随着开源系统Linux的盛行，其在大中型企业的应用也在逐渐普及，很多企业的应用服务都是构筑在其之上，例如Web服务、数据库服务、集群服务等。因此，Linux的安全性就成为了企业构筑安全应用的一个基础，是重中之重，如何对其进行安全防护是企业需要解决的一个基础性问题，基于此，本文将给出十大企业级Linux服务器安全防护的要点。

　　1、强化：密码管理

　　设定登录密码是一项非常重要的安全措施，如果用户的密码设定不合适，就很容易被破译，尤其是拥有超级用户使用权限的用户，如果没有良好的密码，将给系统造成很大的安全漏洞。

　　目前密码破解程序大多采用字典攻击以及暴力攻击手段，而其中用户密码设定不当，则极易受到字典攻击的威胁。很多用户喜欢用自己的英文名、生日或者账户等信息来设定密码，这样，黑客可能通过字典攻击或者是社会工程的手段来破解密码。所以建议用户在设定密码的过程中，应尽量使用非字典中出现的组合字符，并且采用数字与字符相结合、大小写相结合的密码设置方式，增加密码被黑客破解的难度。而且，也可以使用定期修改密码、使密码定期作废的方式，来保护自己的登录密码。

　　在多用户系统中，如果强迫每个用户选择不易猜出的密码，将大大提高系统的安全性。但如果passwd程序无法强迫每个上机用户使用恰当的密码，要确保密码的安全度，就只能依靠密码破解程序了。实际上，密码破解程序是黑客工具箱中的一种工具，它将常用的密码或者是英文字典中所有可能用来作密码的字都用程序加密成密码字，然后将其与Linux系统的/etc/passwd密码文件或/etc/shadow影子文件相比较，如果发现有吻合的密码，就可以求得明码。网络上可以找到很多密码破解程序，比较有名的程序是crack和john the ripper。用户可以自己先执行密码破解程序，找出容易被黑客破解的密码，先行改正总比被黑客破解要有利。

　　2、限定：网络服务管理

　　早期的Linux版本中，每一个不同的网络服务都有一个服务程序（守护进程，Daemon）在后台运行，后来的版本用统一的/etc/inetd服务器程序担此重任。Inetd是Internet daemon的缩写，它同时监视多个网络的端口，一旦接收到外界传来的连接信息，就执行相应的TCP或UDP网络服务。由于受inetd的统一指挥，因此Linux 中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检查/etc/inetd.conf文件，在不要的服务前加上“#”号。

　　一般来说，除了http、smtp、telnet和ftp之外，其他服务都应该取消，诸如简单文件传输协议tftp、网络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和time 等。还有一些报告系统状态的服务，如finger、efinger、systat和netstat等，虽然对系统查错和寻找用户非常有用，但也给黑客提供了方便之门。例如，黑客可以利用finger服务查找用户的电话、使用目录以及其他重要信息。因此，很多Linux系统将这些服务全部取消或部分取消，以增强系统的安全性。Inetd除了利用/etc/inetd.conf设置系统服务项之外，还利用/etc/services文件查找各项服务所使用的端口。因此，用户必须仔细检查该文件中各端口的设定，以免有安全上的漏洞。

　　在后继的Linux版本中(比如Red Hat Linux 7.2之后)，取而代之的是采用xinetd进行网络服务的管理。

　　当然，具体取消哪些服务不能一概而论，需要根据实际的应用情况来定，但是系统管理员需要做到心中有数，因为一旦系统出现安全问题，才能做到有步骤、有条不紊地进行查漏和补救工作，这点比较重要。

　　3、严格审计：系统登录用户管理

　　在进入Linux系统之前，所有用户都需要登录，也就是说，用户需要输入用户账号和密码，只有它们通过系统验证之后，用户才能进入系统。

　　与其他Unix操作系统一样，Linux一般将密码加密之后，存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件，虽然文件中保存的密码已经经过加密，但仍然不太安全。因为一般的用户可以利用现成的密码破译工具，以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅读该文件。

　　在Linux系统中，如果要采用影子文件，必须将所有的公用程序重新编译，才能支持影子文件。这种方法比较麻烦，比较简便的方法是采用插入式验证模块（PAM）。很多Linux系统都带有Linux的工具程序PAM，它是一种身份验证机制，可以用来动态地改变身份验证的方法和要求，而不要求重新编译其他公用程序。这是因为PAM采用封闭的方式，将所有与身份验证有关的逻辑全部隐藏在模块内，因此它是采用影子档案的最佳帮手。

