Tìm hiểu bảo mật trên linux

Tìm hiểu chế đọ bảo mật trên Linux, bao gồm các chế độ, các dịch vụ phương thức tối ưu hệ thống để bảo mật tối ưu nhất. hệ điều hành Linux gồm rất nhiều chế độ hỗ trợ bảo mật người danh cho người sử dụng, đói với hệ thống server người thuê dich vụ phải bảm bảo hợp đồng với hãng sản xuất để có được sự bảo vệ tốt nhất

CHƯƠNG IV: BẢO MẬT TRÊN LINUX 4.1 Xác định và ngắt các dịch vụ không cần thiết

Mặc dù các mã cài đặt mặc định từ đĩa CD phân phối Linux khiến choviệc cài đặt Linux dễ dàng hơn, nhưng chúng cũng thêm một số lượng lớn cácdịch vụ vào hệ thống, khi chưa sử dụng dịch vụ này hoặc trường hợp xấu nhất làrời các cổng để mở cho các cuộc tấn công từ bên ngoài Càng chạy nhiều dịch

vụ thì càng nhiều cổng cho những kẻ xâm nhập Vì thế để bảo vệ hệ thống, tốtnhất là tắt các dịch vụ không cần thiết

4.1.1 Tìm kiếm các dịch vụ đang sử dụng

Trước tiên cần quyết định những dịch vụ nào không cần thiết, những dịch

vụ nào đang được dùng Để thực hiện điều này, chạy netstart.Đầu tiên mở một cửa sổ cuối và sử dụng lệnh su để chuyển tới root Rồi nhập

lệnh #netstart –tap > listening.services,#netstart-tap >list, theo sau bởi lệnh

#less listening.services Ở redhat cũng có thể dùng #chkconfig list

Những lệnh này sẽ hiển thị một danh sách tất cả các dịch vụ hiện đangchạy với trạng thái LISTEN Đồng thời cũng liệt kê PID của các dịch vụ và têncủa chương trình bắt đầu các dịch vụ

Nếu không thể xác định một dịch vụ được liệt kê, có lẽ không cần nó

Nếu dịch vụ này không hiển nhiên từ đầu, sử dụng lệnh ps, find, grep hoặc

locate để tìm thêm nhiều thông tin về các chương trình hay các PID đặc biệt Đồng thời cũng kiểm tra /etc/services cho một số tên dịch vụ hay số cổng

Các dịch vụ hệ thống được bắt đầu bởi mã init được tìm thấy tại

/etc/init.d/ (hay tại một số phân phối, kể cả Red Hat trong /etc/rc.d/init.d/) Sử dụng ls trên thư mục này để đưa một danh sách các mã

4.1.2 Quyết định ngắt các dịch vụ nào

Khi lập kế hoạch sử dụng hệ thống Linux như một máy để bàn độc lậpvới truy nhập vào Internet, đầu tiên cần phải kiểm tra liệu có bất kỳ dịch vụ nàođược liệt kê trong bảng đang hoạt động không

NFS (Network File System) và các

dịch vụ liên quan: nfsd, lockd,

mountd, statd, portmapper

NFS là dịch vụ UNIX chuẩn để chia

sẻ các file thông qua mạng Chỉ nênđược sử dụng để chia sẻ các file thôngqua mạng LAN, không nên quaInternet Không nên bật hệ thống NFStrên hệ thống độc lập

r* services: rsh, rlogin, rexec,

rcp…

Sẽ được liệt kê trong các đầu ranetstat mà không cần r (rlogin sẽ đượcliệt kê là login) Nếu cần thiết, sửdụng ssh thay thế

Máy chủ ftp Chỉ sử dụng với các máy chủ ftp

chuyên dụng có thể được kiểm tra vàbảo mật Đối với các file trao đổikhác, sử dụng scp hoặc http

BIND (named), gói DNS Server Dịch vụ này được yêu cầu cho các

hoạt động hệ thống như là tên cácmáy chủ cho miền Chúng nên đượchạn chế hay đặt trong tường lửa khi sửdụng qua Internet

