linux服务器安全加固

目录

1.概述 (2)

1.1信息系统建设的规划模型 (2)

1.2服务器操作系统及数据安全的重要性 (3)

1.3面临的安全风险 (3)

1.4安全的服务器需求 (6)

2.linux系统服务器模块功能 (7)

2.1内核级文件强制访问控制模块 (7)

2.2内核级进程强制保护模块 (7)

2.3内核级网络强制访问模块 (8)

3启动和登录安全性 (9)

3.1 BIOS安全 (9)

3.2用户口令 (9)

3.3默认账号 (9)

3.4口令文件 (9)

3.5禁止Ctrl+Alt+Delete重新启动机器命令 (9)

3.6限制su命令 (10)

3.7减登录信息 (10)

1.概述

1.1信息系统建设的规划模型

信息建设框架图

如上图所示：根据建设对象和实现目标不同，客户的信息化建设架构应该分为四个部分，分别是IT基础设施建设和管理，安全系统建设和管理、安全网管平台建设和管理、应用系统建设和管理。建设的顺序也是自下而上依次或者同步进行。

但是在实际的建设工程中，集成商往往引导客户重视两头的建设——既基础设施建设和应用系统的建设——却对中间过程的安全系统建设及安全网络管理平台建设比较忽视（信息建设框架图中红色的模块部分）。即使在建设中涉及了部分内容，也只是网络安全的边界防护、PC终端的防病毒建设等等，对于数据库的数据安全以及服务器的自身安全管理并不是太重视。更不要说建设集中的安全的网络安全管理中心了。当基础设施结构越来越庞大、应用系统越来越复杂，业务和基础设施之间的脱节感就会越来越强，越来越多的问题也会被提出来，例如：

●什么是影响业务的主要瓶颈？

●业务带来的安全问题如何去解决？

●需要增加网络带宽吗？

●网络故障导致业务受阻，问题出在什么地方？

●业务网络内安全状况到底是什么状态，业务的数据传输安全吗？

●……..等等

因此，浪潮提供的信息建设和管理不仅仅关注纯粹的IT技术，更多地关注如何把客户的应用业务和基础结构这两个层面中间的空白连接在一起，使他们之间的鸿沟更好地弥合。也就是努力的将框架中通常缺失的红色部分完整地提供给大家。

1.2服务器操作系统及数据安全的重要性

长期以来我们对基于网络应用的外部防范技术关注较多，但是往往忽略了信息安全的“终点问题”。安全网络管理是通过网络层、链路层以及分析审计信息来对信息网络的整体安全和网络状况进行监控和管理。我们知道所有的攻击来源和攻击目标最终都会归结到承载企事业单位信息业务的终端和服务器上。浪潮安全网管系统能够很好的全面对服务器进行监控，但是操作系统的漏洞是层出不穷的，一旦最后一道防线被攻破，即使我们有监控证据和管理措施，服务器的重要数据丢失造成的影响我们还是无法估量的。

业务系统中的数据库已不再是只存在可靠性高的网络中。慢慢地，数据库与多个应用相连接，其间网络多是不可靠的。数据库中的数据是单位信息业务的生命血液，存放的信息又重要又广泛。对数据库的非授权访问引起了人们的关注，产生了新的难题。IT和安全管理员已相继配置了安全策略和技术，但很少企业能足以抵御攻击，保护自己的数据库。面对不断增长的风险，国家制定了相关的行业法规。隐私权保护、数据保护以及重要信息的长期存储和归档隐患，企业需要保证他们的数据保护上处于不断改进中。

面对需求变更的商业压力，越来越多的企业想在标准数据库包的安全控制之外仍然取得一定级别的数据库安全性，尤其是，他们希望能够限制查看数据库中重要数据项的人员访问。当前紧迫问题是如何最好地实现这一点？怎样配置访问控制，如何加密以实现严格的安全策略，而不影响到日常的数据库操作？加密/解密可以配置在应用程序，或数据库中，或文件系统上。

