http://blog.sina.com.cn/s/blog_5a6efa330100akfa.html 管理员安全(下)
/etc/group文件含有关于小组的信息,/etc/passwd中的每个GID在本文件中应当有相应的入口项,入口项中列出了小组名和小组中的用户.这样可方便地了解每个小组的用户,否则必须根据GID在/etc/passwd文件中从头至尾地寻找同组用户. /etc/group文件对
小组就像登录用户一样可以有口令.如果/etc/group文件入口项的第二个域为非空,则将被认为是加密口令,newgrp命令将要求用户给出口令,然后将口令加密,再与该域的加密口令比较.
给小组建立口令一般不是个好作法.第一,如果小组内共享文件,若有某人猜着小组口令,则该组的所有用户的文件就可能泄漏;其次,管理小组口令很费事,
因为对于小组没有类似的passwd命令.可用/usr/lib/makekey生成一个口令写入 以下情况必须建立新组: 要增加一个新组,必须编辑该文件,为新组加一个入口项.
由于用户登录时,系统从/etc/passwd文件中取GID,而不是从/etc/group中取GID,所以group文件和口令文件应当具有一致性.对于一个用户的小组,UID和GID应当是相同的.多用户小组的GID应当不同于任何用户的UID,一般为5位数,这样在查看/etc/passwd文件时,就可根据5位数据的GID识别多用户小组,这将减少增加新组,新用户时可能产生的混淆. 7.增加,删除,移走用户 (1)增加用户 增加用户有三个过程: 在/etc/passwd文件中写入新的入口项时,口令部分可先设置为NOLOGIN,
以免有人做为此新用户登录.在修改文件前,应mkdir
/etc/ptmp,以免他人同时修改此文件.新用户一般独立为一个新组,GID号与UID号相同(除非他要加入目前已存在的一个新组),UID号必须和其他人不同,HOME目录一般设置在/usr或/home目录下建立一个以用户登录名为名称的目录做为其主目录. (2)删除用户
删除用户与加用户的工作正好相反,首先在/etc/passwd和/etc/group文件中删除用户的入口项,然后删除用户的HOME目录和所有文件. rm -r /usr/loginname 删除整个目录树.
如果用户在/usr/spool/cron/crontabs中有crontab文件,也应当删除. (3)将用户移到另一个系统
这是一个复杂的问题,不只是拷贝用户的文件和用户在/etc/passwd文件中的入口项.首先一个问题是用户的UID和GID可能已经用于另一个系统,若是出现这种情况,必须给要移的用户分配另外的UID和GID,如果改变了用户的UID和GID,则必须搜索该用户的全部文件,将文件的原UID和GID改成新的UID和GID. 用find命令可以完成这一修改: find . -user olduid -exec chown newuid {}
; 也许还要为用户移走其它一些文件: 如果用户从一个不是本系统管理员的系统移来,则应对该用户的目录结构运行程序来检查.一个不安全系统的用户,可能有与该用户其它文件存在一起的SUID/SGID程序,而这个SUID/SGID程序属于另一个用户.在这种情况下,如果用cpio或tar命令将用户的目录结构拷贝到本系统,SUID/SGID程序也将会拷贝到本系统而没有任何警告信息.应当在允许用户使用新系统以前先删除这种文件的SUID/SGID许可.总之,始终坚持检查所移用户的文件总是更安全些.也可以用su命令进入用户的户头,再拷贝用户文件,这样文件的所有者就是该用户, 而不是root. 8.安全检查
像find和secure这样的程序称为检查程序,它们搜索文件系统,寻找出SUID/SGID文件,设备文件,任何人可写的系统文件,设有口令的登录用户,具有相同UID/GID的用户等等. (1)记帐 UNIX记帐软件包可用作安全检查工具,除最后登录时间的记录外,记
帐系统还能保存全天运行的所有进程的完整记录,对于一个进程所存贮的信息包括UID,命令名,进程开始执行与结束的时间,CPU时间和实际消耗的时间,该进程是否是root进程,这将有助于系统管理员了解系统中的用户在干什么.acctcom命令可以列出一天的帐目表.有明,系统中有多个记帐数据文件,记帐信息保存在文件/usr/adm/pacct*中,/usr/adm/pacct是当前记录文件,/usr/adm/pacctn是以前的记帐文件(n为整型数).若有若干个记帐文件要查看,可在acctcom命令中指定文件名:
acctcom /usr/adm/pacct? /usr/adm/pacct
要检查的问题的其中之一是:在acctcom的输出中查找一个用户过多的登录过程,若有,则说明可能有人一遍遍地尝试登录,猜测口令,企图非法进入系统.此外,还应查看root进程,除了系统管理员用su命令从终端进入root,系统启动,系统停止时间,以及由init(通常init只启动getty,login,登录shell), cron启动的进程和具有root
SUID许可的命令外,不应当有任何root进程.