Nhân tố chuyển thư: sendmail,

exim, postfix, qmail

Những dịch vụ này là không cần thiếtcho các máy tính độc lập mà sẽ sửdụng một dịch vụ ISP’s POP nhậntrực tiếp thư từ các máy chủ Internettrên mạng LAN, chỉ cho phép cácdịch vụ này sau tường lửa, truy nhậpcác chính sách đúng chỗ

Bảng 1: Các dịch vụ tiêu biểu không nên cho phép hoạt động trên Internet Ghi chú trong bảng thật sự là rlogin, rsh và cần phải được ngắt Chẳng hạn, netstat thông báo rằng các dịch vụ login và shell đang chạy Telnet và ftp

được liệt kê như những máy chủ chấp nhận các kết nối đầu vào tới máy Bởi vìđây là một hệ thống tách rời, cần phải tắt các dịch vụ này Luôn luôn sử dụng

máy khách ftp hay telnet khi cần tải file xuống hay telnet qua Internet Lệnh

netstat cũng thông báo rằng máy chủ http đang chạy, được yêu cầu bởi một số

phân phối truy nhập tài liệu trực tuyến Nếu định giữ các dịch vụ này chạy thì sẽcần phải kiểm tra rằng xem có thể tiếp cận từ bên ngoài hệ thống được haykhông Một máy chủ in cũng đang hoạt động Máy chủ in có thể giữ cổng mởnếu việc in ấn được thực hiện qua mạng Một khi máy in được nối vật lý tớimáy, sẽ an toàn khi hoạt động Cũng sẽ cần giữ hệ thống cửa sổ trong suốt mạng

mà tập hợp và phân phối người dùng được nhập vào các chương trình máykhách Nếu hệ thống được sử dụng như người dùng chuyên dụng, thì sẽ khôngcần thiết nên tắt nó đi 4.1.3 Tắt các dịch vụ không cần thiết

Một khi đó quyết định những dịch vụ nàokhông cần thiết, có thể bắt đầu tắt chúng đi Người dùng đăng nhập có khả năngngắt một dịch vụ bằng cách nhập tên đường dẫn tới mã dịch vụ theo tùy chọn

Stop Chẳng hạn, để tắt nfs, nhập: #/etc/init.d/nfsstop

Chú ý phiên bản Red Hat của Linux có thể sử dụng đường dẫn:

/etc/rc.d/init.d Mặc dù đó tắt một dịch vụ, nhưng có thể nó không được tắt ngay

lập tức Chẳng hạn, một dịch vụ có thể được cho phép khởi động lại hệ thống.Vì thế để chắc chắn hãy chạy netstat sau lần khởi động lại và sau mỗi lần nângcấp hệ thống hay cài đặt mới

4.2 An toàn cho các giao dịch trên mạng

Có rất nhiều dịch vụ mạng truyền thống giao tiếp thông qua giao thứcvăn bản không mã hoá, như TELNET, FTP, RLOGIN, HTTP, POP3 Trong cácgiao dịch giữa người dùng với máy chủ, tất cả các thông tin dạng gói đượctruyền qua mạng dưới hình thức văn bản không được mã hoá Các gói tin này

có thể dễ dàng bị chặn và sao chép ở một điểm nào đó trên đường đi Việc giảimã các gói tin này rất dễ dàng, cho phép lấy được các thông tin như tên ngườidùng, mật khẩu và các thông tin quan trọng khác Việc sử dụng các giao dịchmạng được mã hoá khiến cho việc giải mã thông tin trở nên khó hơn và giúpgiữ an toàn các thông tin quan trọng Các kỹ thuật thông dụng hiện nay làIPSec, SSL, TLS, SASL và PKI

Quản trị từ xa là một tính năng hấp dẫn của các hệ thống UNIX Ngườiquản trị mạng có thể dễ dàng truy nhập vào hệ thống từ bất kỳ nơi nào trênmạng thông qua các giao thức thông dụng như telnet, rlogin