　　此外，PAM还有很多安全功能：它可以将传统的DES加密方法改写为其他功能更强的加密方法，以确保用户密码不会轻易地遭人破译；它可以设定每个用户使用电脑资源的上限；它甚至可以设定用户上机时间和地点。

　　Linux系统管理人员只需花费几小时去安装和设定PAM，就能大大提高Linux系统的安全性，把很多攻击阻挡在系统之外。

　　4、设定：用户账号安全等级管理

　　除密码之外，用户账号也有安全等级，这是因为在Linux上每个账号可以被赋予不同的权限，因此在建立一个新用户ID时，系统管理员应该根据需要赋予该账号不同的权限，并且归并到不同的用户组中。

　　在Linux系统中的部分文件中，可以设定允许上机和不允许上机人员的名单。其中，允许上机人员名单在/etc/hosts.allow中设置，不允许上机人员名单在/etc/hosts.deny中设置。此外，Linux将自动把允许进入或不允许进入的结果记录到/var/log/secure文件中，系统管理员可以据此查出可疑的进入记录。

　　每个账号ID应该有专人负责。在企业中如果负责某个ID的职员离职，管理员应立即从系统中删除该账号。很多入侵事件都是借用了那些很久不用的账号。

　　在用户账号之中，黑客最喜欢具有root权限的账号，这种超级用户有权修改或删除各种系统设置，可以在系统中畅行无阻。因此，在给任何账号赋予root权限之前，都必须仔细考虑。

　　Linux系统中的/etc/securetty文件包含了一组能够以root账号登录的终端机名称。例如，在Red Hat Linux系统中，该文件的初始值仅允许本地虚拟控制台（rtys）以root权限登录，而不允许远程用户以root权限登录。最好不要修改该文件，如果一定要从远程登录为root权限，最好是先以普通账号登录，然后利用su命令升级为超级用户。

　　5、谨慎使用：“r系列”远程程序管理

　　在Linux系统中有一系列r字头的公用程序，比如rlogin，rcp等等。它们非常容易被黑客用来入侵我们的系统，因而非常危险，因此绝对不要将root账号开放给这些公用程序。由于这些公用程序都是用.rhosts文件或者hosts.equiv文件核准进入的，因此一定要确保root账号不包括在这些文件之内。

　　由于r等远程指令是黑客们用来攻击系统的较好途径，因此很多安全工具都是针对这一安全漏洞设计的。例如，PAM工具就可以用来将r字头公用程序有效地禁止掉，它在/etc/pam.d/rlogin文件中加上登录必须先核准的指令，使整个系统的用户都不能使用自己home目录下的.rhosts文件。

　　6、限制：root用户权限管理

　　Root一直是Linux保护的重点，由于它权力无限，因此最好不要轻易将超级用户授权出去。但是，有些程序的安装和维护工作必须要求有超级用户的权限，在这种情况下，可以利用其他工具让这类用户有部分超级用户的权限。sudo就是这样的工具。

　　sudo程序允许一般用户经过组态设定后，以用户自己的密码再登录一次，取得超级用户的权限，但只能执行有限的几个指令。例如，应用sudo后，可以让管理磁带备份的管理人员每天按时登录到系统中，取得超级用户权限去执行文档备份工作，但却没有特权去作其他只有超级用户才能作的工作。

　　sudo不但限制了用户的权限，而且还将每次使用sudo所执行的指令记录下来，不管该指令的执行是成功还是失败。在大型企业中，有时候有许多人同时管理Linux系统的各个不同部分，每个管理人员都有用sudo授权给某些用户超级用户权限的能力，从sudo的日志中，可以追踪到谁做了什么以及改动了系统的哪些部分。

　　值得注意的是，sudo并不能限制所有的用户行为，尤其是当某些简单的指令没有设置限定时，就有可能被黑客滥用。例如，一般用来显示文件内容的/etc/cat指令，如果有了超级用户的权限，黑客就可以用它修改或删除一些重要的文件。

　　7、追踪黑客踪迹：日志管理

　　当用户仔细设定了各种与Linux相关的配置（最常用日志管理选项），并且安装了必要的安全防护工具之后，Linux操作系统的安全性的确大为提高，但是却并不能保证防止那些比较熟练的网络黑客的入侵。

