linux伺服器安全

1、如何使Linux伺服器變得更安全

1.安裝和配置一個防火牆
一個配置適當的防火牆不僅是系統有效應對外部攻擊的第一道防線，也是最重要的一道防線。在新系統第一次連接上Internet之前，防火牆就應該被安裝並且配置好。防火牆配置成拒絕接收所有數據包，然後再打開允許接收的數據包，將有利於系統的安全。Linux為我們提供了一個非常優秀的防火牆工具，它就是netfilter/iptables。它完全是免費的，並且可以在一台低配置的老機器上很好地運行。防火牆的具體設置方法請參見iptables使用方法。

2、關閉無用的服務和埠
任何網路連接都是通過開放的應用埠來實現的。如果我們盡可能少地開放埠，就使網路攻擊變成無源之水，從而大大減少了攻擊者成功的機會。把Linux作為專用伺服器是個明智的舉措。例如，希望Linux成為的Web伺服器，可以取消系統內所有非必要的服務，只開啟必要服務。這樣做可以盡量減少後門，降低隱患，而且可以合理分配系統資源，提高整機性能。以下是幾個不常用的服務：
① fingerd（finger伺服器）報告指定用戶的個人信息，包括用戶名、真實姓名、shell、目錄和聯系方式，它將使系統暴露在不受歡迎的情報收集活動下，應避免啟動此服務。
② R服務（rshd、rlogin、rwhod、rexec）提供各種級別的命令，它們可以在遠程主機上運行或與遠程主機交互，在封閉的網路環境中登錄而不再要求輸入用戶名和口令，相當方便。然而在公共伺服器上就會暴露問題，導致安全威脅。

3、刪除不用的軟體包
在進行系統規劃時，總的原則是將不需要的服務一律去掉。默認的Linux就是一個強大的系統，運行了很多的服務。但有許多服務是不需要的，很容易引起安全風險。這個文件就是/etc/xinetd.conf，它制定了/usr/sbin/xinetd將要監聽的服務，你可能只需要其中的一個：ftp，其它的類如telnet、shell、login、exec、talk、ntalk、imap、finger、auth等，除非你真的想用它，否則統統關閉。

4、不設置預設路由
在主機中，應該嚴格禁止設置預設路由，即default route。建議為每一個子網或網段設置一個路由，否則其它機器就可能通過一定方式訪問該主機。

5、口令管理
口令的長度一般不要少於8個字元，口令的組成應以無規則的大小寫字母、數字和符號相結合，嚴格避免用英語單詞或片語等設置口令，而且各用戶的口令應該養成定期更換的習慣。另外，口令的保護還涉及到對/etc/passwd和/etc/shadow文件的保護，必須做到只有系統管理員才能訪問這2個文件。安裝一個口令過濾工具加npasswd，能幫你檢查你的口令是否耐得住攻擊。如果你以前沒有安裝此類的工具，建議你現在馬上安裝。如果你是系統管理員，你的系統中又沒有安裝口令過濾工具，請你馬上檢查所有用戶的口令是否能被窮盡搜索到，即對你的／ect／passwd文件實施窮盡搜索攻擊。用單詞作密碼是根本架不住暴力攻擊的。黑客們經常用一些常用字來破解密碼。曾經有一位美國黑客表示，只要用「password」這個字，就可以打開全美多數的計算機。其它常用的單詞還有：account、ald、alpha、beta、computer、dead、demo、dollar、games、bod、hello、help、intro、kill、love、no、ok、okay、please、sex、secret、superuser、system、test、work、yes等。
密碼設置和原則：
a.足夠長，指頭只要多動一下為密碼加一位，就可以讓攻擊者的辛苦增加十倍;
b. 不要用完整的單詞，盡可能包括數字、標點符號和特殊字元等;
c.混用大小寫字元;
d.經常修改。