4.3 Nguyên tắc bảo vệ hệ thống mạng

4.3.1 Hoạch định hệ thống bảo vệ mạng

Trong môi trường mạng, phải có sự đảm bảo rằng những dữ liệu cótính bí mật phải được cất giữ riêng, sao cho chỉ có người có thẩm quyền mớiđược phép truy cập chúng Bảo mật thông tin là việc làm quan trọng, và việcbảo vệ hoạt động mạng cũng có tầm quan trọng không kém

Bốn hiểm họa chính đối với sự an ninh của mạng là:

- Truy nhập mạng bất hợp pháp

- Sự can thiệp bằng phương tiện điện tử

- Kẻ trộm

- Tai họa vô tình hoặc có chủ ý

* Mức độ bảo mật: tuỳ thuộc vào dạng môi trường trong đó

mạng đang hoạt động

* Chính sách bảo mật: hệ thống mạng đòi hỏi một tập hợp nguyêntắc, điều luật và chính sách nhằm loại trừ mọi rủi ro Giúp hướng dẫn vượcqua các thay đổi và những tình huống không dự kiến trong quá trình pháttriển mạng

Sự đề phòng: đề phòng những truy cập bất hợp pháp

Sự chứng thực: trước khi truy nhập mạng, ghi đúng tên đăng nhập vàpassword hợp lệ

* Đào tạo: người dùng mạng được đào tạo chu đáo sẽ có ít khả

năng vô ý phá huỷ một tài nguyên

* An toàn cho thiết bị: tuỳ thuộc ở quy mô công ty, độ bí mật dữ liệu,các tài nguyên khả dụng Trong môi trường mạng ngang hàng, có thể không cóchính sách bảo vệ phần cứng có tổ chức nào Người dùng chịu trách nhiệmđảm bảo an toàn cho máy tính và dữ liệu của riêng người đó

định trên cơ sở người dùng, kiểm tra truy nhập tài nguyên dùng chung căn cứvào CSDL user-access trên máy server.

4.3.3 Nâng cao mức độ bảo mật

* Kiểm toán: Theo dõi hoạt động trên mạnh thông qua tài khoản ngườidùng, ghi lại nhiều dạng biến cố chọn lọc vào sổ nhật ký bảo mật của máyserver Giúp nhận biết các hoạt động bất hợp lệ hoặc không chủ định Cung cấpcác thông tin về cách dùng trong tình huống có phòng ban nào đó thu phí sửdụng một số tài nguyên nhất định, và cần quyết định phí của những tài nguyênnày theo cách thức nào đó

* Máy tính không đĩa: không có ổ đĩa cứng và ổ mềm Có thể thi hànhmọi việc như máy tính thông thường, ngoại trừ việc lưu trữ dữ liệu trên đĩacứng hay đĩa mềm cục bộ Không cần đĩa khởi động Có khả năng giao tiếp vớiserver và đăng nhập nhờ vào một con chip ROM khởi động đặc biệt được càitrên card mạng Khi bật máy tính không đĩa, chip ROM khởi động phát tínhiệu cho server biết rằng muốn khởi động Server trả lời bằng cách tải phầnmềm khởi động vào RAM của máy tính không đĩa và tự động hiển thị màn hìnhđăng nhập Khi đó máy tính được kết nối với mạng

* Mã hoá dữ liệu: người ta mã hoá thông tin sang dạng mật mã bằng mộtphương pháp nào đó sao cho đảm bảo thông tin đó không thể nhận biết đượcnếu nơi nhận không biết cách giải mã Một người sử dụng hay một host có thể

sử dụng thông tin mà không sợ ảnh hưởng đến người sử dụng hay một hostkhác

* Chống virus:

- Ngăn không cho virus hoạt động

- Sữa chữa hư hại ở một mức độ nào đó

Chặn đứng virus sau khi bộc phát

Ngăn chặn tình trạng truy cập bất hợp pháp là một trong những giảipháp hiệu nghiệm nhất để tránh virus Do biện pháp chủ yếu là phòng ngừa,nên nhà quản trị mạng phải bảo đảm sao cho mọi yếu tố cần thiết đều đó sẵnsàng:

- Mật mã để giảm khả năng truy cập bất hợp pháp

- Chỉ định các đặc quyền thích hợp cho mọi người dùng

- Các profile để tổ chức môi trường mạng cho người dùng có thể lập cấuhình và duy trì môi trường đăng nhập, bao gồm các kết nối mạng và nhữngkhoản mục chương trình khi người dùng đăng nhập.

