Linux体系不管在功用上、价格上或性能上都有许多长处，可是，作为开放式操作体系，它不可避免地存在一些安全风险。关于怎么处理这些风险，为运用供给一个安全的操作渠道，本文会告知你一些最基本、最常用，一起也是最有用的招数。
Linux是一品种Unix的操作体系。从理论上讲，Unix自身的规划并没有什么严重的安全缺点。多年来，绝大多数在Unix操作体系上发现的安 全问题首要存在于单个程序中，所以大部分Unix厂商都声称有才干处理这些问题，供给安全的Unix操作体系。但Linux有些不同，因为它不归于某一家 厂商，没有厂商声称对它供给安全保证，因而用户只需自己处理安全问题。
Linux是一个开放式体系，能够在网络上找到许多现成的程序和东西，这既方便了用户，也方便了黑客，因为他们也能很简单地找到程序和东西来潜入 Linux体系，或许盗取Linux体系上的重要信息。不过，只需咱们细心地设定Linux的各种体系功用，并且加上必要的安全措施，就能让黑客们无机可乘。
一般来说，对Linux体系的安全设定包含撤销不必要的服务、约束长途存取、躲藏重要材料、修补安全缝隙、选用安全东西以及常常性的安全查看等。本文教你十种进步Linux体系安全性的招数。尽管招数不大，但招招见效，你不妨一试。
第1招：撤销不必要的服务
前期的Unix版别中，每一个不同的网络服务都有一个服务程序在后台运转，后来的版别用一致的/etc/inetd服务器程序担此重任。 Inetd是Internetdaemon的缩写，它一起监督多个网络端口，一旦接纳到外界传来的衔接信息，就履行相应的TCP或UDP网络服务。
因为受inetd的一致指挥，因而Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以撤销不必要服务的第一步便是查看/etc/inetd.conf文件，在不要的服务前加上“#”号。
一般来说，除了http、smtp、telnet和ftp之外，其他服务都应该撤销，比如简略文件传输协议tftp、网络邮件存储及接纳所用的imap/ipop传输协议、寻觅和查找材料用的gopher以及用于时刻同步的daytime和TIme等。
还有一些陈述体系状况的服务，如finger、efinger、systat和netstat等，尽管对体系查错和寻觅用户十分有用，但也给黑客提 供了方便之门。例如，黑客能够运用finger服务查找用户的电话、运用目录以及其他重要信息。因而，许多Linux体系将这些服务悉数撤销或部分撤销， 以增强体系的安全性。
Inetd除了运用/etc/inetd.conf设置体系服务项之外，还运用/etc/services文件查找各项服务所运用的端口。因而，用户有必要细心查看该文件中各端口的设定，避免有安全上的缝隙。
在Linux中有两种不同的服务型态：一种是仅在有需求时才履行的服务，如finger服务;另一种是一直在履行的永不中止的服务。这类服务在体系启动时就开端履行，因而不能靠修正inetd来中止其服务，而只能从修正/etc/rc.d/rc[n].d/文件或用 Run level editor去修正它。供给文件服务的NFS服务器和供给NNTP新闻服务的news都归于这类服务，假如没有必要，最好撤销这些服务。
第2招：约束体系的收支
在进入Linux体系之前，一切用户都需求登录，也便是说，用户需求输入用户账号和暗码，只需它们通过体系验证之后，用户才干进入体系。与其他 Unix操作体系相同，Linux一般将暗码加密之后，存放在/etc/passwd文件中。Linux体系上的一切用户都能够读到/etc /passwd文件，尽管文件中保存的暗码现已通过加密，但仍然不太安全。因为一般的用户能够运用现成的暗码破译东西，以穷举法猜测出暗码。比较安全的办法是设定影子文件/etc/shadow，只答应有特别权限的用户阅览该文件。
在Linux体系中，假如要选用影子文件，有必要将一切的共用程序从头编译，才干支撑影子文件。这种办法比较费事，比较简洁的办法是选用刺进式验证模 块(PAM)。许多Linux体系都带有Linux的东西程序PAM，它是一种身份验证机制，能够用来动态地改动身份验证的办法和要求，而不要求从头编译 其他共用程序。这是因为PAM选用关闭包的办法，将一切与身份验证有关的逻辑悉数躲藏在模块内，因而它是选用影子档案的最佳辅佐。
此外，PAM还有许多安全功用：它能够将传统的DES加密办法改写为其他功用更强的加密办法，以保证用户暗码不会容易地遭人破译;它能够设定每个用 户运用电脑资源的上限;它乃至能够设定用户的上机时刻和地址。Linux体系办理人员只需花费几小时去装置和设定PAM，就能大大进步Linux体系的安 全性，把许多进犯阻挠在体系之外。
第3招：坚持最新的体系中心
因为Linux流通渠道许多，并且常常有更新的程序和体系补丁呈现，因而，为了加强体系安全，必定要常常更新体系内核。Kernel是 Linux操作体系的中心，它常驻内存，用于加载操作体系的其他部分，并完结操作体系的基本功用。因为Kernel操控计算机和网络的各种功用，因而，它的安全性对整个体系安全至关重要。
