詢問(wèn)一個(gè)大企業(yè)的網(wǎng)絡(luò)管理員，讓他比較一下Linux，WindowsNT和Novell這三個(gè)網(wǎng)絡(luò)操作系統(tǒng)，很可能他會(huì)認(rèn)為L(zhǎng)inux是一個(gè)天生更具堅(jiān)固性和可伸縮性的解決方案。但他也很可能同樣會(huì)認(rèn)為當(dāng)面對(duì)外部攻擊時(shí)，如果要增強(qiáng)系統(tǒng)安全性的話，Linux是三個(gè)系統(tǒng)中最難處理的一個(gè)。

這種感覺(jué)并不少見(jiàn)——許多新接觸Linux的網(wǎng)絡(luò)管理員都發(fā)現(xiàn)自己難以從簡(jiǎn)單點(diǎn)擊配置的安全設(shè)置接口，轉(zhuǎn)換到一個(gè)基于復(fù)雜難懂可編輯文本文件（且難以尋找）的安全接口。絕大多數(shù)管理員都了解人為設(shè)置一些路障和陷阱以對(duì)付黑客的必要性，并保證你的企業(yè)數(shù)據(jù)安全；不過(guò)，在他們并不熟悉的Linux世界里，他們只是不太清楚他們應(yīng)當(dāng)做些什么，或者是從哪里下手。

本文描述了一些管理員可以輕松做到的事情，從而令他們的Linux服務(wù)器變得更加安全，并可以顯著降低他們所面對(duì)的風(fēng)險(xiǎn)。這個(gè)教程列出了7件事項(xiàng)，不過(guò)你可以在Linux的手冊(cè)和論壇上找到更多的有關(guān)資料。

1.保護(hù)root帳戶
Linux系統(tǒng)上的root帳戶（或superuser帳戶）就像是一個(gè)音樂(lè)廳的后臺(tái)通道——它能讓你對(duì)任何事物做任何事情?；谶@個(gè)原因，采取一些額外步驟來(lái)保護(hù)它也是值得的。從使用passwd命令為它設(shè)置一個(gè)難于猜測(cè)的口令作為開(kāi)始，定期修改口令，并嚴(yán)格限制企業(yè)之中僅有少數(shù)關(guān)鍵人知道該口令（理想狀態(tài)是僅有兩個(gè)人知道）。

下一步，通過(guò)編輯etcecuretty，限制可以進(jìn)行root登錄的終端。要想避免因用戶暫時(shí)離開(kāi)而導(dǎo)致root終端被人所用，可以通過(guò)設(shè)置本地變量TMOUT，為root的登錄設(shè)置一個(gè)非活動(dòng)的超時(shí)時(shí)間，并通過(guò)設(shè)置本地變量HISTFILESIZE為0，以保證root的命令行歷史（可能含有敏感信息）被禁止。最后，執(zhí)行一個(gè)策略，只使用該帳戶來(lái)執(zhí)行特定的管理任務(wù)，并阻止用戶以root作為默認(rèn)登錄。

小技巧：一旦你已經(jīng)關(guān)閉了上述漏洞，下一步就是要求任何一個(gè)普通用戶帳戶必須設(shè)置一個(gè)口令，而且該口令不應(yīng)當(dāng)很容易被猜出來(lái)，比如用用戶的生日，用戶的名字，或是一個(gè)詞典中能查到的單詞。

2.安裝防火墻
一個(gè)防火墻讓你可以對(duì)進(jìn)出服務(wù)器的數(shù)據(jù)包進(jìn)行過(guò)濾，確保只有那些符合預(yù)先制定好規(guī)則的數(shù)據(jù)才可以被允許正常出入。在Linux下有許多優(yōu)秀的防火墻可用，而且防火墻的代碼甚至可以直接被編譯到核心里。使用ipchains或iptables命令，以定義數(shù)據(jù)包的輸入，輸出以及轉(zhuǎn)發(fā)規(guī)則作為開(kāi)始，限定數(shù)據(jù)包如何進(jìn)出網(wǎng)絡(luò)。規(guī)則可以基于IP地址，網(wǎng)絡(luò)接口，端口，協(xié)議或者上述這些的組合；這些規(guī)則同時(shí)也定義了當(dāng)遇到相符情況時(shí)，應(yīng)當(dāng)采取什么行動(dòng)（接受，拒絕，轉(zhuǎn)發(fā)）。一旦規(guī)則安裝完畢，廣泛測(cè)試一下防火墻，以確保沒(méi)有任何漏洞遺存其中。一個(gè)好的防火墻是你防范常見(jiàn)攻擊（比如DDoS分散式拒絕服務(wù)攻擊，DDoS是distributeddenialofservice的簡(jiǎn)稱）的第一道防線。

3.為網(wǎng)絡(luò)事務(wù)使用OpenSSH
在客戶-服務(wù)器架構(gòu)中，重要的一點(diǎn)就是保證通過(guò)網(wǎng)絡(luò)傳輸數(shù)據(jù)的安全性。如果網(wǎng)絡(luò)傳輸采取的是純文本，很可能會(huì)被黑客“嗅探”到該數(shù)據(jù)包，從而獲得敏感信息。你可以通過(guò)使用類似OpenSSH這樣的安全工具，從而為你的數(shù)據(jù)構(gòu)建一條安全的加密“信道”，從而堵住這個(gè)漏洞。在這種情況下，加密你的鏈接可以讓未授權(quán)用戶試圖讀取往來(lái)于網(wǎng)絡(luò)主機(jī)之間的數(shù)據(jù)變得極為困難。

