限制控制臺(tái)訪(fǎng)問(wèn)以提高Linux服務(wù)器安全
控制臺(tái)是部署Linux服務(wù)器的主要窗口之一。但是Linux服務(wù)器部署完成之后，這個(gè)控制臺(tái)反而有可能成為危害其安全的罪魁禍?zhǔn)字弧榇薒inux服務(wù)器投入生產(chǎn)使用之后，就需要對(duì)其訪(fǎng)問(wèn)進(jìn)行限制。否則的話(huà)有可能會(huì)對(duì)Linux服務(wù)器帶來(lái)安全隱患。
一、限制控制臺(tái)訪(fǎng)問(wèn)
在Linux操作系統(tǒng)中所有的命令在系統(tǒng)中都是以文件的形式體現(xiàn)出來(lái)的。或者說(shuō)，文件就是Linux操作系統(tǒng)中的核心。如果需要限制或者禁用控制臺(tái)下的訪(fǎng)問(wèn)，只需要把某些文件的連接注視掉即可。如系統(tǒng)管理員如果要禁止所有的控制臺(tái)訪(fǎng)問(wèn)(包括程序與應(yīng)用文件)，則可以把目錄/etc/pam.d下面的所有文件中包含pam_console.so的行注釋掉。如下圖，kde是這個(gè)目錄下的一個(gè)文件。在這個(gè)文件中有pam_console.so這行內(nèi)容。系統(tǒng)管理員需要把這個(gè)目錄下所有文件中含有這一行的內(nèi)容注釋掉，如此的話(huà)就可以禁止所有的控制臺(tái)訪(fǎng)問(wèn)的。當(dāng)然如果系統(tǒng)管理員對(duì)于這些文件所代表的含義比較了解的話(huà)，那么也可以根據(jù)自己的需要部分的禁止或者限制控制臺(tái)訪(fǎng)問(wèn)。
二、禁止使用控制臺(tái)程序
為了提高Linux服務(wù)器系統(tǒng)的安全性，一個(gè)最簡(jiǎn)單也是被很多系統(tǒng)管理員所采用的方法就是禁止使用相關(guān)的控制臺(tái)程序。在必要的情況下，如不知道哪些控制臺(tái)程序會(huì)影響到Linux操作系統(tǒng)的安全，則可以禁止使用所有的控制臺(tái)程序。如眾所周知，Linux操作系統(tǒng)是一個(gè)多用戶(hù)的操作系統(tǒng)。當(dāng)其他用戶(hù)正連在操作系統(tǒng)上的時(shí)候，如果某個(gè)用戶(hù)強(qiáng)制執(zhí)行shutdown命令的話(huà)，那么無(wú)疑會(huì)讓其他用戶(hù)正在修改的文件發(fā)生數(shù)據(jù)丟失。為此當(dāng)Linux服務(wù)器部署完畢之后，需要通過(guò)某些方式禁止用戶(hù)使用控制臺(tái)程序。
要實(shí)現(xiàn)這個(gè)目的也比較簡(jiǎn)單，如主要通過(guò)如下命令：
rm –f /etc/security/console.apps/servicename即可。其中Servicename是系統(tǒng)管理員需要禁止的控制臺(tái)程序名。通常情況下，如果系統(tǒng)管理員對(duì)于這些程序比較了解，有這個(gè)經(jīng)驗(yàn)可以判斷出其是否會(huì)對(duì)服務(wù)器產(chǎn)生不利影響，那么就可以有選擇的刪除這些程序。但是如果不能夠確定的話(huà)，那么把這些相關(guān)的服務(wù)或者程序全部刪除即可。因?yàn)榇藭r(shí)刪除只會(huì)影響控制臺(tái)下面的操作。如果以后需要用到這些命令的話(huà)，系統(tǒng)管理員可以通過(guò)其他方式來(lái)運(yùn)行這些命令。
三、禁止使用控制臺(tái)程序應(yīng)用之禁用Xwindow服務(wù)
