分级防御对Linux服务器的攻击

核心提示：随着Linux企业利用的扩大，有大量的网络服务器使用Linux操纵系统。Linux服务器的安全性能遭到越来越多的关注，这里根据Linux服务器遭到攻击的深度以级别情势列出，并提出不同的解决方案。

随着Linux企业利用的扩大，有大量的网络服务器使用Linux操纵系统。Linux服务器的安全性能遭到越来越多的关注，这里根据Linux服务器遭到攻击的深度以级别情势列出，并提出不同的解决方案。

对Linux服务器攻击的定义是：攻击是1种旨在妨碍、侵害、削弱、破坏Linux服务器安全的未授权行动。攻击的范围可以从服务拒尽直至完全危害和破坏Linux服务器。对Linux服务器攻击有很多种类，本文从攻击深度的角度说明，我们把攻击分为4级。

攻击级别1：服务拒尽攻击（DoS）

由于DoS攻击工具的泛滥，及所针对的协议层的缺点短时没法改变的事实，DoS也就成了流传最广、最难防范的攻击方式。

服务拒尽攻击包括散布式拒尽服务攻击、反射式散布拒尽服务攻击、DNS散布拒尽服务攻击、FTP攻击等。大多数服务拒尽攻击导致相对低级的危险，即使是那些可能导致系统重启的攻击也仅仅是暂时性的题目。这类攻击在很大程度上不同于那些想获得网络控制的攻击，1般不会对数据安全有影响，但是服务拒尽攻击会延续很长1段时间，非常难缠。

到目前为止，没有1个尽对的方法可以制止这类攻击。但这其实不表明我们就应束手就擒，除夸大个人主机加强保护不被利用的重要性外，加强对服务器的治理是非常重要的1环。1定要安装验证软件和过滤功能，检验该报文的源地址的真实地址。另外对几种服务拒尽可以采取以下措施：封闭没必要要的服务、限制同时打开的Syn半连接数目、缩短Syn半连接的time out 时间、及时更新系统补钉。

攻击级别2：本地用户获得了他们非授权的文件的读写权限

本地用户是指在本地网络的任1台机器上有口令、因此在某1驱动器上有1个目录的用户。本地用户获得到了他们非授权的文件的读写权限的题目是否是构成危险很大程度上要看被访问文件的关键性。任何本地用户随便访问临时文件目录（/tmp）都具有危险性，它能够潜伏地展设1条通向下1级别攻击的路径。

级别2的主要攻击方法是：黑客诱骗正当用户告知其机密信息或履行任务，有时黑客会假装网络治理职员向用户发送邮件，要求用户给他系统升级的密码。

由本地用户启动的攻击几近都是从远程登录开始。对Linux服务器，最好的办法是将所有shell账号放置于1个单独的机器上，也就是说，只在1台或多台分配有shell访问的服务器上接受注册。这可使日志治理、访问控制治理、开释协议和其他潜伏的安全题目治理更轻易些。还应当将寄存用户CGI的系统辨别出来。这些机器应当隔离在特定的网络区段，也就是说，根据网络的配置情况，它们应当被路由器或网络交换机包围。其拓扑结构应当确保硬件地址欺骗也不能超出这个区段。

攻击级别3：远程用户取得特权文件的读写权限

第3级别的攻击能做到的不只是核实特定文件是否是存在，而且还能读写这些文件。造成这类情况的缘由是：Linux服务器配置中出现这样1些弱点：即远程用户无需有效账号便可以够在服务器上履行有限数目的命令。

密码攻击法是第3级别中的主要攻击法，破坏密码是最多见的攻击方法。密码破解是用以描写在使用或不使用工具的情况下渗透网络、系统或资源以解锁用密码保护的资源的1个术语。用户常常忽视他们的密码，密码政策很难得到实行。黑客有多种工具可以击败技术和社会所保护的密码。主要包括：字典攻击（Dictionary attack）、混合攻击（Hybrid attack）、蛮力攻击（Brute force attack）。1旦黑客具有了用户的密码，他就有很多用户的特权。密码料想是指手工进进普通密码或通过编好程序的正本取得密码。1些用户选择简单的密码—如生日、记念日和配偶名字，却其实不遵守应使用字母、数字混合使用的规则。对黑客来讲要猜出1串8个字生日数据不用花多长时间。

防范第3级别的攻击的最好的防卫方法便是严格控制进进特权，即使用有效的密码。

◆ 主要包括密码应当遵守字母、数字、大小写（由于Linux对大小写是有辨别）混合使用的规则。

◆ 使用象“#”或“%”或“$”这样的特殊字符也会添加复杂性。例如采取“countbak”1词，在它后面添加“#$”（countbak#$），这样您就具有了1个相当有效的密码。

