關(guān)于分區(qū)
一個(gè)潛在的黑客如果要攻擊你的Linux服務(wù)器,他首先就會(huì)嘗試緩沖區(qū)溢出。在過去的幾年中,以緩沖區(qū)溢出為類型的安全漏洞是最為常見的一種形式了。更為嚴(yán)重的是,緩沖區(qū)溢出漏洞占了遠(yuǎn)程網(wǎng)絡(luò)攻擊的絕大多數(shù),這種攻擊可以輕易使得一個(gè)匿名的Internet用戶有機(jī)會(huì)獲得一臺(tái)主機(jī)的部分或全部的控制權(quán)!
為了防止此類攻擊,我們從安裝系統(tǒng)時(shí)就應(yīng)該注意。如果用root分區(qū)紀(jì)錄數(shù)據(jù),如log文件和email,就可能因?yàn)榫芙^服務(wù)產(chǎn)生大量日志或垃圾郵件,從而導(dǎo)致系統(tǒng)崩潰。所以建議為/var開辟單獨(dú)的分區(qū),用來存放日志和郵件,以避免root分區(qū)被溢出。最好為特殊的應(yīng)用程序單獨(dú)開一個(gè)分區(qū),特別是可以產(chǎn)生大量日志的程序,還有建議為/home單獨(dú)分一個(gè)區(qū),這樣他們就不能填滿/分區(qū)了,從而就避免了部分針對Linux分區(qū)溢出的惡意攻擊。
關(guān)于BIOS
記著要在BIOS設(shè)置中設(shè)定一個(gè)BIOS密碼,不接收軟盤啟動(dòng)。這樣可以阻止不懷好意的人用專門的啟動(dòng)盤啟動(dòng)你的Linux系統(tǒng),并避免別人更改BIOS設(shè)置,如更改軟盤啟動(dòng)設(shè)置或不彈出密碼框直接啟動(dòng)服務(wù)器等等。
關(guān)于口令
口令是系統(tǒng)中認(rèn)證用戶的主要手段,系統(tǒng)安裝時(shí)默認(rèn)的口令最小長度通常為5,但為保證口令不易被猜測攻擊,可增加口令的最小長度,至少等于8。為此,需修改文件/etc/login.defs中參數(shù)PASS_MIN_LEN(口令最小長度)。同時(shí)應(yīng)限制口令使用時(shí)間,保證定期更換口令,建議修改參數(shù)PASS_MIN_DAYS(口令使用時(shí)間)。
關(guān)于Ping
既然沒有人能ping通你的機(jī)器并收到響應(yīng),你可以大大增強(qiáng)你的站點(diǎn)的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local,以使每次啟動(dòng)后自動(dòng)運(yùn)行,這樣就可以阻止你的系統(tǒng)響應(yīng)任何從外部/內(nèi)部來的ping請求。
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
關(guān)于Telnet
如果你希望用戶用Telnet遠(yuǎn)程登錄到你的服務(wù)器時(shí)不要顯示操作系統(tǒng)和版本信息(可以避免有針對性的漏洞攻擊),你應(yīng)該改寫/etc/inetd.conf中的一行象下面這樣:
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h
加-h標(biāo)志在最后使得telnet后臺(tái)不要顯示系統(tǒng)信息,而僅僅顯示login。
關(guān)于特權(quán)賬號(hào)
禁止所有默認(rèn)的被操作系統(tǒng)本身啟動(dòng)的且不需要的帳號(hào),當(dāng)你第一次裝上系統(tǒng)時(shí)就應(yīng)該做此檢查,Linux提供了各種帳號(hào),你可能不需要,如果你不需要這個(gè)帳號(hào),就移走它,你有的帳號(hào)越多,就越容易受到攻擊。
為刪除你系統(tǒng)上的用戶,用下面的命令:userdel username
為刪除你系統(tǒng)上的組用戶帳號(hào),用下面的命令:groupdel username
在終端上打入下面的命令刪掉下面的特權(quán)用賬號(hào):
userdel adm
申請創(chuàng)業(yè)報(bào)道,分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處,共同探討創(chuàng)業(yè)新機(jī)遇!