LINUX安全管理10要点（1）
时间：2005-6-16 9:12:41 作者： 来源：中国计算机报点击数：
Linux的组网能力非常强大，它的TCP/IP代码是最高级的。Linux提供了对于当前的TCP/IP协议的完全支持，并且包括了对下一代Internet协议IPv6的支持。互联网中接入的机器中，有相当大一部分使用的是Linux操作系统。但Linux是一个多用户的系统，黑客们为了在攻击中隐藏自己，往往选择Linux系统作为首先攻击的对象，进而利用它来做一些非法的勾当，如：进行DOS(拒绝服务)攻击、运行IRC bot、发布非法软件等。作为一个Linux用户，时刻要防止攻击，以下十项建议可以使你的Linux系统更加安全。
关闭无用的端口
任何网络连接都是通过开放的应用端口来实现的。如果我们尽可能少地开放端口，就使网络攻击变成无源之水，从而大大减少了攻击者成功的机会。
首先检查你的inetd．Conf文件。Inetd在某些端口上守侯，准备为你提供必要的服务。如果某人开发出一个特殊的inetd守护程序，这里就存在一个安全隐患。你应当在inetd．Conf文件中注释掉那些永不会用到的服务(如：echo、gopher、rsh、rlogin、rexec、talk、ntalk、pop-2、finger等)。注释除非绝对需要，你一定要注释掉rsh、rlogin和rexec，而telnet建议你使用更为安全的ssh来代替，然后杀掉lnetd进程。这样inetd不再监控你机器上的守护程序，从而杜绝有人利用它来窃取你的应用端口。你最好是下载一个端口扫描程序扫描你的系统，如果发现有你不知道的开放端口，马上找到正使用它的进程，从而判断是否关闭它们。
删除不用的软件包
在进行系统规划时，总的原则是将不需要的服务一律去掉。默认的Linux就是一个强大的系统，运行了很多的服务。但有许多服务是不需要的，很容易引起安全风险。这个文件就是/etc/inetd.conf，它制定了/usr/sbin/inetd将要监听的服务，你可能只需要其中的两个：telnet和ftp，其它的类如shell、login、exec、talk、ntalk、imap、pop-2、pop-3、finger、auth等，除非你真的想用它，否则统统关闭。
需要提醒你的是以下三个服务漏洞很多，强烈建议你关闭它们：S34yppasswdd（NIS服务器）、S35ypserv（NIS服务器）和S60nfs（NFS服务器）。
不设置缺省路由
在主机中，应该严格禁止设置缺省路由，即default route。建议为每一个子网或网段设置一个路由，否则其它机器就可能通过一定方式访问该主机。