- Một chính sách quyết định có thể tải phần mềm nào

4.4 Kiến trúc bảo mật của hệ thống mạng

Hình 4 1: Mô hình các mức an toàn thông tin trên mạng

Không có điều gì là hoàn hảo trong việc an toàn hệ thống mạng nhưLinux Được thiết kế để là một hệ điều hành nối mạng và sự phát triển mạnh

mẽ chỉ để tập trung vào sự an toàn Hệ điều hành mã nguồn mở là những gì màcho phép người quản trị mạng và những người phát triển, những người dùngtriền miên theo dõi và kiểm toán những gì dễ bị tấn công Thật tốt nếu nhưcác tài nguyên được bảo mật và được bảo vệ tốt trước bất kỳ sự xâm phạm vôtình hay cố ý

An toàn hay bảo mật không phải là một sản phẩm, cũng không phải làmột phần mềm, là một cách nghĩ Sự an toàn có thể được khởi động và dừngnhư một dịch vụ Bảo mật là cách an toàn Tài liệu bảo mật là tư liệu mànhững thành viên của tổ chức muốn bảo vệ Trách nhiệm của việc bảo mật làngười quản trị mạng

Sự an toàn mạng có vai trò quan trọng tối cao An toàn phải được đảmbảo bắt đầu từ nhân kernel, tại phần cốt lõi của Linux server Cơ chế bảo mậtcần phải bao gồm cấu hình mạng của Server, chu vi ứng dụng của tổ chứcmạng và thậm chí của những client truy nhập mạng từ xa Có vài cách để

4.4.2 An toàn hệ thống.

An toàn hệ thống bao gồm việc chọn phân phối hệ điều hành Linux, xâydựng kernel hướng tới sự an toàn tài khoản người dùng, cho phép truy cập thưmục file, mã hoá syslog và file system Các tác vụ này được hoàn thành trướckhi dịch vụ nối vào Internet Việc chọn một phân phối nào thì tuỳ thuộc vàonhững nhu cầu như chính sách được phác thảo trong cơ chế an toàn Việcxây dựng một kernel sẵn có có hai lợi thế:

- Những lựa chọn an toàn của nhân được xác định bởi người quản trịmạng và người quản trị mạng biết cái gì được xác định vào trong kernel và từđây có thể đồng thời nhận ra nếu điều đó nếu có Phần nềm nguồn mở nóichung và hệ điều hành Linux nói riêng, có những cải tiến để dễ dàng cho người

sử dụng và có những tiện ích dễ ứng dụng, chỉ cần update trong Red Hat

- Sự an toàn các tài khoản người dùng có vai trò to lớn Có những vùngđược vô hiệu hoá, những tài khoản không hoạt động, vô hiệu hoá việc truy cậpđến NFS lên root, hạn chế những đăng nhập vào trong môi trường điều khiển

hệ thống Mã hoá file hệ thống sử dụng kỹ thuật mã hoá mà thường là phòngthủ cuối cùng cho mạng Có hai cách tiếp cận chung: Hệ thống file mã hoá(CFS) và Practical Privacy Disk Driver(PPDD) Hệ thống có thể được theo dõi

và trong Linux, hệ thống logging được logged trong tiện ích syslog Công cụ

theo dõi bao gồm swatch và logcheck Swatch có công cụ thông báo thời gianthực, trong khi logcheck cung cấp một công cụ mà phát sinh những báo cáođịnh kỳ Kiểm toán Password cũng có vai trò sống còn trong việc an toàn, bảomật hệ thống trong khi mối liên kết yếu nhất trong việc an toàn mạng là người

sử dụng và việc lựa chọn các mật khẩu

4.4.3 An toàn mạng

Ở đây liên quan đến việc kết nối từ Linux server vào mạng Cấu hìnhdịch vụ mạng với sự an toàn ngày càng khó khăn cho những nhà quản trị mạng

