系统防御技能基础知识Linux.pptx

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,2014/11/26,#,系统防御技能,目录,Linux,操作系统安全,一,二,Linux,系统安全配置,目录,Linux,操作系统安全,一,二,Linux,系统安全配置,4,Linux,安全机制,用户帐号,和用户组,文件系统,远程登录,进程管理,系统日志,Linux,防火墙,5,用户帐号和用户组,基,本概念,用户身份标识（,User ID,）,组身份标识（,Group ID,）,文件必须有所有者,用,户,必须属于某个或多个组,用户与组的关系灵活（,1,对多、多对多等都可以）,根,用户拥有所有权限,6,帐号信息存储,信息存储,用户信息：,passwd,与,shadow,组信息：,group,与,gshadow,7,用户帐号文件,-passwd,passwd,文件特点,文,本格式,全,局可读,存储用户信息,口令加密存放（不可逆,DES,算法）,存储条目格式,name:coded-passwd:UID:GID:userinfo:homedirectory:shell,条,目例子,demo:x:523:100:J.demo:/home/demo:/,bin/sh,8,用户帐号影子文件,-shadow,shadow,文件特点,文,本格式,仅对,root,可读可写,存储用户密码等信息,存储条目格式,name:passwd:lastchg:min:max:warn:inactive:expire:flag,条目例子,#root:,$1$acQMceF9,:13402:0:99999:7:,用,户登录名及加密的用户口令,上次修改口令日期,口令两次修改最小天数及最大天数,口令失效前多少天向用户警告,被禁止登录前还有效天数,帐号被禁止登录时间,保留域,9,用,户与组安全管理,-,验证文件,验证用户文件（,PWCK,）,验证用户帐号文件,/etc/passwd,与,/etc/shadow,是否一,致，例如合法,shell,、合法目录等,验证组文件（,grpck,）,正确的域数目,唯,一组群标识,合,法成员和管理员列表,10,用户与组安全管,理,-,密码安全,使用安全的密码,安,全密码的特征,自,己容易记,别,人不好猜,管,理好系统管理员密码,良好的密码习惯,一主一备,密码信封,11,保,护,root,帐号,root,帐号使用,不远程使用,root,不直接使用,root,帐号登陆，使用普通用户登陆,su,成为,root,不要将,root shell,留在终端上,root,仅作维护操作，不运行不明程序或其他用户程序,12,Linux,文件系统,文件系统类型,Ext4,、,Ext3,、,Ext2,、,ReiserFS,、,XFS,、,JFS,等,文件和,目录,对每个,文件,和,目录,设置,访问权限,13,文件系统安全,Linux,文件类型,普,通文件（文本文件、二进制文件）,目录文件,设备文件,链接文件,管道文件,14,文件系统目录结构,/,home bin proc usr boot lib dev etc var,ftp ljw linux bin lib man tmp lib log run spool tmp,15,常见目录用途,/bin,bin,是二进制（,binaries,）的缩写。许多基本的系统程序都驻留在,/bin,目录中。,/boot,存放启动,Linux,时使用的一些核心文档,如,vmlinuz,等。,/dev,用,ls-F,命令可以列出,/dev,目录中的内容。该目录下是一些称为设备驱动程序的特殊文件，用于访问系统资源或设备，如软盘、硬盘、,CD-ROM,、调制解调器、系统内存等。,有了这些文件，用户可以像访问普通文件一样方便地访问系统中的物理设备。例如，当用户要从一个文件中读数据时，可以通过调用,/dev/mouse,文件从鼠标器读取输入信息。在,/dev,目录下，各种设备所对应的特殊文件以一定的规则命名。例如，,/dev/fd0,文件指第一个软驱，,/dev/fdl,指第二个软驱，,/dev/hda,指第一个硬盘，而,/dev/hdal,指的是,/dev/hda,的第一个分区，如此类推。,/etc,包含系统管理所需要的大量配置文件和子目录，例如口令文件,/etc/passwd,、系统初始化脚本文件,/etc/rc,等。该目录是系统中最重要的目录之一。,/home,包含所有用户的个人主目录。通常，用户的个人主目录以它的名字来命名，例如,/home/yang,是用户,yang,的个人目录。在新安装的,Linux,系统中，,/home,目录中可能没有任何用户。,/lib,该目录包含动态链接共享库的文件映象，这些文件为众多程序提供了共享代码。使用库文件，可以缩小可执行文件的尺寸，节省系统空间。,16,常见目录用途,/lost+found,这是一个空目录，只有当文件系统发生故障时，才用来存放找不到正确存储位置的文件。,/mnt,用户可以在该目录下临时挂装其它文件系统，如在使用,CD-ROM,时，就要把,CD-ROM,文件挂装在该目录下。,/proc,这是,Linux,系统提供的一个“虚拟文件系统”，其中的文件都存放在内存中，而不是存放在磁盘中。