搜索

[24522] 2015-12-17_《Linux工作站安全检查清单》—来自Linux基金会内部

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2015-12-17_《Linux工作站安全检查清单》—来自Linux基金会内部 《 L i n u x   工 作 站 安 全 检 查 清 单 》 — 来 自   L i n u x   基 金 会 内 部 原 创   译 者 ： w y a n g s u n   L i n u x 中 国   2 0 1 5 - 1 2 - 1 7 这 是 一 套   L i n u x   基 金 会 为 其 系 统 管 理 员 提 供 的 推 荐 规 范 。 目 标 受 众 这 个 文 档 用 于 帮 助 那 些 使 用   L i n u x   工 作 站 来 访 问 和 管 理 项 目 的   I T   设 施 的 系 统 管 理 员 团 队 。 如 果 你 的 系 统 管 理 员 是 远 程 员 工 ， 你 也 许 可 以 使 用 这 套 指 导 方 针 确 保 系 统 管 理 员 的 系 统 可 以 通 过 核 心 安 全 需 求 ， 降 低 你 的 I T   平 台 成 为 攻 击 目 标 的 风 险 。 即 使 你 的 系 统 管 理 员 不 是 远 程 员 工 ， 很 多 人 也 会 在 工 作 环 境 中 通 过 便 携 笔 记 本 完 成 工 作 ， 或 者 在 家 中 设 置 系 统 以 便 在 业 余 时 间 或 紧 急 时 刻 访 问 工 作 平 台 。 不 论 发 生 何 种 情 况 ， 你 都 能 调 整 这 个 推 荐 规 范 来 适 应 你 的 环 境 。 限 制 但 是 ， 这 并 不 是 一 个 详 细 的 “ 工 作 站 加 固 ” 文 档 ， 可 以 说 这 是 一 个 努 力 避 免 大 多 数 明 显 安 全 错 误 而 不 会 导 致 太 多 不 便 的 一 组 推 荐 b a s e l i n e 基 线 。 你 也 许 阅 读 这 个 文 档 后 会 认 为 它 的 方 法 太 偏 执 ， 而 另 一 些 人 也 许 会 认 为 这 仅 仅 是 一 些 肤 浅 的 研 究 。 安 全 就 像 在 高 速 公 路 上 开 车   - -   任 何 比 你 开 的 慢 的 都 是 一 个 傻 瓜 ， 然 而 任 何 比 你 开 的 快 的 人 都 是 疯 子 。 这 个 指 南 仅 仅 是 一 些 列 核 心 安 全 规 则 ， 既 不 详 细 又 不 能 替 代 经 验 、 警 惕 和 常 识 。 我 们 分 享 这 篇 文 档 是 为 了 将 开 源 协 作 的 优 势 带 到   I T   策 略 文 献 资 料 中 。 如 果 你 发 现 它 有 用 ， 我 们 希 望 你 可 以 将 它 用 到 你 自 己 团 体 中 ， 并 分 享 你 的 改 进 ， 对 它 的 完 善 做 出 你 的 贡 献 。 结 构 每 一 节 都 分 为 两 个 部 分 ： 核 对 适 合 你 项 目 的 需 求 形 式 不 定 的 提 示 内 容 ， 解 释 了 为 什 么 这 么 做 严 重 级 别 严 重 级 别 在 清 单 的 每 一 个 项 目 都 包 括 严 重 级 别 ， 我 们 希 望 这 些 能 帮 助 指 导 你 的 决 定 ： 关 键 （ 关 键 （ E S S E N T I A L ） ）   该 项 应 该 在 考 虑 列 表 上 被 明 确 的 重 视 。 如 果 不 采 取 措 施 ， 将 会 导 致 你 的 平 台 安 全 出 现 高 风 险 。 中 等 （ 中 等 （ N I C E ） ）   该 项 将 改 善 你 的 安 全 形 势 ， 但 是 会 影 响 到 你 的 工 作 环 境 的 流 程 ， 可 能 会 要 求 养 成 新 的 习 惯 ， 改 掉 旧 的 习 惯 。 低 等 （ 低 等 （ P A R A N O I D ） ）   留 作 感 觉 会 明 显 完 善 我 们 平 台 安 全 、 但 是 可 能 会 需 要 大 量 调 整 与 操 作 系 统 交 互 的 方 式 的 项 目 。 记 住 ， 这 些 只 是 参 考 。 如 果 你 觉 得 这 些 严 重 级 别 不 能 反 映 你 的 工 程 对 安 全 的 承 诺 ， 你 应 该 调 整 它 们 为 你 所 合 适 的 。 选 择 正 确 的 硬 件 选 择 正 确 的 硬 件
我 们 并 不 会 要 求 管 理 员 使 用 一 个 特 殊 供 应 商 或 者 一 个 特 殊 的 型 号 ， 所 以 这 一 节 提 供 的 是 选 择 工 作 系 统 时 的 核 心 注 意 事 项 。 检 查 清 单 [   ]   系 统 支 持 S e c u r e B o o t 安 全 启 动   ( 关 键 ) [   ]   系 统 没 有 F i r e w i r e 火 线 ， t h u n d e r b o l t 雷 电 或 者 E x p r e s s C a r d 扩 展 卡 接 口   ( 中 等 ) [   ]   系 统 有   T P M   芯 片   ( 中 等 ) 注 意 事 项 S e c u r e B o o t 安 全 启 动 安 全 启 动 尽 管 它 还 有 争 议 ， 但 是 安 全 引 导 能 够 预 防 很 多 针 对 工 作 站 的 攻 击 （ R o o t k i t s 、 “ E v i l   M a i d ” ， 等 等 ） ， 而 没 有 太 多 额 外 的 麻 烦 。 它 并 不 能 阻 止 真 正 专 门 的 攻 击 者 ， 加 上 在 很 大 程 度 上 ， 国 家 安 全 机 构 有 办 法 应 对 它 （ 可 能 是 通 过 设 计 ) ， 但 是 有 安 全 引 导 总 比 什 么 都 没 有 强 。 