X Window是Linux操作系統(tǒng)提供的類(lèi)似Windows操作系統(tǒng)的一個(gè)圖形化管理工具。X Window本身只提供創(chuàng)建借口的準(zhǔn)則，例如打開(kāi)新窗口、響應(yīng)通過(guò)標(biāo)準(zhǔn)輸入設(shè)備輸入的數(shù)據(jù)，但是并不包含操作窗口的用戶(hù)接口。這些功能則是由窗口管理程序來(lái)完成的。X Window與窗口管理程序兩者一起架構(gòu)起圖形用戶(hù)接口，并且能夠按照用戶(hù)的使用習(xí)慣來(lái)進(jìn)行相關(guān)的配置，讓系統(tǒng)管理員能夠在便利的操作環(huán)境下部署Linux操作系統(tǒng)。
X Window基本上可以劃分為兩個(gè)部分，X Server 和X Client，兩者相互之間密切整合顯示在用戶(hù)面前。X Server會(huì)驅(qū)動(dòng)顯卡以負(fù)責(zé)屏幕上的各種圖形顯示，并負(fù)責(zé)驅(qū)動(dòng)一些輸入設(shè)備，讓用戶(hù)能夠通過(guò)這些標(biāo)準(zhǔn)輸入接口，達(dá)到和操作系統(tǒng)上應(yīng)用程序之間的互動(dòng)。而X Clinet則結(jié)合應(yīng)用程序向X Server提出要求服務(wù)，運(yùn)行后以窗口的形式顯示在屏幕上。X Window的這種設(shè)計(jì)方法讓Linux操作系統(tǒng)的功能變得非常的強(qiáng)大。如通過(guò)相關(guān)的配置，系統(tǒng)管理員可以讓X Server與X Client運(yùn)行在不同的計(jì)算機(jī)上。如某些服務(wù)器，平時(shí)只需要通過(guò)網(wǎng)絡(luò)對(duì)他們進(jìn)行連接，那么可以在某臺(tái)主機(jī)上運(yùn)行他們的X Window應(yīng)用程序，然后把結(jié)果返回到本機(jī)的畫(huà)面上。而不需要開(kāi)啟X Window服務(wù)，從而讓服務(wù)器上的CPU與內(nèi)存資源得到充分的應(yīng)用。
但是我發(fā)現(xiàn)現(xiàn)在很多系統(tǒng)管理員不習(xí)慣在純命令行窗口部署相關(guān)的應(yīng)用服務(wù)。如部署數(shù)據(jù)庫(kù)系統(tǒng)或者文件服務(wù)器的時(shí)候，希望啟動(dòng)圖形化管理窗口來(lái)進(jìn)行配置。為此他們?cè)诎惭bLinux操作系統(tǒng)的時(shí)候，會(huì)習(xí)慣性的安裝X Window。雖然說(shuō)X Window提供了類(lèi)似微軟操作系統(tǒng)的圖形化界面。如KDE(X Window中的一種)有屬于自己的窗口管理程序、文件管理員、網(wǎng)絡(luò)工具程序、多媒體應(yīng)用程序等等。其無(wú)論從外觀上還是從功能上都可以同Windows操作系統(tǒng)相媲美。但是運(yùn)行這個(gè)X Window圖形化界面的話(huà)，會(huì)耗用系統(tǒng)不少的資源，會(huì)影響服務(wù)器的運(yùn)行效率。同時(shí)也會(huì)對(duì)其安全留下隱患。對(duì)此筆者有兩個(gè)建議。
首先系統(tǒng)管理員要學(xué)會(huì)在純命令行的方式下部署Linux的相關(guān)應(yīng)用服務(wù)。其實(shí)Linux操作系統(tǒng)之所以強(qiáng)大，就是因?yàn)槠涿钚蟹绞焦芾淼慕艹鎏匦浴３前袻inux操作系統(tǒng)當(dāng)作客戶(hù)端來(lái)使用，否則的話(huà)在安裝Linux操作系統(tǒng)的過(guò)程中最好不要安裝X Window軟件包。據(jù)筆者所知，現(xiàn)在大部分應(yīng)用程序都可以直接在其命令行方式下部署。如果某些應(yīng)用程序一定要在圖形化界面下運(yùn)行的話(huà)，也有一些這種的處理方式。