它们指向在系统中正在运行的各个进程，以便用户可以随时访问程序的运行信息。给用户提供方便的接口。,/root,超级用户的主目录,/sbin,专门用来存储系统管理员使用的可执行文件，如,mount,、,linuxconf,等等。,/tmp,程序执行时会产生一些临时信息，系统把这些临时信息存放在一个暂时文件中，这个临时文件就放在,/tmp,目录下。,/usr,这是一个非常重要的目录，它包括许多子目录。有些子目录用来存放系统的配置文件和重要的大型软件包程序。前面讨论到的各目录对系统的操作来说是最基本的，而在,/usr,中许多内容是可以任选的。如果没有,/usr,目录，系统中将只有,cp,、,1s,等程序，这样的系统会非常难用,/var,该目录用来容纳大小经常发生变化或打算进一步扩充的目录或文件。例如，文件,/var/adm,中包含着系统管理员感兴趣的内容，特别是系统日志，它记录了系统的所有错误或问题。,17,文件系统的权限,文件,/,目录权限基本概念,权限类型：读、写、执行,权,限表示方式：模式位,drwxr-xr-x 3 root root 1024 Sep 13 11:58 test,18,文件权限模式数学字表示,文件所有者,文件所在组,其它人权限,19,文件、目录隐含模式,r,w,x,r,-,x,r,-,x,Sticky,（防删除位）,sgid,suid,r,w,x,r,-,x,r,-,x,1,1,1,r,w,s,r,-,s,r,-,t,-r-s-x-x 1 root root 10704 Apr 15 2002/usr/bin/passwd,SUID,程序,1.chmod ,改变文件权限设置。,2.chgrp ,改变文件的分组。,3.chown ,改变文件的拥有权。,4.Chattr ,设置文件属性,20,文件权限修改命令,使用,chmod,命令修改文件权限,:,chmod 666 myfile,chmod 1777/,tmp,使用,umask,命令设置文件默认权限,umask 022,umask 077,设置,sticky,位,21,远程登录安全,telnet-ssh,SSH,#service sshd start,设置能够登录本机的,IP,地址,/,etc/ssh/sshd_config,禁止,root,用户远程,登陆,限定信任,主机,屏蔽,登录,banner,信息,22,Linux,进程安全,进程,基本概念,进程类型,交互进程,批处理进程,守,护进程,进程模式,用户模式,内,核模式,进,程状态,运,行态、等待态、停止态、僵死态,23,守,护进程,守护进程的概念,在后台运行，无终端或,shell,结合,守护进程启动方式,引,导系统是启动,手,工从,shell,启动,使,用,crond,守护进程启动,重,要守护进程,Apmd,高级电源管理,Xinetd,支持多种网络服务的核心守护程序,24,Linux,进程安全管理,进程的执行,手,工执行,自,动执行,资,源空虚时执行,周,期性执行,进程资源限制,限制进程创建大型文件,限,制单个用户调用的最大子进程个数,25,Linux,日志管理,Linux,日志类型,连接时间日志,进,程统计,错,误日志,应,用程序日志,日志文件,注释,Access-log,记录,http/web,连接,Acct/pcct,记录用户命令,Boot.log,记录开机自检过程信息,lastlog,最近成功登录和不成功登录,message,从,syslog,中记录信息,sudolog,记录,sudo,发出的命令,sulog,记录,su,命令的使用,syslog,从,syslog,中记录信息,utmp,记录当前登录用户信息,wtmp,用户每次登录进入和退出时间,xferlog,ftp,会话信息,maillog,记录电子邮件活动信息,26,Linux,日志安全管理,保,护日志文件,日,志文件权限设置,审,查日志中不正常情况,非常规时间登录,日,志残缺,Su,的使用,服,务的启动情况,使,用,syslog,设备,Syslog.conf,设置,使用,syslog,日志服务器,27,Linux,防火墙,Linux,下的防火墙框架,iptables,包过滤,NAT,数,据包处理,Iptables,基本规则,Iptables-t table command matchtarget,Iptables,基本应用,Iptables A INPUT s 202.2.2.2 j ACCEPT,Iptables D INPUT dport 80 j DROP,目录,Linux,操作系统安全,一,二,Linux,系统安全配置,UNIX/Linux,通用安全加固方案,帐号,文件权限,服务,日志审计,系统状态,帐号安全,帐号,/etc/login.defs,，检查,PASS_MAX_DAYS/PASS_MIN_LEN/,PASS_MIN_DAYS/PASS_WARN_AGE,检查是否存在除,root,外,UID=0,的用户,检查是否存在弱口令,锁定不使用的帐户,(passwd l username),检查,root,用户环境变量,设置,帐号超时注销,(,vi,/etc/profile,增加,TMOUT=600),帐号安全,限制,root,远程登录,/etc/ssh/sshd_config:,PermitRootLogin