmem,/dev/swap,用戶所登錄的/dev中的tty文件以及/unix. 有些程序在子文件系統(tǒng)中運行時不會很好,如果將假脫機程序和網(wǎng)絡命令拷貝到加限制的子文件系統(tǒng)中,并放在為兩條命令專建的目錄層結(jié)構(gòu)下,它們可能也運行不 了. 任何足夠小,使小系統(tǒng)很特別而值得特別的有以下幾點: . 小系統(tǒng)的用戶比大系統(tǒng)的用戶少,通常是很小一組用戶,使系統(tǒng)管理員能熟悉每個人,安全問題可以直接地面對面處理. . 由于小UNIX系統(tǒng)管理更簡單,可能只需要一個系統(tǒng)管理員,因而維護系統(tǒng)安全的責任只有一個人擔負. . 如果既是用戶又是系統(tǒng)管理員,將不能花大量時間考慮系統(tǒng)安全. . 如果自己擁有系統(tǒng)并且是系統(tǒng)管理員,就可能有權(quán)直接將違反規(guī)的用戶從系統(tǒng)中刪除,而沒有幾個大系統(tǒng)的管理員能有這種權(quán)利. . 如果自己是系統(tǒng)的唯一用戶,則將既是用戶又是管理員,維護系統(tǒng)安全的任務就很簡單了,只須確保系統(tǒng)中所有登錄戶頭的口令是好的. . 如果不能將系統(tǒng)鎖起來,就把敏感的數(shù)據(jù)存放在軟盤上,把軟盤鎖起來. . 即使系統(tǒng)中有若干個用戶,但如果系統(tǒng)的終端之產(chǎn)是有線連接,并且用戶們保持門上鎖,則系統(tǒng)也將是安全的,至少在本組用戶內(nèi)是安全的. . 小系統(tǒng)通常有可移動的介質(zhì)(軟盤),可用mount命令將其安裝到系統(tǒng)上,提供一種安全的方法讓用戶自己在系統(tǒng)上安裝軟盤,否則系統(tǒng)管理員要一天到晚地干 ,該程序基本完成與系統(tǒng)管理員安裝用戶軟盤同樣的操作,首先檢查軟盤上有無 SUID/SGID/設備文件,若發(fā)現(xiàn)任何奇怪的文件,則拒絕安裝該軟盤. . 當小系統(tǒng)開電源后,系統(tǒng)一般在從硬盤引導以前,若軟盤不在驅(qū)動器中,系統(tǒng)將從硬盤裝入 ,包括在控制臺啟動root ,則即便系統(tǒng)有被認為防止安全事故發(fā)生的特殊微碼口令,也可能被誘 騙去從軟盤引導. . 即使小系統(tǒng)晚上不鎖,凡從不將個人的或秘密的信息存放在大系統(tǒng)上的