第11章 Linux系统的安全管理

11.3 安全防护设置
• 系统记录文件的安全性管理
– 查看受到的攻击信息 – 限制Shell命令记录的大小 – 注销时删除命令记录
• • • •
启动和登录系统的安全性设置 限制网络访问的设置 增强系统的安全性设置 防止攻击的设置
11.4 Linux系统的防火墙管理
• 防火墙简介
– 含义 – 功能
ac -d（回车）显示每天的总的连结时间：
•
ac -p（回车）显示每个用户的总的连接时间：
– – – –
• 6．Lastlog：Lastlog文件在每次有用户登录时被查 询。可以使用Lastlog命令来检查某特定用户上次 登录的时间，并格式化输出上次登录日志 /var/log/Lastlog的内容。它根据UID排序显示登录 名、端口号（tty）和上次登录时间。例如：
– UNIX可以跟踪每个用户运行的每条命令，如果想知道昨 晚别人弄乱了哪些重要的文件，进程统计子系统可以告 诉你，这一点无疑对跟踪入侵者很有帮助。与连接时间 日志不同，进程统计子系统缺省不激活，它必须启动。 在Linux系统中启动进程统计使用Accton命令，必须用 ROOT身份来运行。先使用Touch命令来创建Pacct文件： – touch /var/log/pact – 然后运行Accton： – accton /var/log/pact
– – – – – – chyang pts/0 Aug 18 15:06 ynguo pts/2 Aug 18 15:32 ynguo pts/3 Aug 18 13:55 lewis pts/4 Aug 18 13:35 ynguo pts/7 Aug 18 14:12 ylou pts/8 Aug 18 14:15
• 安装了iptables的Linux主机安装了3块网卡。其中，eth0的IP地址是192.168.0.1，它通 过一台网关设备与Internet连接；eth1的IP地址是10.10.1.1，它与子网10.10.1.0/24连 接；eth2的IP地址是10.10.2.1，它连接的子网是10.10.2.0/24。现假设10.10.1.0/24子 网里运行的是为外界提供网络服务的服务器，而10.10.2.0/24子网里的计算机是用户上 网用的客户机。对于服务器来说，它向外提供服务的端口号是固定的，为了保证其安 全，应该只开放这些端口，即只允许目的端口是这些端口的数据包进入服务器子网， 其余的数据包一律禁止。下面是一些在防火墙上执行的保护服务器子网的iptables命令。
•
注记:如果在安装中选择设置了中级或高级 防火墙，网络验证方法（NIS 和 LDAP）将行 不通。
激活 iptables 服务
• • • 防火墙规则只有在 iptables 服务运行的时候才能被激活。要手工启动服务， 使用以下命令：
• /sbin/service iptables restart
要确保它在系统引导时启动，使用以下命令：
•
• •
假设服务器子网采用默认端口为外界提供了SSH、SMTP、DNS和HTTP服务，以上4 条命令在filter表的FORWARD链中加入了4条规则，允许从eth0网进入、到eth1网卡， 并且协议和目的端口分别是TCP22、TCP25、UDP53和TCP80的数据包通过，这些协 议和端口对应了该子网提供的网络服务。 以上4条命令确定了从eth0到eth1转发数据包的规则。这些数据包是进入服务器子网的 数据包，而从服务器子网出去的数据包目前还是畅通无阻的，因为FORWARD链中还 没有规则对eth1到eth0的数据包做任何限制。 需要注意的是，前面的规则规定了放行哪些数据包后，最后必须要有一条规则拒绝所 有的数据包。否则，即使数据包与前面所有的规则都不匹配，最后也照样能被转发。 因此，为了达到保护服务器子网的目的，还需要执行以下命令。
– chyang lewis lewis ylou ynguo ynguo
•
4．Last：Last命令往回搜索Wtmp，显示从文件第一次创建以来登录过的用户。例如：
– – – – – chyang pts/9 202.38.68.242 Tue Aug 1 08:34 - 11:23 (02:49) cfan pts/6 202.38.64.224 Tue Aug 1 08:33 - 08:48 (00:14) chyang pts/4 202.38.68.242 Tue Aug 1 08:32 - 12:13 (03:40) lewis pts/3 202.38.64.233 Tue Aug 1 08:06 - 11:09 (03:03) lewis pts/2 202.38.64.233 Tue Aug 1 07:56 - 11:09 (03:12) ynguo pts/4 tc.e Fri Aug 4 16:50 - 08:20 (15:30) ynguo pts/4 tc.e Thu Aug 3 23:55 - 04:40 (04:44) ynguo pts/11 tc.e Thu Aug 3 20:45 - 22:02 (01:16) ynguo pts/0 tc.e Thu Aug 3 03:17 - 05:42 (02:25)