前期的Kernel版别存在许多众所周知的安全缝隙，并且也不太安稳，只需2.0.x以上的版别才比较安稳和安全，新版别的运转功率也有很大改观。 在设定Kernel的功用时，只挑选必要的功用，千万不要一切功用照单全收，不然会使Kernel变得很大，既占用体系资源，也给黑客留下待机而动。在 Internet上常常有最新的安全修补程序，Linux体系办理员应该消息灵通，常常光临安全新闻组，查阅新的修补程序。
第4招：查看登录暗码
设定登录暗码是一项十分重要的安全措施，假如用户的暗码设定不合适，就很简单被破译，尤其是具有超级用户运用权限的用户，假如没有杰出的暗码，将给体系形成很大的安全缝隙。
在多用户体系中，假如逼迫每个用户挑选不易猜出的暗码，将大大进步体系的安全性。但假如passwd程序无法逼迫每个上机用户运用恰当的暗码，要保证暗码的安全度，就只能依托暗码破解程序了。
实际上，暗码破解程序是黑客东西箱中的一种东西，它将常用的暗码或许是英文字典中一切或许用来作暗码的字都用程序加密成暗码字，然后将其与 Linux体系的/etc/passwd暗码文件或/etc/shadow影子文件相比较，假如发现有符合的暗码，就能够求得明码了。
在网络上能够找到许多暗码破解程序，比较有名的程序是crack.用户能够自己先履行暗码破解程序，找出简单被黑客破解的暗码，先行改正总比被黑客破解要有利。
第5招：设定用户账号的安全等级
除暗码之外，用户账号也有安全等级，这是因为在Linux上每个账号能够被赋予不同的权限，因而在树立一个新用户ID时，体系办理员应该根据需求赋予该账号不同的权限，并且归并到不同的用户组中。
在Linux体系上的tcpd中，能够设定答应上机和不答应上机人员的名单。其间，答应上机人员名单在/etc/hosts.allow中设置，不 答应上机人员名单在/etc/hosts.deny中设置。设置完结之后，需求从头启动inetd程序才会收效。此外，Linux将主动把答应进入或不允 许进入的成果记载到/rar/log/secure文件中，体系办理员能够据此查出可疑的进入记载。每个账号ID应该有专人担任。在企业中，假如担任某个 ID的职工离任，办理员应立即从体系中删去该账号。许多侵略事情都是借用了那些好久不必的账号。
在用户账号之中，黑客最喜欢具有root权限的账号，这种超级用户有权修正或删去各种体系设置，能够在体系中畅行无阻。因而，在给任何账号赋予root权限之前，都有必要细心考虑。
Linux体系中的/etc/securetty文件包含了一组能够以root账号登录的终端机称号。例如，在RedHatLinux体系中，该文 件的初始值仅答应本地虚拟操控台(rtys)以root权限登录，而不答应长途用户以root权限登录。最好不要修正该文件，假如必定要从长途登录为 root权限，最好是先以一般账号登录，然后运用su指令晋级为超级用户。
第6招：消除黑客违法的温床
在Unix体系中，有一系列r字头的共用程序，它们是黑客用以侵略的兵器，十分风险，因而绝对不要将root账号开放给这些共用程序。因为这些共用程序都是用。rhosts文件或许hosts.equiv文件核准进入的，因而必定要保证root账号不包含在这些文件之内。
因为r字头指令是黑客们的温床，因而许多安全东西都是针对这一安全缝隙而规划的。例如，PAM东西就能够用来将r字头共用程序的功力废掉，它在 /etc/pam.d/rlogin文件中加上登录有必要先核准的指令，使整个体系的用户都不能运用自己home目录下的。rhosts文件。
第7招：增强安全防护东西
SSH是安全套接层的简称，它是能够安全地用来替代rlogin、rsh和rcp等共用程序的一套程序组。SSH选用公开密钥技能对网络上两台主机之间的通讯信息加密，并且用其密钥充任身份验证的东西。
因为SSH将网络上的信息加密，因而它能够用来安全地登录到长途主机上，并且在两台主机之间安全地传送信息。实际上，SSH不只能够保证Linux主机之间的安全通讯，Windows用户也能够通过SSH安全地衔接到Linux服务器上。
第8招：约束超级用户的权利
咱们在前面说到，root是Linux保护的要点，因为它权利无限，因而最好不要容易将超级用户授权出去。可是，有些程序的装置和保护作业有必要要求有超级用户的权限，在这种情况下，能够运用其他东西让这类用户有部分超级用户的权限。Sudo便是这样的东西。
Sudo程序答应一般用户通过组态设定后，以用户自己的暗码再登录一次，获得超级用户的权限，但只能履行有限的几个指令。例如，运用sudo 后，能够让办理磁带备份的办理人员每天准时登录到体系中，获得超级用户权限去履行文档备份作业，但却没有特权去作其他只需超级用户才干作的作业。Sudo 不光约束了用户的权限，并且还将每，期望以上的进步Linux体系安全性的招数对我们有用。