作 为 选 择 ， 你 也 许 可 以 部 署   A n t i   E v i l   M a i d   提 供 更 多 健 全 的 保 护 ， 以 对 抗 安 全 引 导 所 需 要 阻 止 的 攻 击 类 型 ， 但 是 它 需 要 更 多 部 署 和 维 护 的 工 作 。 系 统 没 有 系 统 没 有 F i r e w i r e 火 线 火 线 ， ， t h u n d e r b o l t 雷 电 雷 电 或 者 或 者 E x p r e s s C a r d 扩 展 卡 扩 展 卡 接 口 接 口 火 线 是 一 个 标 准 ， 其 设 计 上 允 许 任 何 连 接 的 设 备 能 够 完 全 地 直 接 访 问 你 的 系 统 内 存 （ 参 见 维 基 百 科 ） 。 雷 电 接 口 和 扩 展 卡 同 样 有 问 题 ， 虽 然 一 些 后 来 部 署 的 雷 电 接 口 试 图 限 制 内 存 访 问 的 范 围 。 如 果 你 没 有 这 些 系 统 端 口 ， 那 是 最 好 的 ， 但 是 它 并 不 严 重 ， 它 们 通 常 可 以 通 过   U E F I   关 闭 或 内 核 本 身 禁 用 。 T P M   芯 片 芯 片 T r u s t e d   P l a t f o r m   M o d u l e   ， T P M 可 信 平 台 模 块 是 主 板 上 的 一 个 与 核 心 处 理 器 单 独 分 开 的 加 密 芯 片 ， 它 可 以 用 来 增 加 平 台 的 安 全 性 （ 比 如 存 储 全 盘 加 密 的 密 钥 ） ， 不 过 通 常 不 会 用 于 日 常 的 平 台 操 作 。 充 其 量 ， 这 个 是 一 个 有 则 更 好 的 东 西 ， 除 非 你 有 特 殊 需 求 ， 需 要 使 用   T P M   增 加 你 的 工 作 站 安 全 性 。 预 引 导 环 境 预 引 导 环 境 这 是 你 开 始 安 装 操 作 系 统 前 的 一 系 列 推 荐 规 范 。 检 查 清 单 [   ]   使 用   U E F I   引 导 模 式 （ 不 是 传 统   B I O S ） ( 关 键 ) [   ]   进 入   U E F I   配 置 需 要 使 用 密 码   ( 关 键 ) [   ]   使 用 安 全 引 导   ( 关 键 ) [   ]   启 动 系 统 需 要   U E F I   级 别 密 码   ( 中 等 ) 注 意 事 项 U E F I   和 安 全 引 导 和 安 全 引 导 U E F I   尽 管 有 缺 点 ， 还 是 提 供 了 很 多 传 统   B I O S   没 有 的 好 功 能 ， 比 如 安 全 引 导 。 大 多 数 现 代 的 系 统 都 默 认 使 用   U E F I   模 式 。 确 保 进 入   U E F I   配 置 模 式 要 使 用 高 强 度 密 码 。 注 意 ， 很 多 厂 商 默 默 地 限 制 了 你 使 用 密 码 长 度 ， 所 以 相 比 长 口 令 你 也 许 应 该 选 择 高 熵 值 的 短 密
码 （ 关 于 密 码 短 语 请 参 考 下 面 内 容 ） 。 基 于 你 选 择 的   L i n u x   发 行 版 ， 你 也 许 需 要 、 也 许 不 需 要 按 照   U E F I   的 要 求 ， 来 导 入 你 的 发 行 版 的 安 全 引 导 密 钥 ， 从 而 允 许 你 启 动 该 发 行 版 。 很 多 发 行 版 已 经 与 微 软 合 作 ， 用 大 多 数 厂 商 所 支 持 的 密 钥 给 它 们 已 发 布 的 内 核 签 名 ， 因 此 避 免 了 你 必 须 处 理 密 钥 导 入 的 麻 烦 。 作 为 一 个 额 外 的 措 施 ， 在 允 许 某 人 访 问 引 导 分 区 然 后 尝 试 做 一 些 不 好 的 事 之 前 ， 让 他 们 输 入 密 码 。 为 了 防 止 s h o u l d e r - s u r f i n g 肩 窥 ， 这 个 密 码 应 该 跟 你 的 U E F I   管 理 密 码 不 同 。 如 果 你 经 常 关 闭 和 启 动 ， 你 也 许 不 想 这 么 麻 烦 ， 因 为 你 已 经 必 须 输 入   L U K S   密 码 了 （ L U K S   参 见 下 面 内 容 ） ， 这 样 会 让 你 您 减 少 一 些 额 外 的 键 盘 输 入 。 发 行 版 选 择 注 意 事 项 发 行 版 选 择 注 意 事 项 很 有 可 能 你 会 坚 持 一 个 广 泛 使 用 的 发 行 版 如   F e d o r a ， U b u n t u ， A r c h ， D e b i a n ， 或 它 们 的 一 个 类 似 发 行 版 。 无 论 如 何 ， 以 下 是 你 选 择 使 用 发 行 版 应 该 考 虑 的 。 检 查 清 单 [   ]   拥 有 一 个 强 健 的   M A C / R B A C   系 统 （ S E L i n u x / A p p A r m o r / G r s e c u r i t y ）   ( 关 键 ) [   ]   发 布 安 全 公 告   ( 关 键 ) [   ]   提 供 及 时 的 安 全 补 丁   ( 关 键 ) [   ]   提 供 软 件 包 的 加 密 验 证   ( 关 键 ) [   ]   完 全 支 持   U E F I   和 安 全 引 导   ( 关 键 ) [   ]   拥 有 健 壮 的 原 生 全 磁 盘 加 密 支 持   ( 关 键 ) 注 意 事 项 S E L i n u x ， ， A p p A r m o r ， 和 ， 和   G r S e c u r i t y / P a X M a n d a t o r y   A c c e s s   C o n t r o l s ， M A C 强 制 访 问 控 制 或 者 R o l e - B a s e d   A c c e s s   C o n t r o l s ， R B A C 基 于 角 色 的 访 问 控 制 是 一 个 用 在 老 式   P O S I X   系 统 的 基 于 用 户 或 组 的 安 全 机 制 扩 展 。 