由于Linux操作系統(tǒng)是一個(gè)開(kāi)放源代碼的免費(fèi)操作系統(tǒng)，因此受到越來(lái)越多用戶的歡迎。隨著Linux操作系統(tǒng)在我國(guó)的不斷普及，有關(guān)的政府部門更是將基于Linux開(kāi)發(fā)具有自主版權(quán)的操作系統(tǒng)提高到保衛(wèi)國(guó)家信息安全的高度來(lái)看待，因此我們不難預(yù)測(cè)今后Linux操作系統(tǒng)在我國(guó)將得到更快更大的發(fā)展。雖然Linux與UNIX很類似，但它們之間也有一些重要的差別。對(duì)于眾多的習(xí)慣了UNIX和Windows NT的系統(tǒng)管理員來(lái)講，如何保證Linux操作系統(tǒng)的安全將面臨許多新的挑戰(zhàn)。本文介紹了一系列實(shí)用的Linux安全管理經(jīng)驗(yàn)。

　　一、文件系統(tǒng)在Linux系統(tǒng)中，分別為不同的應(yīng)用安裝單獨(dú)的主分區(qū)將關(guān)鍵的分區(qū)設(shè)置為只讀將大大提高文件系統(tǒng)的安全。這主要涉及到Linux自身的ext2文件系統(tǒng)的只添加(只添加)和不可變這兩大屬性。

　　●文件分區(qū)Linux的文件系統(tǒng)可以分成幾個(gè)主要的分區(qū)，每個(gè)分區(qū)分別進(jìn)行不同的配置和安裝，一般情況下至少要建立/、/usr/local、/var和/home等分區(qū)。/usr可以安裝成只讀并且可以被認(rèn)為是不可修改的。如果/usr中有任何文件發(fā)生了改變，那么系統(tǒng)將立即發(fā)出安全報(bào)警。當(dāng)然這不包括用戶自己改變/usr中的內(nèi)容。/lib、/boot和/sbin的安裝和設(shè)置也一樣。在安裝時(shí)應(yīng)該盡量將它們?cè)O(shè)置為只讀，并且對(duì)它們的文件、目錄和屬性進(jìn)行的任何修改都會(huì)導(dǎo)致系統(tǒng)報(bào)警。

　　當(dāng)然將所有主要的分區(qū)都設(shè)置為只讀是不可能的，有的分區(qū)如/var等，其自身的性質(zhì)就決定了不能將它們?cè)O(shè)置為只讀，但應(yīng)該不允許它具有執(zhí)行權(quán)限。

　　●擴(kuò)展ext2.使用ext2文件系統(tǒng)上的只添加和不可變這兩種文件屬性可以進(jìn)一步提高安全級(jí)別。不可變和只添加屬性只是兩種擴(kuò)展ext2文件系統(tǒng)的屬性標(biāo)志的方法。一個(gè)標(biāo)記為不可變的文件不能被修改，甚至不能被根用戶修改。一個(gè)標(biāo)記為只添加的文件可以被修改，但只能在它的后面添加內(nèi)容，即使根用戶也只能如此。

　　可以通過(guò)chattr命令來(lái)修改文件的這些屬性，如果要查看其屬性值的話可以使用lsattr命令。要想了解更多的關(guān)于ext2文件屬性的信息，可使用命令man chattr來(lái)尋求幫助。這兩上文件屬性在檢測(cè)黑客企圖在現(xiàn)有的文件中安裝入侵后門時(shí)是很有用的。為了安全起見(jiàn)，一旦檢測(cè)到這樣的活動(dòng)就應(yīng)該立即將其阻止并發(fā)出報(bào)警信息。

　　如果你的關(guān)鍵的文件系統(tǒng)安裝成只讀的并且文件被標(biāo)記為不可變的，入侵者必須重新安裝系統(tǒng)才能刪除這些不可變的文件但這會(huì)立刻產(chǎn)生報(bào)警，這樣就大大減少了被非法入侵的機(jī)會(huì)。