　　在平时，网络管理人员要经常提高警惕，随时注意各种可疑状况，并且按时检查各种系统日志文件，包括一般信息日志、网络连接日志、文件传输日志以及用户登录日志等。在检查这些日志时，要注意是否有不合常理的时间记载。例如：

　　正常用户在半夜三更登录；

　　不正常的日志记录，比如日志只记录了一半就切断了，或者整个日志文件被删除了；

　　用户从陌生的网址进入系统；

　　因密码错误或用户账号错误被摈弃在外的日志记录，尤其是那些一再连续尝试进入失败，但却有一定模式的试错法；

　　非法使用或不正当使用超级用户权限su的指令；

　　重新开机或重新启动各项服务的记录。

　　上述这些问题都需要系统管理员随时留意系统登录的用户状况以及查看相应日志文件，许多背离正常行为的蛛丝马迹都应当引起高度注意。

　　8、横向扩展：综合防御管理

　　防火墙、IDS等防护技术已经成功地应用到网络安全的各个领域，而且都有非常成熟的产品。

　　在Linux系统来说，有一个自带的Netfilter/Iptables防火墙框架，通过合理地配置其也能起到主机防火墙的功效。在Linux系统中也有相应的轻量级的网络入侵检测系统Snort以及主机入侵检测系统LIDS（Linux Intrusion Detection System），使用它们可以快速、高效地进行防护。

　　需要提醒注意的是：在大多数的应用情境下，我们需要综合使用这两项技术，因为防火墙相当于安全防护的第一层，它仅仅通过简单地比较IP地址/端口对来过滤网络流量，而IDS更加具体，它需要通过具体的数据包（部分或者全部）来过滤网络流量，是安全防护的第二层。综合使用它们，能够做到互补，并且发挥各自的优势，最终实现综合防御。

　　9、评测：漏洞追踪及管理

　　Linux作为一种优秀的开源软件，其自身的发展也日新月异，同时，其存在的问题也会在日后的应用中慢慢暴露出来。黑客对新技术的关注从一定程度上来说要高于我们防护人员，所以要想在网络攻防的战争中处于有利地位，保护Linux系统的安全，就要求我们要保持高度的警惕性和对新技术的高度关注。用户特别是使用Linux作为关键业务系统的系统管理员们，需要通过Linux的一些权威网站和论坛上尽快地获取有关该系统的一些新技术以及一些新的系统漏洞信息，进行漏洞扫描、渗透测试等系统化的相关配套工作，做到防范于未然，提早行动，在漏洞出现后甚至是出现前的最短时间内封堵系统的漏洞，并且在实践中不断地提高安全防护的技能，这样才是一个比较的解决办法和出路。

　　10、保持更新：补丁管理

　　Linux作为一种优秀的开源软件，其稳定性、安全性和可用性有极为可靠的保证，世界上的Linux高手共同维护着个优秀的产品，因而起流通渠道很多，而且经常有更新的程序和系统补丁出现，因此，为了加强系统安全，一定要经常更新系统内核。

　　Kernel是Linux操作系统的核心，它常驻内存，用于加载操作系统的其他部分，并实现操作系统的基本功能。由于Kernel控制计算机和网络的各种功能，因此，它的安全性对整个系统安全至关重要。早期的Kernel版本存在许多众所周知的安全漏洞，而且也不太稳定，只有2.0.x以上的版本才比较稳定和安全（一般说来，内核版本号为偶数的相对稳定，而为奇数的则一般为测试版本，用户们使用时要多留意），新版本的运行效率也有很大改观。在设定Kernel的功能时，只选择必要的功能，千万不要所有功能照单全收，否则会使Kernel变得很大，既占用系统资源，也给黑客留下可乘之机。

　　现在无线wifi网络已经随处可见，极大的方便了大家的移动设备上网，省去了网线的烦恼。而无线网卡和无线路由器是组成wifi网络的最重要的两个东西，在遇到无线网卡连接失败的时候，不要急躁，下面给大家总结无线网卡连接失败的七大原因和对应的解决办法。实际上遇到的故障状况可能远不止上面这7种，比如说路由器设置错误和硬件故障引起的问题就很多，在实际的工作和生活中多学习，都能找到相应的对策的。

　　无线网卡连接失败原因一：连接点或密码错误

　　连接点或密码都设置在自己的路由器中，一般密码错误都会有错误提示，但是也有可能程序出错导致没有错误提示，而这时就必须先确定自己的无线SSID和密码一定没有错。

　　解决办法：拔下无线网卡，卸载驱动程序，用工具清理全部的程序垃圾和注册表垃圾，重启电脑，再次插上无线网卡重新安装驱动即可。如果还是不行可以考虑将网卡安装在另外一台电脑使用，以此来保证网卡和驱动的可用性。

