全面关心你的UNIX架构安全.docx

1、全面关心你的UNIX架构平安公共服务首要的问题是，您必须看一看所有的可为外部世界提供 服务的服务器，并思索自己是否真的需要。通常情况下，它 们可以置于防火墙之后，或者放在一个组合式防火墙及代理 服务器之后。举例来说，如果你在四个web服务器上运行一 个面向客户端的web站点，那么，减少这些服务器的暴露程 度至最少化是可能的。放置在这些web服务器之前的一个代 理服务器或一对冗余代理服务器可以承受所有的客户端连 接，然后检查并清理这些服务。这就是代理服务器其中所起 的作用。代理服务器够减轻后端web服务器的风险，而且不 受internet的影响和访问。引起平安问题的最经常的原因是没有及时打补丁或

2、者 未知的服务。很长时间以来，已被人们遗忘的web服务器是 那种apache的老版本或者易受攻击的php脚本服务，因其 内核已过时。对于灾难性故障的解决处方也许太普通，不过, 如果您的web服务器隐藏在一个代理服务器之后，那么几乎 就没有什么遗忘打补丁或服务的风险。对于其它服务也是同样的情况。许多站点有一些极端的 限制，如防火墙管理员必须验证任何新的网络应用，并且工 作良好。通常情况下，公司网络完全开放，其web应用是不 平安的，应用程序能与之交互的服务器常常是无任何理由地 可被互联网访问。登录服务器远程用户被限制为只能使用给定的界面，如e-mail服 务，web应用或b2b服务。那些可以访问

3、系统外壳的本地用 户可谓完全无拘无束。如果你的系统中恰好有一个恶意用户, 除非采取极端的措施，他可对根目录开展访问。至于更新问 题，特别是那些要求升级后重启的内核的更新，必须在新内 核的发布之日应用。总之，操作系统需要强化其稳健性。在 设计架构的过程中，必须特别注意确保用户只能对所指定的 区域访问。如果你的网络还有一些可对某些机器的根目录访问的 开发人员，那么受到伤害的可能性就会大增加。开发人员自 身成为恶意用户的可能性也许微乎其微，但绝不能排除其可 能性。其实，开发人员不知不觉安装的一些怪异的新程序有 可能会损害系统。例如，slammer蠕虫的传播速度极快，原 因在于它在windows系统中

4、通过网络开展传播，该蠕虫利用 microsoft sql server2000的缓冲区溢出漏洞获得系统控制 权，并产生大量随机ip地址开展攻击，导致蠕虫的迅速传播 并且形成拒绝服务攻击，网络带宽大量地被占用。其它问题理论上讲，企业计算机的大多数并非面向互联网的。假 设真是这样，那么限制用户的暴露程度是所有公司的最优先 考虑的事情，我们可以在某种程度上忽略这些服务器。这些 服务器上的唯一弱点就是其所提供的界面。“假定我的web 应用定期打补丁，就没有必要担忧操作系统自身。”确实有 一些人有这样的观点。如果企业能够限制对系统管理的登录访问，这种观点有可能是正确的。保持应用程序的定期补丁也许可以算是平安 的措施。但如果一个平安漏洞仅仅因为管理员没有考虑到而 被遗忘的话，你的整个架构就处于风险之中，而不仅仅是你 的一台服务器。一旦攻击者进入了系统内部，他一般会发现 接触其它服务器是相当简单的。因此，看起来有两种可以保障一个架构平安的方法：一是限制暴露程度并期望（只能是期望）想象不到的威胁不会发生。二是采取措施保障自身的平安，因而一旦攻击者试图 渗透你的防御系统，却不能造成任何的危害。实际情况是, 大多数企业甚至都不能成认其平安策略只能属于两种方法 的一种。防火墙是极容易被攻克的, 处于危险之中的时候。实际上, 火墙通常会吸引更多的攻击者,特别是暴