系統(tǒng)管理員安全

1、系統(tǒng)管理員安全本文從系統(tǒng)管理員的角度討論安全問題.系統(tǒng)管理員是管理系統(tǒng)的人:啟動(dòng)系統(tǒng)停止系統(tǒng)運(yùn)行安裝新軟件增加新用戶刪除老用戶以及完成保持系統(tǒng)發(fā)展和運(yùn)行的日常事務(wù)工作.1.安全管理安全管理主要分為四個(gè)方面:(1)防止未授權(quán)存取:這是計(jì)算機(jī)安全最重要的問題:未被使用系統(tǒng)的人進(jìn)入系統(tǒng).用戶意識(shí)良好的口令管理(由系統(tǒng)管理員和用戶雙方配合)登錄活動(dòng)記錄和報(bào)告用戶和網(wǎng)絡(luò)活動(dòng)的周期檢查這些都是防止未授權(quán)存取的關(guān)鍵.(2)防止泄密:這也是計(jì)算機(jī)安全的

2、一個(gè)重要問題.防止已授權(quán)或未授權(quán)的用戶相互存取相互的重要信息.文件系統(tǒng)查帳su登錄和報(bào)告用戶意識(shí)加密都是防止泄密的關(guān)鍵.(3)防止用戶拒絕系統(tǒng)的管理:這一方面的安全應(yīng)由操作系統(tǒng)來完成.一個(gè)系統(tǒng)不應(yīng)被一個(gè)有意試圖使用過多資源的用戶損害.不幸的是UNIX不能很好地限制用戶對(duì)資源的使用一個(gè)用戶能夠使用文件系統(tǒng)的整個(gè)磁盤空間而UNIX基本不能阻止用戶這樣做.系統(tǒng)管理員最好用PS命令記帳程序df和du周期地檢查系統(tǒng).查出過多占用CUP的進(jìn)程和大量

3、占用磁盤的文件.(4)防止丟失系統(tǒng)的完整性:這一安全方面與一個(gè)好系統(tǒng)管理員的實(shí)際工作(例如:周期地備份文件系統(tǒng)系統(tǒng)崩潰后運(yùn)行fsck檢查修復(fù)文件系統(tǒng)當(dāng)有新用戶時(shí)檢測(cè)該用戶是否可能使系統(tǒng)崩潰的軟件)和保持一個(gè)可靠的操作系統(tǒng)有關(guān)(即用戶不能經(jīng)常性地使系統(tǒng)崩潰).本文其余部分主要涉及前兩個(gè)問題第三個(gè)問題在“安全查帳“一節(jié)討論.2.超級(jí)用戶一些系統(tǒng)管理命令只能由超級(jí)用戶運(yùn)行.超級(jí)用戶擁有其他用戶所沒有的特權(quán)超級(jí)用戶不管文件存取許可方式如何都可以

4、讀寫任何文件運(yùn)行任何程序.系統(tǒng)管理員通常使用命令:binsu或以root進(jìn)入系統(tǒng)從而成為超級(jí)用戶.在后面文章中以#表示應(yīng)敲入必須由超級(jí)用戶運(yùn)行的命令用$表示應(yīng)敲入由所有其他用戶運(yùn)行的命令.3.文件系統(tǒng)安全(1)UNIX文件系統(tǒng)概述UNIX文件系統(tǒng)是UNIX系統(tǒng)的心臟部分提供了層次結(jié)構(gòu)的目錄和文件.文件系統(tǒng)將磁盤空間劃分為每1024個(gè)字節(jié)一組稱為塊(block)(也有用512字節(jié)為一塊的如:SCOXENIX).編號(hào)從0到整個(gè)磁盤的最大塊數(shù)

5、.全部塊可劃分為四個(gè)部分塊0稱為引導(dǎo)塊文件系統(tǒng)不用該塊塊1稱為專用塊專用塊含有許多信息其中有磁盤大小和全部塊的其它兩部分的大小.從塊2開始是i節(jié)點(diǎn)表i節(jié)點(diǎn)表中含有i節(jié)點(diǎn)表的塊數(shù)是可變的后面將做討論.i節(jié)點(diǎn)表之后是空閑存儲(chǔ)塊(數(shù)據(jù)存儲(chǔ)塊)可用于存放文件內(nèi)容.文件的邏輯結(jié)構(gòu)和物理結(jié)構(gòu)是十分不同的邏輯結(jié)構(gòu)是用戶敲入cat命令后所看到的文件用戶可得到表示文件內(nèi)容的字符流.物理結(jié)構(gòu)是文件實(shí)際上rdsknn流方式操作的磁盤分區(qū)rmto流方式操作的磁

