Linux安全之道：安全部署的五个步骤(3)

用Debian ISO（这里使用的4.0r1版本）开始一个空白的服务器安装，因为在这个例子中我使用这个系统作为一个服务器，让我们用一个更简单的方法来安装，相对桌面系统而言，服务器通常是恶意攻击者的美味目标，因此你需要额外防备，特别是当它被放在公共网络或互连网上的时候。

在设置好时区、国家等内容后，需要为你的服务器设置一个主机名和域，接下来开始分区，将系统目录设置到它们各自的分区，继续将/home目录设置为一个独立的分区，并将加密你的分区，听起来好象很困难，但对Debian下分区工具而言，这很容易办到，从选项中选择分区向导，然后选择向导 – 使用全部磁盘，并设置为加密的LVM，使用全部磁盘并选择使用一个独立的home分区选项，Debian强烈建议你隔离你的目录，将根、程序、用户数据独立进行分区，但这样分区会很难管理。当提示时（图4），将改变写入磁盘，输入一个复杂的密码来加密卷，接着，设置你的时区和root密码，然后基础安装开始了。

完成基础安装后，接下来的几个屏幕都不是很重要了，直到选择软件包的屏幕，在我们的方案里，只安装一个Apache Web服务器，最后，安装GRUB启动管理器，你的新系统就准备好了，重新启动后，立即用密码锁定GRUB，在/boot/grub/menu.lst文件中增加下面的几行：
timeout 30
password yourpasswordhere

图4 Debian使复杂的分区方案变得简单

步骤三：打补丁

接下来就该为系统打补丁了，虽然有时很乏味，但打补丁还是必需的，毕竟843个包需要许多保护的，同时，你需要将系统设置为实时更新，以便出现新的威胁时可以及时处理，庆幸的是，本文中的样例发行版做升级都很容易，在Fedora客户端，你一样可以很容易地进行升级，在第一次登陆后，系统自动检查更新（图5），Fedora使用Yellow Dog升级管理器，它比yum更有名，它有一个新的GUI界面 - 小狗- 来自动执行升级过程，但是，这个弹出式提示好象只能在GNOME环境下工作，如果你想手动升级你的系统，还可以使用命令yum list updates或yum info updates来查看哪个软件包需要升级，你也可以不加任何参数运行yum来升级所有安装了软件包的可用升级。

图5 在安装完毕后Fedora立即检查更新

继续样例服务器，Debian使用一个叫做aptitude（apt）的工具来升级软件包，apt传统上是作为一个软件包管理器使用，如RedHat的RPM一样，但是它也可以象yum一样进行更新检查了，它使用预先定义好的和自定义的源列表来检查你安装的软件包的更新，如果在你的/etc/apt/sources.list文件中没有下面这行，请将其添加进去，它让你可以在主干稳定的US归档服务器上检查更新。

deb http://http.us.debian.org/debian stable main contrib non-free

然后运行apt-get升级命令，要为你系统升级所有的包，在命令提示符后输入apt-get upgrade（图6），系统将开始检查，得到你的同意后，开始下载并应用更新，在运行apt-get前如果你想看看你安装了哪些软件包，使用命令dpkg –l，要设置为每周检查一次更新，使用下面的命令或你自己编写脚本并用crontab来安排执行时间。
echo /usr/bin/apt-get  update > /etc/check4updates
echo /usr/bin/apt-get  upgrade >> /etc/check4updates
chmod 750 /etc/check4updates
crontab –e

图6 使用apt-get查找Debian安全更新

将下面这行代码添加到你的crontab文件，让脚本在每周三上午3:30执行：
30 3 * * 3  /etc/check4updates

注意：如果你是编译的你自己的包或从另一个源下载的包，使用yum或apt-get可能不能进行自动升级。