Linux 安全应用1

15
知 识 讲 解
常见的评估工具
• 微软的安全分析
– MBSA，Windows主机漏洞扫描 – MSAT，问卷式安全体系评估
• 网络&系统漏洞检测
– X-Scan、Fluxay流光、…… – Nessus、OpenVAS
16
“
Linux 的 基本防护
”
17
知 识 案 例
阻止普通用户关机
• 控制台助手机制
[root@svr1 ~]# chage -E 2013-12-31 zengye [root@svr1 ~]# chage -l zengye .. .. Password inactive : never Account expires : Dec 31, 2013 .. ..
20
知 识 案 例
– 第一个评估计算机系统安全的正式标准 – 美国国防部，于1985年12月发布
• TCSEC 安全分级
– – – – D类，无保护级，只包括D1级别 C类，自主保护级，分为C1、C2两个级别 B类，强制保护级，分为B1、B2、B3三个级别 A类，验证保护级，只包括A1一个级别
13
知 识 讲 解
信息技术安全性评估准则
– sudo -l
• 以用户zengye的权限新建一个文件夹
– sudo -u zengye mkdir /tmp/mydir [root@svr1 ~]# sudo -u zengye mkdir /tmp/mdir [root@svr1 ~]# ls -ld /tmp/mydir/ drwxr-xr-x. 2 zengye zengye 4096 7月 29 15:31 /tmp/mdir/
– /usr/bin/consolehelper
• 配置目录
– /etc/security/console.apps/ [root@svr1 ~]# cd /etc/security/console.apps/ [root@svr1 console.apps]# mkdir -m 700 locked [root@svr1 console.apps]# mv poweroff locked/
验证root用户ห้องสมุดไป่ตู้口令
39
知 识 案 例
以替换用户执行命令
• 在Oracle服务脚本中
– 以用户oracle的身份启动监听 – 以用户oracle的身份启动数据库实例 – …… [root@svr1 ~]# vim /etc/init.d/oracle Start) su - oracle -c “.. ../bin/lsnrctl start" su - oracle -c “.. ../bin/dbstart $ORACLE_HOME"
5
知 识 讲 解
信息安全防护的目标
• • • • • 保密性，Confidentiality 完整性，Integrity 可用性，Usability 可控制性，Controlability 不可否认性，Non-repudiation
6
知 识 讲 解
信息安全防护的原则
• 权限最小化 • 分权制衡 • 安全隔离
7
知 识 讲 解
关于安全的“木桶”法则
• • • • 减少短板 减少单点故障 取长补短 注重整体性
8
知 识 讲 解
从哪些环节防护？
• • • • • • 物理安全：各种设备/主机、机房环境 系统安全：主机或设备的操作系统 应用安全：各种网络服务、应用程序 网络安全：对网络访问的控制、防火墙规则 数据安全：信息的备份与恢复、加密解密 管理安全：各种保障性的规范、流程、方法
21
知 识 讲 解
强制定期修改密码
• 配置文件/etc/login.defs
– 对新建的用户有效
• 主要控制属性
– PASS_MAX_DAYS – PASS_MIN_DAYS – PASS_WARN_AGE
22
知 识 讲 解
减少历史命令的条数
• 环境变量 HISTSIZE
– 默认记录1000条
• 密码等敏感信息应避免在命令行输入
14
知 识 讲 解
其他衍生的标准
• 部分国家标准举例
GB/T 20271-2006，信息系统通用安全技术要求 GB/T 20272-2006，操作系统安全技术要求 GB/T 20984-2007，信息安全风险评估规范 GB/T 20988-2007，信息系统灾难恢复规范 GB/T 21028-2007，服务器安全技术要求 GB/T 21050-2007，网络交换机安全技术要求 GB/T 21052-2007，信息系统物理安全技术要求 ……
32
知 识 讲 解
GRUB引导控制
• 引导设密的作用
– 限制修改启动参数 – 限制进入系统
• 密码设置方法
– password --md5 加密的密码串 – 或者，password 明文密码串
33
知 识 案 例
GRUB引导控制
• 获取MD5加密的密码串
– gurb-md5-crypt [root@svr1 ~]# vim /boot/grub/grub.conf default=0 修改启动参数时验证密码 timeout=3 password --md5 $1$tt3gH1$8nZtL70J/Gv/dAaUm/1 title Red Hat Enterprise Linux (2.6.32-358.el6.x86_64) root (hd0,0) kernel /vmlinuz-2.6.32-358.el6.x86_64 .. .. initrd /initramfs-2.6.32-358.el6.x86_64.img
账号的锁定/解锁
• 使用passwd命令
– -l 锁定、-u 解锁、-S 看状态
• 使用usermod命令
– -L 锁定、-U 解锁
[root@svr1 ~]# passwd -l zengye 锁定用户 zengye 的密码 。 passwd: 操作成功 [root@svr1 ~]# passwd -S zengye zengye LK 2013-07-13 0 99999 7 -1 (密码已被锁定。)
su断开成功
41
知 识 讲 解
提升执行权限（sudo）
• 用途
– Super or another Do，超级执行
• 验证凭据
– 当前用户的口令，需提前配置授权
• 命令格式
– sudo 特权命令 – sudo [-u 目标用户] 特权命令
42
知 识 案 例
使用sudo命令
• 查看自己的sudo授权
29
知 识 讲 解
tty终端控制
• 允许启用哪些tty终端
– 配置文件 /etc/sysconfig/init – ACTIVE_CONSOLES=/dev/tty[1-6]
• 立即禁止普通用户登录
– /etc/nologin
• 只允许root从指定的几个终端登录
– 配置文件 /etc/securetty
34
课 堂 练 习
引导和登录控制
减少打开的tty终端、伪装登录提示信息 禁止按组合键Ctrl+Alt+Del重启 限制在启动时改GRUB参数进入单用户模式
35
“
用户切换与提权
”
36
知 识 导 入
切换与提权
• 切换用户身份，When？
– SSH远程管理 – 运维测试
• 提升执行权限，When？
– 管理权限细分
40
知 识 案 例
跟踪su切换日志
• 安全日志/var/log/secure
– 记录su验证、shell开启与关闭
su切换成功 [root@svr1 ~]# tail /var/log/secure .. .. Jul 29 15:11:05 svr1 su: pam_unix(su-l:session): session opened for user root by zengye(uid=500) Jul 29 15:11:09 svr1 su: pam_unix(su-l:session): session closed for user root
26
课 堂 练 习
Linux基本防护
禁止普通用户使用reboot、halt等程序 账户/密码的失效设置 账户锁定和解锁 文件锁定和解锁
27
“
引导和登录 控制
”
28
知 识 讲 解
开关机安全控制
• 服务器物理安全控制
– 机房、机柜、电源控制、……
• BIOS或UEFI引导参数设置
– 调整启动顺序 – 设置管理密码
• ISO/IEC 15408、GB/T 18336-2008
– 第一个国际通用的信息安全体系评估标准 – 国际标准化组织，1985年12月发布
• GB/T 18336 安全分级
– – – – D类，无保护级，只包括D1级别 C类，自主保护级，分为C1、C2两个级别 B类，强制保护级，分为B1、B2、B3三个级别 A类，验证保护级，只包括A1一个级别
30
知 识 案 例
伪装终端登录提示
• 配置文件/etc/issue、 /etc/
31
知 识 案 例
禁止Ctrl+Alt+Del重启
• 停用Ctrl+Alt+Del热键配置
– /etc/init/control-alt-delete.conf
[root@svr1 ~]# vim /etc/init/control-alt-delete.conf # start on control-alt-delete exec /sbin/shutdown -r now .. ..