【正文】 e) 把用戶從郵件別名文件中刪除(/etc/sendmail/aliases)。 c) 刪除用戶的起始目錄及其內(nèi)容。 2. 刪除帳號(hào) a) 殺死任何屬于該用戶的進(jìn)程或打印任務(wù)。 4. 公共帳號(hào) 原則上每個(gè)用戶必須有自己的帳號(hào)，若一個(gè)系統(tǒng)必須提供 guest帳號(hào)，則設(shè)置一個(gè)每天改變的口令。 2. 單獨(dú)命令帳號(hào) 如 date、 finger 、 halt等帳號(hào)。 具有合法用戶權(quán)限的攻擊者利用權(quán)限提升的漏洞來獲得管理員權(quán)限 一些提供遠(yuǎn)程服務(wù)的進(jìn)程沒有限制訪問 ,被遠(yuǎn)程溢出 UNIX的安全威脅 管理類的威脅 1. 缺乏本地安全策略 2. 沒有重視多余服務(wù)進(jìn)程的危害性 3. 錯(cuò)誤的配置 4. 弱口令 技術(shù)類的威脅 1. 軟件本身的缺陷 (緩沖區(qū)溢出 ) 2. 會(huì)話劫持 ,竊聽等 …… UNIX安全威脅的種類 ? UNIX系統(tǒng)安全基礎(chǔ) 本地 (物理 )安全 系統(tǒng)補(bǔ)丁 安全配置 網(wǎng)絡(luò)安全 安全管理策略 物理安全 保護(hù)硬件環(huán)境 ； 保護(hù)硬件； 關(guān)閉不用的接口：并行口、串行、紅外或 USB； 設(shè)置開機(jī)口令； 嚴(yán)格限制對(duì)系統(tǒng)的物理存儲(chǔ)； 安裝操作系統(tǒng)時(shí)應(yīng)該在非生產(chǎn)的網(wǎng)絡(luò)中，或放置在斷開的網(wǎng)絡(luò)中； 使用第二系統(tǒng)來接收廠商提供的升級(jí)報(bào)或補(bǔ)丁程序 系統(tǒng)安裝 使用常規(guī)介質(zhì)；備份可能包括改變的代碼 對(duì)于具有網(wǎng)絡(luò)功能的設(shè)備只安裝必要的選項(xiàng) 系統(tǒng)安裝結(jié)束后，將最新的補(bǔ)丁程序打上 去掉不用的用戶名或者修改其密碼 使用第二系統(tǒng)來獲得補(bǔ)丁程序 在正式裝補(bǔ)丁程序前需要校驗(yàn) (md5sum) 隨時(shí)注意并更新系統(tǒng)和軟件補(bǔ)丁 日志審計(jì) 審計(jì)特性 : 1. 操作系統(tǒng)都具有一些審計(jì)與日志的功能 2. 安全配置的操作系統(tǒng)應(yīng)使用這些特性 3. 審計(jì)與日志會(huì)紀(jì)錄各種應(yīng)用軟件的事件，系統(tǒng)消息及用戶活動(dòng)，例如用戶登陸等。*NIX系統(tǒng)安全 曹鵬 資深安全顧問， CISP, CCID安全專欄作家 東軟 NETEYE策劃部 北京 169。2022 Neteye. All rights reserved. Confidential – Do Not Copy or Distribute 四月 2022 1. 認(rèn)識(shí) UNIX系統(tǒng) 2. 了解 UNIX系統(tǒng)的基本安全知識(shí)和安全配置 3. 如何安全配置常用的服務(wù)進(jìn)程 4. 了解 UNIX下常用安全工具的使用 5. 了解系統(tǒng)入侵 通過本課程的學(xué)習(xí)，將使您掌握以下知識(shí)： 系統(tǒng)安全基礎(chǔ) 1. 安全的首要問題是用戶的安全意識(shí)不足 2. 安全產(chǎn)品解決不了所有的安全問題 3. 突破防火墻的途徑 4. 安全的相對(duì)性和暫時(shí)性 5. 