Lệnh netstat là một tiện ích mạnh cho phép người quản trị kiểm tra tình trạng

cấu hình mạng Kiểm tra mạng là điều cần thiết của an toàn mạng Điều nàyđảm bảo rằng cơ chế an toàn đó được thực hiện có hiệu quả trong việc hoànthành những yêu cầu bảo mật Điều đó đạt được bởi quyền thực hiện đến mạngcủa họ Cách tiếp cận việc kiểm định mạng hiệu quả nhất sẽ trong vai trò của

kẻ phá hoại Có những công cụ kiểm định cục bộ và host SATAN(SecurityAdministrator's Tool for Analysing Networks), SAINT( SecurityAdministrator's Integrated Network Tool), SARA (Security Auditor'sResearch Assistant) là những công cụ tốt để kiểm định cơ bản SATANđược công nhận đầu tiên năm 1995 SAINT mạnh hơn SATAN, trong khiSARA là một modul package, tương tác với Nmap và Samba Những cải tiếngần đây nhất là công cụ Nessus Nessus là miễn phí, nguồn mở đầy đủ nổibật, công cụ kiểm toán vẫn được hỗ trợ cải tiến cải tiến tích cực Nessus đivào 2 thành phần: Client(nessus) và server( nesssus) Công cụ Nmap cho ngườiquản trị giàu kinh nghiệm Mặt khác Nmap có sức mạnh, công cụ quét chongười có kinh nghiệm, được sử dụng tốt trong mạng LAN TARA(TigerAuditors Research Assistant) là một ví dụ cho công cụ kiểm toán cơ sở host.Theo dõi mạng dưới một sự tấn công Công cụ để theo dõi đó là PortSentry vàEthereal Port Sentry quét trong chế độ ngầm định Bảo mật mạng như mộttrò chơi của trí tuệ và máy đếm trí tuệ Trong khi mạng kiểm toán là một phầncủa mạng bình thường, mạng theo dõi cần phải được ưu tiên cao hơn Việc bảomật bao gồm việc kiểm toán chính xác và cả việc có nên để như thế hay không.PortSentry là một ví dụ của công cụ theo dõi thời gian thực được thiết kế đểquét phát hiện ra hệ thống, và có tính khả dụng cho những hồi đáp

4.4.4 Các ứng dụng an toàn.

Một vài chế độ chuẩn trong việc phân phối Linux hiện thời là những ứngdụng đầy đủ mà có cấu trúc file phức tạp Web, file, mail server sử dụngnhững giao thức phức tạp An toàn có thể được thực hiện bởi các đặc tính bảomật của việc các cơ quan cho phép (MTA) như Sendmail, Qmail và Postfix.Web Server có thể cũng được giữ an toàn bởi các modul cho phép: mod_auth,mod_auth_dbm, mod_auth_db,….Việc cho phép Open SSh hỗ trợ cho Apache

sẽ cũng tương tác với web server Samba có thể làm an toàn bởi việc đọc cácthông số đang chạy Bước đầu tiên sẽ được bảo vệ bởi công cụ quản trị webSamba với SLL nên các lệnh quản lý Samba được bảo vệ

4.4.5 Chu vi an toàn.

Cấp số tự nhiên của cách tiếp cận được sắp từng lớp đến sự an toàn máytính ra khỏi lớp từ lớp mạng đến lớp ứng dụng, và từ đó đến lớp chu vi, đây làvùng được quan tâm Firewalls là thành phần chính của miền chu vi an toàn,