　　无线网卡连接失败原因二：辐射不足

　　即使没有其他的干扰设备，也有可能是Wi-Fi网络本身的辐射覆盖不够，导致无线网络不稳定。大家知道Wi-Fi网络的链接状况与终端同AP的距离息息相关。

　　解决办法：尽量减少影响链接的金属障碍物，或者缩短与AP的距离。更可行的办法是，考虑安装天线，以获得更好的无线传输效果。

　　无线网卡连接失败原因三：软件不兼容

　　如果电脑从一开始，就没有链接上无线网络，那么很有可能是你的电脑上安装运行着不兼容的软件。这些软件包括有操作系统补丁、操作系统服务组件或者其他会影响到系统网络的软件。

　　解决办法：每次升级或者安装软件的时候做好记录，并且卸载掉不兼容的软件，或者干脆进行系统还原。

　　无线网卡连接失败原因四：链接到错误网络

　　如果在你使用的无线网络环境中，有2个同一网络名称的Wi-Fi网络，那么你很可能会链接到错误的网络，并影响到你正常上网。这种情况，往往会出现信号互相干扰或者辐射范围不够的结果。此外，如果另一个网络关闭时，也会影响到你电脑上网。

　　无线网卡连接失败原因五：路由器（接入点）负荷过重

　　以前就有人反映，说路由器或者接入点的负荷过重会影响到无线上网的速度和质量。造成路由器负荷过重的原因主要有：在线游戏、BT下载或者连接网络的电脑数量过多等等。理论上讲，大批量数据传输一般都会导致路由器暂时性掉线。另外，如果路由器的温度过高，它也会出现掉线的可能。

　　解决办法：安装路由器的地方，要具有良好的通风环境。如果路由器不适合你使用的情况（比如要求有较高的数据传输能力），可以考虑更换路由器。

　　无线网卡连接失败原因六：无线电干扰

　　无线电可能来自众多消费类电子产品，比如无绳电话、蓝牙耳机、微波炉甚至是电动车库门等等，都有可能会干扰到Wi-Fi无线信号的正常工作。

　　解决办法：移开或者远离这些设备，如果无线信号重新恢复或者变强，则可以说明找到了问题根源所在。

　　无线网卡连接失败原因七：网络驱动程序或者固件没有及时升级

　　每台链接到Wi-Fi网络的计算机，都要利用其内置的网络模块和相关驱动才能实现无线上网。驱动程序影响着Wi-Fi硬件的各种功能的发挥。另外，无线路由器和负责接入的固件也同驱动程序一样，影响着无线上网功能。

　　解决办法：卸载过时的驱动程序和固件，才官方网站中下载安装对应无线模块组件的最新版本驱动程序。

　　在过去的20多年里，攻与防的较量始终没有停息，信息终端所面临的风险也从单纯病毒破坏发展到木马、间谍软件等带有明确的利益驱动的行为。而APT（Advanced Persistent Threat，高级可持续性威胁）攻击作为目前攻击类型中最高端的攻击模式，以及在全球多个国家的政府和企业中发生的众多攻击实例被频繁讨论。

　　“APT是结合了包括钓鱼攻击、木马攻击、恶意软件攻击等多种攻击的高端攻击模式。原来的APT攻击主要是以军事、政府和比较关键性的基础设施为目标，而现在已经更多的转向商用和民用领域的攻击。它的目标不仅仅是得到情报，而是通过攻击来获利。”EMC信息安全事业部RSA产品管理经理Israel Aloni在接受ZDNet记者采访时表示。

　　APT以人为目标寻找攻击薄弱点

　　在解释APT典型的攻击步骤时，Aloni告诉记者，攻击者首先找出它们所需要的访问权限的个人，然后发送伪造的带有恶意链接或附件的电子邮件，感染特定的、高价值员工的机器。一旦进入，攻击者映射出公司的IT 环境以确定战略资产、特权节点和具备更多有用权限的员工。随后攻击者通过其他钓鱼方式或通过解密系统管理员的凭证来提升权限，接着安装恶意软件来劫持系统，创建后门，建立“后背连接”功能与指挥和控制服务器通讯。最后，攻击者激活指挥和控制设施窃取、加密、压缩和传输信息。

