* [gentoo-commits] gentoo commit in xml/htdocs/doc/zh_cn/security: shb-pre.xml
@ 2010-01-19 14:45 Le Zhang (r0bertz)
0 siblings, 0 replies; only message in thread
From: Le Zhang (r0bertz) @ 2010-01-19 14:45 UTC (permalink / raw
To: gentoo-commits
r0bertz 10/01/19 14:45:49
Added: shb-pre.xml
Log:
[zh_cn] added shb-pre.xml, thanks to Yang Xiaoguang
Revision Changes Path
1.1 xml/htdocs/doc/zh_cn/security/shb-pre.xml
file : http://sources.gentoo.org/viewcvs.py/gentoo/xml/htdocs/doc/zh_cn/security/shb-pre.xml?rev=1.1&view=markup
plain: http://sources.gentoo.org/viewcvs.py/gentoo/xml/htdocs/doc/zh_cn/security/shb-pre.xml?rev=1.1&content-type=text/plain
Index: shb-pre.xml
===================================================================
<?xml version='1.0' encoding='utf-8'?>
<!-- $Header: /var/cvsroot/gentoo/xml/htdocs/doc/zh_cn/security/shb-pre.xml,v 1.1 2010/01/19 14:45:49 r0bertz Exp $ -->
<!-- English CVS version: 1.3 -->
<!DOCTYPE sections SYSTEM "/dtd/book.dtd">
<!-- The content of this document is licensed under the CC-BY-SA license -->
<!-- See http://creativecommons.org/licenses/by-sa/1.0 -->
<sections>
<version>1.0</version>
<date>2005-05-31</date>
<section>
<title>物理安全</title>
<body>
<p>
无论你实现了多少安全防护措施，攻击者们仍然可以通过物理访问来绕过这些措施。尽管如此，还是有一些措施能够的提供的阻止攻击者通过物理访问来攻击你的计算机。把你的计算机锁在壁橱里也许能防止攻击者拔掉电源后带走你的计算机。把你的机箱锁上也是一个不错的选择，这样一来攻击者就不能把你的硬盘拿走了。为了防止攻击者从另一块硬盘启动，然后完美地绕过你的权限设置和登陆限制，请试着在BIOS里把你的硬盘设置成第一启动设备，然后设置一个BIOS密码。设置LILO或者GRUB的密码也是很重要的措施，这样一来一些别有用心的用户就不能进入到单一用户模式（single-user mode）然后获取你的系统的完全权限。更多有关的具体信息在第三章可以找到，地址是<uri link="?part=1&chap=2#passwording_GRUB">设置GRUB密码</uri>和<uri link="?part=1&chap=2#
passwording_LILO">设置LILO密码</uri>。
</p>
</body>
</section>
<section>
<title>规划你的守护程序和服务</title>
<body>
<p>
首先我们来说说这台机器应该运行的服务。这将有助于你为你的系统设计一个更好的分区结构，而且这也将有助于你更好地计划你的安全措施。当然，这对于一些只有简单的单机操作（如桌面系统或者专用防火墙）的机器来说是不必要的。在这些情况下，你可能不需要运行<e>任何</e>服务，当然如果你需要sshd，你也可以启动它。
</p>
<p>
这个列表对系统管理也有所帮助。如果你有最新的版本信息列表，在你发现你的某个守护程序有一个远程漏洞的时候，你就会发现升级所有的东西变得更简单了。
</p>
</body>
</section>
<section>
<title>分区结构规划</title>
<body>
<p>
分区规则：
</p>
<ul>
<li>
普通用户可写的每一个目录树（比如<path>/home</path>和<path>/tmp</path>）都应该被放在一个单独的分区里，并请使用磁盘限额。这将会减少某个用户填满你的整个文件系统所造成的风险。Portage使用<path>/var/tmp</path>来编译文件，所以这个分区应该足够大。
</li>
<li>
任何你准备在其中安装非发布的软件的目录树应该被放在一个单独的分区里。根据<uri link="http://www.pathname.com/fhs/">文件结构标准</uri>，这个目录可能是<path>/opt</path>或者<path>/usr/local</path>。如果这些目录处在一个单独的分区里，在你重新安装系统的时候它们就不会被抹除掉了。
</li>
<li>
为了得到更多的安全性，你可以把静态数据放到单独的一个分区里，并且使用只读模式挂载这个分区。如果你还不放心，想要绝对安全的话，试试只读的媒体介质（比如CD-ROM）吧。
</li>
</ul>
</body>
</section>
<section>
<title>root用户</title>
<body>
<p>
root用户是系统中及其重要的用户，并且除了非常必要的时候请不要使用它来做任何事。如果一个攻击者取得了root权限，你唯一能够再次信任你的系统的方法就只有重新安装系统了。
</p>
<p>
root用户的黄金规则
</p>
<ul>
<li>
请建立一个日常使用的普通用户。如果你想要它能够切换到root用户，你可以把该用户加入到“wheel”组里，这样一来一个普通用户就能使用su来切换到root用户了。
</li>
<li>