　　●保護(hù)log文件當(dāng)與log文件和log備份一起使用時(shí)不可變和只添加這兩種文件屬性特別有用。系統(tǒng)管理員應(yīng)該將活動(dòng)的log文件屬性設(shè)置為只添加。當(dāng)log被更新時(shí)，新產(chǎn)生的log備份文件屬性應(yīng)該設(shè)置成不可變的，而新的活動(dòng)的log文件屬性又變成了只添加。這通常需要在log更新腳本中添加一些控制命令。

二、備份在完成Linux系統(tǒng)的安裝以后應(yīng)該對(duì)整個(gè)系統(tǒng)進(jìn)行備份，以后可以根據(jù)這個(gè)備份來(lái)驗(yàn)證系統(tǒng)的完整性，這樣就可以發(fā)現(xiàn)系統(tǒng)文件是否被非法竄改過(guò)。如果發(fā)生系統(tǒng)文件已經(jīng)被破壞的情況，也可以使用系統(tǒng)備份來(lái)恢復(fù)到正常的狀態(tài)。

　　●CD-ROM備份當(dāng)前最好的系統(tǒng)備份介質(zhì)就是CD-ROM光盤，以后可以定期將系統(tǒng)與光盤內(nèi)容進(jìn)行比較以驗(yàn)證系統(tǒng)的完整性是否遭到破壞。如果對(duì)安全級(jí)別的要求特別高，那么可以將光盤設(shè)置為可啟動(dòng)的并且將驗(yàn)證工作作為系統(tǒng)啟動(dòng)過(guò)程的一部分。這樣只要可以通過(guò)光盤啟動(dòng)，就說(shuō)明系統(tǒng)尚未被破壞過(guò)。

　　如果你創(chuàng)建了一個(gè)只讀的分區(qū)，那么可以定期從光盤映像重新裝載它們。即使象/boot、/lib和/sbin這樣不能被安裝成只讀的分區(qū)，你仍然可以根據(jù)光盤映像來(lái)檢查它們，甚至可以在啟動(dòng)時(shí)從另一個(gè)安全的映像重新下載它們。

　　●其它方式的備份雖然/etc中的許多文件經(jīng)常會(huì)變化，但/etc中的許多內(nèi)容仍然可以放到光盤上用于系統(tǒng)完整性驗(yàn)證。其它不經(jīng)常進(jìn)行修改的文件，可以備份到另一個(gè)系統(tǒng)(如磁帶)或壓縮到一個(gè)只讀的目錄中。這種辦法可以在使用光盤映像進(jìn)行驗(yàn)證的基礎(chǔ)上再進(jìn)行額外的系統(tǒng)完整性檢查。

　　既然現(xiàn)在絕大多數(shù)操作系統(tǒng)現(xiàn)在都在隨光盤一起提供的，制作一個(gè)CD-ROM緊急啟動(dòng)盤或驗(yàn)證盤操作起來(lái)是十分方便的，它是一種十分有效而又可行的驗(yàn)證方法。

　　三、改進(jìn)系統(tǒng)內(nèi)部安全機(jī)制可以通過(guò)改進(jìn)Linux操作系統(tǒng)的內(nèi)部功能來(lái)防止緩沖區(qū)溢出攻擊這種破壞力極強(qiáng)卻又最難預(yù)防的攻擊方式，雖然這樣的改進(jìn)需要系統(tǒng)管理員具有相當(dāng)豐富的經(jīng)驗(yàn)和技巧，但對(duì)于許多對(duì)安全級(jí)別要求高的Linux系統(tǒng)來(lái)講還是很有必要的。

　　●Solaris Designer的安全Linux補(bǔ)丁Solaris Designer用于2.0版內(nèi)核的安全Linux補(bǔ)丁提供了一個(gè)不可執(zhí)行的棧來(lái)減少緩沖區(qū)溢出的威脅，從而大大提高了整個(gè)系統(tǒng)的安全性。