真正的安全來自于安全配置的操作系統(tǒng) 以及完善的用戶管理制度 配置安全操作系統(tǒng)的關(guān)鍵： 1. 去掉不必要的服務(wù) 2. 去掉默認(rèn)的用戶賬戶 3. 使用強(qiáng)壯的口令 4. 嚴(yán)格設(shè)置文件讀寫權(quán)限 5. 激活審計(jì)與日志功能 6. 關(guān)注各種漏洞的發(fā)布和及時(shí)升級(jí)補(bǔ)丁 7. 物理環(huán)境的安全 8. 設(shè)置 nonexec stack 系統(tǒng)安全基礎(chǔ) 課程模塊 Module 1: UNIX系統(tǒng)基本知識(shí) Module 2: UNIX系統(tǒng)基本安全知識(shí)和安全配置 Module 3: UNIX常用服務(wù)進(jìn)程的安全配置 Module 4: UNIX下 常用安全工具介紹 Module 5: 了解系統(tǒng)入侵 Module 6: Linux系統(tǒng)配置經(jīng)驗(yàn) Module 1: UNIX系統(tǒng)基本知識(shí) 操作系統(tǒng)簡(jiǎn)介 1. 安裝在硬件設(shè)備上的軟件； 2. 允許系統(tǒng)執(zhí)行基本功能的軟件； 3. 多數(shù)網(wǎng)絡(luò)設(shè)備通過網(wǎng)絡(luò)操作系統(tǒng)執(zhí)行基本的網(wǎng)絡(luò)服務(wù)； 操作系統(tǒng) UNIX系統(tǒng)概況 什么是 UNIX? UNIX是 : 1. Novell公司的注冊(cè)商標(biāo) 2. 多任務(wù)、多用戶的操作系統(tǒng) 3. 相關(guān)操作系統(tǒng)應(yīng)用工具、編譯程序的總稱 4. 功能豐富的可擴(kuò)展、開放的計(jì)算環(huán)境 UNIX簡(jiǎn)介 在互聯(lián)網(wǎng)上應(yīng)用最廣 種類最多 有多家廠商提供不同的版本 UNIX變種關(guān)系圖 Module 2: UNIX系統(tǒng)基本安全知識(shí)和安全配置 系統(tǒng)安全基礎(chǔ) 安全來自于安全配置的操作系統(tǒng) 許多安全問題源于系統(tǒng)的部署和薄弱的配置 … 1. 默認(rèn)配置 2. 改變的二進(jìn)制代碼 3. 未授權(quán)訪問 默認(rèn)配置 與默認(rèn)配置有關(guān)的系統(tǒng)風(fēng)險(xiǎn) : 1. 許多特征與服務(wù)是可用的； 2. 默認(rèn)的用戶賬戶被打開 : 3. Guest 賬戶 4. 空口令賬戶 5. 寬松的訪問控制 改變的二進(jìn)制代碼 攻擊者可能會(huì)利用弱配置的系統(tǒng)，改變的系統(tǒng)文件或植入木馬程序 . 損害的操作系統(tǒng)呈現(xiàn)以下的危險(xiǎn)： 2. 密碼泄露 3. 系統(tǒng)安全措施失效 4. 不可靠的系統(tǒng)或?qū)徲?jì)日志 未授權(quán)訪問 默認(rèn)賬戶或合法用戶賬戶僅通過簡(jiǎn)單的口令進(jìn)行防護(hù)，這為攻擊者提供一個(gè)進(jìn)入系統(tǒng)的簡(jiǎn)單的攻擊點(diǎn)。 4. 應(yīng)用服務(wù)進(jìn)程自身也有日志功能 日志審計(jì) 1. 提供一種追蹤用戶活動(dòng)的方法 2. 系統(tǒng)管理員可以知道系統(tǒng)的日?；顒?dòng) 3. 及時(shí)了解和處理安全事件 4. 它是一種在安全事件發(fā)生后，可以提供法律證據(jù)的機(jī)制 為什么要啟用審計(jì) ? 日志審計(jì) 1. 