6、分區管理
一個潛在的攻擊，它首先就會嘗試緩沖區溢出。在過去的幾年中，以緩沖區溢出為類型的安全漏洞是最為常見的一種形式了。更為嚴重的是，緩沖區溢出漏洞佔了遠程網路攻擊的絕大多數，這種攻擊可以輕易使得一個匿名的Internet用戶有機會獲得一台主機的部分或全部的控制權！。
為了防止此類攻擊，我們從安裝系統時就應該注意。如果用root分區記錄數據，如log文件，就可能因為拒絕服務產生大量日誌或垃圾郵件，從而導致系統崩潰。所以建議為/var開辟單獨的分區，用來存放日誌和郵件，以避免root分區被溢出。最好為特殊的應用程序單獨開一個分區，特別是可以產生大量日誌的程序，還建議為/home單獨分一個區，這樣他們就不能填滿/分區了，從而就避免了部分針對Linux分區溢出的惡意攻擊。
很多Linux桌面用戶往往是使用Windows、Linux雙系統。最好使用雙硬碟。方法如下：首先將主硬碟的數據線拆下，找一個10GB左右的硬碟掛在計算機上，將小硬碟設置為從盤，按照平常的操作安裝Linux伺服器版本，除了啟動的引導程序放在MBR外，其它沒有區別。 安裝完成，調試出桌面後，關閉計算機。將小硬碟的數據線拆下，裝上原硬碟，並設定為主盤（這是為了原硬碟和小硬碟同時掛接在一個數據線上），然後安裝Windows軟體。將兩個硬碟都掛在數據線上，數據線是IDE 0介面，將原硬碟設定為主盤，小硬碟設定為從盤。如果要從原硬碟啟動，就在CMOS里將啟動的順序設定為「C、D、CDROM」，或者是「IDE0(HDD-0)」。這樣計算機啟動的時候，進入Windows界面。如果要從小硬碟啟動，就將啟動順序改為「D、C、CDROM」，或者是「IDE1(HDD-1)」，啟動之後，將進入Linux界面。平時兩個操作系統是互相不能夠訪問的。

7、防範網路嗅探：
嗅探器技術被廣泛應用於網路維護和管理方面，它工作的時候就像一部被動聲納，默默的接收看來自網路的各種信息，通過對這些數據的分析，網路管理員可以深入了解網路當前的運行狀況，以便找出網路中的漏洞。在網路安全日益被注意的今天.我們不但要正確使用嗅探器.還要合理防範嗅探器的危害.嗅探器能夠造成很大的安全危害，主要是因為它們不容易被發現。對於一個安全性能要求很嚴格的企業，同時使用安全的拓撲結構、會話加密、使用靜態的ARP地址是有必要的。

8、完整的日誌管理
日誌文件時刻為你記錄著你的系統的運行情況。當黑客光臨時，也不能逃脫日誌的法眼。所以黑客往往在攻擊時修改日誌文件，來隱藏蹤跡。因此我們要限制對／var／log文件的訪問，禁止一般許可權的用戶去查看日誌文件。
另外要使用日誌伺服器。將客戶機的日誌信息保存副本是好主意，創建一台伺服器專門存放日誌文件，可以通過檢查日誌來發現問題。修改/etc/sysconfig/syslog文件加入接受遠程日誌記錄。

/etc/sysconfig/syslog SYSLOGD_OPTIONS="-m r 0"

還應該設定日誌遠程保存。修改/etc/syslog.conf文件加入日誌伺服器的設置，syslog將保存副本在日誌伺服器上。
/etc/syslog.conf *.* @log_server_IP

可以使用彩色日誌過濾器。彩色日誌loco過濾器，目前版本是0.32。使用loco /var/log/messages | more可以顯示出彩色的日誌，明顯標記出root的位置和日誌中異常的命令。這樣可以減少分析日誌時人為遺漏。還要進行日誌的定期檢查。Red Hat Linux中提供了logwatch工具，定期自動檢查日誌並發送郵件到管理員信箱。需要修改/etc/log.d/conf/ logwatch.conf文件，在MailTo = root參數後增加管理員的郵件地址。Logwatch會定期檢查日誌，過濾有關使用root、sudo、telnet、ftp登錄等信息，協助管理員分析日常安全。完整的日誌管理要包括網路數據的正確性、有效性、合法性。對日誌文件的分析還可以預防入侵。例如、某一個用戶幾小時內的20次的注冊失敗記錄，很可能是入侵者正在嘗試該用戶的口令。