现 在 大 多 数 发 行 版 已 经 捆 绑 了 M A C / R B A C   系 统 （ F e d o r a ， U b u n t u ） ， 或 通 过 提 供 一 种 机 制 一 个 可 选 的 安 装 后 步 骤 来 添 加 它 （ G e n t o o ， A r c h ， D e b i a n ） 。 显 然 ， 强 烈 建 议 您 选 择 一 个 预 装   M A C / R B A C   系 统 的 发 行 版 ， 但 是 如 果 你 对 某 个 没 有 默 认 启 用 它 的 发 行 版 情 有 独 钟 ， 装 完 系 统 后 应 计 划 配 置 安 装 它 。 应 该 坚 决 避 免 使 用 不 带 任 何   M A C / R B A C   机 制 的 发 行 版 ， 像 传 统 的   P O S I X   基 于 用 户 和 组 的 安 全 在 当 今 时 代 应 该 算 是 考 虑 不 足 。 如 果 你 想 建 立 一 个   M A C / R B A C   工 作 站 ， 通 常 认 为   A p p A r m o r   和   P a X   比   S E L i n u x   更 容 易 掌 握 。 此 外 ， 在 工 作 站 上 ， 很 少 有 或 者 根 本 没 有 对 外 监 听 的 守 护 进 程 ， 而 针 对 用 户 运 行 的 应 用 造 成 的 最 高 风 险 ， G r S e c u r i t y / P a X   可 能   会 比 S E L i n u x   提 供 更 多 的 安 全 便 利 。 发 行 版 安 全 公 告 发 行 版 安 全 公 告 大 多 数 广 泛 使 用 的 发 行 版 都 有 一 个 给 它 们 的 用 户 发 送 安 全 公 告 的 机 制 ， 但 是 如 果 你 对 一 些 机 密 感 兴 趣 ， 去 看 看 开 发 人 员 是 否 有 见 于 文 档 的 提 醒 用 户 安 全 漏 洞 和 补 丁 的 机 制 。 缺 乏 这 样 的 机 制 是 一 个 重 要 的 警 告 信 号 ， 说 明 这 个 发 行 版 不 够 成 熟 ， 不 能 被 用 作 主 要 管 理 员 的 工 作 站 。 及 时 和 可 靠 的 安 全 更 新 及 时 和 可 靠 的 安 全 更 新 多 数 常 用 的 发 行 版 提 供 定 期 安 全 更 新 ， 但 应 该 经 常 检 查 以 确 保 及 时 提 供 关 键 包 更 新 。 因 此 应 避 免 使 用 s p i n - o f f 附 属 发 行 版 和 “ 社 区 重 构 ” ， 因 为 它 们 必 须 等 待 上 游 发 行 版 先 发 布 ， 它 们 经 常 延 迟 发 布 安 全 更 新 。 现 在 ， 很 难 找 到 一 个 不 使 用 加 密 签 名 、 更 新 元 数 据 或 二 者 都 不 使 用 的 发 行 版 。 如 此 说 来 ， 常 用 的 发 行 版 在 引 入 这 个 基 本 安 全 机 制 就 已 经 知 道 这 些 很 多 年 了 （ A r c h ， 说 你 呢 ） ， 所 以 这 也 是 值 得 检 查 的 。 发 行 版 支 持 发 行 版 支 持   U E F I   和 安 全 引 导 和 安 全 引 导
检 查 发 行 版 是 否 支 持   U E F I   和 安 全 引 导 。 查 明 它 是 否 需 要 导 入 额 外 的 密 钥 或 是 否 要 求 启 动 内 核 有 一 个 已 经 被 系 统 厂 商 信 任 的 密 钥 签 名 （ 例 如 跟 微 软 达 成 合 作 ） 。 一 些 发 行 版 不 支 持   U E F I   或 安 全 启 动 ， 但 是 提 供 了 替 代 品 来 确 保 t a m p e r - p r o o f 防 篡 改 或 t a m p e r - e v i d e n t 防 破 坏 引 导 环 境 （ Q u b e s - O S   使 用   A n t i   E v i l M a i d ， 前 面 提 到 的 ） 。 如 果 一 个 发 行 版 不 支 持 安 全 引 导 ， 也 没 有 防 止 引 导 级 别 攻 击 的 机 制 ， 还 是 看 看 别 的 吧 。 全 磁 盘 加 密 全 磁 盘 加 密 全 磁 盘 加 密 是 保 护 静 止 数 据 的 要 求 ， 大 多 数 发 行 版 都 支 持 。 作 为 一 个 选 择 方 案 ， 带 有 自 加 密 硬 盘 的 系 统 也 可 以 用 （ 通 常 通 过 主 板   T P M   芯 片 实 现 ） ， 并 提 供 了 类 似 安 全 级 别 而 且 操 作 更 快 ， 但 是 花 费 也 更 高 。 发 行 版 安 装 指 南 发 行 版 安 装 指 南 所 有 发 行 版 都 是 不 同 的 ， 但 是 也 有 一 些 一 般 原 则 ： 检 查 清 单 [   ]   使 用 健 壮 的 密 码 全 磁 盘 加 密 （ L U K S ）   ( 关 键 ) [   ]   确 保 交 换 分 区 也 加 密 了   ( 关 键 ) [   ]   确 保 引 导 程 序 设 置 了 密 码 （ 可 以 和 L U K S 一 样 ）   ( 关 键 ) [   ]   设 置 健 壮 的   r o o t   密 码 （ 可 以 和 L U K S 一 样 ）   ( 关 键 ) [   ]   使 用 无 特 权 账 户 登 录 ， 作 为 管 理 员 组 的 一 部 分   ( 关 键 ) [   ]   设 置 健 壮 的 用 户 登 录 密 码 ， 不 同 于   r o o t   密 码   ( 关 键 ) 注 意 事 项 全 磁 盘 加 密 全 磁 盘 加 密 除 非 你 正 在 使 用 自 加 密 硬 盘 ， 配 置 你 的 安 装 程 序 完 整 地 加 密 所 有 存 储 你 的 数 据 与 系 统 文 件 的 磁 盘 很 重 要 。 