在 UNIX中 , 主要的審計(jì)工具是 syslogd, 2. 可以通過配置這個(gè)后臺(tái)進(jìn)程程序，可以提供各種水平的系統(tǒng)審計(jì)和指定輸出目錄 如何啟用審計(jì) ? 帳號(hào)安全基礎(chǔ) 選擇復(fù)雜口令的意義 : 防止兩層攻擊 人類傾向于使用易于猜測(cè)到的口令 , 這在使用字典猜測(cè)攻擊面前變得非常脆弱 口令選擇的弱點(diǎn) : 選擇口令的原則 如何選擇口令 ? 1. 嚴(yán)禁使用空口令和與用戶名相同的口令 2. 不要選擇可以在任何字典或語言中找到的口令 3. 不要選擇簡(jiǎn)單字母組成的口令 4. 不要選擇任何和個(gè)人信息有關(guān)的口令 5. 不要選擇短于 6個(gè)字符或僅包含字母或數(shù)字 6. 不要選擇作為口令范例公布的口令 7. 采取數(shù)字混合并且易于記憶 口令的管理 如何保管好自己的口令 ? 1. 不要把口令寫在紙上 2. 不要把口令貼到任何計(jì)算機(jī)的硬件上面 3. 不要把口令以文件的形式放在計(jì)算機(jī)里 4. 不要把口令與人共享 5. 防止信任欺騙 (電話 ,Email等 ) Passwd文件剖析 : name:codedpasswd:UID:GID:userinfo:homedirectory:shell 2. 條目例子 : jrandom:Npge08fdehjkl:523:100:J. Random:/home/jrandom:/bin/sh 3. 密文的組成 Salt + 口令的密文 Np ge08fdehjkl 帳號(hào)管理 1. 偽用戶帳號(hào) 通常不被登錄，而是進(jìn)程和文件所有權(quán)保留位置，如 bin、 daemon、 mail和 uucp等。 3. 相應(yīng)策略 檢查 /etc/passwd文件，確?？诹钣蛑惺? “ *”，而非空白。最好是設(shè)置受限 shell,并且做 chroot限制 . 禁用或刪除帳號(hào) 在 /etc/passwd文件中用戶名前加一個(gè)“ ‖，把“ ‖去掉即可取消限制。 b) 檢查用戶的起始目錄并為任何需要保存的東西制作備份。 d) 刪除用戶的郵件文件 (/var/spool/mail)。 保護(hù) root 除非必要，避免以超級(jí)用戶登錄。 不要隨意把 root shell留在終端上。 不要把當(dāng)前目錄 (― . /‖)和 普通用戶的 bin目錄放在 root帳號(hào)的 環(huán)境變量 PATH中。 鞏固帳號(hào)安全 加強(qiáng)口令安全 1. 策略傳播 (對(duì)用戶培訓(xùn)和宣傳 ) 2. 進(jìn)行口令檢查 3. 產(chǎn)生隨機(jī)口令 4. 口令更新 5. 設(shè)置口令失效時(shí)間 鞏固帳號(hào)安全 使用影子口令 (shadow)文件 組成 /etc/passwd ：口令域置為“ X‖或其它替代符號(hào)。 設(shè)置影子口令 在可選影子口令系統(tǒng)中，執(zhí)行 pwconv命令。 2. 口令在兩次修改間的最小天數(shù)。 4. 口令更改前向用戶發(fā)出警告的天數(shù)。 6. 自從 1970/1/1起帳號(hào)被禁用的天數(shù)。 示例： root:*:10612:0:99999:7::: /etc/shadow文件剖析 文件系統(tǒng)的安全 文件類型 1. 普通文件 ——文本文件，二進(jìn)制文件。 3. 特殊文件 ——/dev目錄下的設(shè)備文件等。 5. Sockets——進(jìn)程間通信時(shí)使用的特殊文件。 2. GID ——文件的權(quán)限設(shè)置。