9、終止正進行的攻擊
假如你在檢查日誌文件時，發現了一個用戶從你未知的主機登錄，而且你確定此用戶在這台主機上沒有賬號，此時你可能正被攻擊。首先你要馬上鎖住此賬號(在口令文件或shadow文件中，此用戶的口令前加一個Ib或其他的字元)。若攻擊者已經連接到系統，你應馬上斷開主機與網路的物理連接。如有可能，你還要進一步查看此用戶的歷史記錄，查看其他用戶是否也被假冒，攻擊音是否擁有根許可權。殺掉此用戶的所有進程並把此主機的ip地址掩碼加到文件hosts.deny中。

10、使用安全工具軟體：
Linux已經有一些工具可以保障伺服器的安全。如bastille linux和Selinux。 bastille linux對於不熟悉 linux 安全設定的使用者來說，是一套相當方便的軟體，bastille linux 目的是希望在已經存在的 linux 系統上，建構出一個安全性的環境。增強安全性的Linux（SELinux）是美國安全部的一個研發項目，它的目的在於增強開發代碼的Linux內核，以提供更強的保護措施，防止一些關於安全方面的應用程序走彎路，減輕惡意軟體帶來的災難。普通的Linux系統的安全性是依賴內核的，這個依賴是通過setuid/setgid產生的。在傳統的安全機制下，暴露了一些應用授權問題、配置問題或進程運行造成整個系統的安全問題。這些問題在現在的操作系統中都存在，這是由於他們的復雜性和與其它程序的互用性造成的。SELinux只單單依賴於系統的內核和安全配置政策。一旦你正確配置了系統，不正常的應用程序配置或錯誤將只返回錯誤給用戶的程序和它的系統後台程序。其它用戶程序的安全性和他們的後台程序仍然可以正常運行，並保持著它們的安全系統結構。用簡單一點的話說就是：沒有任何的程序配置錯誤可以造成整個系統的崩潰。安裝SELinux SELinux的內核、工具、程序/工具包，還有文檔都可以到增強安全性的Linux網站上上下載你必須有一個已經存在的Linux系統來編譯你的新內核，這樣才能訪問沒有更改的系統補丁包。

11.使用保留IP地址
維護網路安全性最簡單的方法是保證網路中的主機不同外界接觸。最基本的方法是與公共網路隔離。然而，這種通過隔離達到的安全性策略在許多情況下是不能接受的。這時，使用保留IP地址是一種簡單可行的方法，它可以讓用戶訪問Internet同時保證一定的安全性。- RFC 1918規定了能夠用於本地 TCP/IP網路使用的IP地址范圍，這些IP地址不會在Internet上路由，因此不必注冊這些地址。通過在該范圍分配IP地址，可以有效地將網路流量限制在本地網路內。這是一種拒絕外部計算機訪問而允許內部計算機互聯的快速有效的方法。 保留IP地址范圍:
---- 10.0.0 .0 - 10.255.255.255
---- 172.16.0.0 - 172.31.255.255
--- 192.168.0.0 - 192.168.255.255。
來自保留IP地址的網路交通不會經過Internet路由器，因此被賦予保留IP地址的任何計算機不能從外部網路訪問。但是，這種方法同時也不允許用戶訪問外部網路。IP偽裝可以解決這一問題。

12、合理選擇Linux發行版本：
對於伺服器使用的Linux版本，既不使用最新的發行版本，也不選擇太老的版本。應當使用比較成熟的版本：前一個產品的最後發行版本如RHEL 3.0等。畢竟對於伺服器來說安全穩定是第一的。

13、部署Linux防範病毒軟體
Linux操作系統一直被認為是Windows系統的勁敵，因為它不僅安全、穩定、成本低，而且很少發現有病毒傳播。但是，隨著越來越多的伺服器、工作站和個人電腦使用Linux軟體，電腦病毒製造者也開始攻擊這一系統。對於Linux系統無論是伺服器，還是工作站的安全性和許可權控制都是比較強大的，這主要得力於其優秀的技術設計，不僅使它的作業系統難以宕機，而且也使其難以被濫用。Unix經過20多年的發展和完善，已經變得非常堅固，而Linux基本上繼承了它的優點。在Linux里，如果不是超級用戶，那麼惡意感染系統文件的程序將很難得逞。速客一號(Slammer)、沖擊波(Blast)、霸王蟲(Sobig)、 米蟲(Mimail)、勞拉（Win32.Xorala）病毒等惡性程序雖然不會損壞Linux伺服器，但是卻會傳播給訪問它的Windows系統平台的計算機。

2、LINUX真的很安全嗎?

