(4)系统泄密后怎么办? 

　　发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对肇事用户.如果该用户所做的事不是蓄意的,而且公司没有关于"破坏安全"的规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间.如果该用户造成了某些损坏,则应当报告有关人士,并且应尽可能地将系统恢复到原来的状态. 

　　如果肇事者是非授权用户,那就得做最坏的假设了:肇事者已设法成为root且本系统的文件和程序已经泄密了.系统管理员应当想法查出谁是肇事者,他造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID和SGID,设备文件.如果系统安全被一个敌对的用户破坏了,应当采用下面的步骤: 

　　. 关系统,然后重新引导,不要进入多用户方式,进入单用户方式. 
　　. 安装含有本系统原始UNIX版本的带和软盘. 
　　. 将/bin,/usr/bin,/etc,/usr/lib中的文件拷贝到一个暂存目录中. 
　　. 将暂存目录中所有文件的校验和(用原始版本的suM程序拷贝做校验和, 不要用/bin中的suM程序做)与系统中所有对就的文件的校验和进行比较,如果有任何差别,要查清差别产生的原因.如果两个校验和不同,是由于安装了新版本的程序,确认一相是否的确是安装了新版本程序.如果不能找出校验和不同的原因,用暂存目录中的命令替换系统中的原有命令. 
　　. 在确认系统中的命令还未被窜改之前,不要用系统中原命令.用暂存目录中的shell,并将PATH设置为仅在暂存目录中搜索命令. 
　　. 根据暂存目录中所有系统命令的存取许可,检查系统中所有命令的存取许可. 
　　. 检查所有系统目录的存取许可,如果用了perms,检查permlist文件是否被窜改过. 
　　. 如果系统UNIX(/unix)的校验和不同于原版的校验和,并且系统管理员从未修改过核心,则应当认为,一个非法者"很能干",从暂存缓冲区重新装入系统.系统管理员可以从逐步增加的文件系统备份中恢复用户的文件,但是在检查备份中的"有趣"文件之前,不能做文件恢复. 
　　. 改变系统中的所有口令,通知用户他们的口令已改变,应找系统管理员得到新口令. 
　　. 当用户来要新口令时,告诉用户发生了一次安全事故,他们应查看自己的文件和目录是否潜伏着危害(如SUID文件,特洛依木马,任何人可写的目录),并报告系统管理员任何异乎寻常的情况. 
　　. 设法查清安全破坏是如何发生的?如果没有肇事者说明,这也许是不可能弄清的.如果能发现肇事者如何进入系统,设法堵住这个安全漏洞. 

　　第一次安装UNIX系统时,可以将shell,sum命令,所有文件的校验和存放在安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质).于是不必再从原版系统带上重新装入文件,可以安装备份介质,装入shell和sum,将存在带上的校验和与系统中文件的校验和进行比较.系统管理员也许想自己写一个计算校验和的程序,破坏者将不能知道该程序的算法,如果将该程序及校验和保存在带上,这一方法的保密问题就减小到一个物理的安全问题,即只需将带锁起来. 

　　9.加限制的环境 

　　(1)加限制的shell(rsh) 

　　该shell几乎与普通的shell相同,但是该shell的设计能限制一个用户的能力,不允许用户有某些标准shell所允许的行为: 

　　. 不能改变工作目录(cd). 
　　. 不能改变PATH或SHELL shell变量. 
　　. 不能使用含有"/"的命令名. 
　　. 不能重定向输出(>和>>). 
　　. 不能用exec执行程序. 

　　用户在登录时,招待.profile文件后系统就强加上了这些限制,如果用户在.profile文件正被解释时按了BREAK键或DELETE键,该用户将被注销. 

　　这些简单的限制,使用写受限制用户的.profile文件的系统管理员可以对用户能使用什么命令,进行完全的控制. 

　　应当注意:系统V加限制的shell实际上不是很安全,在敌对的用户时不要用.系统V版本2以后的版本中加限制的shell更安全些.但若允许受限制的用户使用某些命令(如env,cp,ln),用户将能逃避加限制的shell,进入非限制的shell. 

　　(2)用chroot()限制用户 

　　如果的确想限制一个用户,可用chroot()子程序为用户建立一个完全隔离的环境,改变了进程对根目录的概念,因此可用于将一个用户封在整个文件系统的某一层目录结构中,使用户无法用cd命令转出该层目录结构,不能存取文件系统中其余部分的任何文件.这种限制方式比加限制的shell好得多.用户使用的命令应由系统管理员在新的root目录中建立一个bin目录,并建立用户可用命令的链到系统的/bin目录中相应命令文件上(若在不同的文件系统则应拷贝命令文件). 

