Linux/unix安全優(yōu)化的討論與案例分享（獲獎名單已公布）

chenyx

另外,ssh服務(wù)應(yīng)該加固,ssh協(xié)議只用協(xié)議2,采用key的方式登錄,禁止密碼登陸以及root登陸,除了key方式以外的認(rèn)證方式一律禁止.

king_819

    先來貼一個關(guān)于freebsd系統(tǒng)的內(nèi)核優(yōu)化，freebsd系統(tǒng)相對于linux類的系統(tǒng)，內(nèi)核已經(jīng)算是很簡潔了，但為了發(fā)揮它高效的性能，所以決定再對它的內(nèi)核進行精簡

一、內(nèi)核編譯

   優(yōu)化內(nèi)核，去掉不用的組件及設(shè)備驅(qū)動，以提高系統(tǒng)效率，首先使用uname -a查看本機的內(nèi)核詳細版本，使用dmesg查看

本機所有的硬件信息，并進行相應(yīng)的記錄，后續(xù)編輯內(nèi)核文件時要用到

1.安裝CVSUP:

最好在安裝時裝好cvsup;
freebsd# cd /usr/ports/net/cvsup-without-gui/
freebsd# make install clean

2.升級源碼:

freebsd# ee /usr/share/examples/cvsup/stable-supfile
把:
default host=CHANGE_THIS.FreeBSD.org
改為:
default host=cvsup.FreeBSDchina.org
src-all
freebsd# ee /usr/share/examples/cvsup/ports-supfile
把:
default host=CHANGE_THIS.FreeBSD.org
改為:
default host=cvsup.FreeBSDchina.org
freebsd# cvsup -g -L 2 /usr/share/examples/cvsup/stable-supfile
或者  csup -g -L 2 /usr/share/examples/cvsup/stable-supfile
freebsd# cvsup -g -L 2 /usr/share/examples/cvsup/ports-supfile
freebsd# cd /usr/obj
freebsd# chflags -R noschg *
freebsd# rm -rf *

3.重新編譯源碼和內(nèi)核

freebsd# cd /usr/src/sys/amd64(或i386---32位與64位，分別選擇相應(yīng)的)/conf/
freebsd# mkdir /root/kernels
freebsd# cp GENERIC /root/kernels/MYKERNEL
freebsd# cd /usr/src
freebsd# ln -s /root/kernels/MYKERNEL
freebsd# make buildworld    //編譯所有的系統(tǒng)程序
freebsd# make buildkernel KERNCONF=MYKERNEL   //編譯新的系統(tǒng)核心
freebsd# reboot
freebsd# make installkernel KERNCONF=MYKERNEL  //安裝新的系統(tǒng)核心
freebsd# make installworld   //安裝新的系統(tǒng)程序
freebsd# reboot
重啟系統(tǒng)用uname -a查看編輯后的內(nèi)核是否是自己定制的內(nèi)核；


編輯內(nèi)核文件要注意的地方
device  em    # Broadcom BCM570xx Gigabit Ethernet  //加載網(wǎng)卡,一定要慎重，特別是遠程
如果不確定網(wǎng)卡型號，可用dmesg |less 查看

如新內(nèi)核有問題，可以還的原內(nèi)核文件
mv /boot/kernel /boot/kernel.bak
mv /boot/kernel.old /boot/kernel

4、附上生產(chǎn)環(huán)境中優(yōu)化后的內(nèi)核文件：

1. cpu  I686_CPU
   
2. ident  MYKERNE
   
3. 
   
4. device          pf
   
5. device          pflog
   
6. device          pfsync
   
7. options         ALTQ
   
8. options         ALTQ_CBQ
   
9. options         ALTQ_RED
   
10. options         ALTQ_RIO
    
11. options         ALTQ_HFSC
    
12. options         ALTQ_PRIQ
    
13. options         ALTQ_NOPCC
    
14. options         SC_DISABLE_REBOOT
    
15. 
    
16. options         IPFIREWALL                           
    
17. options         IPFIREWALL_DEFAULT_TO_ACCEPT         
    
18. options         DUMMYNET                              
    
19. options         HZ=1000
    
20. 
    
21. options   IPSEC        #IP security
    
22. device    crypto
    
23. 
    
24. options  SCHED_ULE  # ULE scheduler
    
25. options  PREEMPTION  # Enable kernel thread preemption
    
26. options  INET   # InterNETworking
    
27. options  SCTP   # Stream Control Transmission Protocol
    
28. options  FFS   # Berkeley Fast Filesystem
    
29. options  SOFTUPDATES  # Enable FFS soft updates support
    
30. options  UFS_ACL   # Support for access control lists
    
31. options  UFS_DIRHASH  # Improve performance on big directories
    
32. options  UFS_GJOURNAL  # Enable gjournal-based UFS journaling
    
33. options  MD_ROOT   # MD is a potential root device
    
34. options  PROCFS   # Process filesystem (requires PSEUDOFS)
    
35. options  PSEUDOFS  # Pseudo-filesystem framework
    
36. options  COMPAT_43TTY  # BSD 4.3 TTY compat [KEEP THIS!]
    