简 单 地 通 过 自 动 挂 载 的   c r y p t f s l o o p 环 文 件 加 密 用 户 目 录 还 不 够 （ 说 你 呢 ， 旧 版   U b u n t u ） ， 这 并 没 有 给 系 统 二 进 制 文 件 或 交 换 分 区 提 供 保 护 ， 它 可 能 包 含 大 量 的 敏 感 数 据 。 推 荐 的 加 密 策 略 是 加 密   L V M   设 备 ， 以 便 在 启 动 过 程 中 只 需 要 一 个 密 码 。 分 区 将 一 直 保 持 非 加 密 ， 因 为 引 导 程 序 需 要 在 调 用   L U K S / d m - c r y p t   前 能 引 导 内 核 自 身 。 一 些 发 行 版 支 持 加 密 的 分 区 ， 比 如   A r c h ， 可 能 别 的 发 行 版 也 支 持 ， 但 是 似 乎 这 样 增 加 了 系 统 更 新 的 复 杂 度 。 如 果 你 的 发 行 版 并 没 有 原 生 支 持 加 密 也 不 用 太 在 意 ， 内 核 镜 像 本 身 并 没 有 什 么 隐 私 数 据 ， 它 会 通 过 安 全 引 导 的 加 密 签 名 检 查 来 防 止 被 篡 改 。 选 择 一 个 好 密 码 选 择 一 个 好 密 码 现 代 的   L i n u x   系 统 没 有 限 制 密 码 口 令 长 度 ， 所 以 唯 一 的 限 制 是 你 的 偏 执 和 倔 强 。 如 果 你 要 启 动 你 的 系 统 ， 你 将 大 概 至 少 要 输 入 两 个 不 同 的 密 码 ： 一 个 解 锁   L U K S   ， 另 一 个 登 录 ， 所 以 长 密 码 将 会 使 你 老 的 更 快 。 最 好 从 丰 富 或 混 合 的 词 汇 中 选 择 2 - 3 个 单 词 长 度 ， 容 易 输 入 的 密 码 。 优 秀 密 码 例 子 （ 是 的 ， 你 可 以 使 用 空 格 ） ： n a t u r e   a b h o r s   r o o m b a s 1 2   i n - f l i g h t   J e b e d i a h s p e r d o n ,   t e n g o   f l a t u l e n c e / b o o t / b o o t / b o o t
如 果 你 喜 欢 输 入 可 以 在 公 开 场 合 和 你 生 活 中 能 见 到 的 句 子 ， 比 如 ： M a r y   h a d   a   l i t t l e   l a m b y o u ' r e   a   w i z a r d ,   H a r r y t o   i n f i n i t y   a n d   b e y o n d 如 果 你 愿 意 的 话 ， 你 也 应 该 带 上 最 少 要   1 0 - 1 2 个 字 符 长 度 的 非 词 汇 的 密 码 。 除 非 你 担 心 物 理 安 全 ， 你 可 以 写 下 你 的 密 码 ， 并 保 存 在 一 个 远 离 你 办 公 桌 的 安 全 的 地 方 。 R o o t ， 用 户 密 码 和 管 理 组 ， 用 户 密 码 和 管 理 组 我 们 建 议 ， 你 的   r o o t   密 码 和 你 的   L U K S   加 密 使 用 同 样 的 密 码 （ 除 非 你 共 享 你 的 笔 记 本 给 信 任 的 人 ， 让 他 应 该 能 解 锁 设 备 ， 但 是 不 应 该 能 成 为   r o o t   用 户 ） 。 如 果 你 是 笔 记 本 电 脑 的 唯 一 用 户 ， 那 么 你 的   r o o t   密 码 与 你 的   L U K S   密 码 不 同 是 没 有 安 全 优 势 上 的 意 义 的 。 通 常 ， 你 可 以 使 用 同 样 的 密 码 在 你 的   U E F I   管 理 ， 磁 盘 加 密 ， 和   r o o t   登 录 中   - -   知 道 这 些 任 意 一 个 都 会 让 攻 击 者 完 全 控 制 您 的 系 统 ， 在 单 用 户 工 作 站 上 使 这 些 密 码 不 同 ， 没 有 任 何 安 全 益 处 。 你 应 该 有 一 个 不 同 的 ， 但 同 样 强 健 的 常 规 用 户 帐 户 密 码 用 来 日 常 工 作 。 这 个 用 户 应 该 是 管 理 组 用 户 （ 例 如 或 者 类 似 ， 根 据 发 行 版 不 同 ） ， 允 许 你 执 行 来 提 升 权 限 。 换 句 话 说 ， 如 果 在 你 的 工 作 站 只 有 你 一 个 用 户 ， 你 应 该 有 两 个 独 特 的 、 r o b u s t 强 健 而 s t r o n g 强 壮 的 密 码 需 要 记 住 ： 管 理 级 别 管 理 级 别 ， 用 在 以 下 方 面 ： U E F I   管 理 引 导 程 序 （ G R U B ） 磁 盘 加 密 （ L U K S ） 工 作 站 管 理 （ r o o t   用 户 ） 用 户 级 别 用 户 级 别 ， 用 在 以 下 ： 用 户 登 录 和   s u d o 密 码 管 理 器 的 主 密 码 很 明 显 ， 如 果 有 一 个 令 人 信 服 的 理 由 的 话 ， 它 们 全 都 可 以 不 同 。 安 装 后 的 加 固 安 装 后 的 加 固 安 装 后 的 安 全 加 固 在 很 大 程 度 上 取 决 于 你 选 择 的 发 行 版 ， 所 以 在 一 个 像 这 样 的 通 用 文 档 中 提 供 详 细 说 明 是 徒 劳 的 。 然 而 , 这 里 有 一 些 你 应 该 采 取 的 步 骤 : 检 查 清 单 [   ]   在 全 局 范 围 内 禁 用 火 线 和 雷 电 模 块   ( 关 键 ) [   ]   检 查 你 的 防 火 墙 ， 确 保 过 滤 所 有 传 入 端 口   ( 关 键 ) [   ]   确 保   r o o t   邮 件 转 发 到 一 个 你 可 以 收 到 的 账 户   ( 关 键 ) w h e e l s u d o