所以浪潮建议客户在数据安全建设上要抓住关键，即安全的服务器和安全的操作系统。

1.3面临的安全风险

1.来自内部的攻击威胁隐患

某些内部员工有攻击所在公司的目的或动机并且他们熟知资源的访问控制；

内部网物理窃听容易，有很多的网络工具可以监听局域网传输的任何信息；

一般的内部服务应用所传输的敏感信息都是明文，如telnet时输入的帐号和口令，网页登录页面输入的用户名和口令；

内部员工所连接的电脑在物理上直接与服务器相连，来自用户的请求未经任何过滤，直接连到服务器，而相比之下，Internet上的服务器一般都有防火墙的保护。这些原因导致了内部网存在的安全威胁相比Internet更值得关注。

内部网Intranet指的是一个基于TCP/IP通讯协议的内部信息系统，为用户

提供网络服务。随着网络应用的发展，很多企业以及政府部门经常在自己内部的Intranet中集成了多种应用，包括基于浏览器方式的WWW应用以及基于数据库的Client-Server方式应用。使用者凭用户名和口令进入每个应用，应用也根据用户名和口令识别用户身份，判断用户的权限。这样应用的增加给内部网络带来了两方面的问题。对用户而言，将拥有多个用户名和口令，用户如何有效的管理自己在各个应用中对应的用户名和口令？如何保护自己的身份信息不被别人窃取呢？如果用户遗忘了某个用户名或口令时将会影响他的工作，可能给自己造成很大的损失；如果用户为了方便记忆在各个应用中都使用同一个用户名和口令或把自己的各个用户名、口令记录在纸上，就会带来很大的口令泄露的风险。对整个内部网而言，如何在多个应用中统一管理用户的权限？如何提供保护用户身份信息的安全机制？如何有效地确保合法用户在自己拥有的权限内安全地、方便地使用Intranet，同时防止内部人员非法越权访问？又如何防止网上传输的机密信息泄露呢？大多数的WWW服务都使用明文来传输用户名和口令，这很容易被他人从网上截获。即使是相当好的口令，由于口令的长度很有限，也抵御不了类似字典攻击这样的穷举攻击。

2.来自外部网络的攻击

随着Internet网络上计算机的不断增长，所有计算机之间存在很强的依存性。一旦某些计算机遭到了入侵，它就有可能成为入侵者的栖息地和跳板，作为进一步攻击的工具。对于网络基础架构如DNS系统、路由器的攻击也越来越成为严重的安全威胁。以下是网络攻击的几大主要趋势。

趋势一：攻击过程的自动化；攻击工具的快速更新

攻击工具的自动化程度继续不断增强。自动化攻击涉及到的四个阶段都发生了变化。

扫描潜在的受害者

从1997年起大量的扫描活动就开始了。目前，新的扫描工具利用了更先进的扫描技术，变得更加有威力，并且提高了速度。

入侵具有漏洞的系统

以前，对具有漏洞的系统的攻击是发生在大范围的扫描之后的。现在，攻击工具已经将对漏洞的入侵设计成为了扫描活动的一部分，这样大大加快了入侵的速度。

攻击扩散

2000年之前，攻击工具需要一个人来发起其余的攻击过程。现在，攻击工具能够自动发起新的攻击过程。例如红色代码和Nimda病毒这些工具就在18个小时之内传遍了全球。

攻击工具的协同管理

自从1999年起，随着分布式攻击工具的产生，攻击者能够管理大量分布在Internet之上的攻击工具发起攻击。现在，攻击者能够更加有效地发起一个分布式拒绝服务攻击。协同功能利用了大量大众化的协议如IRC（Internet Relay Chat）、IR（Instant Message）等的功能。

趋势二：攻击工具的不断复杂化

攻击工具的编写者采用了比以前更加先进的技术。攻击工具的特征码越来越难以通过分析来发现，并且越来越难以通过基于特征码的系统发现，例如防病毒软件和入侵检测系统。其中三个重要的特点是反检测功能，动态行为特点以及攻击工具的模块化。