no,/etc/securetty,文件中配置：,CONSOLE=/dev/tty01,UNIX/Linux,通用安全加固方案,帐号,文件权限,服务,日志审计,系统状态,umask,检查是否包含,umask,值,more/etc/profile,more/etc/csh.login,more/etc/csh.cshrc,more/etc/bashrc,umask,umask,rootRHEL5 home#umask,0022,rootRHEL5 home#touch file1,rootRHEL5 home#ls-l file1,-rw-r-r-1 root root 0 Jul 26 07:17 file1,(644),rootRHEL5 home#umask 0066,rootRHEL5 home#touch file2,rootRHEL5 home#ls-l file2,-rw-1 root root 0 Jul 26 07:18 file2,(600),rootRHEL5 home#umask 0,rootRHEL5 home#umask,0000,rootRHEL5 home#touch file3,rootRHEL5 home#ls-l file3,-rw-rw-rw-1 root root 0 Jul 26 07:25 file3,(666),文件权限,文件权限,ls,l,rootRHEL5 home#ls-l,total 44,drwxr-xr-x 2 root root 4096 Jul 26 05:24 apue,chmod,chmod u+x file,chmod 744 file,4000SUID,2000SGID,1000,粘住位,0400,所有者可读,0200,所有者可写,0100,所有者可执行,0040,所在组可读,0020,所在组可写,0010,所在组可执行,0004,其他用户可读,0002,其他用户可写,0001,其他用户可执行,_,0744,结果,文件权限,检查重要目录和文件的权限设置,ls l/etc/rc.d/init.d/,chmod-R 750/etc/rc.d/init.d/*,查找系统中所有的,SUID,和,SGID,程序,UNIX/Linux,通用安全加固方案,帐号,文件权限,服务,日志审计,系统状态,系统服务,守护进程与服务的区别,守护进程,进程的一种特殊状态,不绑定至任何,Terminal,父进程是,init,服务,相对守护进程，,“,服务,”,的概念更为抽象,为用户提供一种功能的应用,可能包含一个或多个守护进程,例,服务名：,SSH Server,进程名：,sshd,系统服务,inetd,一些轻量级的服务，由,inetd,集中处理,已不能满足现状,#inetd.conf,echo stream tcp6 nowait root internal,echo dgram udp6 wait root internal,daytime stream tcp6 nowait root internal,daytime dgram udp6 wait root internal,系统服务,加固要点,服务 进程 端口,ipfw,TCPWrapper,libwrap;configure-with-libwrap=libwrap_path,hosts.allow;hosts.deny,停止不必要的,inetd,服务,停止不必要的服务,/etc/rc3.d/S88xxx stop,mv/etc/rc3.d/S88xxx/etc/rc3.d/K88xxx,Snmp,配置,Snmp,安全配置,如果打开了,SNMP,协议，,snmp,团体字设置不能使用默认的团体字,。,查看配置文件,/etc/snmp/snmpd.conf,，,应禁止使用,public,、,private,默认团体字，使用用户自定义的团体字,。,例如将以下设置中的,public,替换为用户自定义的团体字：,com2sec notConfigUser default public,如无必要，管理员应禁止使用,snmp,服务,Openssh,配置,检查系统,openssh,安全配置，禁止使用协议,1,和使用,root,直接登录,编辑,sshd_config,文件，设置：,Protocol 2,StrictModes yes,PermitRootLogin no,PrintLastLog yes,PermitEmptyPasswords no,UNIX/Linux,通用安全加固方案,帐号,文件权限,服务,日志审计,系统状态,启用,syslog,记录所有日志,配置文件：,/etc/syslog.conf,#vi/etc/syslog.conf,authpriv.*/var/log/secure,UNIX/Linux,通用安全加固方案,帐号,文件权限,服务,日志审计,系统状态,系统状态,内核版本,执行命令,uname-a,发行版,cat/proc/version,系统,core dump,状态,执行：,more/etc/security/limits.conf,磁盘分区剩余空间,#df k,Grub,密码,cat/etc/grub.conf|grep password,