講師:陳思永(NETMAN)
Q1. 為什麼不要用root登入系統?
A. 學員: 1錯誤操作誤刪檔案, 2.root密碼洩露, 3.無法確定是誰login root. 4. console控制權
T. 當你用root登入時, 擁有全部的權限. 可以進入任一user目錄, 執行任一程式. 萬一此時被植入後門或誤動作, 影響很大. 若用一般user登入, 則影響是有限的. 所以要養成習慣, 平時不以root登入. 只有在非用root不可時才su為root. 完成工作即釋出root身份.
安全沒有絕對
安全只是資源分配上的限制
資源：權限, service, database, computing, sotrage
Everything is file, file is everything
水桶理論
每一塊木板都良好的水桶才能裝水, security的每一面相都要顧好．
安全的關鍵是人
管理員, user
安全策略
制定security policy並落實
可上網找sample, 或花錢請會計師事務所擬.
規範使用者行為
制定Guidline for user方便
制定工讀生守則
新機裝機SOP: 做好安全防護才能交給user使用. 別讓user自己灌軟體.
| Dir | File | |
| R | list file | read content |
| W | create/delete | modify content |
| X | access | execute program |
-rwxr-xr-x 1 root root 22780 2007-09-22 07:34 /bin/cat
file priority是 first match, 依序是user→group→others
若一個file要同時讓2個以上group有不同存取權限, 可用ACL
suid/sgid 程式執行時之權限是繼承程式的owner/group, 而非執行者本身之權限.
系統安全技巧
-File System ACL -- user對file之access
-Chroot -- 指定user root directory, user 最高只能access到此目錄
-SeLinux -- 限制每一process對file之存取權限
-UML user modual linux
-VM/Xen green IT public open service mechine service 愈少愈好, 可用Xen在同一實體server上跑不同VM以減少被入侵的機會. 同時提供多個 Service. 每一VM提供一個service.
入侵及防禦:
入侵
開機時按一個鍵, 再按e(Edit), 按 1 or s or S, 再按 b Enter
1. single user mode login
# vi /etc/passwd
防禦
single user mode時按s
s:/sbin/sulogin Enter
則在single user mode 時會要求 root login passwd or ctrl-D 正常開機.
入侵
2. e.g. Fedora 7
uname -r
2.6.22以前都有此bug
網路抓xx.c
gcc -o xx xx.c
./xx
即switch為root
多跑幾次總有一次會變為root (uid=0)
入侵
預設 init=/bin/init 改為init=/bin/bash則boot時即進入shell
防禦
# vi /boot/
加上(1) password 123456 (2) lock
防禦
改bios設密碼
usb開機--bt3.iso
開機按F12, 選開機device e.g. C) CD-ROM
# lvscan
# fdisk -l
# vgchange -a y /dev/volGroup00
# mkdir /tmp/1
# mkdir /tmp/0
# mount /dev/hda1 /tmp/0
# ls /tmp/0/boot/
# vi /boot/grub/menu.lst
# mount --bind /proc /tmp/0/proc
/dev, /sys
後面有防火牆的介紹. 請參考講義.