请不要使用root用户来运行X或其他用户程序。你应当只在真正非常需要的时候才使用root用户。如果你使用普通用户来运行一个程序，当程序出现漏洞的时候，攻击者只能得到普通用户权限，但是如果你使用root用户来运行该程序，攻击者就会得到root用户权限了。
</li>
<li>
当你用root用户登陆的时候，请使用绝对路径来运行程序（或者使用<c>su -</c>，这个命令可以把普通用户的环境变量用root用户的环境变量覆盖掉，与此同时它可以保证root用户的<c>PATH</c>只包含了受保护的目录（比如：<path>/bin</path>和<path>/sbin</path>）。有时候root用户会被欺骗到以至于运行一个完全不同的程序，然而这个程序本应由另一个普通用户运行。如果root的<c>PATH</c>是被保护了的或者root用户只使用绝对路径来运行程序，我们就可以保证这样的事情不会发生。
</li>
<li>
如果一个普通用户需要以root用户身份来运行一些命令，请考虑使用<c>sudo</c>而不是完全切换到root用户。当你使用sudo的时候你仍然需要十分小心！
</li>
<li>
当你使用root用户登录的时候请永远不要离开命令行终端。
</li>
</ul>
<p>
Gentoo有一些默认的保护措施来抵制普通用户通过<c>su</c>来切换到root用户。默认的PAM设置要求普通用户要在\“wheel\”组里才能使用<c>su</c>。
</p>
</body>
</section>
<section id = "security_policies">
<title>安全策略</title>
<body>
<p>
这里有几个你需要为你的系统和网络起草一份安全策略的原因。
</p>
<ul>
<li>
一个好的安全策略可以让你在\“系统\”层面上进行安全规划，而不仅仅是把几个不同的特性混杂组装在一起。比如说，如果没有一个安全策略，管理员可能会决定把telnet关掉，因为它传输未加密的密码，但是他可能忽略了具有同样缺点的FTP服务。一个好的安全策略可以让你分辨出哪些安全措施是值得做的，而哪些是不值得做的。
</li>
<li>
为了诊断问题和审查用户行为或者追踪入侵者，有时候你可能需要切断网络连接，然后检查用户登录和用户命令行历史，接着查看用户主目录。在没有输出这种行为的提示并且用户们并不知情的时候，这种行为可能是违法的，而且这可能使<e>你</e>陷入法律危险之中。
</li>
<li>
截获用户帐户是威胁到系统安全的最普遍问题。在没有向用户说明安全是多么重要和如何成就一个安全的系统（比如不要使用放在他们桌面上的便签来记录密码）的情况下，你不太可能对用户安全能够抱有一丝希望。
</li>
<li>
一个有详细记录的网络和系统界面将会帮助你处理这些问题，也包括涉及到法律问题的强制性检查（在事后追踪入侵者和发现漏洞的必要时候）。一个安全策略将会对入侵者打出一道横幅，它将表明你的系统是一个私人网络并且任何未经验证的操作都是不允许的，这将会帮你保住起诉入侵者的权利（在入侵者被捕后）。
</li>
</ul>
<p>
希望你现在能够很好地理解为什么我们需要一个良好的安全策略了。
</p>
<p>
安全策略自身是一个文档或者几个文档，它描述了你的网络和系统的特性（比如说提供什么样的服务）、什么操作是被接受的和什么操作是被禁止的、最佳安全措施等等。每一位用户都应该知道你的安全策略和你对它做的一些升级性改动。你应该花费一些时间来帮助用户理解你的安全策略和为什么他们必须遵守规定，当然还有用户之直接违反你的规定的后果（在你的安全策略里应该提到这一点），因为这些事情都非常重要。这些问题每年应该至少被提及一次，因为策略很有可能会有变动（这也是对用户的一种提醒）。
</p>
<note>
创建一个易读的和每方面都很准确的安全策略
</note>
<p>
一个安全策略至少要包含一下内容：
</p>
<ul>
<li>允许的操作
<ul>
<li>屏幕保护程序</li>
<li>密码处理</li>
<li>软件下载和安装</li>
<li>在用户被监控的情况下输出声明信息</li>
<li>防病毒软件的使用</li>
</ul>
</li>
<li>处理敏感信息（任何书面格式或数码格式的信息）
<ul>
<li>清理桌面和寻找分类信息</li>
<li>在离开前关闭计算机</li>
<li>加密的使用</li>
<li>对于可信任合作者的key的处理</li>
<li>在旅游的时候处理机密信息</li>
</ul>
</li>
<li>在旅游时处理计算机设备
<ul>
<li>在旅游或住旅馆的时候处理便携式电脑</li>
</ul>
</li>
</ul>
<p>
不同的用户可能需要不同的方面，并且他们有自己的操作方式，所以你的策略可能需要根据他们的需求做出调整。
</p>
<p>
安全策略可能会很庞大，而且至关重要的信息可能会被用户落下。IT工作者的策略可能会包含一些对于普通用户来说是机密的信息，所以比较聪明的方法是把你的策略分成几个不同的小策略，比如说：允许的操作的策略、密码策略、邮件策略和远程操作策略。
</p>
<p>
你可以在<uri link="http://www.sans.org/resources/policies/">SANS安全策略计划</uri>里找到一些策略的样本。如果你有一个比较小的网络并且你认为这些策略对你来说太多了，你应该看一看<uri link="ftp://ftp.isi.edu/in-notes/rfc2196.txt">网站安全手册</uri>。
</p>
</body>
</section>
</sections>
^ permalink raw reply [flat|nested] only message in thread
only message in thread, other threads:[~2010-01-19 14:45 UTC | newest]
Thread overview: (only message) (download: mbox.gz follow: Atom feed
-- links below jump to the message on this page --
2010-01-19 14:45 [gentoo-commits] gentoo commit in xml/htdocs/doc/zh_cn/security: shb-pre.xml Le Zhang (r0bertz)
This is a public inbox, see mirroring instructions
for how to clone and mirror all data and code used for this inbox