2004年，英国一家安全公司对当年一月份发生的安全攻击事件进行调查，在成功的安全攻击中，约有80%（共计13654次）是成功地攻击了Linux服务器，只有2005次是成功地攻击了Windows服务器。调查报告认为针对Linux的安全攻击成功次数上升是因为很多采用了Linux系统的公司并未正确地配置、管理Linux。该报告指出：问题出在他们的网管而不是Linux本身。这再次印证了安全学方面的一个基本观点：安全问题首先是人的问题，然后才是技术的问题。世界上没有绝对安全的系统，如果疏于管理、没有正确配置，就算是FreeBSD也照样会被攻击、入侵。这篇报告发布后，网友评论说：从这个角度来说，无论是Linux还是Windows，在安全方面最大的问题都不是产品本身，而是使用的人有没有实践一些基本的安全原则，例如“Default
to a secure mode”、“Apply the principle of least
privilege”、注意经常打补丁等。补丁是一定要打的，并不只是Windows才有补丁，Linux照样需要打补丁，照样会有安全漏洞。那些认为只要把Windows换成Linux就可以一劳永逸高枕无忧的人，就大错特错了。
另据伦敦安全分析及咨询机构mi2g公司最近的一份调查结果显示，从2003年11月到2004年10月份共发生了24万次攻击事件。这些攻击事件既有黑客远程手动攻击，也有通过病毒、蠕虫或其他恶意程序发动的攻击。分析结果显示，其中65％的攻击对象为Linux系统，共发生154846起攻击事件，25％的攻击对象为Windows。而最安全的操作系统要属基于BSDUnix的操作系统。Mi2g公司表示，导致Linux系统最容易遭受攻击的原因是该操作系统各项功能组件过于分散，因为它们分别来自不同的企业，拥有着不同的特性。分析结果还发现，遭到攻击的用户多为个人用户和小型企业用户。其被攻击比例为80％，而大中型企业的被攻击比例仅为8.5％。据Mi2g透露，他们的分析数据主要来自北美、欧洲和亚洲的银行和保险机构，同时还包括一些监控数据和来自黑客组织的内部数据。
2005年，另一份权威报告——《2005 North Ameri
ca n Linux and Windows TCO Comparison Report,
Part 2: Hardening Security Is Key to Reducing Risk and
TCO》对Linux以及Windows的安全性进行了对比，他们对北美的550家企业安全状况进行调查并并得出了一些重要结论，下面给出部分与Linux相关具有参考意义的结论：
●
没有任何操作系统是被证明为hack-proof的，也就是说，被证明不能被攻破的，Linux也是可以被攻破的，因而需要防护；
●
人为的错误（包括不遵守安全规程，不采取必要的安全措施，实行常规的安全检查，进行及时的打补丁工作等等）是导致系统不安全的重要原因；
● 针对Linux的攻击呈现日趋上升的态势。
该报告也给出了针对性的提示：
● 加强员工的培训，包括安全意识、安全工具的使用、安全规程的培训等等；
● 及时给系统打补丁，防范攻击以及病毒入侵；
● 实行常规的安全审计以及系统风险评估。
从上述给出的几份权威的安全分析报告，我们不难看出，“世上没有不透风的墙”，Linux操作系统作为一种软件，与Windows操作系统一样，必然存在漏洞。而随着它在全世界范围内的普及使用，目前针对其的攻击越来越多，安全事件也呈上升趋势，形势非常严峻。要想在技术日益发展、纷繁芜杂的网络环境中，保证Linux系统的安全性，需要切实做好事前预防以及事后恢复的工作，这很大程度上取决于人的因素。人是决定系统安全的第一要素。
在保障Linux安全的过程中，业界经历了多年的积累，有许多重要的原则和手段可以借鉴，从系统管理到网络管理都有比较成熟的经验。本文将结合笔者的自身经验，给出这些重要的原则和手段，提供给用户参考使用，希望用户能够在使用过程中举一反三，并能够根据自己的实践总结出新的、行之有效的方法。
1、取消不必要的网络服务
早期的Linux版本中，每一个不同的网络服务都有一个服务程序（守护进程，Daemon）在后台运行，后来的版本用统一的/etc/inetd服务器程序担此重任。Inetd是Internet