37. options  SCSI_DELAY=5000  # Delay (in ms) before probing SCSI
    
38. options  KTRACE   # ktrace(1) support
    
39. options  STACK   # stack(9) support
    
40. options  SYSVSHM   # SYSV-style shared memory
    
41. options  SYSVMSG   # SYSV-style message queues
    
42. options  SYSVSEM   # SYSV-style semaphores
    
43. options  P1003_1B_SEMAPHORES # POSIX-style semaphores
    
44. options  _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensions
    
45. options  KBD_INSTALL_CDEV # install a CDEV entry in /dev
    
46. options  ADAPTIVE_GIANT  # Giant mutex is adaptive.
    
47. options  STOP_NMI  # Stop CPUS using NMI instead of IPI
    
48. options  AUDIT   # Security event auditing
    
49. 
    
50. # To make an SMP kernel, the next two lines are needed
    
51. options  SMP   # Symmetric MultiProcessor Kernel
    
52. device  apic   # I/O APIC
    
53. 
    
54. # CPU frequency control
    
55. device  cpufreq
    
56. 
    
57. # Bus support.
    
58. device  eisa
    
59. device  pci
    
60. 
    
61. # SCSI Controllers
    
62. device  mpt  # LSI-Logic MPT-Fusion
    
63. device  scbus  # SCSI bus (required for SCSI)
    
64. device  ch  # SCSI media changers
    
65. device  da  # Direct Access (disks)
    
66. device  pass  # Passthrough device (direct SCSI access)
    
67. device  ses  # SCSI Environmental Services (and SAF-TE)
    
68. 
    
69. # atkbdc0 controls both the keyboard and the PS/2 mouse
    
70. device  atkbdc  # AT keyboard controller
    
71. device  atkbd  # AT keyboard
    
72. device  psm  # PS/2 mouse
    
73. 
    
74. device  vga  # VGA video card driver
    
75. 
    
76. device  splash  # Splash screen and screen saver support
    
77. 
    
78. # syscons is the default console driver, resembling an SCO console
    
79. device  sc
    
80. 
    
81. device  agp  # support several AGP chipsets
    
82. 
    
83. # Power management support (see NOTES for more options)
    
84. #device  apm
    
85. # Add suspend/resume support for the i8254.
    
86. device  pmtimer
    
87. 
    
88. # PCI Ethernet NICs that use the common MII bus controller code.
    
89. # NOTE: Be sure to keep the 'device miibus' line in order to use these NICs!
    
90. device  miibus  # MII bus support
    
91. device  em
    
92. device  le  # Broadcom BCM570xx Gigabit Ethernet
    
93. 
    
94. 
    
95. # Pseudo devices.
    
96. device  loop  # Network loopback
    
97. device  random  # Entropy device
    
98. device  ether  # Ethernet support
    
99. device  tun  # Packet tunnel.
    
100. device  pty  # Pseudo-ttys (telnet etc)
     
101. device  md  # Memory "disks"
     
102. device  gif  # IPv6 and IPv4 tunneling
     
103. device  bpf  # Berkeley packet filter
     
104. 
     
105. # USB support
     
106. device  uhci  # UHCI PCI->USB interface
     
107. device  ohci  # OHCI PCI->USB interface
     
108. device  ehci  # EHCI PCI->USB interface (USB 2.0)
     
109. device  usb  # USB Bus (required)
     
110. device  ukbd  # Keyboard

復(fù)制代碼

king_819

chenyx 發(fā)表于 2012-03-08 15:13
另外,ssh服務(wù)應(yīng)該加固,ssh協(xié)議只用協(xié)議2,采用key的方式登錄,禁止密碼登陸以及root登陸,除了key方式以外的認(rèn) ...

ssh用key認(rèn)證，再配合上sudo

king_819

chenyx 發(fā)表于 2012-03-08 15:13
另外,ssh服務(wù)應(yīng)該加固,ssh協(xié)議只用協(xié)議2,采用key的方式登錄,禁止密碼登陸以及root登陸,除了key方式以外的認(rèn) ...

ssh用key認(rèn)證，再配合上sudo

chenyx

回復(fù) 14# king_819


    sudo,不是sodu

king_819

回復(fù) 15# chenyx

呵呵。。打反了


   

dooros

目前遇到的安全問題，大都集中在弱口令上。
高端的黑客攻擊基本沒遇到過，內(nèi)核提權(quán)之類的也沒遇到過。

dooros

自己編譯的內(nèi)核需要及時關(guān)注內(nèi)核的安全更新，畢竟防患于未然。性能有提升，但增加了維護的工作量。

gilet

ssh更改端口，用key登錄
sudo感覺就是個怪東西

king_819

chenyx 發(fā)表于 2012-03-08 15:07
系統(tǒng)安全,有個原則,就是只開放必要的端口,其他的端口一律不開放.比如一個web服務(wù),我們只開放22和80端口

這個防護還不夠嚴(yán)格