策略：强化Linux系统安全

时常有人说，Linux比Windows更安全。但与网络连接的任何计算机是不可能绝对安全的。

正如我们需要经常注意院子的围墙是否坚固一样，对操作系统也需要我们经常维护和强化。在此，我们仅谈论几个用户可以用来强化系统的大体步骤。

本文重点谈的是如何强化的问题，不过在开始强化之前，用户需要对以下三个问题有一个清醒的认识，一个问题是这个系统用于什么目的，二是它需要运行哪些软件，三是用户需要防护哪些漏洞或威胁。这三个问题依次为因果关系，即前一个问题是后一个问题的原因，后一个问题是前一个的结果。

从零开始

从一个已知的安全状态开始强化一个系统是完全可能的，但在实际上这种强化也可以从一个“裸体”系统开始。这意味着用户将拥有对系统盘重新分区的机会，将所有的数据文件与操作系统文件分离开来未尝不是一个谨慎的安全措施。

下一步是配置一个最小的安装，当然得让系统启动，然后添加必要的能够完成工作的程序包。这一步很关键。为什么需要最少化安装呢？原因在于机器中的代码越少，可被利用的漏洞就会越少：谁也无法利用并不存在的漏洞，是不是？你还需要给操作系统打补丁，并且还得给运行在这个系统上的所有应用程序打补丁。

不过，要注意，如果有人能够从物理上接近所访问的机器，他就有可能从光盘或其它媒体启动计算机，并获取系统的访问权。因此，用户最好配置一下系统的BIOS，限制仅能从硬盘启动，并且要用一个强健的口令来保护这种设置。

下一步是编译一下自己的系统内核，这里还是要强调仅包含那些你需要的部分。一旦你自己定制的系统构建完毕，重新启动进入内核，那你所拥有内核的被攻击的可能性将极大地减少。但强化系统的方法不限于此，好戏还在后头。

减少服务

运行了经过瘦身的系统之后，下一步就是要确保仅运行你需要的服务。到现在为止，用户已经清除了许多服务，但还有可能有许多服务仍在后台运行。用户需要在多个地方找到这些服务，如/etc/init.d 和 /etc/rc.d/rc.local等包含多种启动进程的位置，要检查由cron所启动的一切东西。用户还可以用netstat或Nmap等程序检查监听套接字。比如，许多用户需要禁用的服务可能包括网络文件系统（samba）、远程访问服务等。

当然不能一概而论，如果你确实需要某些服务，就要设法限制它对系统其余部分的潜在破坏性作用，要尽可能让其在自己的chroot路径中运行，使其与文件系统的其余部分相分离。

重视许可问题

作为用户或管理人员，必须要保证任何用户都不能执行其不必要的程序或打开不必要文件。管理员应当审计整个系统，并将每个文件的许可减少到最小的可行程度。我们的目标是任何人都不能读取或写入与其无关的文件。此外，还应当对所有的敏感数据加密。

进一步讲，管理员要保证拥有一个安全的root口令，而且知道此口令的人越少越好，只有这样，才能保障任何人都无法访问他们不应当访问的账户。还要保障用户登录信息的最新，要坚持口令的到期时间等策略问题。此外，清除预先提供的账户也是很聪明的做法，或者至少要改变默认的口令。

需要强调的是，安全是一个过程而非一个临时性的活儿。这就意味着，管理人员应当监视并进一步强化系统，特别是需要监视系统日志，要以尽可能快的速度为系统打补丁。还要关注安全咨讯，在获知最新的漏洞后，能尽快地应对之。所以本文并不能全面解决Linux安全，而是向用户展示强化系统的一些可能性。

如果你是一个linux用户或管理者，应当采取一些步骤使其更安全，但这有可能降低系统效率。所以关键是找到一个恰当的平衡点。