　　緩沖區(qū)溢出實(shí)施起來(lái)是相當(dāng)困難的，因?yàn)槿肭终弑仨毮軌蚺袛酀撛诘木彌_區(qū)溢出何時(shí)會(huì)出現(xiàn)以及它在內(nèi)存中的什么位置出現(xiàn)。緩沖區(qū)溢出預(yù)防起來(lái)也十分困難，系統(tǒng)管理員必須完全去掉緩沖區(qū)溢出存在的條件才能防止這種方式的攻擊。正因?yàn)槿绱耍S多人甚至包括Linux Torvalds本人也認(rèn)為這個(gè)安全Linux補(bǔ)丁十分重要，因?yàn)樗乐沽怂惺褂镁彌_區(qū)溢出的攻擊。但是需要引起注意的是，這些補(bǔ)丁也會(huì)導(dǎo)致對(duì)執(zhí)行棧的某些程序和庫(kù)的依賴問(wèn)題，這些問(wèn)題也給系統(tǒng)管理員帶來(lái)的新的挑戰(zhàn)。

　　不可執(zhí)行的棧補(bǔ)丁已經(jīng)在許多安全郵件列表(如linux.org">securedistros@nl.linux.org)中進(jìn)行分發(fā)，用戶很容易下載到它們等。

　　●StackGuardStackGuard是一個(gè)十分強(qiáng)大的安全補(bǔ)丁工具。你可以使用經(jīng)StackGuard修補(bǔ)過(guò)的gcc版本來(lái)重新編譯和鏈接關(guān)鍵的應(yīng)用。

　　StackGuard進(jìn)行編譯時(shí)增加了棧檢查以防止發(fā)生棧攻擊緩沖區(qū)溢出，雖然這會(huì)導(dǎo)致系統(tǒng)的性能略有下降，但對(duì)于安全級(jí)別要求高的特定應(yīng)用來(lái)講StackGuard仍然是一個(gè)十分管用的工具。

　　現(xiàn)在已經(jīng)有了一個(gè)使用了SafeGuard的Linux版本，用戶使用StackGuard將會(huì)更加容易。雖然使用StackGuard會(huì)導(dǎo)致系統(tǒng)性能下降約10～20%，但它能夠防止整個(gè)緩沖區(qū)溢出這一類攻擊。

　　●增加新的訪問(wèn)控制功能Linux的2.3版內(nèi)核正試圖在文件系統(tǒng)中實(shí)現(xiàn)一個(gè)訪問(wèn)控制列表，這要可以在原來(lái)的三類(owner、group和other)訪問(wèn)控制機(jī)制的基礎(chǔ)上再增加更詳細(xì)的訪問(wèn)控制。

　　在2.2和2.3版的Linux內(nèi)核中還將開(kāi)發(fā)新的訪問(wèn)控制功能，它最終將會(huì)影響當(dāng)前有關(guān)ext2文件屬性的一些問(wèn)題。與傳統(tǒng)的具有ext2文件系統(tǒng)相比它提供了一個(gè)更加精確的安全控制功能。有了這個(gè)新的特性，應(yīng)用程序?qū)⒛軌蛟诓痪哂谐?jí)用戶權(quán)限的情況下訪問(wèn)某些系統(tǒng)資源，如初始套接等。

　　●基于規(guī)則集的訪問(wèn)控制現(xiàn)在有關(guān)的Linux團(tuán)體正在開(kāi)發(fā)一個(gè)基于規(guī)則的訪問(wèn)控制(RSBAC)項(xiàng)目，該項(xiàng)目聲稱能夠使Linux操作系統(tǒng)實(shí)現(xiàn)B1級(jí)的安全。RSBAC是基于訪問(wèn)控制的擴(kuò)展框架并且擴(kuò)展了許多系統(tǒng)調(diào)用方法，它支持多種不同的訪問(wèn)和認(rèn)證方法。這對(duì)于擴(kuò)展和加強(qiáng)Linux系統(tǒng)的內(nèi)部和本地安全是一個(gè)很有用的。

