FreeBSD handbook中文版 10 安全|数据恢复|北亚数据恢复中心电话:4006-505-808


	您当前的位置:首页>>技术中心>>数据恢复文章>>正文

FreeBSD handbook中文版 10 安全

作者: 来源: 日期:2007-6-19 11:28:55 点击次数：

脚本使得入侵者不可见，这一点很重要。为了集中优势，你通常必须使用有限访问的机器
来访问其他机器，通常是执行一个其他机器的只读NFS 输出到有限访问的机器，或通过设
置ssh 钥匙对来允许有限访问的机器ssh 到其他机器。除了它的网络传输，NFS 是很少用的
方法---允许你监视每个客户机的文件系统。
如果你的有限访问服务器通过一个switch 来连接到客户机，NFS 方法是比较好的选择。
如果你的有限访问服务器是通过一个hub 或通过几层的路由连接到客户机，NFS 方法可能很
不安全，使用ssh 可能是更好的选择。
一旦你使用一个访问受限制的机器，至少需要能读取客户系统，你必须写一些脚本来
执行实时的检测。挂上NFS 之后，你可以用find 和md5 这样的工具。至少每天一次物理地
md5 客户机文件。当发现匹配错误时，会发出“尖叫声”提示系统管理员去检查。一个安全
脚本也会检查不适当的suid 程序和系统分区上新增或删除的文件。
第7 页FreeBSD 使用手册
当使用ssh 而不是NFS 时，写入安全脚本是很困难的。为了运行它们，你必须scp 脚
本到客户机上，使它们看得见，为了安全你也必须scp 那些脚本使用的程序。在客户机上
的ssh 程序已经有安全问题了。总的来讲，当通过不安全的连接运行时，使用ssh 可能是
必须的，但它也比较难处理。
一个好的安全脚本将通过访问配置文件来检查用户的变
化：.rhosts, .shosts, .ssh/authorized_keys。它已经超出了MD5 检查的范围。
如果你有一个巨大的磁盘空间，它可能需要花很长时间来检查每个文件。在这种情况
下，设置挂载标记来不接受suid 程序和设备在那些分区上是一个好主意。nodev 选项nosuid
选项正是你所看到的。你可以把它们扫描一下，至少一个星期一次。
处理帐户是操作系统的一个相关特性，它可以作为一个post-break-in 的评价机制。
它在跟踪入侵者是如何侵入系统的时候特别有用.
最后，安全脚本应当处理日志文件。一个入侵者设法掩盖自己的踪迹，日志文件可以
指示系统管理员设法追踪到最初侵入的时间和方法。确保日志文件持久记录的日志文件的
一个方法是运行系统控制台到一个串行口，通过持续不断地检测控制台来收集信息。
10.3.7 偏执狂
带点偏执可能不会有伤害。作为一个惯例，一个系统管理员需要添加许多安全特性，
并且尽可能地不影响到使用的便利性。更重要的是一个安全系统管理员应当经常修复漏洞。
10.3.8 拒绝式服务攻击（DoS）
这节将介绍拒绝式服务攻击。一个DoS 攻击通常是一个包攻击，它可以使你的网络瘫
痪。你应当做一些限制，让攻击不会瘫痪你的服务器。
1. 限制服务器的forks.
2. 限制跳板springboard 攻击(ICMP response attacks, ping broadcast, etc.)。
3. 内核通道的缓存。
一个普通的DoS 攻击通常试图让服务器吃掉所有进程，文件描述和内存，直到机器死
机。inetd 有好几个选项可以来限制这种攻击。需要注意的是当无法阻止一个服务被攻击所
打断时，可以阻止一台机器当机。阅读一下inetd 的联机手册，特别需要注意-c, -C, 和
第8 页FreeBSD 使用手册
-R 选项。注意，哄骗式的IP 攻击可以饶过inetd 的-C 选项。所以，最好一起使用这些选
项。
Sendmail 有一个-OMaxDaemonChildren 选项，它往往要比sendmail 的负载限制选项工
作得好。你必须指定一个MaxDaemonChildren 参数，当你启动sendmail 时，可能你期望有
很高的负载，但电脑无法处理这么高的负载。在队列模式运行sendmail 时要非常谨慎
(-ODeliveryMode=queued)。如果你在一个很短的时间间隔内实时分发你运行的队列，如
-q1m，一定要为sendmail 指定一个合适的MaxDaemonChildren 选项以免发生错误。
Syslogd 可能会被直接攻击，强烈建议你使用-s 选项，或-a 选项。你也应当注意象