關(guān)于Unix操作系統(tǒng)中網(wǎng)絡(luò)注意事項(xiàng)
Unix操作系統(tǒng)目前正被廣泛應(yīng)用于銀行、電信、保險(xiǎn)、證券、鐵路等行業(yè)，但這些行業(yè)一般都不是單機(jī)應(yīng)用，而是使用內(nèi)部網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)處理，對(duì)系統(tǒng)安全性的要求又相當(dāng)高。
禁止對(duì)前置機(jī)使用Ftp傳輸文件
如果Unix操作系統(tǒng)對(duì)用戶(hù)的Ftp權(quán)限不做限制，那么用戶(hù)不僅可以通過(guò)Ftp來(lái)獲得操作系統(tǒng)的重要文件（如/etc/passwd、/etc/hosts等），還可以進(jìn)一步得到其他重要的數(shù)據(jù)文件，造成數(shù)據(jù)的泄露。
筆者單位的前置機(jī)上因裝有多個(gè)應(yīng)用系統(tǒng)，建立的用戶(hù)也比較多，所以應(yīng)對(duì)大部分用戶(hù)的Ftp權(quán)限進(jìn)行限制。具體做法是，創(chuàng)建編輯/etc/ftpusers文件，把不允許使用Ftp功能的用戶(hù)寫(xiě)到該文件中，每個(gè)用戶(hù)占一行，保存后即時(shí)生效，這些用戶(hù)就不能使用Ftp命令進(jìn)行連接了。
禁止外來(lái)主機(jī)遠(yuǎn)程登錄到前置機(jī)
筆者單位以前曾經(jīng)發(fā)生過(guò)這樣的事情，某個(gè)信用社的Unix操作系統(tǒng)管理員利用其他途徑獲得了另外一個(gè)信用社前置機(jī)的用戶(hù)密碼，于是他就通過(guò)自己的主機(jī)遠(yuǎn)程登錄到另外那個(gè)信用社的計(jì)算機(jī)上，進(jìn)行一些非法操作。
雖然沒(méi)造成嚴(yán)重的后果，但這件事給筆者敲響了警鐘，必須嚴(yán)格限制非法登錄。筆者首先在/etc/profile文件中case "$0" in -sh | -rsh | -ksh | -rksh下添加限制非授權(quán)主機(jī)遠(yuǎn)程登錄代碼：
- PTTY=who -mx|awk ‘{ printf“%.4s\n”, $2 }
- if [ “$PTTY” =“ttyp” ]
- 130.30.1.100 echo “成功 $remote $LOGNAME”/usr/adm/telnet.log
- 130.30.1.201 echo “成功 $remote $LOGNAME”/usr/adm/telnet.log
- sqls echo “成功 $remote $LOGNAME” /usr/adm/telnet.log
- echo “被殺 $remote”/usr/adm/telnet.log
- echo “\n\t\t你的地址$remote_ip”
以上代碼用來(lái)記錄遠(yuǎn)程登錄到本機(jī)的歷史，筆者創(chuàng)建的日志文件為/usr/adm/telnet.log，該文件會(huì)記錄遠(yuǎn)程用戶(hù)登錄時(shí)的用戶(hù)名、時(shí)間、終端號(hào)以及IP地址，可以隨時(shí)查看此文件。然后在所有用戶(hù)的.profile文件里加入trap0 1 2 3 14 15，屏蔽鍵盤(pán)中斷，防止允許遠(yuǎn)程登錄的主機(jī)用鍵盤(pán)中斷進(jìn)入U(xiǎn)nix操作系統(tǒng)的命令行提示符。
【編輯推薦】
