2022-10-07 分類: 網(wǎng)站建設(shè)
隨著Linux企業(yè)應(yīng)用的不斷擴(kuò)展。
有大量的網(wǎng)絡(luò)服務(wù)器都在使用Linux操作系統(tǒng)。Linux服務(wù)器的安全性能受到越來越多的關(guān)注。
這里根據(jù)Linux服務(wù)器受到攻擊的深度以級別形式列出,并提出不同的解決方案。
隨著Linux企業(yè)應(yīng)用的擴(kuò)展,有大量的網(wǎng)絡(luò)服務(wù)器使用Linux操作系統(tǒng)。Linux服務(wù)器的安全性能受到越來越多的關(guān)注,這里根據(jù)Linux服務(wù)器受到攻擊的深度以級別形式列出,并提出不同的解決方案。
對Linux服務(wù)器攻擊的定義是:攻擊是一種旨在妨礙、損害、削弱、破壞Linux服務(wù)器安全的未授權(quán)行為。攻擊的范圍可以從服務(wù)拒絕直至完全危害和破壞Linux服務(wù)器。對Linux服務(wù)器攻擊有許多種類,本文從攻擊深度的角度說明,我們把攻擊分為四級。
攻擊級別一:服務(wù)拒絕攻擊(DoS)
由于DoS攻擊工具的泛濫,及所針對的協(xié)議層的缺陷短時無法改變的事實,DoS也就成為了流傳最廣、最難防范的攻擊方式。
服務(wù)拒絕攻擊包括分布式拒絕服務(wù)攻擊、反射式分布拒絕服務(wù)攻擊、DNS分布拒絕服務(wù)攻擊、FTP攻擊等。大多數(shù)服務(wù)拒絕攻擊導(dǎo)致相對低級的危險,即便是那些可能導(dǎo)致系統(tǒng)重啟的攻擊也僅僅是暫時性的問題。這類攻擊在很大程度上不同于那些想獲取網(wǎng)絡(luò)控制的攻擊,一般不會對數(shù)據(jù)Linux服務(wù)器安全有影響,但是服務(wù)拒絕攻擊會持續(xù)很長一段時間,非常難纏。
到目前為止,沒有一個絕對的方法可以制止這類攻擊。但這并不表明我們就應(yīng)束手就擒,除了強(qiáng)調(diào)個人主機(jī)加強(qiáng)保護(hù)不被利用的重要性外,加強(qiáng)對服務(wù)器的管理是非常重要的一環(huán)。一定要安裝驗證軟件和過濾功能,檢驗該報文的源地址的真實地址。另外對于幾種服務(wù)拒絕可以采用以下措施:關(guān)閉不必要的服務(wù)、限制同時打開的Syn半連接數(shù)目、縮短Syn半連接的time out 時間、及時更新系統(tǒng)補(bǔ)丁。
攻擊級別二:本地用戶獲取了他們非授權(quán)的文件的讀寫權(quán)限
本地用戶是指在本地網(wǎng)絡(luò)的任一臺機(jī)器上有口令、因而在某一驅(qū)動器上有一個目錄的用戶。本地用戶獲取到了他們非授權(quán)的文件的讀寫權(quán)限的問題是否構(gòu)成危險很大程度上要看被訪問文件的關(guān)鍵性。任何本地用戶隨意訪問臨時文件目錄(/tmp)都具有危險性,它能夠潛在地鋪設(shè)一條通向下一級別攻擊的路徑。
級別二的主要攻擊方法是:黑客誘騙合法用戶告知其機(jī)密信息或執(zhí)行任務(wù),有時黑客會假裝網(wǎng)絡(luò)管理人員向用戶發(fā)送郵件,要求用戶給他系統(tǒng)升級的密碼。
由本地用戶啟動的攻擊幾乎都是從遠(yuǎn)程登錄開始。對于Linux服務(wù)器,最好的辦法是將所有shell賬號放置于一個單獨的機(jī)器上,也就是說,只在一臺或多臺分配有shell訪問的服務(wù)器上接受注冊。這可以使日志管理、訪問控制管理、釋放協(xié)議和其他潛在的安全問題管理更容易些。還應(yīng)該將存放用戶CGI的系統(tǒng)區(qū)分出來。這些機(jī)器應(yīng)該隔離在特定的網(wǎng)絡(luò)區(qū)段,也就是說,根據(jù)網(wǎng)絡(luò)的配置情況,它們應(yīng)該被路由器或網(wǎng)絡(luò)交換機(jī)包圍。其拓?fù)浣Y(jié)構(gòu)應(yīng)該確保硬件地址欺騙也不能超出這個區(qū)段。
攻擊級別三:遠(yuǎn)程用戶獲得特權(quán)文件的讀寫權(quán)限
第三級別的攻擊能做到的不只是核實特定文件是否存在,而且還能讀寫這些文件。造成這種情況的原因是:Linux服務(wù)器配置中出現(xiàn)這樣一些弱點:即遠(yuǎn)程用戶無需有效賬號就可以在服務(wù)器上執(zhí)行有限數(shù)量的命令。