　　Aloni列举了几个APT攻击案例，某国际航天集团的员工在企业中的信息被黑客攻陷。通过链入社交网站，发现这个人的相关信息，再给他发送长矛式钓鱼邮件，进入他的信息系统。利用这个记录点，进入企业系统，发现企业系统的零日漏洞，利用漏洞使机器感染恶意软件，而这些恶意软件可以发现企业内部到底哪里会有重要的数字资产。借此进入运营中心，攻击者持续对其他员工和网络进行攻击，最终发现获取最有价值的数据。

　　在以色列的反网络欺诈中心发现，有些黑客攻击了股票交易所。但其目的并不是要做股票交易，而是通过APT攻击了解贸易双方进行交易的人，通过长矛钓鱼攻击，从而获取更有价值的信息。实际上攻击者不仅仅是想获得财务回报，还想得到知识产权、客户数据库等等，这些他都认为是高价值的资产。

　　所以，从APT典型的攻击步骤和几个案例来看，APT不再像传统的攻击方式找企业的漏洞，而是从人开始找薄弱点。APT的攻击是针对一些高价值的信息，利用所有的网络攻击模式，持续瞄准目标以达到目的。Aloni指出，由于APT攻击以人为目标，它的攻击模式发生重大转变。以往防病毒、防入侵检测主要目的是监测系统，它对应对新型攻击的作用有待商榷，要采用新的安全策略予以应对。

　　从发现、大数据分析到响应形成闭环系统

　　因为APT攻击以找到企业最薄弱的环节——人为跳板，所以企业需要教育员工，告诉员工不要随意打开你不熟悉的软件或者做违背公司规定的操作。Aloni强调，但企业自身的防范系统最重要。

　　根据历史数据，大部分APT都是未被发现的，只有10%是被企业发现的，而90%是被外人告知的。所以企业首先要通过更加智能的工具及时发现这种攻击，提升发现APT攻击的能力。

　　其次，企业需要对大数据进行分析，以强大的调查平台，在大量的数据中发现蛛丝马迹。通过数据分析引擎，对工作流程进行相关数据的关联性分析。Aloni指出，以前的问题在于所有的信息都分布在企业不同的地方，对于调查取证非常困难，所以很难发现这样的攻击。而系统如果可以快速搜集这些信息，进行关联性分析就能很快发现这种攻击。同时这套系统还要具备智能性，了解员工的行为信息，这是一种对使用情景的识别，围绕流程或者行为，把这些信息收集起来进行识别。同时，还需要对外部、第三方提供的攻击代码模式智能感知。

　　“目常见。”

　　在身份认证的层面上，要以风险为导向，因为原来的静态密码已经不能保护单一用户了，企业系统要更加智能化才能应对当前这种攻击。系统除了能做控制，还要能去发现不太正常的状态。大数据需要一个中控系统把所有内部的、外部的信息收集起来进行分析，所有传统意义上的边界安全已经不能起到作用。

　　最后，除了前端的发现工具、分析工具外，要通过控制层进行快速响应。过去这种系统都是孤岛型的，控制层和管理层都是隔离的，很难做到快速响应。随着虚拟化和大量移动终端接入和云计算的普及，必须要形成闭环智能信息安全系统。

　　RSA针对APT攻击有一套信息安全管理中心的解决方案，其主要的特点就是把一些大数据收集起来，进行分析、检测、监控。Aloni表示，RSA第一次把这些变成整体的系统，因为原来做身份认证的只是身份认证，做日志管理的也只是日志管理。如今把控制点的信息都加起来，让每个层面都变得智能、敏捷并进行协作。

　　在这套流程里，一边有日志全采集，一边有网络监控，把所有的东西放到一个统一的监控平台上，就相当于建立了全自动化的响应系统。可以为决策提供快速支持，相当于一个智能系统，而不是用分散的信息进行独立的分析。Aloni进一步说到，其实这种智能有时候不光是企业内部系统产生的，如果有第三方类似经验或类似攻击模式的分享，就可以在系统中了解哪些是恶意软件或APT攻击，从而快速建立起防御。他同时强调，RSA的安全产品一个非常重要的功能就是Netwitness网络监控可以回放，就像摄像头一样。发现不正常的情况后，可以把场景进行回放，了解攻击的去向。原来边界安全的做法是，如果受到攻击只要关闭端口就可以了。而APT可能潜伏一周、一个月、一年甚至更长的时间，所以必须要有网络回放，从而增强监控能力。最后，从发现到响应形成闭环系统。