毋庸置疑
家公司
unix架构极有可能是其全部it问题
最重要
部分
它支撑着你
邮件系统、web服务器
甚至你
最重要
企业应用
虽然unix系统本身是极其安全
操作系统
但在这个恶意代码和黑客行为十分猖獗
时代
我们绝不可以对unix架构
安全问题掉以轻心
本文将讨论任何unix用户都应该清楚
保障unix安全
关键思路方法
籍以引起您对此问题
高度重视
那么
到底有哪些要素组成了unix架构呢？这个问题难以规定其标准答案
但总体而言
大多数公司都有面向客户或公众
服务
这些服务器是“公用”
服务器
任何
个提供服务给外部世界
事物都有其特殊性
它们是用户可以登录
机器
这些用户可以是
个合法
isp账户
也有可能是
家公司
开发团队(Team)
我们将这些可被登录
服务器称为“登录服务器”
因而须对它们特别对待
还要注意
我们网络架构中有相当多
计算机是为其它服务器提供服务
这些服务器只有超级用户可以访问
公共服务
首要
问题是
您必须看
看所有
可为外部世界提供服务
服务器
并思索自己是否真
需要
通常情况下
它们可以置于防火墙的后
或者放在
个组合式防火墙及代理服务器的后
举例来说
如果你在 4个web服务器上运行
个面向客户端
web站点
那么
减少这些服务器
暴露程度至最少化是可能
放置在这些web服务器的前
个代理服务器或
对冗余代理服务器可以接受所有
客户端连接
然后检查并清理这些服务
这就是代理服务器其中所起
作用
代理服务器够减轻后端web服务器
风险
而且不受
ernet
影响和访问
引起安全问题
最经常
原因是没有及时打补丁或者未知
服务
很长时间以来
已被人们遗忘
web服务器是那种apache
老版本或者易受攻击
php脚本服务
因其内核已过时
对于灾难性故障
解决处方也许太普通
不过
如果您
web 服务器隐藏在
个代理服务器的后
那么几乎就没有什么遗忘打补丁或服务
风险
对于其它服务也是同样
情况
许多站点有
些极端
限制
如防火墙管理员必须验证任何新
网络应用
并且工作良好
通常情况下
公司网络完全开放
其web应用是不安全
应用
能和的交互
服务器常常是无任何理由地可被互联网访问
登录服务器
远程用户被限制为只能使用给定
界面
如e-mail服务
web应用或b2b服务
那些可以访问系统外壳
本地用户可谓完全无拘无束
如果你
系统中恰好有
个恶意用户
除非采取极端
措施
他可对根目录进行访问
至于更新问题
特别是那些要求升级后重启
内核
更新
必须在新内核
发布的日应用
总的
操作系统需要强化其稳健性
在设计架构
过程中
必须特别注意确保用户只能对所指定
区域访问
如果你
网络还有
些可对某些机器
根目录访问
开发人员
那么受到伤害
可能性就会大增加
开发人员自身成为恶意用户
可能性也许微乎其微
但绝不能排除其可能性
其实
开发人员不知不觉安装
些怪异
新
有可能会损害系统
例如
slammer 蠕虫
传播速度极快
原因在于它在windows系统中通过网络进行传播,该蠕虫利用microsoft sql server2000
缓冲区溢出漏洞获得系统控制权
并产生大量随机ip地址进行攻击,导致蠕虫
迅速传播并且形成拒绝服务攻击
网络带宽大量地被占用
其它问题
理论上讲
企业计算机
大多数并非面向互联网
假如真是这样
那么限制用户
暴露程度是所有公司
最优先考虑
事情
我们可以在某种程度上忽略这些服务器
这些服务器上
唯
弱点就是其所提供
界面
“假定我
web应用定期打补丁
就没有必要担心操作系统自身
”确实有
些人有这样
观点
如果企业能够限制对系统管理
登录访问
这种观点有可能是正确
保持应用
定期补丁也许可以算是安全
措施
但如果
个安全漏洞仅仅
管理员没有考虑到而被遗忘
话
你
整个架构就处于风险的中
而不仅仅是你
台服务器
旦攻击者进入了系统内部
他
般会发现接触其它服务器是相当简单
因此
看起来有两种可以保障
个架构安全
思路方法:
是限制暴露程度并期望(只能是期望)想象不到
威胁不会发生
2是采取措施保障自身
安全
因而
旦攻击者试图渗透你
防御系统
却不能造成任何
危害
实际情况是
大多数企业甚至都不能承认其安全策略只能属于两种思路方法
种
防火墙是极容易被攻克
特别是暴露
应用
自身处于危险的中
时候
实际上
个表面上看似很安全
防火墙通常会吸引更多
攻击者
这不是
他们希望接受什么挑战
而是
他们知道系统是外强中干
我们要记住
大多数企业
外部防御还是很脆弱
延伸阅读
最新评论