密碼攻擊法是第三級別中的主要攻擊法,損壞密碼是最常見的攻擊方法。密碼破解是用以描述在使用或不使用工具的情況下滲透網(wǎng)絡(luò)、系統(tǒng)或資源以解鎖用密碼保護(hù)的資源的一個術(shù)語。用戶常常忽略他們的密碼,密碼政策很難得到實施。
黑客有多種工具可以擊敗技術(shù)和社會所保護(hù)的密碼。主要包括:字典攻擊(Dictionary attack)、混合攻擊(Hybrid attack)、蠻力攻擊(Brute force attack)。一旦黑客擁有了用戶的密碼,他就有很多用戶的特權(quán)。密碼猜想是指手工進(jìn)入普通密碼或通過編好程序的正本取得密碼。一些用戶選擇簡單的密碼—如生日、紀(jì)念日和配偶名字,卻并不遵循應(yīng)使用字母、數(shù)字混合使用的規(guī)則。對黑客來說要猜出一串8個字生日數(shù)據(jù)不用花多長時間。
防范第三級別的攻擊的最好的防衛(wèi)方法便是嚴(yán)格控制進(jìn)入特權(quán),即使用有效的密碼。主要包括密碼應(yīng)當(dāng)遵循字母、數(shù)字、大小寫(因為Linux對大小寫是有區(qū)分)混合使用的規(guī)則。使用象“#”或“%”或“$”這樣的特殊字符也會添加復(fù)雜性。例如采用"countbak"一詞,在它后面添加“#$”(countbak#$),這樣您就擁有了一個相當(dāng)有效的密碼。
攻擊級別四:遠(yuǎn)程用戶獲得根權(quán)限
第四攻擊級別是指那些決不應(yīng)該發(fā)生的事發(fā)生了,這是致命的攻擊。表示攻擊者擁有Linux服務(wù)器的根、超級用戶或管理員許可權(quán),可以讀、寫并執(zhí)行所有文件。換句話說,攻擊者具有對Linux服務(wù)器的全部控制權(quán),可以在任何時刻都能夠完全關(guān)閉甚至毀滅此網(wǎng)絡(luò)。
攻擊級別四主要攻擊形式是TCP/IP連續(xù)偷竊,被動通道聽取和信息包攔截。TCP/IP連續(xù)偷竊,被動通道聽取和信息包攔截,是為進(jìn)入網(wǎng)絡(luò)收集重要信息的方法,不像拒絕服務(wù)攻擊,這些方法有更多類似偷竊的性質(zhì),比較隱蔽不易被發(fā)現(xiàn)。
一次成功的TCP/IP攻擊能讓黑客阻攔兩個團(tuán)體之間的交易,提供中間人襲擊的良好機(jī)會,然后黑客會在不被受害者注意的情況下控制一方或雙方的交易。通過被動竊聽,黑客會操縱和登記信息,把文件送達(dá),也會從目標(biāo)系統(tǒng)上所有可通過的通道找到可通過的致命要害。黑客會尋找聯(lián)機(jī)和密碼的結(jié)合點,認(rèn)出申請合法的通道。信息包攔截是指在目標(biāo)系統(tǒng)約束一個活躍的聽者程序以攔截和更改所有的或特別的信息的地址。信息可被改送到非法系統(tǒng)閱讀,然后不加改變地送回給黑客。
TCP/IP連續(xù)偷竊實際就是網(wǎng)絡(luò)嗅探,注意如果您確信有人接了嗅探器到自己的網(wǎng)絡(luò)上,可以去找一些進(jìn)行驗證的工具。這種工具稱為時域反射計量器(Time Domain Reflectometer,TDR)。TDR對電磁波的傳播和變化進(jìn)行測量。將一個TDR連接到網(wǎng)絡(luò)上,能夠檢測到未授權(quán)的獲取網(wǎng)絡(luò)數(shù)據(jù)的設(shè)備。不過很多中小公司沒有這種價格昂貴的工具。對于防范嗅探器的攻擊最好的方法是:
1、Linux服務(wù)器安全的拓?fù)浣Y(jié)構(gòu)。嗅探器只能在當(dāng)前網(wǎng)絡(luò)段上進(jìn)行數(shù)據(jù)捕獲。這就意味著,將網(wǎng)絡(luò)分段工作進(jìn)行得越細(xì),嗅探器能夠收集的信息就越少。
2、會話加密。不用特別地?fù)?dān)心數(shù)據(jù)被嗅探,而是要想辦法使得嗅探器不認(rèn)識嗅探到的數(shù)據(jù)。這種方法的優(yōu)點是明顯的:即使攻擊者嗅探到了數(shù)據(jù),這些數(shù)據(jù)對他也是沒有用的。
特別提示:應(yīng)對攻擊的反擊措施
