UNIX系统安全危机评估手段(1)

UNIX系统安全危机评估手段(1)

1、概述

目前，国内重要政府部门(如财税、公安、电信、移动、电力等)、大型公司和著名门户网站，都使用UNIX系列服务器来运行其关键业务如电子商务、数据库等。这些部门或者公司往往有数百台Linux/Unix系统服务器，由多名系统管理员负责管理，并通过规章制度，对系统管理员的行为进行规范。但是，由于缺乏相应的先进工具和手段，这些部门或者企业无法保证系统管理员严格按照规范来进行管理，无法保证系统管理员的真实管理行为和规章制度要求一致，和系统管理员的管理报告一致，以至于企业网络及服务器常处于不可信、不可控、不可视状态。另外，由于服务器众多，系统管理员压力太大等因素，人为误操作的可能性时有发生，这会对部门或者企业声誉造成重大影响，并严重影响其经济运行效能。黑客也有可能通过手段，获取系统权限，闯入部门或企业内部网络，这样造成的损失，更不可估量。因此，如何提高系统管理员的管理水平，如何防止黑客的入侵，如何跟踪服务器上用户行为，将系统宕机时间、故障时间等减到最小，已经成为这些部门或者企业至关重要的问题。

2、现存问题与服务器管理现状

2.1 UNIX服务器系统安全存在的问题

2.1.1 企业UNIX安全风险分析

1、严重的攻击来自系统内部(53%来自内部攻击)

2、 UNIX运行最为关键的业务系统攻击趋向于获取商业利益

3、 交换网络环境难于实施网络入侵检测

4、 基于主机的IDS/IPS 开始成熟，可以减轻网络传输攻击级别安全威胁，但不是全部

5、 用户操作难于审计

6、 操作/管理/维护不善，造成的安全威胁和损失日趋严重

2.1.2 UNIX/LINUX安全风险-口令安全风险分析

1、R-Services -- Trust Relationships

(很多R服务漏洞被利用，都是因为口令问题引起。入侵者使用脆弱的帐户口令，利 用系统文件和目录的访问控制漏洞，设置信任主机，获取关键信息、破坏应用系统!)

2、General Unix Authentication

(用户口令简单、无口令或口令被泄漏，入侵者使用普通用户或root权限对系统进行破坏，种植木马、获取信息并涂改日志，消灭犯罪证据。)

3、社会工程

(黑客、恶意破坏者可以通过社会工程渠道，获取口令)

2.1.3 UNIX/LINUX企业应用问题

1、网络管理人选需要监控第三方程序操作和命令(用户登录系统，执行mysql,oracle,ssh 等命令，容易产生数据破坏或者网络攻击，所有的这些操作需要被跟踪和限制)

2、大型集中应用环境不易统一监控、管理和快速响应(对于大型应用环境，网络管理员要管理和配置大量UNIX/LINUX服务器，大量事故响应，网络管理人员不堪重负)

3、无法提供对网络通信设备的操作，修改等行为审计(网络通信设备常常在UNIX/LINUX系统上通过ssh远程登录进行管理，对网络通信设备的操作无法审计，埋下安全隐患)

4、网络管理人员需要统一的手段，对服务器组进行安全保护(网络管理人员常用防火墙，IDS等设备，针对网段进行隔离和操作限制，因此，网络管理人员需要不同手段，对外网/内网用户应用不同安全保护策略，应用和实施麻烦，容易疏忽造成隐患)

5、服务器及其集群的运行状态监控已及性能调控(现有服务器监控软件基本上都是单机、单服务器方式运行，需要高素质管理人才进行管理。将服务器状态信息集中化，发现企业服务器运行状态及瓶颈，成为UNIX应用的比较急切和关心的问题)

2.2 集中式网络管理

集中式网络管理是目前比较流行的网络管理方式，系统管理员用普通用户账号(如：admin)登录管理作业服务器，然后转换身份(su)为ROOT，再对相关服务器进行维护。该管理方式网络逻辑图如下：

集中式网络管理简单高效，配合网络边界安全设备，能比较好的保证服务器的运行安全，保证业务正常进行。集中式管理属于多用户单账号管理方式，多个用户共享ROOT帐号和权限，存在如下明显缺点：

1、多个管理员共享ROOT用户权限，无法区别命令的操作者、执行者。

2、无法跟踪某个管理员的确切操作。如果用户执行误操作或攻击者在服务器上输入命令造成系统瘫痪，即便有日志可查询也只能看到是ROOT相关操作，并不能找到罪魁祸首，也不能很好的规范系统管理员的行为。

3、启用第三方远程日志服务器可以解决日志安全问题，但达不到审计管理员行为效果。

4、 由于程序开发人员、系统维护人员、数据库管理人员等多种角色都使用admin账户、ROOT账户，造成权限划分不明，所有人员都具有最高的ROOT权限，无形中增大误操作带来的危害。

5、 由于所有角色都具有ROOT密码，也不利于账号密码的安全管理。

2.3 严格分权管理

严格分权管理在软件生产企业比较多见，用户只能够拥有自己的账号和权限，只能在自己权限下进行服务器操作。

严格分权管理源自UNIX系统自身的权限管理方式，如：用useradd，passwd等进行用户账号和权限设置。账号和权限由管理员分配，由用户自己进行密码管理。严格分权管理比较安全，是公认比较安全的管理方式。但是，该方式可能影响生产正常进行，存在如下需要改进的地方：

1、严格分权管理属于多用户多账号管理方式，用户在自己权限下生产和工作，但是，由于生产的特殊性，常常需要用户具有ROOT账户权限。这就造成生产和管理的矛盾，临时ROOT权限分发可以解决ROOT权限生产问题，但是，这极大增大管理的复杂性和不安全性，稍有舒服，就可能造成管理的混乱。不分发ROOT权限，可能导致生产不能正常进行，至少影响生产效率。

2、 现有操作系统存在许多安全隐患，暴力破解、溢出攻击、社会工程等攻击方式，都可能使普通用户或者黑客获取ROOT账户权限，进而执行普通用户权限外的操作，产生破坏。

3、 严格分权管理管理负担比较重，管理员要对权限的分配和服务器上行为负责，同时，用户在服务器上行为对管理员来说不可视，不可审计，出现问题，没人负责。