4.關(guān)閉不需要的服務(wù)
絕大多數(shù)的Linix系統(tǒng)安裝完畢后，都開(kāi)啟了一系列的多種不同服務(wù)，比如FTP，telnet，UUCP，ntalk等等。在絕大多數(shù)情況下，這些服務(wù)很少用到，而保留這些服務(wù)為活動(dòng)狀態(tài)，無(wú)異于打開(kāi)你的窗戶等著小偷進(jìn)來(lái)。你可以通過(guò)在etcinetd.conf或etcxinetd.conf文件中把他們注釋掉，然后重起inetd或xinetddaemon的方法禁止這些服務(wù)。另外，一些服務(wù)（比如，數(shù)據(jù)庫(kù)服務(wù)器）可能會(huì)在默認(rèn)的啟動(dòng)進(jìn)程中開(kāi)啟；你可以通過(guò)編輯etcrc.d*目錄層次禁止它們。許多有經(jīng)驗(yàn)的管理員禁止所有的系統(tǒng)服務(wù)，僅保留SSH通訊端口開(kāi)啟。

5.使用垃圾郵件和反病毒過(guò)濾器
垃圾郵件合并都會(huì)使你的用戶很苦惱，并且有時(shí)候會(huì)導(dǎo)致嚴(yán)重的網(wǎng)絡(luò)故障。Linux對(duì)病毒的抵抗能力令人驚訝，但是運(yùn)行著Windows系統(tǒng)的客戶機(jī)可就容易感染得多。因此，在你的郵件服務(wù)器上安裝一個(gè)反垃圾郵件和反病毒的過(guò)濾器是很好的一個(gè)主意，以便直接拔掉可疑郵件的“毒牙”，并降低造成系列傳染的風(fēng)險(xiǎn)。

通過(guò)安裝SpamAssassin，一個(gè)居于領(lǐng)先地位的開(kāi)源工具，使用了不同技術(shù)的組合以確認(rèn)和標(biāo)記垃圾郵件；該程序同樣也支持基于用戶的白名單和更具精確性的灰名單。下一步，安裝Procmail，進(jìn)行基于特定表達(dá)式的用戶層過(guò)濾；這個(gè)工具允許在用戶和系統(tǒng)級(jí)別上對(duì)收到的信件進(jìn)行自動(dòng)過(guò)濾。最后，安裝ClamAnti-Virus，一個(gè)免費(fèi)的反病毒工具，可以和sendmail以及SpamAssassin相集成，并支持對(duì)郵件附件的讀取掃描。

6.安裝一個(gè)入侵檢測(cè)系統(tǒng)
入侵檢測(cè)系統(tǒng)（IDS，Intrusiondetectionsystems）是早期預(yù)警系統(tǒng)，可以讓你了解網(wǎng)絡(luò)上發(fā)生了改變。這是一個(gè)識(shí)別（和證明）對(duì)系統(tǒng)的侵入企圖的好方法，雖然其資源消耗成本不斷增加。有兩種相當(dāng)為人熟知的IDS你可以考慮嘗試：tripwire，通過(guò)跟蹤文件的簽名來(lái)發(fā)現(xiàn)改動(dòng)；以及snort，使用基于規(guī)則的指令來(lái)執(zhí)行實(shí)時(shí)數(shù)據(jù)包分析，并搜索和鑒別對(duì)你系統(tǒng)進(jìn)行探測(cè)和入侵的企圖。兩者都可以生成Email警報(bào)（在其他行為之中），在你懷疑系統(tǒng)遭受入侵但還需要權(quán)威性證明的情況下非常有用。

7.執(zhí)行正式的安全審核
說(shuō)到保證網(wǎng)絡(luò)安全，最后的這一步可能是最重要的一步。在先前的步驟中盡力豎起了你的防御系統(tǒng)。再做到這一步，可以讓你立即獲得對(duì)于系統(tǒng)牢固性的一個(gè)客觀評(píng)價(jià)，并找出那些應(yīng)當(dāng)修正的潛在漏洞。

在這個(gè)審核中，有很多工具可用于幫助你：你可以通過(guò)使用類似Crack和JohntheRipper這樣的口令破解器來(lái)試圖攻擊你的口令文件；你可以使用nmap或者netstat來(lái)查找開(kāi)放的端口；你可以使用tcpdump來(lái)對(duì)網(wǎng)絡(luò)進(jìn)行嗅探；并且你也可以試圖對(duì)已經(jīng)安裝的程序（WEB服務(wù)器，防火墻，Samba）進(jìn)行常見(jiàn)漏洞攻擊，看看他們是否的確存在著薄弱之處。如果你的確找到了通過(guò)這些防御措施的方法，可想而知?jiǎng)e人也可以這么做；立刻采取措施封堵漏洞。

保護(hù)你的Linux系統(tǒng)是一個(gè)不斷進(jìn)行的工作，所以你不能僅僅因?yàn)樽龊昧松厦孢@些步驟就以為可以放松休息了。你應(yīng)該去了解更多的安全技巧，并在第一時(shí)間監(jiān)控和更新你的安全系統(tǒng)。（zdnet）