　　四、設(shè)置陷井和蜜罐所謂陷井就是激活時(shí)能夠觸發(fā)報(bào)警事件的軟件，而蜜罐(honey pot)程序是指設(shè)計(jì)來(lái)引誘有入侵企圖者觸發(fā)專門的報(bào)警的陷井程序。通過(guò)設(shè)置陷井和蜜罐程序，一旦出現(xiàn)入侵事件系統(tǒng)可以很快發(fā)出報(bào)警。在許多大的網(wǎng)絡(luò)中，一般都設(shè)計(jì)有專門的陷井程序。陷井程序一般分為兩種：一種是只發(fā)現(xiàn)入侵者而不對(duì)其采取報(bào)復(fù)行動(dòng)，另一種是同時(shí)采取報(bào)復(fù)行動(dòng)。

　　設(shè)置蜜罐的一種常用方法是故意聲稱Linux系統(tǒng)使用了具有許多脆弱性的IMAP服務(wù)器版本。當(dāng)入侵者對(duì)這些IMAP服務(wù)器進(jìn)行大容量端口掃瞄就會(huì)落入陷井并且激發(fā)系統(tǒng)報(bào)警。

　　另一個(gè)蜜罐陷井的例子就是很有名的phf，它是一個(gè)非常脆弱的Web cgi-bin腳本。最初的phf是設(shè)計(jì)來(lái)查找電話號(hào)碼的，但它具有一個(gè)嚴(yán)重的安全漏洞：允許入侵者使用它來(lái)獲得系統(tǒng)口令文件或執(zhí)行其它惡意操作。系統(tǒng)管理員可以設(shè)置一個(gè)假的phf腳本，但是它不是將系統(tǒng)的口令文件發(fā)送給入侵者，而是向入侵者返回一些假信息并且同時(shí)向系統(tǒng)管理員發(fā)出報(bào)警。

　　另外一類蜜罐陷井程序可以通過(guò)在防火墻中將入侵者的IP地址設(shè)置為黑名單來(lái)立即拒絕入侵者繼續(xù)進(jìn)行訪問(wèn)。拒絕不友好的訪問(wèn)既可以是短期的，也可以是長(zhǎng)期的。Linux內(nèi)核中的防火墻代碼非常適合于這樣做。

　　五、將入侵消滅在萌芽狀態(tài)入侵者進(jìn)行攻擊之前最常做的一件事情就是端號(hào)掃瞄，如果能夠及時(shí)發(fā)現(xiàn)和阻止入侵者的端號(hào)掃瞄行為，那么可以大大減少入侵事件的發(fā)生率。反應(yīng)系統(tǒng)可以是一個(gè)簡(jiǎn)單的狀態(tài)檢查包過(guò)濾器，也可以是一個(gè)復(fù)雜的入侵檢測(cè)系統(tǒng)或可配置的防火墻。