– /sbin/chkconfig --level 345 iptables on
ipchains 服务不能和 iptables 服务同时运行。要确定 ipchains 服务被禁用， 执行以下命令：
– /sbin/chkconfig --level 345 ipchains off
iptables网络防火墙配置
• 关键技术
– 防火墙、数据加密、入侵检测、防病毒、访问与控制、 鉴别与认证、虚拟专网
• 日志就是对系统行为的记录。比如记录某个用户的登录/退出以及执 行的命令，系统中发生的错误等等。在标准的Linux系统中，操作系 统维护三个基本的日志： • 1. 连接时间日志 – 用来记录用户的登录信息，这是最基本的日志系统，管理员可以 利用它来跟踪谁在什么时候进入了系统。 • 2. 进程记账 – 用来记录系统中执行的进程信息。比如某个进程消耗了多少CPU 时间等等。 • 3. 错误日志：syslog – syslog系统并不由系统内核维护，而是由syslogd或者其它一些相 关程序完成。它是各种程序（主要是daemon进程）对运行中发 生的事件的描述。 • 连接时间日志由utmp，wtmp和lastlog记录构成。有关当前登录用户 的信息记录在utmp中；用户的登录和退出记录以及系统开关机的记 录存放在wtmp中；用户最后一次登录的信息存放在lastlog文件中。 这些文件没有固定的存放地点，尽管在大多数Linux系统中，它们放 在/var/log
• • •
如果指明了Wtmp文件名，则Who命令查询所有以前的纪录。命令“Who /var/log/Wtmp”将报告从Wtmp文件创建或删改以来的每一次登录。 2．W：该命令查询Utmp文件并显示当前系统中每个用户和它所运行的进程信息。 3．Users：Users用单独的一行显示出当前登录的用户，每个显示的用户名对应 一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示相同的 次数。例如输入Users回车后显示：
11.2日志安全管理
• 浏览日志文件
– 系统->管理->系统日志 – 使用软件：Wemin – 字符命令方式
查看具体日志
• • Wtmp和Utmp文件都是二进制文件，它们不能被诸如Tail命令剪贴或合并（需要 使用Cat命令），用户需要使用Who、W、Users、Last和AC来使用这两个文件 包含的信息。 1．Who：该命令查询Utmp文件并报告当前登录的每个用户。Who的缺省输出包 括用户名、终端类型、登录日期及远程主机。例如输入Who回车后显示：
•
如果指明了用户，那么Last只报告该用户的近期活Βιβλιοθήκη ，例如：last ynguo显示：
– – – –
• •
5．AC：AC命令根据当前的/var/log/Wtmp文件中的登录进入和退出来报告用户连结的时 间（小时），如果不使用标志，则报告总的时间。例如：ac，显示：
– – – – – – total 5177.47 Aug 12 total 261.87 Aug 13 total 351.39 Aug 14 total 396.09 Aug 15 total 462.63 Aug 16 total 270.45 ynguo 193.23 yucao 3.35 rong 133.40 hdai 10.52
• 一旦accton被激活，就可以使用Lastcomm命令监 测系统中任何时候执行的命令。若要关闭统计，可 以使用不带任何参数的accton命令。
• 常用的日志文件如下：
– – – – – – – – – – – Access-log：纪录HTTP/WEB的传输。 Acct/pacct：纪录用户命令。 Aculog：纪录MODEM的活动。 Btmp：纪录失败的纪录。 Lastlog：纪录最近几次成功登录的事件和最后一次不 成功的登录。 Messages：从Syslog中记录信息（有的链接到Syslog 文件）。 Sudolog：纪录使用Sudo发出的命令。 Sulog：纪录“su”的使用。 Utmp：纪录当前登录的每个用户。 Wtmp：一个用户每次登录进入和退出时间的永久纪录。 Xferlog：纪录FTP会话。
– – – – iptables -A FORWARD -p tcp --dport 22 -i eth0 -o eth1 -j ACCEPT iptables -A FORWARD -p tcp --dport 25 -i eth0 -o eth1 -j ACCEPT iptables -A FORWARD -p udp --dport 53 -i eth0 -o eth1 -j ACCEPT iptables -A FORWARD -p tcp --dport 80 -i eth0 -o eth1 -j ACCEPT