全面提升Linux服务器的安全性能

11.使用保留IP地址 :

　　---- 维护网络安全性最简单的方法是保证网络中的主机不同外界接触。最基本的方法是与公共网络隔离。然而，这种通过隔离达到的安全性策略在许多情况下是不能接受的。这时，使用保留IP地址是一种简单可行的方法，它可以让用户访问Internet同时保证一定的安全性。- RFC 1918规定了能够用于本地 TCP/IP网络使用的IP地址范围，这些IP地址不会在Internet上路由，因此不必注册这些地址。通过在该范围分配IP地址，可以有效地将网络流量限制在本地网络内。这是一种拒绝外部计算机访问而允许内部计算机互联的快速有效的方法。 保留IP地址范围:

　　---- 10.0.0 .0 - 10.255.255.255

　　---- 172.16.0.0 - 172.31.255.255

　　--- 192.168.0.0 - 192.168.255.255

　　来自保留IP地址的网络交通不会经过Internet路由器，因此被赋予保留IP地址的任何计算机不能从外部网络访问。但是，这种方法同时也不允许用户访问外部网络。IP伪装可以解决这一问题。

　　12、合理选择Linux发行版本：

　　对于服务器使用的Linux版本，既不使用最新的发行版本，也不选择太老的版本。应当使用比较成熟版本：前一个产品的最后发行版本如RHEL 3.0等。毕竟对于服务器来说安全稳定是第一的。

　　13.部署Linux防范病毒软件

　　Linux操作系统一直被认为是Windows系统的劲敌，因为它不仅安全、稳定、成本低，而且很少发现有病毒传播。但是，随着越来越多的服务器、工作站和个人电脑使用Linux软件，电脑病毒制造者也开始攻击这一系统。对于Linux系统无论是服务器，还是工作站的安全性和权限控制都是比较强大的，这主要得力于其优秀的技术设计，不仅使它的作业系统难以宕机，而且也使其难以被滥用。Unix经过20多年的发展和完善，已经变得非常坚固，而Linux基本上继承了它的优点。在Linux里，如果不是超级用户，那么恶意感染系统文件的程序将很难得逞。速客一号(Slammer)、冲击波(Blast)、霸王虫(Sobig)、 米虫(Mimail)、劳拉（Win32.Xorala）病毒等恶性程序虽然不会损坏Linux服务器，但是却会传播给访问它的Windows系统平台的计算机。

　　Linux平台下的病毒分类:

　　1.可执行文件型病毒：可执行文件型病毒是指能够寄生在文件中的，以文件为主要感染对象的病毒。病毒制造者们无论使用什么武器，汇编或者C，要感染ELF文件都是轻而易举的事情。这方面的病毒有Lindose。

　　2.蠕虫（worm）病毒：1988年Morris蠕虫爆发后，Eugene H. Spafford 为了区分蠕虫和病毒，给出了蠕虫的技术角度的定义，“计算机蠕虫可以独立运行，并能把自身的一个包含所有功能的版本传播到另外的计算机上。”在Linux平台下，蠕虫病毒极为猖獗，像利用系统漏洞进行传播的ramen，lion，Slapper等，这些病毒都感染了大量的Linux系统，造成了巨大的损失。

　　3.脚本病毒：目前出现比较多的是使用shell脚本语言编写的病毒。此类病毒编写较为简单，但是破坏力同样惊人。我们知道，Linux系统中有许多的以.sh结尾的脚本文件，而一个短短十数行的shell脚本就可以在短时间内遍历整个硬盘中的所有脚本文件，进行感染。

　　4.后门程序：在广义的病毒定义概念中，后门也已经纳入了病毒的范畴。活跃在Windows系统中的后门这一入侵者的利器在Linux平台下同样极为活跃。从增加系统超级用户账号的简单后门，到利用系统服务加载，共享库文件注射，rootkit工具包，甚至可装载内核模块（LKM），Linux平台下的后门技术发展非常成熟，隐蔽性强，难以清除。是Linux系统管理员极为头疼的问题。

　　总体来说计算机病毒对Linux系统存在较小的危险。但是由于各种原因在企业应用中往往是Linux和Windows操作系统共存形成异构网络。所以Linux的防范病毒策略分成两个部分：

　　1.针对Linux本身（服务器和使用其作为桌面的计算机）防范策略。

　　可执行文件型病毒、蠕虫（worm）病毒、脚本病毒的防范通过安装GPL查杀病毒软件基本可以防范。服务器端可以使用AntiVir（http://www.hbedv.com/）它是工作在命令行下的，运行时可以较少占用系统资源。

　　对于后门程序防范可以采用LIDS（http://www.lids.org/）和Chkrootkit（http://www.chkrootkit.org/），LIDS是Linux内核补丁和系统管理员工具(lidsadm)，它加强了Linus内核。可以保护dev/目录下的重要文件。而Chkrootkit可以检测系统的日志和文件，查看是否有恶意程序侵入系统，并且寻找关联到不同恶意程序的信号。最新版本的Chkrootkit0.45可以检测出sniffers、Trojans、worms、rootkit等59种。

　　2.针对使用Linux服务器后端的Windows系统的病毒防范策略。

　　许多企业使用代理服务器接入互联网，许多用户Windows系统进行都是在进行HTTP网页浏览和文件下载时感染病毒，所以可以在代理服务器上加挂一个病毒过滤器，对用户浏览的HTTP网页进行病毒检测，发现有用户浏览网页感染病毒的状况即由代理服务器进行阻断，丢弃带有病毒的请求，将不安全的进程阻止在代理服务器内，禁止带有病毒的数据向客户端计算机传播。squid是一款非常优秀的代理服务器软件，但是并没有专门的病毒过滤功能。可以考虑使用德国开放源码爱好者开发的一款基于Linux的病毒过滤代理服务器——HAVP（http://www.server-side.de/）。HAVP病毒过滤代理服务器软件既可以独立使用，也可以与Squid串联使用，增强Squid代理服务器的病毒过滤功能。