là phần mềm mà chức năng bắt buộc tổ chức bảo mật an toàn bởi bộ lọc, bảomật, đẩy mạnh hay yêu cầu nằm trong Linux server để kết nối đến cả mạngchính và Internet Firewall có thể được thực hiện nhiều cách dựa trên các lớpcủa mô hình OSI: lớp mạng, lớp giao vận và ứng dụng Có điểm tích cực vàtiêu cực trong việc triển khai firewall tại các lớp của mạng Firewall mạngđược biết như các packet-filtering gateway, nơi mà chúng kiểm tra nhữnggói tin IP vào giao diện firewall và hoạt động phù hợp được giữ lại, hoạt độngbao gồm drop, cho phép hoặc log Sự bất lợi là kiểu Firewall này khôngkhôn khéo Firewall giao vận làm việc bởi khảo sát TCP hoặc UDP Firewallyêu cầu sự can thiệp người dùng sửa đổi những thủ tục Firewall ứng dụng làmcho các quyết định truy nhập ở tầng ứng dụng Cho phép người quản trịfirewall cho yêu cầu của mỗi loại ứng dụng Các bất tiện trong firewall là ngườiquản trị cần định hình triển khai theo dõi, và bảo trì quá trình firewall cho mỗiứng dụng mà cần truy nhập điều khiển Luôn thực hiện tốt bảo mật bởi việc sửdụng kết hợp một firewall tại ba tầng để tránh sự tổn thương Firewall khôngchỉ cản trở những người làm phiền không hợp pháp vào mạng nhưng phải chophép người sử dụng truy nhập bên ngoài vào nguồn tài nguyên, trong khi đóchấp nhận phê chuẩn nhất định những kết nối sau cho người dùng Đây là

nhận thức dễ nhưng đó là một thách thức khi thực hiện.

4.4.6 Firewall mạng

Có vài lợi thế trong việc sử dụng Linux như nền tảng firewall Sựquản lý đồng bộ, phần cứng, số người dùng, kiểm tra nền tảng, việc thực hiện,đánh giá giữa các lý do tại sao Lọc gói là lợi ích hiệu quả và cách bảo báotrong phạm vi tránh xâm nhập Người sử dụng không cần xác nhận để sửdụng tin cậy những dịch vụ vùng bên ngoài

Những giải pháp cho việc lọc gói trong Linux bao gồm ipchains vàipfwadm Tiện ích của việc lọc gói tin được sử dụng trong nhân từ phiên bản1.2.1 về trước Phiên bản cuối cùng của ipfwadm vào tháng 7/1996, sau đóipchains thay thế Những địa chỉ Ipchains là những giới hạn thiếu sót củaipfwadr như đếm 32 bit, không có khả năng giải quyết cấu thành địa chỉIP, v.v Ipchains chiến thắng các giới hạn đó bởi việc tận dụng lợi ích của bakênh riêng biệt hay những quy tắc nối tiếp để lọc Ba kênh đó là: INPUT,OUTPUT, và FORWARD

Hiện nay có những thiết kế firewall bắt được hầu hết các cấu trúc mạngphổ biến, báo hiệu đơn giản theo yêu cầu kết nối tới những nơi rất phức tạp nhưkhu vực được phi quân sự hoá (DMZ)

4.5 Bảo mật Linux Server

Một số biện pháp bảo mật linux server

Hiện nay Linux đang dần trở thành một hệ điều hành khá phổ biến bởitính kinh tế, khả năng bảo mật và sự uyển chuyển cao Thế nhưng, mọi hệthống dù an toàn đến đâu cũng dễ dàng bị xâm nhập nếu người dùng (nhất làngười quản trị- root) không đặt sự bảo mật lên hàng đầu Sau đây là một sốkinh nghiệm về bảo mật trên hệ điều hành Red Hat Linux

4.5.1 Không cho phép sử dụng tài khoản root từ console

Sau khi cài đặt, tài khoản root sẽ không có quyền kết nối telnet vàodịch vụ telnet trên hệ thống, trong khi đó tài khoản bình thường lại cóthể kết nối, do nội dung tập tin /etc/security chỉ quy định những consoleđược phép truy cập bởi root và chỉ liệt kê những console truy xuất khi ngồi trựctiếp tại máy chủ Để tăng cường bảo mật hơn nữa, hãy soạn thảo file /

etc/security và bỏ đi những console không muốn root truy cập.