[   ]   建 立 一 个 系 统 自 动 更 新 任 务 ， 或 更 新 提 醒   ( 中 等 ) [   ]   检 查 以 确 保   s s h d   服 务 默 认 情 况 下 是 禁 用 的   ( 中 等 ) [   ]   配 置 屏 幕 保 护 程 序 在 一 段 时 间 的 不 活 动 后 自 动 锁 定   ( 中 等 ) [   ]   设 置   l o g w a t c h   ( 中 等 ) [   ]   安 装 使 用   r k h u n t e r   ( 中 等 ) [   ]   安 装 一 个 I n t r u s i o n   D e t e c t i o n   S y s t e m 入 侵 检 测 系 统   ( 中 等 ) 注 意 事 项 将 模 块 列 入 黑 名 单 将 模 块 列 入 黑 名 单 将 火 线 和 雷 电 模 块 列 入 黑 名 单 ， 增 加 一 行 到 文 件 ： 重 启 后 的 这 些 模 块 将 被 列 入 黑 名 单 。 这 样 做 是 无 害 的 ， 即 使 你 没 有 这 些 端 口 （ 但 也 不 做 任 何 事 ） 。 R o o t   邮 件 邮 件 默 认 的   r o o t   邮 件 只 是 存 储 在 系 统 基 本 上 没 人 读 过 。 确 保 你 设 置 了 你 的 来 转 发   r o o t   邮 件 到 你 确 实 能 读 取 的 邮 箱 ， 否 则 你 也 许 错 过 了 重 要 的 系 统 通 知 和 报 告 ： 编 辑 后 这 些 后 运 行 ， 然 后 测 试 它 确 保 能 投 递 到 ， 像 一 些 邮 件 供 应 商 将 拒 绝 来 自 不 存 在 的 域 名 或 者 不 可 达 的 域 名 的 邮 件 。 如 果 是 这 个 原 因 ， 你 需 要 配 置 邮 件 转 发 直 到 确 实 可 用 。 防 火 墙 ， 防 火 墙 ， s s h d ， 和 监 听 进 程 ， 和 监 听 进 程 默 认 的 防 火 墙 设 置 将 取 决 于 您 的 发 行 版 ， 但 是 大 多 数 都 允 许 端 口 连 入 。 除 非 你 有 一 个 令 人 信 服 的 合 理 理 由 允 许 连 入   s s h ， 你 应 该 过 滤 掉 它 ， 并 禁 用   s s h d   守 护 进 程 。 / e t c / m o d p r o b e . d / b l a c k l i s t - d m a . c o n f 1 .   b l a c k l i s t   f i r e w i r e - c o r e 2 .   b l a c k l i s t   t h u n d e r b o l t / e t c / a l i a s e s 1 .   #   P e r s o n   w h o   s h o u l d   g e t   r o o t ' s   m a i l 2 .   r o o t :                     b o b @ e x a m p l e . c o m n e w a l i a s e s s s h d 1 .   s y s t e m c t l   d i s a b l e   s s h d . s e r v i c e 2 .   s y s t e m c t l   s t o p   s s h d . s e r v i c e
如 果 你 需 要 使 用 它 ， 你 也 可 以 临 时 启 动 它 。 通 常 ， 你 的 系 统 不 应 该 有 任 何 侦 听 端 口 ， 除 了 响 应   p i n g   之 外 。 这 将 有 助 于 你 对 抗 网 络 级 的 零 日 漏 洞 利 用 。 自 动 更 新 或 通 知 自 动 更 新 或 通 知 建 议 打 开 自 动 更 新 ， 除 非 你 有 一 个 非 常 好 的 理 由 不 这 么 做 ， 如 果 担 心 自 动 更 新 将 使 您 的 系 统 无 法 使 用 （ 以 前 发 生 过 ， 所 以 这 种 担 心 并 非 杞 人 忧 天 ） 。 至 少 ， 你 应 该 启 用 自 动 通 知 可 用 的 更 新 。 大 多 数 发 行 版 已 经 有 这 个 服 务 自 动 运 行 ， 所 以 你 不 需 要 做 任 何 事 。 查 阅 你 的 发 行 版 文 档 了 解 更 多 。 你 应 该 尽 快 应 用 所 有 明 显 的 勘 误 ， 即 使 这 些 不 是 特 别 贴 上 “ 安 全 更 新 ” 或 有 关 联 的   C V E   编 号 。 所 有 的 问 题 都 有 潜 在 的 安 全 漏 洞 和 新 的 错 误 ， 比 起 停 留 在 旧 的 、 已 知 的 问 题 上 ， 未 知 问 题 通 常 是 更 安 全 的 策 略 。 监 控 日 志 监 控 日 志 你 应 该 会 对 你 的 系 统 上 发 生 了 什 么 很 感 兴 趣 。 出 于 这 个 原 因 ， 你 应 该 安 装 然 后 配 置 它 每 夜 发 送 在 你 的 系 统 上 发 生 的 任 何 事 情 的 活 动 报 告 。 这 不 会 预 防 一 个 专 业 的 攻 击 者 ， 但 是 一 个 不 错 的 安 全 网 络 功 能 。 