題主說的Linux安全，應該指的是操作系統的本身的安全吧。這個范圍比較廣，包括Linux內核層的安全與用戶層的安全。用戶層的安全包括Linux下的各種認證系統，比如目前流行的PAM認證機制，Ukey指紋認證機制，遠程網路認證機制，LDAP認證機制，3A認證機制等。用戶層安全還包括網路安全，比如通過iptables定製防火牆，關閉伺服器不必要開啟的埠等。內核態的安全，比如，緩沖區溢出攻擊，當然這個安全漏洞在windows中也是存在的，各種各樣的內核態提權漏洞等，現在有很多網路安全公司基於netfilter框架添加自已的勾子函數， 生產各種入侵檢測系統等。
Linux系統安全之所以在互聯網公司包括像阿里巴巴這樣的公司不受重視，是因為這些公司覺得，做為暴露給用戶的各種應用，如Web應用等，這些應用的安全顯然比操作系統的安全來得更加重要。當應用的安全得不到保障，Web程序被各種腳本小子植入如存儲型XSS腳本，導致用戶密碼被盜，甚至導致一些更嚴重的結果，比如存儲用戶名與密碼的資料庫被脫庫，這個就是相當嚴重的安全事故了。也許這個破壞者完成這些操作，並不需要利用操作系統的漏洞，也不需要取得操作系統的用戶名和密碼，只是要取得一個具有較高許可權的資料庫管理員的密碼即可完成上述操作。當黑客取得Linux系統的普通用戶名與密碼時，當他需要root用戶時，才會去利用操作系統本身的漏洞進行提權。關於Linux操作系統提權漏洞，在2.6.18版本存在較多的提權漏洞，到了2.6.32內核，這種提權漏洞已經少了很多。
回到正題，對於現在的很多IT從業人員來說，前途最直接的體現就是工資，待遇。就目前國內來說，直接從事Linux操作系統安全的公司很少，大部分都是科研院校在做這方面的工作。比如中科院下屬的一些研究所，國家電網、南方電網裡面的研究院，當然還有各大高校的一些信息安全實驗室，還有解放軍叔叔，他們也在從事這些方面的工作。
當然，如同所有的IT技術一樣，Linux操作系統的各種安全機制，也是國外在主導。現有的Linux安全框架叫做LSM，Linux security mole。基於這個框架，可以實現各種各樣的Linux安全機制，其中最著名的就是SELinux。因為Redhat的Linux自帶的安全模塊就是SELinux。SELinux最早是由NSA(美國國家安全局)主導的項目，後面開源了。Redhat在SELinux上做了大量的工作。但SELinux由於其配置比較復雜，再加上許多人認為Linux系統本身已經足夠安全了，所以大部分人都將SELinux設置了disabled。想了解更多Linux命令，可查看《Linux命令大全》，具體搜索方式看下圖：

3、如何做好Linux伺服器安全維護

日常維護方面：
1. Linux操作系統安裝、配置、日常維護。
2. Linux操作系統賬戶審核，對賬戶和密碼進行安全性審核，確定賬戶的安全性。
3. Linux操作系統日誌分析，確定系統運行的狀態。
4. Linux操作系統上必須開啟服務的安裝、配置、日常維護，如Apache。具體的服務根據用戶的需求而定。
5. mysql資料庫安裝、配置、日常維護。
6. 用戶網站的數據備份。

安全檢測方面：
1. Linux操作系統漏洞檢測。定期對系統進行漏洞掃描，並模擬黑客從互聯網上對網站伺服器進行滲透測試，以檢測Linux系統的安全狀況。
2. Linux操作系統安全加固，禁止不必要開放的埠、不安全的服務，啟用防火牆安全策略，設置安全的並發會話等。
3. 在檢測到Linux的安全漏洞時，及時對其進行修補，以保障伺服器的安全。

