Linux系统安全策略研究

李 萍

（1. 中国海洋大学，山东 青岛 266100；2. 寿光市安监局，山东 寿光 262700）

Linux系统安全策略研究

李 萍1，2

（1. 中国海洋大学，山东 青岛 266100；2. 寿光市安监局，山东 寿光 262700）

文章对Linux系统当前的安全现状进行了分析，在文件管理、KLW包层技术及禁止系统对ping命令等方面提出了Linux系统安全管理策略，进一步提高了Linux系统安全。

Linux；LSM；KLW包层技术

1 引言

Linux自1991年问世以来，其多用户、多进程、多线程、实时性较好且功能强大而稳定的特点得到世界程序爱好者的青睐，在高端的服务器市场占有很大份额，随着Linux的广泛应用和网络技术的发展，如何保证Linux系统的安全将变得非常重要。

2 Linux系统安全现状及其重要性

Linux操作系统由于其出色的性能和稳定性，在操作系统市场已拥有了大批的用户。并且由于Linux内核源代码的开放性，为操作系统的研究带来了极大的方便和灵活。然而，从Linux诞生起，在安全性方面，Linux内核只提供了自主访问控制（DAC）、标识与识别、POSIX.1e的capabilities机制以及一些日志功能。2001年，在Linux内核峰会上，Linux安全模块（Linux security module，LSM）应运而生。基于最新版本的内核提供以下安全机制：①身份验证：作为Linux系统的第一道防线，Linux为合法用户提供帐号，并允许为用户帐号设置安全等级；②访问控制：对文件的访问使用了文件存取许可机制；③日志：提供日志文件来记录整个操作系统的使用状况，如用户登录、用户切换、权限改变等，管理员可以通过察看这些日志文件，来对系统进行维护；④加密文件：提供多种附加工具来加密数据；⑤文件系统：在目录结构上，先有目录再有分区，它的各个文件系统可以很方便的挂载在系统中，或者从目录结构中卸载；⑥程序角色切换：程序从root用户启动以后，通常需要切换到服务的软件角色上，如Apache；⑦内存管理：Linux系统采取内存保护模式来执行程序，避免了因一个程序执行失败而影响整个系统的运行；⑧客体重用：客体重用是指当主体（如用户、进程、I/O设备等）获得对一个已经释放的客体（如内存、外存储设备等）的访问权时，可以获得原主体活动所产生的信息；⑨防火墙：内核中集成了 Netfilter/iptables系统，其中Netfilter负责将流经系统IP协议栈的数据包提出来，并且定义了iptables中各个表和规则的数据结构，以及各个操作，实现对iptables中数据包的要求；用户可以通过注入模块，调用Netfilter的接口函数创建新表，来实现所需的安全模块。

3 Linux系统安全管理策略

3.1 文件管理

3.1.1 文件加密

将重要的文件进行加密处理来加以保护。使用#gpg－gen－key产生密钥对，将公钥发布，以便其他用户下载该公钥加密发回文件，收到加密文件后，用配对的私钥解密为明文。

3.1.2 文件的存放

为提高安全性，系统应把不同的用户目录分离开来，每个用户都有自己的主目录和硬盘空间，这块空间与系统区域、其他用户空间分离开，这样可以防止普通用户的操作影响到整个文件系统。

3.1.3 文件和目录的访问权限

使用chown或chgrp命令正确设置文件的所有权或用户组关系，使得文件的不同用户（文件主、组用户和其他用户）只能对必须的文件具有的必须的访问权限（读、写和可执行），提高文件访问的安全性。

3.1.4 SUID/SGID

具有SUID/SGID权限标志的程序需要以root身份运行，这是一个潜在的安全漏洞。因此，除了类似password程序必须具有root身份外，应限制具有SUID/SGID权限标志的程序数量。

3.2 KLW包层技术

目前被认为最有前途的安全技术是一种被称作包层（wrapper）的技术。该包层可以缠绕在操作系统内核上，也可以缠绕在浏览器上、web服务器、应用程序上。它以系统扩展的方式增加安全性能，即可以满足某些应用程序的特定安全需求。当包层嵌入到操作系统中时，也可以通过包层扩展系统安全功能，如同给OS和应用程序穿上防弹服一样。在国外，如DARPA已投资开发用于开发包层软件的包层定义语言。这样一来，只要像编写应用程序一样来编写安全包层，就可以满足不同的安全需要。

在 Liunx安全领域，有一种称作 KLW（Kernel Loadable Wrapper）的包层技术，其设计思想主要是在内核的包层通过截取系统调用，对系统调用进行改造处理，以增加系统的安全功能。KLW有以下特点：①任何对操作系统的访问都必须经过KLW，不可旁路；②KLW对内核代码不进行任何修改，KLW以模块形式可以动态装入；③KLW可满足不同的安全需要，而且可以跨操作系统平台。

3.3 禁止系统对ping命令的反应

禁止Linux系统对ping请求做出反应，可将计算机的网络安全风险降到最小，因为没人能通过ping指令对所攻击的服务器中获取任何反应。由于TCP协议本身有很多弱点，黑客可以利用一些技术，把传输正常数据包的通道用来偷偷地传送数据。如果将系统设置对ping请求没有反应，就能很好的避免黑客利用其漏洞来攻击你的机器。

4 结束语

尽管Linux被认为是一个较为安全的服务器系统，但它仍然存在许多漏洞，只有不断的完善安全防范措施，吸收先进的网络安全技术，才能真正构建安全的网络平台，才能更加有效的避免由于开放性所带来的漏洞而引发的攻击。

1 周昕、刘勇、沈配等.Linux安全性能改进研究［J］.计算机工程，2001（10）：20～25

Linux System Security Strategy Research

Li ping

The article to the Linux system current security analysis of the current situation, in the file management, KLW packet layer technology and prohibited to ping command system is proposed as Linux system safety management strategy, further improve the Linux system security.

Linux;LSM;KLW packet layer technology

TP316.8

A

1000－8136（2011）33－0065－01