• Abacus Port SentryAbacus Port Sentry是開(kāi)放源代碼的工具包，它能夠監(jiān)視網(wǎng)絡(luò)接口并且與防火墻交互操作來(lái)關(guān)閉端口掃瞄攻擊。當(dāng)發(fā)生正在進(jìn)行的端口掃瞄時(shí)，Abacus Sentry可以迅速阻止它繼續(xù)執(zhí)行。但是如果配置不當(dāng)，它也可能允許敵意的外部者在你的系統(tǒng)中安裝拒絕服務(wù)攻擊。
• Abacus Port Sentry如果與Linux中透明的代理工具一起使用可以提供一個(gè)非常有效地入侵防范措施。這樣可以將為所有IP地址提供通用服務(wù)的未使用端口重定向到Port Sentry中，Port Sentry可以在入侵者采取進(jìn)一步行動(dòng)之前及時(shí)檢測(cè)到并阻止端口掃瞄。
• Abacus Port Sentry能夠檢測(cè)到慢掃瞄(slow scan)，但它不能檢測(cè)到結(jié)構(gòu)化攻擊(structured attack)。這兩種方式最終目的都要試圖掩蓋攻擊意圖。慢掃瞄就是通過(guò)將端口掃瞄分散到很長(zhǎng)的時(shí)間內(nèi)來(lái)完成，而在結(jié)構(gòu)化的攻擊中，攻擊者試圖通過(guò)掃瞄或探測(cè)多個(gè)源地址中來(lái)掩蓋自己的真實(shí)攻擊目標(biāo)。
• 正確地使用這個(gè)軟件將能夠有效地防止對(duì)IMAP服務(wù)大量的并行掃瞄并且阻止所有這樣的入侵者。Abacus Sentry與Linux 2.2內(nèi)核的IPChains工具一起使用時(shí)最有效，IPChains能夠自動(dòng)將所有的端口掃瞄行為定向到Port Sentry. Linux 2.0內(nèi)核可以使用IPChains進(jìn)行修補(bǔ)，Abacus Port Sentry也可以與早期的2.0版內(nèi)核中的ipfwadm工具一起使用，ipfwadm在2.2版本以后被IPChains取代了。
• Abacus Port Sentry還可以被配置來(lái)對(duì)Linux系統(tǒng)上的UDP掃瞄作出反應(yīng)，甚至還可以對(duì)各種半掃瞄作出反應(yīng)，如FIN掃瞄，這種掃描試圖通過(guò)只發(fā)送很小的探測(cè)包而不是建立一個(gè)真正的連接來(lái)避免被發(fā)現(xiàn)。

　　當(dāng)然更好的辦法就是使用專門的入侵檢測(cè)系統(tǒng)，如ISS公司的RealSecure等，它們可以根據(jù)入侵報(bào)警和攻擊簽名重新配置防火墻。但這樣的產(chǎn)品一般價(jià)格較高，普及的用戶承受起來(lái)有困難。

　　六、反攻擊檢測(cè)系統(tǒng)主要通過(guò)阻止入侵企圖來(lái)防止入侵，而反攻擊系統(tǒng)則可以反向進(jìn)行端口掃瞄或發(fā)起其它的攻擊，這一著讓入侵者不僅入侵陰謀未能得逞，反而“引狼入室”，招致反攻擊。

　　有些安全系統(tǒng)如Abacus Sentry具有一定的反攻擊能力。比如有的站點(diǎn)有了防止用戶通過(guò)telnet進(jìn)行連接，在應(yīng)答telnet連接請(qǐng)求時(shí)，系統(tǒng)將返回一些不受歡迎的惡意信息。這只是一種最簡(jiǎn)單也是最輕微的反攻擊措施。

　　一般情況下并不提倡使用反攻擊功能，因?yàn)檫@樣的反攻擊措施很容易被非法利用來(lái)攻擊其它的系統(tǒng)。

　　七、改進(jìn)登錄服務(wù)器將系統(tǒng)的登錄服務(wù)器移到一個(gè)單獨(dú)的機(jī)器中會(huì)增加系統(tǒng)的安全級(jí)別，使用一個(gè)更安全的登錄服務(wù)器來(lái)取代Linux自身的登錄工具也可以進(jìn)一步提高安全。

　　在大的Linux網(wǎng)絡(luò)中，最好使用一個(gè)單獨(dú)的登錄服務(wù)器用于syslog服務(wù)。它必須是一個(gè)能夠滿足所有系統(tǒng)登錄需求并且擁有足夠的磁盤空間的服務(wù)器系統(tǒng)，在這個(gè)系統(tǒng)上應(yīng)該沒(méi)有其它的服務(wù)運(yùn)行。更安全的登錄服務(wù)器會(huì)大大削弱入侵者透過(guò)登錄系統(tǒng)竄改日志文件的能力。

