网站主机安全之系统与服务器安全管理 续

Linux和Solaris是另外两种种常见的服务器。Linux和Freebsd一样，是免费的操作系统，它们都广泛使用GNU(一个伟大的组织)的实用工具集，Linux容易上手，但不如Freebsd简洁。Solaris是SUN的商用操作系统，关于SUNOS的文章在网上被贴得到处都是，但遗憾的是，它看起来并不快，而且，你也要经常对它打补丁。下面就让我们看看这两种服务器的安全配置，以及服务器的安全管理的内容。

Linux的初始安全配置

Linux安装完成后，默认会打开一些不必要端口，运行netstat –angrepLISTEN命令看一下，会看到本机打开的所有端口。除了必须的网络端口如SSH、FTP和WEB，其他端口都关闭。如果你不熟悉这些端口对应什么程序，那么请参看/etc/services文件，里面有端口和服务的对应列表。

在Redhat9.0默认安装完成后，请进入/etc/rc2.d和/etc/rc3.d，将系统启动时打开的不必要服务都在这里注销掉。这些服务通常包括sendmail、NFS、rpc等，注销的方法是将S打头的相关服务文件重命名(注意不要命名为S或K打头的其他文件)。

例如将/etc/rc2.d/S80sendmail 改名为 X80sendmail

将/etc/rc3.d/S13portmap S14nfslock S28autofs S80sendmail改名为X13portmap X14nfslock X28autofs X80sendmail

RPC的安全问题历来很多，请注意一定不要打开111端口。

改完后需要重启Linux服务器。

如果你的Linux直接面对因特网，那么可以配置它的防火墙来实现访问控制。Linux2.4内核支持iptables，2.4以下支持ipchains，它们的语法差不多，都是很好的防火墙工具。例如，如果你只允许从因特网访问SSH和WWW服务，那么可将如下语句加进/etc/rc.d/rc.local文件：

/sbin/iptables -F

/sbin/iptables -A INPUT -p tcp -d 211.96.13.* –dport 80 -ieth0-j ACCEPT

/sbin/iptables -A INPUT -p tcp -d 211.96.13.* –dport 22 -ieth0-j ACCEPT

/sbin/iptables -A INPUT -i eth0 -j DROP

说明：iptables–F刷新iptables规则表，接下来两条语句允许任何人访问211.96.13.*这个地址的WWW和SSH服务，最后一条DROP语句将不符合规则的其他访问过滤掉。这样系统在启动后即可自动运行防火墙规则。

通常在Freebsd或Linux上会运行Mysql数据库服务，不要将数据库服务端口(3306)暴露在防火墙之外。如果运行Apache，同样要做如Freebsd的修改。

Solaris的初始安全配置

关于Solaris的安全配置网上有一篇非常好的文章，叫做《The SolarisSecurityFAQ》，照着做就可以了。

1)禁止root从网络直接登陆:修改/etc/default/login文件，确保CONSOLE=/dev/console被设置，该行只允许root从控制台登陆。将root用户加入/etc/ftpusers，保证root不可以远程使用ftp。

2)禁止rlogin和rsh访问:删除/etc/hosts.equiv和/.rhosts文件，从/etc/inetd.conf文件里注释掉所有以r打头的服务。

3) 帐号控制:删除、锁定或注释掉不必要的系统帐号，包括sys/uucp/nuucp/listen等

4) 改变/etc目录的访问权限:该目录下文件不应该对同组用户可写，执行：chmod –R g-w /etc (不推荐)

5) 在solaris2.5 以上版本的系统中，创建/etc/notrouter文件来关闭solaris默认的路由转发。

6) 禁止automounter：删除/etc/auto_*配置文件，删除/etc/init.d/autofs

7)禁止NFS服务：删除/etc/dfs/dfstab，重命名/etc/rc3.d/S15nfs.server，重命名/etc/rc2.d/S73nfs.client(不要再以S打头)

8) 禁止rpc服务：重命名/etc/rc2.d/S71RPC

9)修改/etc/inetd.conf文件，注释掉大部分不必要服务，只保留telnet和ftp服务，然后重启inetd进程。

10) 给系统打补丁：包括各版本Solaris通用补丁和单个补丁集合。

11) 将如下三行加进/etc/init.d/inetinit文件：

ndd -set /dev/ip ip_forward_directed_broadcasts 0

ndd -set /dev/ip ip_forward_src_routed 0

ndd -set /dev/ip ip_forwarding 0

这样在系统启动后就关闭了IP转发和IP源路由。

服务安全管理应做的事

服务器安全管理是站点安全中最重要的一环，离开了管理，安全将变得不切实际。以下也许是Windows系统安全管理员每天应做的事：

1.检查系统有无新增帐户，并了解其来源及用途;查看管理员组里有无新增帐户，该组的帐户除系统最初设置外，以后不应该增加帐户;

2. 在命令行状态下，运行netstat –an命令查看当前连接及打开的端口，查找可疑连接及可疑的端口;

3. 查看“任务管理器”，查找有无可疑的应用程序或后台进程在运行，并观察CPU及内存的使用状态;

4. 运行注册表编辑器，查找有无可疑的程序被加到windows的启动项里，并查看有无新增的可疑服务;

5.使用Windows事件查看器查看“系统日志”“安全日志”和“应用程序日志”，以发现有无可疑的事件或影响系统性能的事件;

6. 检查共享目录，不应有对所有用户可写的目录存在;

7. 如果运行MicrosoftIIS，查看C:\WINNT\system32\LogFiles\下的WEB服务器日志，以发现是否有试图攻击WEB的行为;

8. 不定期运行杀毒软件查杀病毒;

9. 经常浏览微软的网站，保持服务器的补丁同步更新，留意微软发布的安全公告。

【编辑推荐】

1. 网络服务器应如何防止被黑
2. 网站主机安全之服务器的物理安全
3. 网站主机安全之服务器的网络安全
4. 网站主机安全之系统与服务器安全管理