daemon的缩写，它同时监视多个网络端口，一旦接收到外界传来的连接信息，就执行相应的TCP或UDP网络服务。由于受inetd的统一指挥，因此Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检查/etc/inetd.conf文件，在不要的服务前加上“＃”号。
一般来说，除了http、smtp、telnet和ftp之外，其他服务都应该取消，诸如简单文件传输协议tftp、网络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和time等。
还有一些报告系统状态的服务，如finger、efinger、systat和netstat等，虽然对系统查错和寻找用户非常有用，但也给黑客提供了方便之门。例如，黑客可以利用finger服务查找用户的电话、使用目录以及其他重要信息。因此，很多Linux系统将这些服务全部取消或部分取消，以增强系统的安全性。
Inetd除了利用/etc/inetd.conf设置系统服务项之外，还利用/etc/services文件查找各项服务所使用的端口。因此，用户必须仔细检查该文件中各端口的设定，以免有安全上的漏洞。
在后继的Linux版本中（比如Red Hat Linux
7.2之后），取而代之的是采用xinetd进行网络服务的管理。（关于Xinetd的具体使用方法可参阅本报2005年7月4日第25期C11版《使用Xinetd管理网络应用服务》，或访问www2.ccw.com.cn/05/0525/d/0525d04_1.asp）
在Linux中有两种不同的服务型态:一种是仅在有需要时才执行的服务，如finger服务;另一种是一直在执行的永不停顿的服务。后者在系统启动时就开始执行，因此不能靠修改inetd来停止其服务，而只能从修改/etc/rc.d/rc[n].d/文件或用Run
level
editor去修改它。提供文件服务的NFS服务器和提供NNTP新闻服务的news都属于这类服务，如果没有必要，最好取消这些服务。
当然，具体取消哪些服务不能一概而论，需要根据实际的应用情况来定，但是系统管理员需要做到心中有数，因为一旦系统出现安全问题，才能做到有步骤、有条不紊地进行查漏和补救工作，这一点比较重要。
2、严格审计系统的登录用户
在进入Linux系统之前，所有用户都需要登录，也就是说，用户需要输入用户账号和密码，只有通过系统验证之后，用户才能进入系统。
与其他Unix操作系统一样，Linux一般将密码加密之后，存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件，虽然文件中保存的密码已经经过加密，但仍然不太安全。因为一般的用户可以利用现成的密码破译工具，以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅读该文件。
在Linux系统中，如果要采用影子文件，必须将所有的公用程序重新编译，才能支持影子文件。这种方法比较麻烦，比较简便的方法是采用插入式验证模块（PAM）。很多Linux系统都带有Linux的工具程序PAM，它是一种身份验证机制，可以用来动态地改变身份验证的方法和要求，而不要求重新编译其他公用程序。这是因为PAM采用封闭包的方式，将所有与身份验证有关的逻辑全部隐藏在模块内，因此它是采用影子档案的最佳帮手。
此外，PAM还有很多安全功能：它可以将传统的DES加密方法改写为其他功能更强的加密方法，以确保用户密码不会轻易地遭人破译；它可以设定每个用户使用电脑资源的上限；它甚至可以设定用户的上机时间和地点。
Linux系统管理人员只需花费几小时去安装和设定PAM，就能大大提高Linux系统的安全性，把很多攻击阻挡在系统之外。
3、随时更新系统的最新核心
Linux作为一种优秀的开源软件，其稳定性、安全性和可用性有极为可靠的保证，世界上的Linux高手共同维护着这个优秀的产品，因而其流通渠道很多，而且经常有更新的程序和系统补丁出现，因此，为了加强系统安全，一定要经常更新系统内核。
内核是Linux操作系统的核心，它常驻内存，用于加载操作系统的其他部分，并实现操作系统的基本功能。由于内核控制计算机和网络的各种功能，因此，它的安全性对整个系统安全至关重要。