攻击级别4：远程用户取得根权限

第4攻击级别是指那些决不应当产生的事产生了，这是致命的攻击。表示攻击者具有Linux服务器的根、超级用户或治理员许可权，可以读、写并履行所有文件。换句话说，攻击者具有对Linux服务器的全部控制权，可以在任甚么时候刻都能够完全封闭乃至毁灭此网络。

攻击级别4主要攻击情势是TCP/IP连续偷窃，被动通道听取和信息包拦截。TCP/IP连续偷窃，被动通道听取和信息包拦截，是为进进网络搜集重要信息的方法，不像拒尽服务攻击，这些方法有更多类似偷窃的性质，比较隐蔽不容易被发现。1次成功的TCP/IP攻击能让黑客阻止两个团体之间的交易，提供中间人攻击的良好机会，然后黑客会在不被受害者留意的情况下控制1方或双方的交易。通过被动***，黑客会操纵和登记信息，把文件投递，也会从目标系统上所有可通过的通道找到可通过的致命要害。黑客会寻觅联机和密码的结合点，认出申请正当的通道。信息包拦截是指在目标系统束缚1个活跃的听者程序以拦截和更改所有的或特别的信息的地址。信息可被改送到非法系统浏览，然后不加改变地送回给黑客。

TCP/IP连续偷窃实际就是网络嗅探，留意假设您确信有人接了嗅探器到自己的网络上，可以往找1些进行验证的工具。这类工具称为时域反射计量器（Time Domain Reflectometer，TDR）。TDR对电磁波的传播和变化进行丈量。将1个TDR连接到网络上，能够检测到未授权的获得网络数据的设备。不过很多中小公司没有这类价格昂贵的工具。对防范嗅探器的攻击最好的方法是：

1、安全的拓扑结构。嗅探器只能在当前网络段上进行数据捕捉。这就意味着，将网络分段工作进行得越细，嗅探器能够搜集的信息就越少。

2、会话加密。不用特别地担心数据被嗅探，而是要想办法使得嗅探器不熟习嗅探到的数据。这类方法的优点是明显的：即使攻击者嗅探到了数据，这些数据对他也是没有用的。

特别提示：应对攻击的反击措施

对超过第2级别的攻击您就要特别留意了。由于它们可以不断的提升攻击级别，以渗透Linux服务器。此时，我们可以采取的反击措施有：

◆ 首先备份重要的企业关键数据。

◆ 改变系统中所有口令，通知用户找系统治理员得到新口令。

◆ 隔离该网络网段使攻击行动仅出现在1个小范围内。

◆ 答应行动继续进行。如有可能，不要急于把攻击者赶出系统，为下1步作豫备。

◆ 记录所有行动，搜集证据。这些证据包括：系统登录文件、利用登录文件、AAA（Authentication、Authorization、 Accounting，认证、授权、计费）登录文件，RADIUS（Remote Authentication Dial-In User Service） 登录，网络单元登录（Network Element Logs）、防火墙登录、HIDS（Host-base IDS，基于主机的进侵检测系统） 事件、NIDS（网络进侵检测系统）事件、磁盘驱动器、隐含文件等。搜集证据时要留意：在移动或拆离职何设备之前都要拍照;在调查中要遵守两人法则，在信息搜集中要最少有两个人，以避免篡改信息;应记录所采取的所有步骤和对配置设置的任何改变，要把这些记录保存在安全的地方。检查系统所有目录的存取许可，检测Permslist是否是被修改过。

◆ 进行各种尝试（使用网络的不同部份）以辨认出攻击源。

◆ 为了使用法律武器打击犯法行动，必须保存证据，而构成证据需要时间。为了做到这1点，必须忍耐攻击的冲击（固然可以制定1些安全措施来确保攻击不侵害网络）。对此情形，我们不但要采取1些法律手段，而且还要最少请1家有权威的安全公司协助禁止这类犯法。这类操纵的最重要特点就是取得犯法的证据、并查找犯法者的地址，提供所具有的日志。对所搜集到的证据，应进行有效地保存。在开始时制作两份，1个用于评估证据，另1个用于法律验证。

◆ 找到系统漏洞后想法堵住漏洞，并进行自我攻击测试。

网络安全已不单单是技术题目，而是1个社会题目。企业应当进步对网络安全重视，假设1味地只依托技术工具，那就会越来越被动;只有发挥社会和法律方面打击网络犯法，才能更加有效。我国对打击网络犯法已有了明确的司法解释，遗憾的是大多数企业只重视技术环节的作用而忽视法律、社会因素，这也是本文的写作目的。

拒尽服务攻击（DoS）

DoS即Denial Of Service，拒尽服务的缩写，可不能以为是微软的DOS操纵系统！DoS攻击即让目标机器停止提供服务或资源访问，通常是以消耗服务器端资源为目标，通过捏造超过服务器处理能力的要求数据造成服务器响应阻塞，使正常的用户要求得不到应对，以实现攻击目的。

评论加载中... 内容： 评论者： 验证码：