對于超過第二級別的攻擊您就要特別注意了。因為它們可以不斷的提升攻擊級別,以滲透Linux服務(wù)器。此時,我們可以采取的反擊措施有:
首先備份重要的企業(yè)關(guān)鍵數(shù)據(jù)。
改變系統(tǒng)中所有口令,通知用戶找系統(tǒng)管理員得到新口令。
隔離該網(wǎng)絡(luò)網(wǎng)段使攻擊行為僅出現(xiàn)在一個小范圍內(nèi)。
允許行為繼續(xù)進(jìn)行。如有可能,不要急于把攻擊者趕出系統(tǒng),為下一步作準(zhǔn)備。
記錄所有行為,收集證據(jù)。這些證據(jù)包括:系統(tǒng)登錄文件、應(yīng)用登錄文件、AAA(Authentication、Authorization、 Accounting,認(rèn)證、授權(quán)、計費)登錄文件,RADIUS(Remote Authentication Dial-In User Service) 登錄,網(wǎng)絡(luò)單元登錄(Network Element Logs)、防火墻登錄、HIDS(Host-base IDS,基于主機(jī)的入侵檢測系統(tǒng)) 事件、NIDS(網(wǎng)絡(luò)入侵檢測系統(tǒng))事件、磁盤驅(qū)動器、隱含文件等。收集證據(jù)時要注意:在移動或拆卸任何設(shè)備之前都要拍照;在調(diào)查中要遵循兩人法則,在信息收集中要至少有兩個人,以防止篡改信息;應(yīng)記錄所采取的所有步驟以及對配置設(shè)置的任何改變,要把這些記錄保存在安全的地方。檢查系統(tǒng)所有目錄的存取許可,檢測Permslist是否被修改過。
進(jìn)行各種嘗試(使用網(wǎng)絡(luò)的不同部分)以識別出攻擊源。
為了使用法律武器打擊犯罪行為,必須保留證據(jù),而形成證據(jù)需要時間。為了做到這一點,必須忍受攻擊的沖擊(雖然可以制定一些安全措施來確保攻擊不損害網(wǎng)絡(luò))。對此情形,我們不但要采取一些法律手段,而且還要至少請一家有權(quán)威的安全公司協(xié)助阻止這種犯罪。這類操作的最重要特點就是取得犯罪的證據(jù)、并查找犯罪者的地址,提供所擁有的日志。對于所搜集到的證據(jù),應(yīng)進(jìn)行有效地保存。在開始時制作兩份,一個用于評估證據(jù),另一個用于法律驗證。
找到系統(tǒng)漏洞后設(shè)法堵住漏洞,并進(jìn)行自我攻擊測試。
網(wǎng)絡(luò)安全已經(jīng)不僅僅是技術(shù)問題,而是一個社會問題。企業(yè)應(yīng)當(dāng)提高對網(wǎng)絡(luò)Linux服務(wù)器安全重視,如果一味地只依靠技術(shù)工具,那就會越來越被動;只有發(fā)揮社會和法律方面打擊網(wǎng)絡(luò)犯罪,才能更加有效。我國對于打擊網(wǎng)絡(luò)犯罪已經(jīng)有了明確的司法解釋,遺憾的是大多數(shù)企業(yè)只重視技術(shù)環(huán)節(jié)的作用而忽略法律、社會因素,這也是本文的寫作目的。
拒絕服務(wù)攻擊(DoS)
DoS即Denial Of Service,拒絕服務(wù)的縮寫,可不能認(rèn)為是微軟的DOS操作系統(tǒng)!DoS攻擊即讓目標(biāo)機(jī)器停止提供服務(wù)或資源訪問,通常是以消耗服務(wù)器端資源為目標(biāo),通過偽造超過服務(wù)器處理能力的請求數(shù)據(jù)造成服務(wù)器響應(yīng)阻塞,使正常的用戶請求得不到應(yīng)答,以實現(xiàn)攻擊目的。
當(dāng)前標(biāo)題:確保Linux服務(wù)器安全防范四種級別攻擊
文章地址:http://jinyejixie.com/news31/202931.html
成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供微信公眾號、品牌網(wǎng)站建設(shè)、動態(tài)網(wǎng)站、網(wǎng)站維護(hù)、網(wǎng)站改版、電子商務(wù)
聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時需注明來源: 創(chuàng)新互聯(lián)
猜你還喜歡下面的內(nèi)容