早期的内核版本存在许多众所周知的安全漏洞，而且也不太稳定，只有2.0.x以上的版本才比较稳定和安全（一般说来，内核版本号为偶数的相对稳定，而为奇数的则一般为测试版本，用户们使用时要多留意），新版本的运行效率也有很大改观。在设定内核的功能时，只选择必要的功能，千万不要所有功能照单全收，否则会使内核变得很大，既占用系统资源，也给黑客留下可乘之机。
在Internet上常常有最新的安全修补程序，Linux系统管理员应该消息灵通，经常光顾安全新闻组，查阅新的修补程序。一般情况下，用户可以随时保持对Red
Hat门户网站（www.redhat.com），Debian
Linux门户网站（www.debian.org）、Turbolinux门户网站（www.turbolinux.com）、Slackware门户网站（www.slackware..com）、SuSE门户网站（www.suse.com/index_us.html）、Fedora门户网站（fedora.redhat.com）等优秀Linux发行套件网站的关注，及时更新系统的最新核心以及打上安全补丁，这样能较好地保证Linux系统的安全。
4、检查登录密码
设定登录密码是一项非常重要的安全措施，如果用户的密码设定不合适，就很容易被破译，尤其是拥有超级用户使用权限的用户，如果没有良好的密码，将给系统造成很大的安全漏洞。
在多用户系统中，如果强迫每个用户选择不易猜出的密码，将大大提高系统的安全性。但如果passwd程序无法强迫每个上机用户使用恰当的密码，要确保密码的安全性，就只能依靠密码破解程序了。
实际上，密码破解程序是黑客工具箱中的一种工具，它将常用的密码或者是英文字典中所有可能用来作密码的字都用程序加密成密码字，然后将其与Linux系统的/etc/passwd密码文件或/etc/shadow影子文件相比较，如果发现有吻合的密码，就可以求得明码了。
在网络上可以找到很多密码破解程序，比较有名的程序是crack。用户可以自己先执行密码破解程序，找出容易被黑客破解的密码，先行改正总比被黑客破解要有利。
目前密码破解程序大多采用字典攻击以及暴力攻击手段，而其中用户密码设定不当，则极易受到字典攻击的威胁。很多用户喜欢用自己的英文名、生日或者账户等信息来设定密码，这样，黑客可能通过字典攻击或者是社会工程的手段来破解密码。所以建议用户在设定密码的过程中，应尽量使用非字典中出现的组合字符，并且采用数字与字符相结合、大小写相结合的密码设置方式，增加密码被黑客破解的难度。而且，也可以使用定期修改密码、使密码定期作废的方式，来保护自己的登录密码。
具体列出几条参考原则如下：
●
口令长度至少为八个字符，口令越长越好。若使用MD5口令，它应该至少有15个字符。若使用DES口令，使用最长长度（8个字符）。
● 混和大小写字母。Linux区分大小写，因此混和大小写会增加口令的强壮程度。
● 混和字母和数字。在口令中添加数字，特别是在中间添加（不只在开头和结尾处）能够加强口令的强健性。
● 包括字母和数字以外的字符：&、$、和 >
之类的特殊字符可以极大地增强口令的强健性（若使用DES口令则不能使用此类字符）。
●
挑选一个可以记住的口令。如果记不住自己的口令，那么它再好也没有用，使用简写或其他记忆方法来帮助记忆口令。
● 不要在口令中只使用单词或数字。
●
不要使用现成词汇，像名称、词典中的词汇、甚至电视剧或小说中的用语，即使在两端使用数字，都应该避免使用。
●
不要使用外语中的词汇。口令破译程序经常使用多种语言的词典来检查其词汇列表。依赖外语来达到保护口令的目的通常不起作用。
● 不要使用黑客术语。
●
不要使用个人信息。如果攻击者知道你的身份，那么推导出你所用的口令会变得非常容易。以下是你在创建口令时应该避免使用的信息类型:不要倒转现存词汇，优秀的口令破译者总是倒转常用词汇，因此倒转薄弱口令并不会使它更安全;不要笔录你的口令,决不要把口令写在纸上，把它牢记在心才更为安全;不要在所有机器上都使用同样的口令,在每个机器上使用不同的口令是极其重要的，这样，如果一个系统泄密了，所有其他系统都不会立即受到威胁。
上一篇：linux入门必读文章
下一篇：Linux安全十二法则2
【本站声明】本站刊载的部分内容全部来源互联网,对于此类文章本站仅提供交流平台，不为其版权负责。如涉及侵犯您的知识产权的文章，请联系我们，我们将尽快做出更正。并向您表示感谢！同时特别感谢对本站所有支持的网友。
