不久前，我以极大的耐性下载了最新的内核版别，那但是经过拨入衔接完结的。在整个下载的进程中，我巴望有一天在家里就能运用高速的Internet衔接。xDSL和线缆猫的到来使其成为可能，但这并不包含价格要素。
在我写此文章的一起，在国际的某个当地，或许正有一个人在他家里的核算机上第一次装置发布的Linux.一个新的Linux 的办理员经过为其家人和朋友设置帐户来使体系作业起来。或许在初度装置完结后的不长时间里，这个Linux 体系就会以令人感激涕零的高速DSL 接入Internet.
仍是简单被进犯
今日几近一切可用的linux 发布在安全方面存在缝隙，其间的大都缝隙是很简单被攻入的，但不幸的是依常规和习气做法，他们是敞开的。典型装置的Linux初度发动时就供给了多种多样的可被进犯的服务，比如SHELL ，IMAP和POP3. 这些服务常常会被游手好闲的网民按其需求用来作为体系打破的切入点，这不仅是Linux 的限制——饱经沧桑的商业UNIX也供给此类服务，并且也会被打破。
不必诉苦和责备，新体系的确认(巩固体系的专业说法)是非常重要的。信不信由你，一个Linux 体系的巩固进程是不需求过多的体系安全专门知识。实际上，你能够在5 分钟之内就能够将百分之九十的不行靠要素屏蔽掉。
开端吧
在开端巩固体系前，要问清自己你的机器担任的人物和用来接入Internet的舒适度。要细心确认你要对整个国际范围供给的服务，假如你还不能确认，最好什么也不要做。清晰自己的安全策略是非常重要的。要决议你自己的体系上哪些运用是可承受的而哪些是不行承受的。
本文中典范机器的方针是作为作业站用来收发mail，阅览新闻，阅读网页等等。
建立网络服务安全
首要，以超级用户(root)登入体系，用netstat 指令(这是大都Linux 体系标配的网络工具)检查一下当时的网络状况，输出的成果比如是：
root@percy / ]# netstat -a
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 *:imap2 *:* LISTEN
tcp 0 0 *:pop-3 *:* LISTEN
tcp 0 0 *:linuxconf *:* LISTEN
tcp 0 0 *:auth *:* LISTEN
tcp 0 0 *:finger *:* LISTEN
tcp 0 0 *:login *:* LISTEN
tcp 0 0 *:shell *:* LISTEN
tcp 0 0 *:telnet *:* LISTEN
tcp 0 0 *:ftp *:* LISTEN
tcp 0 0 *:6000 *:* LISTEN
udp 0 0 *:ntalk *:*
udp 0 0 *:talk *:*
udp 0 0 *:xdmcp *:*
raw 0 0 *:icmp *:* 7
raw 0 0 *:tcp *:* 7
如你所见到的输出成果，开始的装置对必定数量的服务并未侦听，而这些服务的大大都便是费事的制造者，在配置文件/etc/inetd.conf中就能够行使制止。
用你喜爱的文本编辑器翻开这个文件，刊出你不想供给的服务，这只需在包含服务内容的行前面增加一个“#”，在本例中一切的服务都被刊出了，当然，假如你决议要供给这些服务中的某几个，那由你自己来决议。
现在，重新发动 inetd 来使这些改动的内容起作用，这依据体系的不同会有多种办法，一个比如是： killall -HUP inetd,依窍门，重新用netstat检查敞开的socket并留意产生的改变。接下来，检查还有哪些进程在运转。一般会看到sendmail、lpd和snmd 在等候接入的恳求。因而机器不对此类的任何恳求供给服务，所以他们应当停止运转。
一般，这些服务是由体系初始化脚本发动，脚本会因发布的不同而异，一般能够在/etc/init.d 或 /etc/rc.d中找到。假如你还不能确认，请参照你所用发布的文档。方针是在体系发动时制止脚本发动这些服务。
假如你的Linux发布运用的是打包的体系，花点时间移掉你不需的服务。在此典范机器中，包含了sendmail和r字头的服务进程(rwho、rwall等)，lpd、ucd-snmp和apache。这是保证此类服务不会因意外而激活的最简捷的途径。
X巩固手法
近来大都的发布都支撑机器初度发动时就登陆进入X窗口例如xdm进行办理，不幸的是，这也是首要的进犯点。默许办法下，机器答应任何主机恳求登陆窗口，即便此机器只是只要一个用户直接从控制台登陆，这种特性亦需屏蔽。
配置文件会赖于你所运用的登陆办理器而改变。本机选用xdm,故而/usr/X11R6/lib/X11/Xaccess文件需进行修正，增加一个“#”符号来阻挠发动此服务。我的Xaccess如下设置：
#* #any host can get a login window
#* #any indirect host can get a chooser
再次发动xdm时此设置有用。
软件晋级
现在一些根本的巩固办法已完结，需求不时留意发行商对发布的晋级和增强。缺少乃至没有维护会是危及体系安全的一大要素。
对敞开源代码软件的保证之一是其在不断的发展中，有许多人花费很多的时间在不停地寻觅安全方面存在的缺点。这直接导致了Linux发布不断的维护进程，常常会有晋级程序、臭虫补丁程序和安全方面的辅导出现在网页中。隔几天或几周就阅读一下发布商的网页看是否有补丁或晋级程序贴出来。
后续作业
现在，经处理过的机器比其初度装置后的安全性已提高了，但决不是对任何进犯就牢不行破了，但已不存在显着的可进犯之处了。在此列出的办法就象给你的车子或房子加了锁，一般水平的小偷就会被这类办法所不坚定，意识到这是落锁的转而寻觅其他没有加以维护的体系。
假如你确定这些办法没有供给满足的安全功能，或许你还想经过Internet供给一些网络服务，在进行之前需求花费一些时间寻觅更高档的安全技能。
但不幸的是，许多Linux的发布商假定他们的客户现已熟知这些服务并且也想运用他们。但对初始用户一般这不是现实，当然，在Linux体系的安全性彻底保证之前还有很多的未开发范畴。而这些过程便是对已知晓的体系缝隙加以最根本的安全保证。
时至今日，关于危及体系和网络安全的大都维护手法还相对较弱，而跟着Linux的盛行且高速Internet存取逐步完成的时间，涌向未经防备的Linux 体系的进犯会越来越多