由记帐系统也可获得有关每个用户的CPU利用率,运行的进程数等统计数据. (2)其它检查命令
*du:报告在层次目录结构(当前工作目录或指定目录起)中各目录占用的磁盘块数.可用于检查用户对文件系统的使用情况.
这里最重要的一点是:系统管理没越熟悉自己的用户和用户的工作习惯, 就越能快速发现系统中任何不寻常的事件,而不寻常的事件意味着系统已被人窃密. (3)安全检查程序的问题
关于以上的检查方法的一个警告,若有诱骗,则这些方法中没有几个能防诱骗.如find命令,如果碰到路径名长于256个字符的文件或含有多于200个文件的目录,将放弃处理该文件或目录,用户就有可能利用建立多层目录结构或大目录隐藏SUID程序,使其逃避检查(但find命令会给出一个错误信息,系统管理员应手工检查这些目录和文件).也可用ncheck命令搜索文件系统,但它没有find命令指定搜索哪种文件的功能.
如果定期存取.profile文件,则检查久未登录用户的方法就不奏效了.而用户用su命令时,除非用参数-,否则su不读用户的.profile. 有三种方法可寻找久未登录的帐户: .
UNIX记帐系统在文件/usr/adm/acct/sum/login中为每个用户保留了最后一次登录日期.用这个文件的好处是,该文件由系统维护,所以可完全肯定登录日期是准确的.缺点是必须在系统上运行记帐程序以更新loginlog文件,如果在清晨(午夜后)运行记帐程序,一天的登录日期可能就被清除了. 以上任何方法都可和/usr/adm/sulog文件结合起来,查出由login或su登录户头的最后登录时间. 如果有人存心破坏系统安全,第一件要做的事就是寻找检查程序.破坏者将修改检查程序,使其不能报告任何异常事件,也可能停止系统记帐,删除记帐文件,使系统管理员不能发现破坏者干了些什么. (4)系统泄密后怎么办?
发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对肇事用户.如果该用户所做的事不是蓄意的,而且公司没有关于"破坏安全"的规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间.如果该用户造成了某些损坏,则应当报告有关人士,并且应尽可能地将系统恢复到原来的状态. 如果肇事者
是非授权用户,那就得做最坏的假设了:肇事者已设法成为root且本系统的文件和程序已经泄密了.系统管理员应当想法查出谁是肇事者,他造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID和SGID,设备文件.如果系统安全被一个敌对的用户破坏了,应当采用下面的步骤: . 关系统,然后重新引导,不要进入多用户方式,进入单用户方式.
第一次安装UNIX系统时,可以将shell,sum命令,所有文件的校验和存放在安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质).于是不必再从原版系统带上重新装入文件,可以安装备份介质,装入shell和sum,将存在带上的校验和与系统中文件的校验和进行比较.系统管理员也许想自己写一个计算校验和的程序,破坏者将不能知道该程序的算法,如果将该程序及校验和保存在带上,这一方法的保密问题就减小到一个物理的安全问题,即只需将带锁起来. 9.加限制的环境 (1)加限制的shell(rsh)
该shell几乎与普通的shell相同,但是该shell的设计能限制一个用户的能力,不允许用户有某些标准shell所允许的行为: . 不能改变工作目录(cd).
