怎么分級抵御對Linux服務(wù)器的攻擊

隨著Linux企業(yè)應(yīng)用的擴(kuò)展， 有大量的網(wǎng)絡(luò)服務(wù)器使用Linux操作系統(tǒng)。 Linux服務(wù)器的安全性能受到越來越多的關(guān)注， 這里根據(jù)Linux服務(wù)器受到攻擊的深度以級別形式列出， 并提出不同的解決方案。

對Linux服務(wù)器攻擊的定義是：攻擊是一種旨在妨礙、損害、削弱、破壞Linux服務(wù)器安全的未授權(quán)行為。 攻擊的范圍可以從服務(wù)拒絕直至完全危害和破壞Linux服務(wù)器。 對Linux服務(wù)器攻擊有許多種類,本文從攻擊深度的角度說明， 我們把攻擊分為四級。

攻擊級別一：服務(wù)拒絕攻擊(dos)

由于DoS攻擊工具的泛濫， 及所針對的協(xié)議層的缺陷短時無法改變的事實(shí)， dos也就成為了流傳最廣、最難防范的攻擊方式。

服務(wù)拒絕攻擊包括分布式拒絕服務(wù)攻擊、反射式分布拒絕服務(wù)攻擊、DNS分布拒絕服務(wù)攻擊、FTP攻擊等。 大多數(shù)服務(wù)拒絕攻擊導(dǎo)致相對低級的危險(xiǎn)， 即便是那些可能導(dǎo)致系統(tǒng)重啟的攻擊也僅僅是暫時性的問題。 這類攻擊在很大程度上不同于那些想獲取網(wǎng)絡(luò)控制的攻擊， 一般不會對數(shù)據(jù)安全有影響， 但是服務(wù)拒絕攻擊會持續(xù)很長一段時間， 非常難纏。

到目前為止， 沒有一個絕對的方法可以制止這類攻擊。 但這并不表明我們就應(yīng)束手就擒， 除了強(qiáng)調(diào)個人主機(jī)加強(qiáng)保護(hù)不被利用的重要性外， 加強(qiáng)對服務(wù)器的管理是非常重要的一環(huán)。 一定要安裝驗(yàn)證軟件和過濾功能， 檢驗(yàn)該報(bào)文的源地址的真實(shí)地址。 另外對于幾種服務(wù)拒絕可以采用以下措施：關(guān)閉不必要的服務(wù)、限制同時打開的Syn半連接數(shù)目、縮短Syn半連接的time out 時間、及時更新系統(tǒng)補(bǔ)丁。

攻擊級別二：本地用戶獲取了他們非授權(quán)的文件的讀寫權(quán)限

本地用戶是指在本地網(wǎng)絡(luò)的任一臺機(jī)器上有口令、因而在某一驅(qū)動器上有一個目錄的用戶。 本地用戶獲取到了他們非授權(quán)的文件的讀寫權(quán)限的問題是否構(gòu)成危險(xiǎn)很大程度上要看被訪問文件的關(guān)鍵性。 任何本地用戶隨意訪問臨時文件目錄(/tmp)都具有危險(xiǎn)性， 它能夠潛在地鋪設(shè)一條通向下一級別攻擊的路徑。

級別二的主要攻擊方法是：黑客誘騙合法用戶告知其機(jī)密信息或執(zhí)行任務(wù)， 有時黑客會假裝網(wǎng)絡(luò)管理人員向用戶發(fā)送郵件， 要求用戶給他系統(tǒng)升級的密碼。

由本地用戶啟動的攻擊幾乎都是從遠(yuǎn)程登錄開始。 對于Linux服務(wù)器， 最好的辦法是將所有shell賬號放置于一個單獨(dú)的機(jī)器上， 也就是說， 只在一臺或多臺分配有shell訪問的服務(wù)器上接受注冊。 這可以使日志管理、訪問控制管理、釋放協(xié)議和其他潛在的安全問題管理更容易些。 還應(yīng)該將存放用戶CGI的系統(tǒng)區(qū)分出來。 這些機(jī)器應(yīng)該隔離在特定的網(wǎng)絡(luò)區(qū)段， 也就是說， 根據(jù)網(wǎng)絡(luò)的配置情況， 它們應(yīng)該被路由器或網(wǎng)絡(luò)交換機(jī)包圍。 其拓?fù)浣Y(jié)構(gòu)應(yīng)該確保硬件地址欺騙也不能超出這個區(qū)段。

攻擊級別三：遠(yuǎn)程用戶獲得特權(quán)文件的讀寫權(quán)限

第三級別的攻擊能做到的不只是核實(shí)特定文件是否存在， 而且還能讀寫這些文件。 造成這種情況的原因是：Linux服務(wù)器配置中出現(xiàn)這樣一些弱點(diǎn)：即遠(yuǎn)程用戶無需有效賬號就可以在服務(wù)器上執(zhí)行有限數(shù)量的命令。

密碼攻擊法是第三級別中的主要攻擊法， 損壞密碼是最常見的攻擊方法。 密碼破解是用以描述在使用或不使用工具的情況下滲透網(wǎng)絡(luò)、系統(tǒng)或資源以解鎖用密碼保護(hù)的資源的一個術(shù)語。 用戶常常忽略他們的密碼， 密碼政策很難得到實(shí)施。 黑客有多種工具可以擊敗技術(shù)和社會所保護(hù)的密碼。 主要包括：字典攻擊(Dictionary attack)、混合攻擊(Hybrid attack)、蠻力攻擊(Brute force attack)。 一旦黑客擁有了用戶的密碼， 他就有很多用戶的特權(quán)。 密碼猜想是指手工進(jìn)入普通密碼或通過編好程序的正本取得密碼。 一些用戶選擇簡單的密碼—如生日、紀(jì)念日和配偶名字， 卻并不遵循應(yīng)使用字母、數(shù)字混合使用的規(guī)則。 對黑客來說要猜出一串8個字生日數(shù)據(jù)不用花多長時間。