　　●安全syslog即使使用單獨(dú)的登錄服務(wù)器，Linux自身的syslog工具也是相當(dāng)不安全的。因此，有人開(kāi)發(fā)了所謂的安全log服務(wù)器，將密碼簽名集成到日志中。這會(huì)確保入侵者即使在竄改系統(tǒng)日志以后也無(wú)法做到不被發(fā)現(xiàn)。現(xiàn)在最常用的用于取代syslog的安全log服務(wù)器稱為"安全syslog(ssyslong)"，用戶可以從Core SDI站點(diǎn)下載這個(gè)工具。這個(gè)守護(hù)程序?qū)崿F(xiàn)一個(gè)稱為PEQ-1的密碼協(xié)議來(lái)實(shí)現(xiàn)對(duì)系統(tǒng)日志的遠(yuǎn)程審計(jì)。即使在入侵者獲得系統(tǒng)超級(jí)用戶權(quán)限的情況下也仍然可以進(jìn)行審計(jì)，因?yàn)閰f(xié)議保證了以前以及入侵過(guò)程中的的log信息沒(méi)有審計(jì)者(在遠(yuǎn)程可信任的主機(jī)上)的通知無(wú)法被修改。

　　●syslog-ng另一個(gè)取代syslog的工具是syslog-ng(下一代的syslog)。這是一個(gè)更加可配置的守護(hù)進(jìn)程，它提供了密碼簽名來(lái)檢測(cè)對(duì)日志文件的竄改。密碼安全登錄服務(wù)器和遠(yuǎn)程審計(jì)功能一起可以使入侵者極難進(jìn)行日志竄改并且非常容易被檢測(cè)到這樣的不良企圖。用戶可以下載這個(gè)工具。

　　八、使用單一登錄系統(tǒng)維護(hù)分散的大網(wǎng)絡(luò)環(huán)境中的多個(gè)用戶帳號(hào)對(duì)于系統(tǒng)管理員來(lái)講是一件非常頭疼的事情。現(xiàn)在有一些單一的登錄(sign on)系統(tǒng)不僅可以減輕管理員的負(fù)擔(dān)，而同時(shí)還提高了安全級(jí)別。

　　網(wǎng)絡(luò)信息服務(wù)(NIS)是一個(gè)很好的單一登錄系統(tǒng)，它在Sun公司的Yellow Page服務(wù)的基礎(chǔ)上發(fā)展來(lái)的，它的基本安全特性不夠健狀，由于不斷有一些bug和脆弱性被公布，因此有人戲稱它為網(wǎng)絡(luò)入侵者服務(wù)(Network Intruder Service)。NIS的更新版本NIS+原NIS的不足進(jìn)行了改進(jìn)，現(xiàn)在已經(jīng)有了用于Linux的NIS+版本。

　　Kerberos也是一種非常有名的單一登錄系統(tǒng)。Kerberos v4具有一些很有名的安全漏洞，如入侵者可以離線進(jìn)行窮盡攻擊Kerberos cookie而不會(huì)被發(fā)現(xiàn)。Ketberos v5大大進(jìn)行了改進(jìn)，不會(huì)再有v4的問(wèn)題。

　　在大的網(wǎng)絡(luò)中，像NIS和Kerberos這樣的單一的登錄系統(tǒng)雖然有有利的一面，但也有它不利的一面。一方面，在不同系統(tǒng)上都具有認(rèn)證機(jī)制有助于隔離該功能并且減少它與其它服務(wù)相互之間的影響。另一方面，一旦一個(gè)系統(tǒng)中的某個(gè)帳號(hào)被破壞，所有可通過(guò)這個(gè)帳號(hào)訪問(wèn)的系統(tǒng)都將同樣遭到破壞。因此在單一的登錄系統(tǒng)中特別要求具有較高防猜測(cè)水平的口令字。

　　基于Windows的網(wǎng)絡(luò)在Windows NT域系統(tǒng)中有自己的單一登錄系統(tǒng)。Linux系統(tǒng)可以根據(jù)Windows系統(tǒng)進(jìn)行認(rèn)證。這允許用戶在Windows系統(tǒng)下修改、維護(hù)和管理它們的帳號(hào)和口令字并且修改結(jié)果會(huì)在同時(shí)在UNIX登錄中得到體現(xiàn)。如使用pam_smb，Linux系統(tǒng)可以根據(jù)Windows SMB Domain進(jìn)行認(rèn)證。這在以Windows網(wǎng)絡(luò)管理為中心的網(wǎng)絡(luò)中是相當(dāng)方便的，但它也帶來(lái)了Windows認(rèn)證系統(tǒng)自身的一些不安全性。