用户在登录时,招待.profile文件后系统就强加上了这些限制,如果用户在.profile文件正被解释时按了BREAK键或DELETE键,该用户将被注销.
这些简单的限制,使用写受限制用户的.profile文件的系统管理员可以对用户能使用什么命令,进行完全的控制.
应当注意:系统V加限制的shell实际上不是很安全,在敌对的用户时不要用.系统V版本2以后的版本中加限制的shell更安全些.但若允许受限制的用户使用某些命令(如env,cp,ln),用户将能逃避加限制的shell,进入非限制的shell. (2)用chroot()限制用户
如果的确想限制一个用户,可用chroot()子程序为用户建立一个完全隔离的环境,改变了进程对根目录的概念,因此可用于将一个用户封在整个文件系统的某一层目录结构中,使用户无法用cd命令转出该层目录结构,不能存取文件系统中其余部分的任何文件.这种限制方式比加限制的shell好得多.用户使用的命令应由系统管理员在新的root目录中建立一个bin目录,并建立用户可用命令的链到系统的/bin目录中相应命令文件上(若在不同的文件系统则应拷贝命令文件). 还应建立新的passwd文件,保留系统登录户头(为了使ls
-l正确地报告与受限制的子文件系统中的文件相关的正确登录名)和用户帐户,但系统帐户的口令改为NOLOGIN以使受限制的用户不能取得系统登录的真实口令,使"破密"程序的任何企图成为泡影. utmp文件是who所需要的,该文件含有系统中已登录用户的列表.
新的/etc/profile文件也不是建链文件,以便受限制的用户可以执行不同的启动命令.
/dev目录中的终端设备文件被链接到新的/dev目录下,因为命令who产生输出时要查看这些文件.
在系统V及以后的UNIX版本中,login命令有chroot()的功能.如果口令文件中用户入口项的登录shell域(最后一个域)是*,login将调用chroot()把用户的根目录设置成为口令文件中用户入口项登录目录域指定的目录.然后再调用exec()执行login,新的login将在新子系统文件中执行该用户的登录.
chroot()并不是把root封锁在一个子文件系统中,所以给受限制用户用的命令时应加以考虑,具有root的SUID许可的程序可能会给予用户root的能力.应当将这种可能减低到最小程度,交给用户使用的命令应当取自清除了SUID陷井的系统命令.链接文件可减少磁盘占用区,但要记住,当与敌对用户打交道时链接到chroot目录结构(尤其是命令)的系统文件是很危险的.
如果建立一个像这样的限制环境,应确保对安装到新的/bin的每条命令都做过测试,有些程序可能有系统管理员未曾想到的出乎意料的执行结果.为了使这些命令能运行,还得在加限制的子文件系统中加服务目录或文件如:/tmp,/etc/termcap,/usr/lib/terminfo,/dev/mem,/dev/kmem,/dev/swap,用户所登录的/dev中的tty文件以及/unix.
有些程序在子文件系统中运行时不会很好,如果将假脱机程序和网络命令拷贝到加限制的子文件系统中,并放在为两条命令专建的目录层结构下,它们可能也运行不了. 10.小系统安全
任何足够小,运行于办公室的UNIX系统就是小系统.这类小系统也包括所有台式UNIX机器.根据安全观点,使小系统很特别而值得特别的有以下几点: .
小系统的用户比大系统的用户少,通常是很小一组用户,使系统管理员能熟悉每个人,安全问题可以直接地面对面处理. 11.物理安全
对于运行任何操作系统的小型或大型计算机,物理安全都是一个要考虑的重要问题,物理安全包括:锁上放置计算机的屋子,报警系统,警卫,所有安置在不能上锁的地方的通讯设施,包括有线通讯线,电话线,局域网,远程网,应答MODEM,钥匙或信用卡识别设备,给用户的口令和钥匙分配,任何前置通讯设施的加密装置,
文件保护,备份或恢复方案(称为安全保险方案
物理安全中所饮食的总考虑应是:在安全方案上所付出的代价不应当多于值得保护的(硬件或软件的)价值.
