linux_安全.doc

常规搜寻
◆搜寻所有设置了强制位的文件
find/-typef–perm+6000
◆搜寻可以被任何用户写入的文件
find/-typef–perm2
◆搜寻不属于任何用户与组的文件
find/-nouser–o–nogroup

tripwire可以根据配置监测文件/目录的大小、更改时间、inode状态、所属用户/组及一系列属性
安装tripwireRPM包
编辑twcfg.txt与twpol.txt，根据安装情况来定义配置与监视策略
运行/etc/tripwire/twinstall.sh
用tripwire–init在/var/lib/tripwire/下建立原始数据库{$HOSTNAME}.twd
用tripwire--check来根据数据库检查系统
用‘twprint–mr–twrfile文件名’来阅读监视报告

为BootLoader加密
LILO
密码明文存放在/etc/lilo.conf中
可以应用于全局及局部
用于防止用户进入操作系统
GRUB
密码经过md5加密
可以应用于全局及局部
用于防止用户更改启动参数
为Lilo添加密码
在lilo.conf(/etc/lilo.conf)中添加password=xxxxx
将lilo.conf的文件权限更改为600
运行/sbin/lilo–v
为Grub添加密码
运行grub-md5-crypt，输入密码
在grub.conf中添加password–md5<前一步的屏幕输出>
[rootstationxxroo]#cat/etc/grub/grub.conf
default=1
timeout=10
splashimage=(hd0,0)/grub/splash.xpm.gz
password--md5$1$YNc900$6GgTkKBBvw7sufILlqis5.
titleRedHatLinux(2.4.20-8)

常用的pam模块
pam_nologin
如果/etc/nologin存在，则除了root用户，任何用户不能登录
pam_securetty
在/etc/securetty文件中存放的，是root用户可以登录的终端
不限制用户登录完成后用su切换成root

tcp_wrapper
基于主机与服务
使用简单的配置文件来设置访问限制
/etc/hosts.allow
/etc/hosts.deny
基于xinetd的服务也能在其配置中调用libwrap
配置一旦被改变，立刻生效
基本语法：
后台进程列表：客户端列表[：参数]
后台进程列表应该是：
服务的可执行工具名
允许指定多项服务
允许使用ALL来匹配所有服务
允许可执行工具名后添加IP或主机名，如果本机有多个网络界面
客户端描述可以包含：
IP地址（192.168.0.254）
域名或主机名（.example.com,www.wenhua.org）
子网掩码（192.168.0.0/255.255.255.0）
网络名（@mydomain）
通配符
ALL：所有
LOCAL：所以主机名中不包含.的主机
UNKNOWN：无法被解析的主机
KNOWN：可以双向解析的主机
PARANOID：正向解析成功但无法反向解析的主机
EXCEPT
可用于服务列表与客户端列表
可以层层套用
xinetd服务支持两种访问限制
基于主机
基于时间
在xinetd与tcp_wrapper都限制的情况下：
先检查tcp_wrapper
如果tcp_wrapper允许，再检查xinetd是否也允许
配置xinetd访问限制
可以写在/etc/xinetd.conf中，也可以写在/etc/xinetd.d/目录下的文件中
可以使用的控制语句：
only_from=客户端描述
no_access=客户端描述
access_time=客户端描述
per_source=数量
范例：
serviceftp
{
……
only_from=192.168.0.0
no_access=station1
access_time=5:00-19:00
per_source=2
……
}
openssh
◆openssh基础配置放在/etc/ssh下(/etc/init.d/sshd脚本)
SSH登陆
ssh-lusernamesshserverIp
sshusername@sshserverIP
ssh-Xusername@sshserverIP登陆到窗口程序
◆scp：基于ssh的安全远端拷贝文件与目录
scp文件HYPERLINK"mailto:用户@主机名"\t"_parent"用户HYPERLINK"mailto:用户@主机名"\t"_parent"@HYPERLINK"mailto:用户@主机名"\t