　　九、掌握最新安全產(chǎn)品和技術(shù)作為一個(gè)系統(tǒng)管理員，還必須時(shí)刻跟蹤Linux安全技術(shù)的發(fā)展動(dòng)向，并且適時(shí)采用更先進(jìn)的Linux安全工具。目前國(guó)際上有許多有關(guān)Linux安全的研究和開(kāi)發(fā)項(xiàng)目，目前至少有三個(gè)安全Linux項(xiàng)目已經(jīng)啟動(dòng)，每個(gè)項(xiàng)目的目標(biāo)都有自己的側(cè)重點(diǎn)，它們分別是：

　　●安全Linux(Secure Linux)安全Linux項(xiàng)目的目標(biāo)是提供一個(gè)用于Internet服務(wù)器系統(tǒng)的安全的Linux分發(fā)。該項(xiàng)目管理者正尋求在這個(gè)產(chǎn)品中集成強(qiáng)大的密碼和一些額外的Web服務(wù)器功能。既然它是在美國(guó)之外創(chuàng)建的，人們可望能夠得到改進(jìn)的密碼安全而不會(huì)受到美國(guó)安全產(chǎn)品出口法律的限制。

　　●Bastille LinuxBastille Linux項(xiàng)目尋求在Linux環(huán)境中建立一個(gè)類似OpenBSD的標(biāo)準(zhǔn)。該項(xiàng)目宣稱的目標(biāo)是為臺(tái)式機(jī)創(chuàng)建一個(gè)安全的分發(fā)，使網(wǎng)絡(luò)管理者可以不用擔(dān)心用戶的安全。

　　●Kha0s LinuxKha0s Linux正尋求創(chuàng)建了一個(gè)具有強(qiáng)加密和類似OpenBSD的安全政策的最小的安全Linux分發(fā)。該小組目前正在它的Web站點(diǎn)上請(qǐng)求全球用戶和廠商的參與和合作。

　　除此之外，下面兩點(diǎn)對(duì)于管理員提高Linux安全管理水平也是十分有用的：

• 訪問(wèn)安全Linux郵件列表現(xiàn)在有許多關(guān)于Linux安全的郵件列表，如securedistros@nl.linux.org、Kh >a0s-dev@kha0s.org等，經(jīng)常訪問(wèn)這些郵件列表可以得到大量的安全信息。
• 還有另一個(gè)通用的郵件列表是security-audit@ferret.lmh.ox.ac.uk，它是專門討論源代碼的安全審計(jì)的。這個(gè)列表可能與其它的郵件列表有大量的重復(fù)，但如果想了解源代碼審計(jì)和相關(guān)的安全問(wèn)題的話還是很值得一讀的。

　　十、多管齊下任何一種單一的安全措施其防范能力都是有限的，一個(gè)安全的系統(tǒng)必須采取多種安全措施，多管齊下才能更好的保證安全。假如一個(gè)Linux系統(tǒng)采取了以上各種安全措施，那么要想侵入你的系統(tǒng)，攻擊者將不得不繞過(guò)防火墻、避開(kāi)入侵檢測(cè)系統(tǒng)、跳過(guò)陷井程序、通過(guò)系統(tǒng)過(guò)濾器、逃過(guò)你的日志監(jiān)視器、修改文件系統(tǒng)屬性、破壞安全登錄服務(wù)器才能最終達(dá)到目的。由于其中任何一個(gè)環(huán)節(jié)都可能激發(fā)報(bào)警，因此入侵者要想侵入這樣的系統(tǒng)而又不被發(fā)現(xiàn)幾乎是不可能的。