注 意 ， 许 多   s y s t e m d   发 行 版 将 不 再 自 动 安 装 一 个 “ l o g w a t c h ” 所 需 的   s y s l o g   服 务 （ 因 为   s y s t e m d   会 放 到 它 自 己 的 日 志 中 ） ， 所 以 你 需 要 安 装 和 启 用 “ r s y s l o g ” 来 确 保 在 使 用   l o g w a t c h   之 前 你 的   / v a r / l o g   不 是 空 的 。 R k h u n t e r   和 和   I D S 安 装 和 一 个 类 似 或 者 入 侵 检 测 系 统 （ I D S ） 并 不 是 那 么 有 用 ， 除 非 你 确 实 理 解 它 们 如 何 工 作 ， 并 采 取 必 要 的 步 骤 来 设 置 正 确 （ 例 如 ， 保 证 数 据 库 在 外 部 介 质 ， 从 可 信 的 环 境 运 行 检 测 ， 记 住 执 行 系 统 更 新 和 配 置 更 改 后 要 刷 新 散 列 数 据 库 ， 等 等 ） 。 如 果 你 不 愿 在 你 的 工 作 站 执 行 这 些 步 骤 ， 并 调 整 你 如 何 工 作 的 方 式 ， 这 些 工 具 只 能 带 来 麻 烦 而 没 有 任 何 实 在 的 安 全 益 处 。 我 们 建 议 你 安 装 并 每 晚 运 行 它 。 它 相 当 易 于 学 习 和 使 用 ， 虽 然 它 不 会 阻 止 一 个 复 杂 的 攻 击 者 ， 它 也 能 帮 助 你 捕 获 你 自 己 的 错 误 。 个 人 工 作 站 备 份 个 人 工 作 站 备 份 工 作 站 备 份 往 往 被 忽 视 ， 或 偶 尔 才 做 一 次 ， 这 常 常 是 不 安 全 的 方 式 。 检 查 清 单 2 .   s y s t e m c t l   s t o p   s s h d . s e r v i c e l o g w a t c h r k h u n t e r a i d e t r i p w i r e r k h u n t e r
[   ]   设 置 加 密 备 份 工 作 站 到 外 部 存 储   ( 关 键 ) [   ]   使 用 零 认 知 z e r o - k n o w l e d g e 备 份 工 具 备 份 到 站 外 或 云 上   ( 中 等 ) 注 意 事 项 全 加 密 的 备 份 存 到 外 部 存 储 全 加 密 的 备 份 存 到 外 部 存 储 把 全 部 备 份 放 到 一 个 移 动 磁 盘 中 比 较 方 便 ， 不 用 担 心 带 宽 和 上 行 网 速 （ 在 这 个 时 代 ， 大 多 数 供 应 商 仍 然 提 供 显 著 的 不 对 称 的 上 传 / 下 载 速 度 ） 。 不 用 说 ， 这 个 移 动 硬 盘 本 身 需 要 加 密 （ 再 说 一 次 ， 通 过   L U K S ） ， 或 者 你 应 该 使 用 一 个 备 份 工 具 建 立 加 密 备 份 ， 例 如 或 者 它 的   G U I   版 本 。 我 建 议 使 用 后 者 并 使 用 随 机 生 成 的 密 码 ， 保 存 到 离 线 的 安 全 地 方 。 如 果 你 带 上 笔 记 本 去 旅 行 ， 把 这 个 磁 盘 留 在 家 ， 以 防 你 的 笔 记 本 丢 失 或 被 窃 时 可 以 找 回 备 份 。 除 了 你 的 家 目 录 外 ， 你 还 应 该 备 份 目 录 和 出 于 取 证 目 的 的 目 录 。 尤 其 重 要 的 是 ， 避 免 拷 贝 你 的 家 目 录 到 任 何 非 加 密 存 储 上 ， 即 使 是 需 要 快 速 的 在 两 个 系 统 上 移 动 文 件 时 ， 一 旦 完 成 你 肯 定 会 忘 了 清 除 它 ， 从 而 暴 露 个 人 隐 私 或 者 安 全 信 息 到 监 听 者 手 中   - -   尤 其 是 把 这 个 存 储 介 质 跟 你 的 笔 记 本 放 到 同 一 个 包 里 。 有 选 择 的 零 认 知 站 外 备 份 有 选 择 的 零 认 知 站 外 备 份 O f f - s i t e   b a c k u p 站 外 备 份 也 是 相 当 重 要 的 ， 是 否 可 以 做 到 要 么 需 要 你 的 老 板 提 供 空 间 ， 要 么 找 一 家 云 服 务 商 。 你 可 以 建 一 个 单 独 的   d u p l i c i t y / d e j a - d u p   配 置 ， 只 包 括 重 要 的 文 件 ， 以 免 传 输 大 量 你 不 想 备 份 的 数 据 （ 网 络 缓 存 、 音 乐 、 下 载 等 等 ） 。 作 为 选 择 ， 你 可 以 使 用 z e r o - k n o w l e d g e 零 认 知 备 份 工 具 ， 例 如   S p i d e r O a k ， 它 提 供 一 个 卓 越 的   L i n u x   G U I 工 具 还 有 更 多 的 实 用 特 性 ， 例 如 在 多 个 系 统 或 平 台 间 同 步 内 容 。 最 佳 实 践 最 佳 实 践 下 面 是 我 们 认 为 你 应 该 采 用 的 最 佳 实 践 列 表 。 它 当 然 不 是 非 常 详 细 的 ， 而 是 试 图 提 供 实 用 的 建 议 ， 来 做 到 可 行 的 整 体 安 全 性 和 可 用 性 之 间 的 平 衡 。 浏 览 毫 无 疑 问 ，   w e b   浏 览 器 将 是 你 的 系 统 上 最 大 、 最 容 易 暴 露 的 面 临 攻 击 的 软 件 。 它 是 专 门 下 载 和 执 行 不 可 信 、 甚 至 是 恶 意 代 码 的 一 个 工 具 。 它 试 图 采 用 沙 箱 和 c o d e   s a n i t i z a t i o n 代 码 清 洁 等 多 种 机 制 保 护 你 免 受 这 种 危 险 ， 但 是 在 之 前 它 们 都 被 击 败 了 多 次 。 你 应 该 知 道 ， 在 任 何 时 候 浏 览 网 站 都 是 你 做 的 最 不 安 全 的 活 动 。 d u p l i c i t y d e j a - d u p / e t c / v a r / l o g