4、如何保證Linux伺服器的安全

一、更新伺服器。

二、安裝防火牆。

1、通過 iptables-apply 命令為規則集生效。如果丟失連接，修補規則，在繼續之前再試一下。

2、創建文件 /etc/network/if-pre-up.d/iptables，然後寫入下面內容。當你啟動伺服器的時候，將自動載入你的iptables規則。

/etc/network/if-pre-up.d/iptables

5、Linux伺服器防護軟體有哪些

免費的Linux平台殺毒軟體
1、ClamAV 殺毒
ClamAV 殺毒是Linux平台最受歡迎的殺毒軟體，ClamAV屬於免費開源產品，支持多種平台，如：Linux/Unix、MAC OS
X、Windows、OpenVMS。ClamAV是基於病毒掃描的命令行工具，但同時也有支持圖形界面的ClamTK工具。ClamAV主要用於郵件伺服器掃描郵件。它有多種介面從郵件伺服器掃描郵件，支持文件格式有如：ZIP、RAR、TAR、GZIP、BZIP2、HTML、DOC、PDF,、SIS
CHM、RTF等等。ClamAV有自動的資料庫更新器，還可以從共享庫中運行。命令行的界面讓ClamAV運行流暢，你不必以後台進程的方式運行，當你想掃描時只需輸入掃描命令指定文件或目錄就行。
2、Avast Linux 家庭版
對於你的計算機來說，Avast是最好的防病毒解決方案之一。Avast
Linux家庭版是免費的，只能用戶家庭或者非商業用途。簡單易用的用戶界面和其它特性使得Avast變得逐漸流行起來，同樣支持GUI和命令行兩種工具。所有用戶都能輕松地操作，因為它有簡單界面(初級用戶)高級界面(高級用戶)，Avast有以下一些特性：自動更新、內置郵件掃描器等。
3、Avria
另一個Linux下最好的殺毒軟體是Avria免費殺毒版，Avria提供可擴展配置，控制你的計算機成為可能。它有一些很強大的特性，例如：簡單的腳本安裝方式、命令行掃描器、自動更新(產品、引擎、VDF)、自我完整性程序檢查等等。你可以從這個PDF中找到更多關於安裝和特性的信息。
4、AVG 免費版殺毒
現在有超過10億用戶使用AVG殺毒，同樣是Linux機器中不錯的殺毒專家，免費版提供的特性比高級版要少。AVG目前還不支持圖形界面。提供防病毒和防間諜工具，AVG運行速度很快，佔用系統資源很少，支持主流Linux版本如：Debian、Ubuntu、Red
hat、Cent OS、FreeBSD等等。
5、F-PROT 殺毒
F-PORT屬於Linux用戶中的一種新的殺毒解決方案，對家庭用戶免費。它有使用克龍(cron)工具的任務調度的特性，能在指定時間執行掃描任務。同時它還可以掃描USB
HDD、Pendrive、CD-ROM、網路驅動、指定文件或目錄、引導區病毒掃描、鏡像。
從以上討論中可看出，每種殺毒軟體都有它自己的特性，有些支持良好的圖形界面，有些更適合命令行掃描，根據這些特性選擇一款最適合你自己的吧！學習linux知識看《linux就該這么學》

6、Linux系統下FTP伺服器如何實現安全性

作為Internet上的FTP伺服器，系統的安全性是非常重要的，這是建立FTP伺服器者所考慮的第一個問題。其安全性主要包括以下幾個方面：

一、 未經授權的用戶禁止在伺服器上進行FTP操作。

二、 FTP用戶不能讀取未經系統所有者允許的文件或目錄。

三、 未經允許，FTP用戶不能在伺服器上建立文件或目錄.

四、 FTP用戶不能刪除伺服器上的文件或目錄。

FTP伺服器採取了一些驗明用戶身份的辦法來解決上述第一個問題，主要包括以下幾個措施：

FTP用戶所使用的用戶帳號必須在／etc/passwd文件中有所記載（匿名FTP用戶除外），並且他的口令不能為空。在沒有正確輸入用戶帳號和口令的情況下，伺服器拒絕訪問。

FTP守護進程FTPd還使用一個/etc/FTPusers文件，凡在這個文件中出現的用戶都將被伺服器拒絕提供FTP服務。伺服器管理可以建立"不受歡迎"的用戶目錄，拒絕這些用戶訪問。