　　提供邮件服务是Linux服务器中重要应用。可以使用ClamAV（http://www.clamwin.com/），ClamAV 全名是 Clam AntiVirus，它跟Liunx一样强调公开程序代码、免费授权等观念，ClamAV 目前可以侦测超过40,000 种病毒、蠕虫、木马程序，并且随时更新数据库，有一组分布在世界各地的病毒专家，24小时更新及维护病毒数据库，任何人发现可疑病毒也可以随时跟她们取得 联系，立刻更新病毒码，在极短的时间内，网络上采用ClamAV的邮件服务器就完成最新的防护动作。

　　14、加强登录安全

　　通过修改/etc/login.defs文件可以增加对登录错误延迟、记录日志、登录密码长度限制、过期限制等设置。

　　/etc/login.defs #登录密码有效期90天

　　PASS_MAX_DAYS 90 #登录密码最短修改时间，防止非法用户短期更改多次

　　PASS_MIN_DAYS 0 #登录密码最小长度8位

　　PASS_MIN_LEN 8 #登录密码过期提前7天提示修改

　　PASS_WARN_AGE 7 #登录错误时等待时间10秒

　　FAIL_DELAY 10 #登录错误记录到日志

　　FAILLOG_ENAB yes #当限定超级用户管理日志时使用

　　SYSLOG_SU_ENAB yes #当限定超级用户组管理日志时使用

　　SYSLOG_SG_ENAB yes #当使用md5为密码的加密方法时使用

　　15. 使用OPENSSH代替FTP和Telnet

　　我们通常使用的网络传输程序FTP和Telnet等在本质上都是不安全的，因为它们在网络上用明文传送口令和数据，黑客利用嗅探器非常容易截获这些口令和数据。SSH的英文全称是Secure SHell。通过使用SSH，用户可以把所有传输的数据进行加密，这样即使网络中的黑客能够劫持用户所传输的数据，如果不能解密的话，也不能对数据传输构成真正的威胁。另外，传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替Telnet，又可以为FTP提供一个安全的“传输通道”。在不安全的网路通信环境中，它提供了很强的验证（authentication）机制与非常安全的通信环境。SSH（Secure Shell）最初由芬兰的一家公司开发，但由于受版权和加密算法的限制，很多人转而使用免费的替代软件OpenSSH。 命令行使用OPENSSH比较麻烦。这里介绍gFTP和OPENSSH整合在一齐，提供一个图形化加密传输方案。gFTP和Windows下的CuteFtp一样使用非常简单，而且几乎所有的Linux发行版本都带有gFTP，不需要安装就可以使用。Windows下支持SSH的客户端软件不少，推荐使用Putty和Filezilla。

　　16.备份重要的文件

　　很多木马、蠕虫和后门都会用替换重要文件的办法隐藏自己，将最重要和常用的命令备份是好习惯。准备一套只读介质，光盘或者优盘，甚至放到网上下载都可以。总之是在必要时使用原始的命令而不是系统中可能被感染的命令。需要注意备份的如下：

　　/bin/su

　　/bin/ps

　　/bin/rpm

　　/usr/bin/top

　　/sbin/ifconfig

　　/bin/mount

　　17.补丁问题

　　你应该经常到你所安装的系统发行商的主页上去找最新的补丁。操作系统是计算机系统灵魂，维护着系统的底层，对内存、进程等子系统进行管理和调度。如果操作系统本身出现了漏洞，其影响将会是致命的。操作系统的内核，对于网络安全是至关重要的。目前，内核的维护主要分两种模式：对于私有操作系统，如Windows/Solaris等，由于个人用户不能直接接触其源代码，其代码由公司内部开发人员维护，其安全性由同样的团队保证，内核的修正与其他应用程序一样，以patch/SP包的方式发布。对于Linux这样的开放式系统，是一种开放的结构。应该说，开放的模式是双刃剑。从机制上讲，全世界的开发人员都能获得源代码，从而找出其中的纰漏，似乎安全性应该更好;但是同时，如果网络管理人员不能及时更新内核，也会留下安全隐患。而且，影响操作系统安全的因素有很多。从编成水平到用户的使用水平等等，都将影响到系统的安全。仅仅通过开放或者封闭源代码，都不能从根本上解决安全问题。如果你是一个Linux网管员，你经常需要上相应的网站看，是否有补丁，是否有了bug fix，是否需要升级。千万不要报侥幸心理，否则一个Shell脚本就可能拿下你的网站。套用一句名言：你的服务器永远可能在第二天被黑客接管。

　　Linux服务器运行的软件主要包括：Samba，Ftp，Telnet，Ssh，Mysql，Php，Apache，Mozilla等，这些软件，大都是开源软件，而且都在不停升级，稳定版和测试版交替出现。在www.samba.org和 www.apache.org上，最新的ChangeLog中都写着：bug fix, security bug fix的字样。所以Linux网管员要经常的关注相关网站的bug fix和升级，及时升级或添加补丁。

　　总结：

　　正如没有牢不可破的盾一样，没有任何的系统是绝对安全的。同样在安全领域中，也没有谁可以说自己是高手。系统的安全是靠很多前辈的汗水和智慧来换取的。