有 几 种 方 法 可 以 减 少 浏 览 器 的 影 响 ， 但 这 些 真 实 有 效 的 方 法 需 要 你 明 显 改 变 操 作 您 的 工 作 站 的 方 式 。 1 :   使 用 两 个 不 同 的 浏 览 器 使 用 两 个 不 同 的 浏 览 器   ( 关 键 关 键 ) 这 很 容 易 做 到 ， 但 是 只 有 很 少 的 安 全 效 益 。 并 不 是 所 有 浏 览 器 都 可 以 让 攻 击 者 完 全 自 由 访 问 您 的 系 统   - -   有 时 它 们 只 能 允 许 某 人 读 取 本 地 浏 览 器 存 储 ， 窃 取 其 它 标 签 的 活 动 会 话 ， 捕 获 浏 览 器 的 输 入 等 。 使 用 两 个 不 同 的 浏 览 器 ， 一 个 用 在 工 作 / 高 安 全 站 点 ， 另 一 个 用 在 其 它 方 面 ， 有 助 于 防 止 攻 击 者 请 求 整 个   c o o k i e   存 储 的 小 问 题 。 主 要 的 不 便 是 两 个 不 同 的 浏 览 器 会 消 耗 大 量 内 存 。 我 们 建 议 ： 火 狐 用 来 访 问 工 作 和 高 安 全 站 点 使 用 火 狐 登 录 工 作 有 关 的 站 点 ， 应 该 额 外 关 心 的 是 确 保 数 据 如   c o o k i e s ， 会 话 ， 登 录 信 息 ， 击 键 等 等 ， 明 显 不 应 该 落 入 攻 击 者 手 中 。 除 了 少 数 的 几 个 网 站 ， 你 不 应 该 用 这 个 浏 览 器 访 问 其 它 网 站 。 你 应 该 安 装 下 面 的 火 狐 扩 展 ： [   ]   N o S c r i p t   ( 关 键 ) N o S c r i p t   阻 止 活 动 内 容 加 载 ， 除 非 是 在 用 户 白 名 单 里 的 域 名 。 如 果 用 于 默 认 浏 览 器 它 会 很 麻 烦 （ 可 是 提 供 了 真 正 好 的 安 全 效 益 ） ， 所 以 我 们 建 议 只 在 访 问 与 工 作 相 关 的 网 站 的 浏 览 器 上 开 启 它 。 [   ]   P r i v a c y   B a d g e r   ( 关 键 ) E F F   的   P r i v a c y   B a d g e r   将 在 页 面 加 载 时 阻 止 大 多 数 外 部 追 踪 器 和 广 告 平 台 ， 有 助 于 在 这 些 追 踪 站 点 影 响 你 的 浏 览 器 时 避 免 跪 了 （ 追 踪 器 和 广 告 站 点 通 常 会 成 为 攻 击 者 的 目 标 ， 因 为 它 们 能 会 迅 速 影 响 世 界 各 地 成 千 上 万 的 系 统 ） 。 [   ]   H T T P S   E v e r y w h e r e   ( 关 键 ) 这 个   E F F   开 发 的 扩 展 将 确 保 你 访 问 的 大 多 数 站 点 都 使 用 安 全 连 接 ， 甚 至 你 点 击 的 连 接 使 用 的 是   h t t p : / / （ 可 以 有 效 的 避 免 大 多 数 的 攻 击 ， 例 如   S S L - s t r i p ） 。 [   ]   C e r t i f i c a t e   P a t r o l   ( 中 等 ) 如 果 你 正 在 访 问 的 站 点 最 近 改 变 了 它 们 的   T L S   证 书 ， 这 个 工 具 将 会 警 告 你   - -   特 别 是 如 果 不 是 接 近 失 效 期 或 者 现 在 使 用 不 同 的 证 书 颁 发 机 构 。 它 有 助 于 警 告 你 是 否 有 人 正 尝 试 中 间 人 攻 击 你 的 连 接 ， 不 过 它 会 产 生 很 多 误 报 。 你 应 该 让 火 狐 成 为 你 打 开 连 接 时 的 默 认 浏 览 器 ， 因 为   N o S c r i p t   将 在 加 载 或 者 执 行 时 阻 止 大 多 数 活 动 内 容 。 其 它 一 切 都 用   C h r o m e / C h r o m i u m C h r o m i u m   开 发 者 在 增 加 很 多 很 好 的 安 全 特 性 方 面 走 在 了 火 狐 前 面 （ 至 少 在   L i n u x   上 ) ， 例 如   s e c c o m p   沙 箱 ， 内 核 用 户 空 间 等 等 ， 这 会 成 为 一 个 你 访 问 的 网 站 与 你 其 它 系 统 之 间 的 额 外 隔 离 层 。 C h r o m i u m   是 上 游 开 源 项 目 ， C h r o m e   是   G o o g l e   基 于 它 构 建 的 专 有 二 进 制 包 （ 加 一 句 偏 执 的 提 醒 ， 如 果 你 有 任 何 不 想 让 谷 歌 知 道 的 事 情 都 不 要 使 用 它 ） 。 推 荐 你 在   C h r o m e   上 也 安 装 P r i v a c y   B a d g e r   和   H T T P S   E v e r y w h e r e   扩 展 ， 然 后 给 它 一 个 与 火 狐 不 同 的 主 题 ， 以 让 它 告 诉 你 这 是 你 的 “ 不 可 信 站 点 ” 浏 览 器 。 2 :   使 用 两 个 不 同 浏 览 器 ， 一 个 在 专 用 的 虚 拟 机 里 使 用 两 个 不 同 浏 览 器 ， 一 个 在 专 用 的 虚 拟 机 里   ( 中 等 中 等 ) 这 有 点 像 上 面 建 议 的 做 法 ， 除 了 您 将 添 加 一 个 通 过 快 速 访 问 协 议 运 行 在 专 用 虚 拟 机 内 部   C h r o m e   的 额 外 步 骤 ， 它 允 许 你 共 享 剪 贴 板 和 转 发 声 音 事 件 （ 如 ， S p i c e   或   R D P ） 。 这 将 在 不 可 信 浏 览 器 和 你 其 它 的 工 作 环 境 之 间 添 加 一 个 优 秀 的 隔 离 层 ， 确 保 攻 击 者 完 全 危 害 你 的 浏 览 器 将 必 须 另 外 打 破   V M   隔 离 层 ， 才 能 达 到 系 统 的 其 余 部 分 。 这 是 一 个 鲜 为 人 知 的 可 行 方 式 ， 但 是 需 要 大 量 的   R A M   和 高 速 的 处 理 器 来 处 理 多 增 加 的 负 载 。 这 要 求 作 为 管 理 员 的 你 需 要 相 应 地 调 整 自 己 的 工 作 实 践 而 付 出 辛 苦 。