6、帶swap交換區(qū)syscon系統(tǒng)終端ttynn終端口x25網(wǎng)絡(luò)端口等等(3)etcmknod命令用于建立設(shè)備文件.只有root能使用這個(gè)命令建立設(shè)備文件.其參數(shù)是文件名字母c或b分別代表字符特別文件或塊特別文件主設(shè)備號(hào)次設(shè)備號(hào).塊特別文件是像磁帶磁盤這樣一些以塊為單位存取數(shù)據(jù)的設(shè)備.字符特別文件是如像終端打印機(jī)MODEM或者其它任何與系統(tǒng)通訊時(shí)一次傳輸一個(gè)字符的設(shè)備包括模仿對(duì)磁盤進(jìn)行字符方式存取的磁盤驅(qū)動(dòng)器.主設(shè)備號(hào)指定了系統(tǒng)子程序(設(shè)

7、備驅(qū)動(dòng)程序)當(dāng)在設(shè)備上執(zhí)行IO時(shí)系統(tǒng)將調(diào)用這個(gè)驅(qū)動(dòng)程序.調(diào)用設(shè)備驅(qū)動(dòng)程序時(shí)次設(shè)備號(hào)將傳遞給該驅(qū)動(dòng)程序(次設(shè)備規(guī)定具體的磁盤驅(qū)動(dòng)器帶驅(qū)動(dòng)器信號(hào)線編號(hào)或磁盤分區(qū)).每種類型的設(shè)備一般都有自己的設(shè)備驅(qū)動(dòng)程序.文件系統(tǒng)將主設(shè)備號(hào)和次設(shè)備號(hào)存放在i節(jié)點(diǎn)中的磁盤地址表內(nèi)所以沒有磁盤空間分配給設(shè)備文件(除i節(jié)點(diǎn)本身占用的磁盤區(qū)外).當(dāng)程序試圖在設(shè)備文件上執(zhí)行IO操作時(shí)系統(tǒng)識(shí)別出該文件是一個(gè)特別文件并調(diào)用由主設(shè)備號(hào)指定的設(shè)備驅(qū)動(dòng)程序次設(shè)備號(hào)作為調(diào)用設(shè)備

8、驅(qū)動(dòng)程序的參數(shù).(4)安全考慮將設(shè)備處理成文件使得UNIX程序獨(dú)立于設(shè)備即程序不必一定要了解正使用的設(shè)備的任何特性存取設(shè)備也不需要記錄長(zhǎng)度塊大小傳輸速度網(wǎng)絡(luò)協(xié)議等這樣一些信息所有煩人的細(xì)節(jié)由設(shè)備驅(qū)動(dòng)程序去關(guān)心考慮要存取設(shè)備程序只須打開設(shè)備文件然后作為普通的UNIX文件來使用.從安全的觀點(diǎn)來看這樣處理很好因?yàn)槿魏卧O(shè)備上進(jìn)行的IO操作只經(jīng)過了少量的渠道(即設(shè)備文件).用戶不能直接地存取設(shè)備.所以如果正確地設(shè)置了磁盤分區(qū)的存取許可用戶就只能通

9、過UNIX文件系統(tǒng)存取磁盤.文件系統(tǒng)有內(nèi)部安全機(jī)制(文件許可).不幸的是如果磁盤分區(qū)設(shè)備得不正確任何用戶都能夠?qū)懸粋€(gè)程序讀磁盤分區(qū)中的每個(gè)文件作法很簡(jiǎn)單:讀一i節(jié)點(diǎn)然后以磁盤地址表中塊號(hào)出現(xiàn)的順序依次讀這些塊號(hào)指出的存有文件內(nèi)容的塊.故除了root以外決不要使盤分區(qū)對(duì)任何人可寫.因?yàn)樗姓呶募嫒≡S可方式這樣一些信息存放于i節(jié)點(diǎn)中任何人只要具有已安裝分區(qū)的寫許可就能設(shè)置任何文件的SUID許可而不管文件的所有者是誰也不必用chmod()命