隨著Linux企業(yè)應(yīng)用的擴(kuò)展，有大量的網(wǎng)絡(luò)服務(wù)器使用Linux操作系統(tǒng)。Linux服務(wù)器的安全性能受到越來(lái)越多的關(guān)注，這里根據(jù)Linux服務(wù)器受到攻擊的深度以級(jí)別形式列出，并提出不同的解決方案。

　　對(duì)Linux服務(wù)器攻擊的定義是：攻擊是一種旨在妨礙、損害、削弱、破壞Linux服務(wù)器安全的未授權(quán)行為。攻擊的范圍可以從服務(wù)拒絕直至完全危害和破壞Linux服務(wù)器。對(duì)Linux服務(wù)器攻擊有許多種類，本文從攻擊深度的角度說(shuō)明，我們把攻擊分為四級(jí)。

　　攻擊級(jí)別一：服務(wù)拒絕攻擊（DoS）

　　由于DoS攻擊工具的泛濫，及所針對(duì)的協(xié)議層的缺陷短時(shí)無(wú)法改變的事實(shí)，DoS也就成為了流傳最廣、最難防范的攻擊方式。

　　服務(wù)拒絕攻擊包括分布式拒絕服務(wù)攻擊、反射式分布拒絕服務(wù)攻擊、DNS分布拒絕服務(wù)攻擊、FTP攻擊等。大多數(shù)服務(wù)拒絕攻擊導(dǎo)致相對(duì)低級(jí)的危險(xiǎn)，即便是那些可能導(dǎo)致系統(tǒng)重啟的攻擊也僅僅是暫時(shí)性的問(wèn)題。這類攻擊在很大程度上不同于那些想獲取網(wǎng)絡(luò)控制的攻擊，一般不會(huì)對(duì)數(shù)據(jù)安全有影響，但是服務(wù)拒絕攻擊會(huì)持續(xù)很長(zhǎng)一段時(shí)間，非常難纏。

　　到目前為止，沒(méi)有一個(gè)絕對(duì)的方法可以制止這類攻擊。但這并不表明我們就應(yīng)束手就擒，除了強(qiáng)調(diào)個(gè)人主機(jī)加強(qiáng)保護(hù)不被利用的重要性外，加強(qiáng)對(duì)服務(wù)器的管理是非常重要的一環(huán)。一定要安裝驗(yàn)證軟件和過(guò)濾功能，檢驗(yàn)該報(bào)文的源地址的真實(shí)地址。另外對(duì)于幾種服務(wù)拒絕可以采用以下措施：關(guān)閉不必要的服務(wù)、限制同時(shí)打開(kāi)的Syn半連接數(shù)目、縮短Syn半連接的time out 時(shí)間、及時(shí)更新系統(tǒng)補(bǔ)丁。

　　

　　　　攻擊級(jí)別二：本地用戶獲取了他們非授權(quán)的文件的讀寫(xiě)權(quán)限

　　本地用戶是指在本地網(wǎng)絡(luò)的任一臺(tái)機(jī)器上有口令、因而在某一驅(qū)動(dòng)器上有一個(gè)目錄的用戶。本地用戶獲取到了他們非授權(quán)的文件的讀寫(xiě)權(quán)限的問(wèn)題是否構(gòu)成危險(xiǎn)很大程度上要看被訪問(wèn)文件的關(guān)鍵性。任何本地用戶隨意訪問(wèn)臨時(shí)文件目錄（/tmp）都具有危險(xiǎn)性，它能夠潛在地鋪設(shè)一條通向下一級(jí)別攻擊的路徑。

　　級(jí)別二的主要攻擊方法是：黑客誘騙合法用戶告知其機(jī)密信息或執(zhí)行任務(wù)，有時(shí)黑客會(huì)假裝網(wǎng)絡(luò)管理人員向用戶發(fā)送郵件，要求用戶給他系統(tǒng)升級(jí)的密碼。

　　由本地用戶啟動(dòng)的攻擊幾乎都是從遠(yuǎn)程登錄開(kāi)始。對(duì)于Linux服務(wù)器，最好的辦法是將所有shell賬號(hào)放置于一個(gè)單獨(dú)的機(jī)器上，也就是說(shuō)，只在一臺(tái)或多臺(tái)分配有shell訪問(wèn)的服務(wù)器上接受注冊(cè)。這可以使日志管理、訪問(wèn)控制管理、釋放協(xié)議和其他潛在的安全問(wèn)題管理更容易些。還應(yīng)該將存放用戶CGI的系統(tǒng)區(qū)分出來(lái)。這些機(jī)器應(yīng)該隔離在特定的網(wǎng)絡(luò)區(qū)段，也就是說(shuō)，根據(jù)網(wǎng)絡(luò)的配置情況，它們應(yīng)該被路由器或網(wǎng)絡(luò)交換機(jī)包圍。其拓?fù)浣Y(jié)構(gòu)應(yīng)該確保硬件地址欺騙也不能超出這個(gè)區(qū)段。

最新評(píng)論