Linux 更安全（二）

惟有谨小慎微者方可幸存，与其他领域一样，在确保 Linux® 系统的安全时，这句话也同样适用。幸运的是，有很多安全特性，或者已经编译到内核中，或者已经加入到很多 Linux 发行版本中，或者可以以开放源代码应用程序的形式单独获得。第 2 部分涵盖了清单评估、风险分析、确定用户类别和访问特权，以及安全获得 Linux 发行版本的更详细行动计划和步骤。

在此系列文章中，您将看到怎么样以一种安全的方法来计划、设计、安装、配置和维护运行 Linux 的系统。除了安全概念的理论概述、安装问题、潜在的威胁及其作用以外，您还将得到关于怎么样保护和加固基于 Linux 的系统的实用建议。我们将讨论最小化安装、加固 Linux 安装、授权/认证、本地和网络安全、攻击和怎么样防御攻击，以及数据安全、病毒和恶意程序。

本系列的 第 1 部分 通过给出关于安全概念和潜在威胁的一般理解让您开始上手。本文引导您进行到下一个阶段，列出当计划一个安全安装时需要谨记的事情。

安全计划

第一步 —— 在插入发行版本 CD 并启动安装程序之前 —— 是制定一个安全计划：确定系统将要提供什么服务，要使用什么硬件，需要什么软件，怎么样组织安装。通过在实际安装前认真地制定这样一个计划，在非常早的阶段就可以确定并排除很多可能的安全问题。这样做是有益处的，因为它有助于最小化系统入侵或者断电的风险。而且，它为发生攻击或者发布软件漏洞和补丁时进行快速反应提供了一个坚实的基础。

当考虑安全策略时，重要的是要注意计算机系统的安全性与可用性之间总是会有一个折衷。如果因为复杂的设置和维护以及可用性的缺乏而无法使用，那么最完善的安全特性也没有意义。另外，极度复杂的、极其耗费处理能力的加密算法实际上会锁住系统，几乎不留下任何计算能力给真正的任务使用，那么它又有什么用呢？

要制定安全计划，您应该执行下面的步骤，收集所有相关信息：

进行清单评估时要回答的问题 使用什么硬件？ 指定硬件，它的位置，以及任何可能的特定安全特性（比如加锁的而且防火的房间）。列出网络接口、协议、地址以及相关的名称。 应该安装什么软件和操作系统？ 指定应用程序及它们的数量，检查每个软件的许可证。 存储什么类型的数据，它的危险程度怎么样？ 确定数据的种类。对于每一个确定的种类，根据其机密性和稳私考虑数据的危险程度。 谁对系统负责？ 为系统指定负责人（例如，一个单独的系统管理员，一个专门的 IT 服务部门，或者一个支持提供商）。

完成清单评估

获得安全计划的第一个步骤是，评估清单以了解哪些是必须要保证安全的（参见右面的侧栏）。这样的清单集中关注计算机的物理硬件、网络连接、接口，并定义其职责。所有从清单评估得到的信息都应记入文档。记录文档的一个合适的方法可以是一个包含有每台计算机所有相关信息的电子数据表。

定义网络服务和软件

对于每一台计算机，重要的是要定义它使用或者提供哪些网络服务，以及使用或提供服务的软件应用程序。网络服务（除了其他内容以外，可能包括 DNS、文件传输、打印机和文件共享、Web/Internet、电子邮件和数据库）应该记录在部署计划之中，这个计划还包括所使用的软件程序包以及此计算机是配置为客户机、服务器还是同时具备两个角色。稍后，基于软件和服务的列表，您应该安装一个只包含必需软件的绝对最小化的系统，这样可以使得具有隐藏安全漏洞的可能性最低。

除了定义软件服务以外，您还需要确定用于通信的协议，这也会带来一些安全问题。网络传输是否需要通过基于 SSL 的 HTTP（https）进行加密，还是普通的 HTTP 就足够了？文件传输协议是否强制用户进行认证（比如使用 sftp），或者对必需的安全层级来说匿名的、不加密的访问是否合适？

通常，客户机工作站被配置为使用多个网络服务。不过，服务器应该专门提供一种单一的服务，因为这样会简化配置并降低发生配置错误的可能性。应该由有限数目用户使用的服务应该通过防火墙保护起来以防止不必要的访问。防火墙可以有效地实现管理两个或多个网络之间网络传输的安全策略。

完成风险分析

要在系统的安全性与可用性之间找到适当的折衷，重要的是要针对存储在计算上的数据的类型进行风险分析。要弄清楚需要采取哪种类型的安全措施来保护资源的机密性、完整性和可用性，第一个步骤就是进行风险分析。

风险分析基于清单评估 —— 它声明了存储的是什么类型的数据 —— 集中关注系统受到安全威胁的可能性以及相继而来的后果。换句话说，对于清单评估中定义的每一类数据，您都需要对此数据受到非授权访问的可能性以及这种事件的影响进行评估。这种评估量化为三个级别：高、中、低。所必需的安全级别是事件的概率及其影响的平均水平。

确定用户种类和访问特权

您应该根据其特权和访问权限列出计算机系统的主要用户，或者用户的种类。对于桌面计算机而言，这可能是相当简单的，因为用户的数目通常较少。不过，基于类似的工作分工或对数据资源和应用程序的类似需要来定义用户分类是有意义的。

对服务器来说，确定用户种类通常非常复杂。管理员通常可以访问服务和操作系统工具的配置。除此以外，还有根据需要使用相应服务的不同用户（本地的和远程的用户）。连接到因特网上的公共服务器基本上是任何人都可以访问的，而内部服务器的用户可能会根据工作角色、部门或者办公室位置进行分类。所以，如果需要，您应该区分本地和远程用户以及临时和来宾用户。对于已经确认的用户种类，定义他们需要访问和操作（例如，读、创建、修改或删除数据）哪些数据资源。

 如果您对本文有任何疑问或者建议，请到讨论区发表您的意见: >> 论坛入口 <<