只有在伺服器的／etc/passwd文件中存在名為"FTP"的用戶時，伺服器才可以接受匿名FTP連接，匿名FTP用戶可以用"anonymous"或"FTP"作為用戶名，自己的Internet電子郵件地址作為保密字。為了解決上述安全性的另外三個問題，應該對FTP主目錄下的文件屬性進行管理，建議對每個目錄及其文件採取以下一些措施：

FTP主目錄：將這個目錄的所有者設為"FTP"，並且將屬性設為所有的用戶都不可寫，防止不懷好意的用戶刪改文件。

FTP/bin目錄：該目錄主要放置一些系統文件，應將這個目錄的所有者設為"root"（即超級用戶），並且將屬性設為所有的用戶都不可寫。為保證合法用戶可顯示文件，應將目錄中的ls文件屬性設為可執行。

FTP/etc目錄：將這個目錄的所有者設為"root"，並且將屬性設為所有的用戶都不可寫。將目錄下的group文件和passwd文件的屬性設為所有用戶只讀屬性，並用編輯器將passwd文件中用戶加過密的口令刪掉。

FTP/pub目錄：將這個目錄的所有者置為"FTP"，並且將它的屬性設為所有用戶均可讀、寫、執行。

這樣經過設置，既保證了系統文件不被刪改，又保證了FTP合法用戶的正常訪問

7、linux伺服器安全審計怎麼弄

材料：

Linux審計系統auditd 套件

步驟：

安裝 auditd

REL/centos默認已經安裝了此套件，如果你使用ubuntu server，則要手工安裝它：

sudo apt-get install auditd

它包括以下內容：

auditctl : 即時控制審計守護進程的行為的工具，比如如添加規則等等。

/etc/audit/audit.rules : 記錄審計規則的文件。

aureport : 查看和生成審計報告的工具。

ausearch : 查找審計事件的工具

auditspd : 轉發事件通知給其他應用程序，而不是寫入到審計日誌文件中。

autrace : 一個用於跟蹤進程的命令。

/etc/audit/auditd.conf : auditd工具的配置文件。

Audit 文件和目錄訪問審計

首次安裝 auditd 後, 審計規則是空的。可以用 sudo auditctl -l 查看規則。文件審計用於保護敏感的文件，如保存系統用戶名密碼的passwd文件，文件訪問審計方法：

sudo auditctl -w /etc/passwd -p rwxa

-w path : 指定要監控的路徑，上面的命令指定了監控的文件路徑 /etc/passwd

-p : 指定觸發審計的文件/目錄的訪問許可權

rwxa ： 指定的觸發條件，r 讀取許可權，w 寫入許可權，x 執行許可權，a 屬性（attr）

目錄進行審計和文件審計相似，方法如下：

$ sudo auditctl -w /proction/

以上命令對/proction目錄進行保護。

3. 查看審計日誌

添加規則後，我們可以查看 auditd 的日誌。使用 ausearch 工具可以查看auditd日誌。

sudo ausearch -f /etc/passwd

-f 設定ausearch 調出 /etc/passwd文件的審計內容

4. 查看審計報告

以上命令返回log如下：

time->Mon Dec 22 09:39:16 2016

type=PATH msg=audit(1419215956.471:194): item=0 name="/etc/passwd"

inode=142512 dev=08:01 mode=0100644 ouid=0 ogid=0 rdev=00:00 nametype=NORMAL

type=CWD msg=audit(1419215956.471:194): cwd="/home/somebody"

type=SYSCALL msg=audit(1419215956.471:194): arch=40000003 syscall=5 

success=yes exit=3 a0=b779694b a1=80000 a2=1b6 a3=b8776aa8 items=1 ppid=2090 pid=2231 auid=4294967295 uid=1000 gid=1000 euid=0 suid=0 fsuid=0 egid=1000 sgid=1000 fsgid=1000 tty=pts0 ses=4294967295

comm="sudo" exe="/usr/bin/sudo" key=(null)

time : 審計時間。

name : 審計對象

cwd : 當前路徑

syscall : 相關的系統調用

auid : 審計用戶ID

uid 和 gid : 訪問文件的用戶ID和用戶組ID

comm : 用戶訪問文件的命令

exe : 上面命令的可執行文件路徑

以上審計日誌顯示文件未被改動。

8、linux伺服器一般都做哪些方面的安全措施

方法非常多:1.設置嚴格的許可權2.定期檢查文件系統,避免程序文件帶有setuidsetgid許可權find/-typef-perm+6000很多系統文件帶有這樣的特殊許可權,需要加以區分的3.設置磁碟配額,避免非法佔用過多磁碟空間4.為不允許修改的文件設置i屬性,為日誌類文件增加a屬性,是的文件不能被修改或者只能追擊內容而不能修改和刪除chattr+ifilenamechattr+afilename5對於存儲數據的文件系統,還可以為mount命令指定-onoexec,nosuid選項

