linux系統(tǒng)安全ppt課件(參考版)
2025-01-18 10:39本頁面
【正文】 軟件 升級為最新版本。 ，就將磁盤安裝為只讀模式。 chmod將所有系統(tǒng)目錄變更為 711模式。 sendmail有太多已知漏洞，很難修補完全。不允許諸如 tftp,sunrpc,printer,rlogin或 rexec之類的協(xié)議。 9. 限制不需密碼即可訪問的主機文件。 7. 對于重要信息，上網(wǎng)傳輸前要先進行加密。 5. 限制用戶嘗試登錄到系統(tǒng)的次數(shù)。 3. 廢除 “ 黑客 ” 可以攻擊系統(tǒng)的網(wǎng)絡(luò)服務(wù)。范例如下： iptables t mangle A PREROUTING p tcp dport 22 j MARK setmark 2 八、 防火墻 實例參考 word文件 “ Iptables配置例子 .doc” 九、 常見安全工具 參見 word文件 “ Linux下常用 安全 工具詳細(xì)介紹 ” 十、安全守則 1. 廢除系統(tǒng)所有默認(rèn)的帳號和密碼。 RETURN 結(jié)束在目前規(guī)則煉中的過濾程序，返回主規(guī)則煉繼續(xù)過濾，如果把自訂規(guī)則煉看成是一個子程序，那么這個動作，就相當(dāng)于提早結(jié)束子程序并返回到主程序中。 QUEUE 中斷過濾程序，將封包放入隊列，交給其它程序處理。 范例如下： iptables t nat A POSTROUTING p tcpo eth0 j SNAT tosource :102432021 DNAT 改寫封包目的地 IP 為某特定 IP 或 IP 范圍，可以指定 port 對應(yīng)的范圍，進行完此處理動作后，將會直接跳往下一個規(guī)則煉（ filter:input 或 filter:forward）。范例如下： iptables t nat A POSTROUTING p TCP j MASQUERADE toports 102431000 八、 防火墻 LOG 將封包相關(guān)訊息紀(jì)錄在 /var/log 中，詳細(xì)位置請查閱 /etc/ 組態(tài)檔，進行完此處理動作后，將會繼續(xù)比對其它規(guī)則。例如： iptables t nat A PREROUTING p tcp dport 80 j REDIRECT toports 8080 MASQUERADE 改寫封包來源 IP 為防火墻 NIC IP， 可以指定 port 對應(yīng)的范圍，進行完此處理動作后，直接跳往下一個規(guī)則煉（ mangle:postrouting）。 八、 防火墻 REDIRECT 將封包重新導(dǎo)向到另一個端口（ PNAT）， 進行完此處理動作后，將 會繼續(xù)比對其它規(guī)則。 REJECT 攔阻該封包，并傳送封包通知對方，可以傳送的封包有幾個選擇： ICMP portunreachable、 ICMP echoreply 或是 tcpreset（ 這個封包會要求對方關(guān)閉聯(lián)機），進行完此處理動作后，將不再比對其它規(guī)則，直接 中斷過濾程序。例如： FTPDATA 聯(lián)機必定是源自某個 FTP 聯(lián)機 。 NEW 表示該封包想要起始一個聯(lián)機（重設(shè)聯(lián)機或?qū)⒙?lián)機重導(dǎo)向）。 INVALID 表示該封包的聯(lián)機編號（ Session ID） 無法辨識或編號不正確。 八、 防火墻 *參數(shù) m owner sidowner 范例 iptables A OUTPUT m owner sidowner 100 說明 用來比對來自本機的封包，是否為某特定聯(lián)機（ Session ID）的響應(yīng)封包，使用時機同上。 *參數(shù) m owner gidowner 范例 iptables A OUTPUT m owner gidowner 0 說明 用來比對來自本機的封包，是否為某特定使用者群組所產(chǎn)生的，使用時機同上。 八、 防火墻 *參數(shù) m owner uidowner 范例 iptables A OUTPUT m owner uidowner 500 說明 用來比對來自本機的封包，是否為某特定使用者所產(chǎn)生的，這樣可以避免服務(wù)器使用 root 或其它身分將敏感數(shù)據(jù)傳送出去，可以降低系統(tǒng)被駭?shù)膿p失。 *參數(shù) m mac macsource 范例 iptables A INPUT m mac macsource 00:00:00:00:00:01 說明 用來比對封包來源網(wǎng)絡(luò)接口的硬件地址，這個參數(shù)不能用在 OUTPUT 和 Postrouting 規(guī)則煉上，這是因為封包要送出到網(wǎng)卡后，才能由網(wǎng)卡驅(qū)動程序透過 ARP 通訊協(xié)議查出目的地的 MAC 地址，所以 iptables 在進行封包比對時，并不知道封包會送到哪個網(wǎng)絡(luò)接口去。 八、 防火墻 *參數(shù) limitburst 范例 iptables A INPUT m limit limitburst 5 說明 用來比對瞬間大量封包的數(shù)量，上面的例子是用來比對一次同時涌入的封包是否超過 5 個（這是默認(rèn)值），超過此上限的封包將被直接丟棄。除了每小時平均一次外，也可以每秒鐘、每分鐘或每天平均一次，默認(rèn)值為每小時平均一次，參數(shù)如后： /second、 /minute、 /day。請打 iptables p icmp help 來查看有哪些代碼可以用。注意：在本范例中，如果來源端口號為 80 但目的地埠號為 110，這種封包并不算符合條件。 *參數(shù) m multiport destinationport 范例 iptables A INPUT p tcp m multiport destinationport 22,53,80,110 說明 用來比對不連續(xù)的多個目的地埠號，設(shè)定方式同上。 八、 防火墻 *參數(shù) syn 范例 iptables p tcp syn 說明 用來比對是否為要求聯(lián)機之 TCP 封包，與 iptables p tcp tcpflags SYN,FIN,ACK SYN 的作用完全相同，如果使用 ! 運算子，可用來比對非要求聯(lián)機封包。 TCP 狀態(tài)旗號包括： SYN（ 同步）、 ACK（ 應(yīng)答）、 FIN（ 結(jié)束）、 RST（ 重設(shè)）、 URG（ 緊急）、 PSH（ 強迫推送）等均可使用
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1