如在安裝Oracle數(shù)據(jù)庫(kù)管理軟件的時(shí)候，一般需要在圖形化的界面下運(yùn)行。但是系統(tǒng)管理員可以跟數(shù)據(jù)庫(kù)管理一起，通過(guò)修改相關(guān)的安裝配置文件，讓其在命令行方式下也可以運(yùn)行。另外就是可以把圖形化的輸出結(jié)果定位到其他的主機(jī)上，然后通過(guò)其他主機(jī)來(lái)進(jìn)行相關(guān)的操作。總之一句話(huà)，如果系統(tǒng)管理員有這個(gè)實(shí)力的話(huà)，那么就不要怕麻煩，盡量在純命令行模式下部署應(yīng)用程序。
其次如果那些沒(méi)有達(dá)到這個(gè)水平的系統(tǒng)管理員來(lái)說(shuō)，那就只能夠采用X Window圖形化界面來(lái)管理與部署應(yīng)用服務(wù)了。但是，在把Linux服務(wù)器投入到生產(chǎn)后，最好能夠把這個(gè)服務(wù)程序刪除掉。這個(gè)刪除的方法也很簡(jiǎn)單，就是上面我提到過(guò)的禁止使用控制臺(tái)程序的方法。其實(shí)Linux操作系統(tǒng)在啟動(dòng)的時(shí)候，是先進(jìn)入到控制臺(tái)。然后再在控制臺(tái)中使用startx命令啟動(dòng)X Window圖形化管理界面。那么如果系統(tǒng)管理員能夠通過(guò)禁用控制臺(tái)程序的方法，把這圖形化管理程序禁用掉，不就可以萬(wàn)事大吉了嗎!為此系統(tǒng)管理員可以使用
rm –f /etc/security/console.apps/xserver命令來(lái)刪除這個(gè)應(yīng)用服務(wù)。執(zhí)行這個(gè)命令后，普通用戶(hù)就無(wú)法登陸到圖形化的管理界面了。但是在有必要的情況下，root特權(quán)用戶(hù)仍然可以啟動(dòng)圖形化管理界面。所以筆者建議，如果真的要在XWindow圖形化管理界面下部署應(yīng)用程序的話(huà)，那么在部署完成后請(qǐng)系統(tǒng)管理員通過(guò)上面這條命令把這個(gè)XWindow應(yīng)用程序禁用掉，以提高Linux服務(wù)器的安全性與性能，讓其CPU與內(nèi)存資源能夠用在刀刃上。
最后強(qiáng)調(diào)一下，雖然Linux操作系統(tǒng)以穩(wěn)定的系統(tǒng)內(nèi)核、標(biāo)準(zhǔn)的圖形化界面、強(qiáng)大的桌面環(huán)境與Window操作系統(tǒng)進(jìn)行抗衡。但是其作為服務(wù)器最大的特色在于第一個(gè)，即穩(wěn)定的系統(tǒng)內(nèi)核。而在圖形化界面與桌面環(huán)境來(lái)說(shuō)，雖然可以跟Windows操作系統(tǒng)相抗衡，但是并沒(méi)有明顯的優(yōu)勢(shì)。而且從一定程度上來(lái)說(shuō)，這些功能還會(huì)影響到Linux操作系統(tǒng)本身的性能與安全。也就是說(shuō)，對(duì)于Linux操作系統(tǒng)會(huì)起到一個(gè)負(fù)面的作用。如果Linux操作系統(tǒng)用來(lái)做普通客戶(hù)端使用的話(huà)，那么這個(gè)桌面環(huán)境與圖形化界面是必需的。但是如果Linux操作系統(tǒng)是用來(lái)實(shí)現(xiàn)服務(wù)器操作系統(tǒng)的，則最好在部署的時(shí)候不需要安裝這兩個(gè)服務(wù);或則和在應(yīng)用程序部署完畢之后把這個(gè)應(yīng)用程序利用rm –f 命令禁用掉。說(shuō)的難聽(tīng)一點(diǎn)，在Linux服務(wù)器上啟用這個(gè)兩個(gè)服務(wù)的話(huà)有點(diǎn)畫(huà)蛇添足的味道。
【編輯推薦】