3 :   通 过 虚 拟 化 完 全 隔 离 你 的 工 作 和 娱 乐 环 境 通 过 虚 拟 化 完 全 隔 离 你 的 工 作 和 娱 乐 环 境   ( 低 等 低 等 ) 了 解 下   Q u b e s - O S   项 目 ， 它 致 力 于 通 过 划 分 你 的 应 用 到 完 全 隔 离 的   V M   中 来 提 供 高 度 安 全 的 工 作 环 境 。 密 码 管 理 器 检 查 清 单 检 查 清 单 [   ]   使 用 密 码 管 理 器   ( 关 键 ) [   ]   不 相 关 的 站 点 使 用 不 同 的 密 码   ( 关 键 ) [   ]   使 用 支 持 团 队 共 享 的 密 码 管 理 器   ( 中 等 ) [   ]   给 非 网 站 类 账 户 使 用 一 个 单 独 的 密 码 管 理 器   ( 低 等 ) 注 意 事 项 注 意 事 项 使 用 好 的 、 唯 一 的 密 码 对 你 的 团 队 成 员 来 说 应 该 是 非 常 关 键 的 需 求 。 c r e d e n t i a l 凭 证 盗 取 一 直 在 发 生   —   通 过 被 攻 破 的 计 算 机 、 盗 取 数 据 库 备 份 、 远 程 站 点 利 用 、 以 及 任 何 其 它 的 方 式 。 凭 证 绝 不 应 该 跨 站 点 重 用 ， 尤 其 是 关 键 的 应 用 。 浏 览 器 中 的 密 码 管 理 器 每 个 浏 览 器 有 一 个 比 较 安 全 的 保 存 密 码 机 制 ， 可 以 同 步 到 供 应 商 维 护 的 ， 并 使 用 用 户 的 密 码 保 证 数 据 加 密 。 然 而 ， 这 个 机 制 有 严 重 的 劣 势 ： 1 .   不 能 跨 浏 览 器 工 作 2 .   不 提 供 任 何 与 团 队 成 员 共 享 凭 证 的 方 法 也 有 一 些 支 持 良 好 、 免 费 或 便 宜 的 密 码 管 理 器 ， 可 以 很 好 的 融 合 到 多 个 浏 览 器 ， 跨 平 台 工 作 ， 提 供 小 组 共 享 （ 通 常 是 付 费 服 务 ） 。 可 以 很 容 易 地 通 过 搜 索 引 擎 找 到 解 决 方 案 。 独 立 的 密 码 管 理 器 任 何 与 浏 览 器 结 合 的 密 码 管 理 器 都 有 一 个 主 要 的 缺 点 ， 它 实 际 上 是 应 用 的 一 部 分 ， 这 样 最 有 可 能 被 入 侵 者 攻 击 。 如 果 这 让 你 不 放 心 （ 应 该 这 样 ） ， 你 应 该 选 择 两 个 不 同 的 密 码 管 理 器   - -   一 个 集 成 在 浏 览 器 中 用 来 保 存 网 站 密 码 ， 一 个 作 为 独 立 运 行 的 应 用 。 后 者 可 用 于 存 储 高 风 险 凭 证 如   r o o t   密 码 、 数 据 库 密 码 、 其 它   s h e l l   账 户 凭 证 等 。 这 样 的 工 具 在 团 队 成 员 间 共 享 超 级 用 户 的 凭 据 方 面 特 别 有 用 （ 服 务 器   r o o t   密 码 、 I L O 密 码 、 数 据 库 管 理 密 码 、 引 导 程 序 密 码 等 等 ） 。 这 几 个 工 具 可 以 帮 助 你 ： K e e P a s s X ， 在 第 2 版 中 改 进 了 团 队 共 享 P a s s ， 它 使 用 了 文 本 文 件 和   P G P ， 并 与   g i t   结 合 D j a n g o - P s t o r e ， 它 使 用   G P G   在 管 理 员 之 间 共 享 凭 据 H i e r a - E y a m l ， 如 果 你 已 经 在 你 的 平 台 中 使 用 了   P u p p e t ， 在 你 的   H i e r a   加 密 数 据 的 一 部 分 里 面 ， 可 以 便 捷 的 追 踪 你 的 服 务 器 / 服 务 凭 证 。 加 固   S S H   与   P G P   的 私 钥 个 人 加 密 密 钥 ， 包 括   S S H   和   P G P   私 钥 ， 都 是 你 工 作 站 中 最 重 要 的 物 品   - -   这 是 攻 击 者 最 想 得 到 的 东 西 ， 这 可 以 让 他 们 进 一 步 攻 击 你 的 平 台 或 在 其 它 管 理 员 面 前 冒 充 你 。 你 应 该 采 取 额 外 的 步 骤 ， 确 保 你 的 私 钥 免 遭 盗 窃 。 检 查 清 单 检 查 清 单 [   ]   用 来 保 护 私 钥 的 强 壮 密 码   ( 关 键 ) [   ]   P G P   的 主 密 码 保 存 在 移 动 存 储 中   ( 中 等 ) [   ]   用 于 身 份 验 证 、 签 名 和 加 密 的 子 密 码 存 储 在 智 能 卡 设 备   ( 中 等 ) [   ]   S S H   配 置 为 以   P G P   认 证 密 钥 作 为   s s h   私 钥   ( 中 等 )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理