　　还应建立新的passwd文件,保留系统登录户头(为了使ls -l正确地报告与受限制的子文件系统中的文件相关的正确登录名)和用户帐户,但系统帐户的口令改为NOLOGIN以使受限制的用户不能取得系统登录的真实口令,使"破密"程序的任何企图成为泡影. 

　　utmp文件是who所需要的,该文件含有系统中已登录用户的列表. 

　　新的/etc/profile文件也不是建链文件,以便受限制的用户可以执行不同的启动命令. 

　　/dev目录中的终端设备文件被链接到新的/dev目录下,因为命令who产生输出时要查看这些文件. 

　　在系统V及以后的UNIX版本中,login命令有chroot()的功能.如果口令文件中用户入口项的登录shell域(最后一个域)是*,login将调用chroot()把用户的根目录设置成为口令文件中用户入口项登录目录域指定的目录.然后再调用exec()执行login,新的login将在新子系统文件中执行该用户的登录. 

　　chroot()并不是把root封锁在一个子文件系统中,所以给受限制用户用的命令时应加以考虑,具有root的SUID许可的程序可能会给予用户root的能力.应当将这种可能减低到最小程度,交给用户使用的命令应当取自清除了SUID陷井的系统命令.链接文件可减少磁盘占用区,但要记住,当与敌对用户打交道时链接到chroot目录结构(尤其是命令)的系统文件是很危险的. 

　　如果建立一个像这样的限制环境,应确保对安装到新的/bin的每条命令都做过测试,有些程序可能有系统管理员未曾想到的出乎意料的执行结果.为了使这些命令能运行,还得在加限制的子文件系统中加服务目录或文件如:/tmp,/etc/termcap,/usr/lib/terminfo,/dev/mem,/dev/kmem,/dev/swap,用户所登录的/dev中的tty文件以及/unix. 

　　有些程序在子文件系统中运行时不会很好,如果将假脱机程序和网络命令拷贝到加限制的子文件系统中,并放在为两条命令专建的目录层结构下,它们可能也运行不了. 

　　10.小系统安全 

　　任何足够小,运行于办公室的UNIX系统就是小系统.这类小系统也包括所有台式UNIX机器.根据安全观点,使小系统很特别而值得特别的有以下几点: 

　　. 小系统的用户比大系统的用户少,通常是很小一组用户,使系统管理员能熟悉每个人,安全问题可以直接地面对面处理. 
　　. 由于小UNIX系统管理更简单,可能只需要一个系统管理员,因而维护系统安全的责任只有一个人担负. 
　　. 如果既是用户又是系统管理员,将不能花大量时间考虑系统安全. 
　　. 如果自己拥有系统并且是系统管理员,就可能有权直接将违反规的用户从系统中删除,而没有几个大系统的管理员能有这种权利. 
　　. 如果自己是系统的唯一用户,则将既是用户又是管理员,维护系统安全的任务就很简单了,只须确保系统中所有登录户头的口令是好的. 
　　. 如果不能将系统锁起来,就把敏感的数据存放在软盘上,把软盘锁起来. 
　　. 即使系统中有若干个用户,但如果系统的终端之产是有线连接,并且用户们保持门上锁,则系统也将是安全的,至少在本组用户内是安全的. 
　　. 小系统通常有可移动的介质(软盘),可用mount命令将其安装到系统上,提供一种安全的方法让用户自己在系统上安装软盘,否则系统管理员要一天到晚地干这些琐碎的安装盘事务.允许用户安装软盘的通常做法是给用户一个SUID程序,该程序基本完成与系统管理员安装用户软盘同样的操作, 首先检查软盘上有无SUID/SGID/设备文件,若发现任何奇怪的文件,则拒绝安装该软盘. 
　　. 当小系统开电源后,系统一般在从硬盘引导以前,先试图从软盘引导.这就意味着计算机将首先试图从软盘装入程序,若软盘不在驱动器中,系统将从硬盘装入UNIX内核.软盘几乎可以含有任何程序,包括在控制台启动root shell的UNIX系统版本.如果破坏者有一把螺丝起子和有关系统内部的一些知识,则即便系统有被认为防止安全事故发生的特殊"微码"口令, 也可能被诱骗去从软盘引导. 
　　. 即使小系统晚上不锁,凡从不将个人的或秘密的信息存放在大系统上的人他们不可能认识所有系统上的用户),也不会想把这样的信息存放在小系统上. 
　　. 小系统的系统管理员在使用UNIX系统方面常不如大系统管理员有经验,而安全地管理系统需要一定的使用系统的知识.