下面着重讨论保护用户的各种通讯线.对于任何可在不上锁的地方存取的系统,通讯是特别严重的安全薄弱环节.当允许用户通过挂到地方电话公司的拨号MODEM存取系统时,系统的安全程度就将大大地削弱,有电话和MODEM的任何人就可能非法进入该系统.应当避免这一情况,要确保MODEM的电话号码不被列于电话薄上,并且最好将电话号码放在不同于本公司普通电话号码所在的交换机上.总之,不要假设没人知道自己的拨入号码!大多数家庭计算机都能编程用一个MODEM整天地依次调用拨号码,记录下连接上其它MODEM的号码.如果可能,安装一个局域PBX,使得对外界的拨号产生一秒钟的拨号蜂音,并且必须输入一个与MODEM相关联的扩展号码. 12.用户意识
UNIX系统管理员的职责之一是保证用户安全.这其中一部分工作是由用户的管理部门来完成,但是作为系统管理员,有责任发现和报告系统的安全问题,因为系统管理员负责系统的运行.
避免系统安全事故的方法是预防性的,当用户登录时,其shell在给出提示前先执行/etc/profile文件,要确保该文件中的PATH指定最后搜索当前工作目录,
这样将减少用户能运行特洛依木马的机会.
将文件建立屏蔽值的设置放在该文件中也是很合适的,可将其值设置成至少将防止用户无意中建立任何人都能写的文件(022/026).要小心选择此值,如果限制太严,则用户会在自己的.profile中重新调用umask以抵制系统管理员的意愿,
如果用户大量使用小组权限共享文件,系统管理员就一要设置限制小组存取权限的屏蔽值.系统管理员必须建立系统安全和用户的"痛苦量"间的平衡(痛苦量是安全限制引起的愤怒的函数).定期地用grep命令查看用户.profile文件中的umask,可了解系统安全限制是否超过了用户痛苦极限.
系统管理员可每星期随机抽选一个用户,将该用户的安全检查结果(用户的登录情况简报,SUID/SGID文件列表等)发送给他的管理部门和他本人.主要有四个目的: .
大多数用户会收到至少有一个文件检查情况的邮件,这将引起用户考虑安全问题(虽然并不意味着用户们会采取加强安全的行动).
管理意识是提高安全性的另一个重要因素.如果用户的管理部门对安全要求不强烈,系统管理员可能也忘记强化安全规则.最好让管理部门建立一套每个人都必须遵守的安全标准,如果系统管理员在此基础上再建立自己的安全规则,就强化了安全.管理有助于加强用户意识,让用户明确,信息是有价值的资产.
系统管理员应当使安全保护方法对用户尽可能地简单,提供一些提高安全的工具,如:公布锁终端的lock程序,让用户自己运行secure程序,将pwexp(检查用户口令信息的程序)放入/etc/profile中,使用户知道自己的口令时间.多教给用户一些关于系统安全的知识,确保用户知道自己的许可权限和umask命令的设置值.如果注意到用户在做蠢事,就给他们一些应当怎样做才对的提示.用户知道的关于安全的知识越多,系统管理员在保护用户利益方面做的事就越少. 13.系统管理员意识 (1)保持系统管理员个人的登录安全 若系统管理员的登录口令泄密了,则窃密者离窃取root只有一步之遥了,
因为系统管理员经常作为root运行,窃密者非法进入到系统管理员的户头后,
将用特洛依木马替换系统管理员的某些程序,系统管理员将作为root运行这些已被替换的程序.正是因为这个原因,在UNIX系统中,管理员的户头最常受到攻击.即使su命令通常要在任何都不可读的文件中记录所有想成为root的企图,
还可用记帐数据或ps命令识别运行su命令的用户.也是如此,系统管理员作为root运行程序时应当特别小心,因为最微小的疏忽也可能"沉船".下列一些指导规则可使系统管理员驾驶一艘"坚固的船": .
不要作为root或以自己的登录户头运行其他用户的程序,首先用su命令进入用户的户头. (2)保持系统安全 . 考虑系统中一些关键的薄弱环节: |
|