防范第三級別的攻擊的最好的防衛(wèi)方法便是嚴(yán)格控制進(jìn)入特權(quán)， 即使用有效的密碼。

◆ 主要包括密碼應(yīng)當(dāng)遵循字母、數(shù)字、大小寫(因?yàn)長inux對大小寫是有區(qū)分)混合使用的規(guī)則。

◆ 使用象“#”或“%”或“$”這樣的特殊字符也會添加復(fù)雜性。 例如采用"countbak"一詞， 在它后面添加“#$”(countbak#$)， 這樣您就擁有了一個相當(dāng)有效的密碼。

計(jì)算機(jī)系統(tǒng)中， 用戶在一般情況并不直接與內(nèi)核打交道， 中間還有一層應(yīng)用層作為接口在用戶與內(nèi)核之間相互作用著， 但這種設(shè)計(jì)能夠保護(hù)內(nèi)核不會被用戶肆意修改窺測， 但也隨之帶來了安全問題， 由于應(yīng)用層并不是能完全信任之的， 因此在操作系統(tǒng)安全功能中， 往往會提供可信路徑這一功能[這也是橘皮書 B2 級的安全要求]。

可信路徑[trusted path]是怎么樣的概念?顧名思義， 它就是這么一種功能的實(shí)現(xiàn)：避過應(yīng)用層， 在用戶與內(nèi)核之間開辟一條直接的可信任的交互通道。 真的有必要那么麻煩， 不得不在進(jìn)行高風(fēng)險(xiǎn)操作時使用可信路徑與內(nèi)核互動嗎?遺憾地告訴你：確實(shí)是!有經(jīng)驗(yàn)的系統(tǒng)管理員普遍都很清楚來自網(wǎng)絡(luò)的威脅有多么嚴(yán)重。 黑帽子們能使用特洛伊木馬[Trojan horse],記錄你在登陸及其它敏感操作時的行動， 從而竊取你的寶貴口令。

你一定對"ctrl + alt + del"三鍵序列極有印象， 在dos年代， 我們用它快速重啟機(jī)器， 并稱之為"熱啟動"， 而在WINDOWS 9X時代， 我們則用它查看進(jìn)程， 不過也許你沒有注意到， 在WINDOWS9X 向WINNT過渡后， 我們的PC也運(yùn)行著NT內(nèi)核的WIN2000/XP時， 事實(shí)上"ctrl + alt + del"三鍵的職能已經(jīng)有了些微改變， 微軟在它的官方文檔中， 稱"ctrl + alt + del"為SAS[Secure Attention Sequence]， 并且將之列為安全功能-可信路徑的構(gòu)成部分， 而在linux下， 也有著類似的按鍵序列可用。

Linux 環(huán)境下的安全留意鍵—— SAK[Secure Attention Key],這個SAK是一組鍵, 在我們常見的X86平臺下， 它是"alt+sysrq+k"， 而在SPARC下， SAK則是"alt+STOP+k", SAK默認(rèn)不打開， 需要用 echo "1" > /proc/sys/kernel/sysrq 這條命令激活， 當(dāng)然， 你也可以將它寫進(jìn)登錄腳本中， 這樣就不必每次麻煩了。 對SAK實(shí)現(xiàn)有興趣的朋友， 可以參考參考 linux/drivers/char/sysrq.c和 linux/drivers/char/tty_io.c::do_SAK

SAK序列鍵其實(shí)是被稱做"magic sysrq key" 中的一組， "magic sysrq key" 還有一些特殊鍵， 與SAK一樣， 它們都是使用"alt + sysrq + ..."格式， 其中的...可換為某些特殊的字母比如"i",在《MAGIC SYSRQ KEY DOCUMENTATION v1.32》手冊上， "alt + sysrq +i" 所代表的行為是"Send a SIGKILL to all processes, except for init." 意思就是向除了 init 外的所有進(jìn)程發(fā)送一條kill 信號;現(xiàn)在我們看看在

《MAGIC SYSRQ KEY DOCUMENTATION v1.32》手冊中對"alt + sysrq +k"的解釋吧：

"sa'K' (Secure Access Key) is usefull when you want to be

sure there are no trojan program is running at console and

which could grab your password when you would try to login.

It will kill all programs on given console and thus

letting you make sure that the login prompt you see is

actually the one from init, not some trojan program. "

這段話正是SAK的功能寫照：SAK對你確定在登陸時沒有試圖竊取密碼的特洛伊木馬程序運(yùn)行在當(dāng)前控制臺上， 它能殺死當(dāng)前控制臺上的全部應(yīng)用程序， 以此令你確信看到的登陸畫面來自init,而非木馬程序。 當(dāng)你按下這組鍵時， 也就是引發(fā)了這一特定事件， 那么按照設(shè)計(jì)的流程， 系統(tǒng)陷入核心狀態(tài)， 這時你將可以直接與內(nèi)核溝通， 也就是說， 出現(xiàn)在你的“理應(yīng)”是如假包換的真實(shí)登陸提示信息， 為什么是理應(yīng)?我們下文分析:->