9、linux伺服器安全怎麼處理

首先，這些惡意的攻擊行為，旨在消耗伺服器資源，影響伺服器的正常運作，甚至攻擊到伺服器所在網路癱瘓。還有一方面，就是入侵行為，這種大多與某些利益有關聯，有的涉及到企業的敏感信息，有的是同行相煎。

第一，做好硬體維護

當處理數據越來越多，佔用資源也隨之增多時，伺服器就需要更多的內存和硬碟容量來儲存這些資源，因此，每隔段時間後伺服器需要升級，可是需要注意的增加內存或者硬碟時，要考慮到兼容性、穩定性，否則不同型號的內存有可能會引起系統出錯。

還有對設備進行卸載和更換時，需要仔細閱讀說明書，不要強行拆卸，而且必須在完全斷電，伺服器接地良好的情況下進行，防止靜電對設備造成損壞。

同樣，伺服器的最大殺手塵土，因此需要定期給伺服器除塵。特別要注意電源的除塵。

第二，做好數據的備份

對企業來說，伺服器上的數據是非常寶貴，如果資料庫丟失了，損失是非常巨大的，因此，企業需對數據進行定期備份，以防萬一。一般企業都需要每天對伺服器上的數據進行備份，而且要將備份數據放置在不同伺服器上，

數據需要備份，同樣需要防盜。可以通過密碼保護好磁帶並且如果你的備份程序支持加密功能，你還可以加密這些數據。同時，要定好備份時間，通常備份的過程會選擇在晚上10點以後進行，到半夜結束。

第三，定期做好網路檢查

第四，關閉不必要的服務，只開該開的埠

對於初學者，建議在所有的工作站上使用Windows 2000。Windows 2000是一個非常安全的操作系統。如果你並不想這樣做，那麼至少使用Windows NT。你可以鎖定工作站，使得一些沒有安全訪問權的人想要獲得網路配置信息變得困難或是不可能。

或者關閉那些不必要開的服務，做好本地管理和組管理。Windows系統有很多默認的服務其實沒必要開的，甚至可以說是危險的，比如：默認的共享遠程注冊表訪問(Remote Registry Service)，系統很多敏感的信息都是寫在注冊表裡的，如pcanywhere的加密密碼等。

關閉那些不必要的埠。一些看似不必要的埠，確可以向黑客透露許多操作系統的敏感信息，如windows 2000 server默認開啟的IIS服務就告訴對方你的操作系統是windows 2000。69埠告訴黑客你的操作系統極有可能是linux或者unix系統，因為69是這些操作系統下默認的tftp服務使用的埠。對埠的進一步訪問，還可以返回該伺服器上軟體及其版本的一些信息，這些對黑客的入侵都提供了很大的幫助。此外，開啟的埠更有可能成為黑客進入伺服器的門戶。

以上是伺服器日常操作安全維護的一些技巧。

10、加強Linux伺服器安全性的幾種方法

1、加密數據通信方式。

所有通過網路傳輸的數據都是可以被監聽的，因此只要有可能就要使用密碼、證書等方式加密你的通訊數據。
2、最小化軟體安裝原則。

你確實需要伺服器上安裝的所有服務嗎？避免安裝不必要的服務就是避免漏斗。使用 RPM 包管理工具，例如 yum 或者 apt-get 、dpkg 來檢查系統上安裝的軟體包，同時刪除不必要的包。
3、每個系統或實例上只運行一種服務。

將不同的服務運行在單獨的伺服器或虛擬化實例中。例如：如果黑客攻破Apache進入到系統中，他就可以訪問部署在這台伺服器上的Mysql、E-Mail等其他服務，盡量不要這么做。