4.5.2 Xoá bớt tài khoản và nhóm đặc biệt

Người quản trị nên xoá bỏ tất cả các tài khoản và nhóm được tạo sẵntrong hệ thống nhưng không có nhu cầu sử dụng ( ví dụ: lp, syne, shutdown,halt, news, uucp, operator, game, gopher…) Thực hiện việc xoá bỏ tài khoảnbằng lệnh usedel và xoá bỏ nhóm với lệnh groupdel

4.5.3 Tắt các dịch vụ không sử dụng

Một điều khá nguy hiểm là sau khi cài đặt, hệ thống tự động chạy khá

nhiều dịch vụ, trong đó đa số là các dịch vụ không mong muốn, dẫn đến tiêutốn tài nguyên và sinh ra nhiều nguy cơ về bảo mật Vì vậy người quản trịnên tắt các dịch vụ không dùng tới (ntsysv) hoặc xoá bỏ các gói dịch vụ không

sử dụng bằng lệnh rpm

4.5.4 Không cho “SU” (Substitute) lên root

Lệnh su cho phép người dùng chuyển sang tài khoản khác Nếu không

muốn người dùng “su” thành root thì thêm hai dòng sau vào file /etc/pam.d/su:

Auth sufficient/lib/security/pam_root ok so debug

Auth required/lib/security/pam_wheel.so group= tên_nhóm_root

4.5.5 Che dấu file mật khẩu

Giai đoạn đầu, mật khẩu toàn bộ tài khoản được lưu trong file /etc/

password, file mà mọi người dùng đều có quyền đọc Đây là khe hở lớn trongbảo mật dù mật khẩu được mã hoá nhưng việc giải mã không phải là không thểthực hiện được Do đó, hiện nay các nhà phát triển Linux đó đặt riêng mậtkhẩu mã hoá vào file /ect/shadow chỉ có root mới đọc được, nhưng yêu cầuphải chọn Enable the shadow password khi cài Red Hat

4.5.6 Luôn nâng cấp cho nhân (kernel) Linux

Linux không hẳn được thiết kế với tính năng bảo mật chặt chẽ, khá nhiều

lỗ hổng có thể bị lợi dụng bởi hacker Vì vậy việc sử dụng một hệ điều hànhvới nhân được nâng cấp là rất quan trọng vì một khi nhân, phần cốt lõi nhất của

hệ điều hành được thiết kế tốt thì nguy cơ bị phá hoại sẽ giảm đi rất nhiều

4.5.7 Tự động thoát khỏi Shell

Người quản trị hệ thống và kể cả người sử dụng bình thường rất hay quênthoát ra dấu nhắc shell khi kết thúc công việc Thật nguy hiểm nếu có một kẻnào sẽ có toàn quyền truy xuất hệ thống mà chẳng tốn chút công sức nào cả

Do vậy người quản trị nên cài đặt tính năng tự động thoát khỏi shell khi không

có sự truy xuất trong khoảng thời gian định trước bằng cách sử dụng biến môitrường và gán một giá trị quy định số giây hệ thống duy trì dấu nhắc, nên vàofile /ect/ profile để luôn tác dụng trong mọi phiên làm việc

4.5.8 Không cho phép truy nhập file kịch bản khởi động của Linux

Khi hệ điều hành Linux khởi động, các file kịch bản (script) được

đặt tại thư mục/etc/rc.d/init.d sẽ được gọi thực thi Vì thế, để tránh những sựtò mò không cần thiết từ phía người dùng, với tư cách người quản trị nên hạnchế quyền truy xuất tới các file này và chỉ cho phép tài khoản root xử lý bằng

lệnh sau: #chmod –R 700/etc/rc.d/init.d*

4.5.9 Giới hạn việc tự ý ghi nhận thông tin từ shell

Theo mặc định, tất cả lệnh được thực thi tại dấu nhắc shell của tàikhoản đều được ghi vào file bash_history ( nếu sd bashshell) trong thư mụccá nhân của từng tài khoản Điều này gây nên vô số nguy hiểm tiềm ẩn, đặcbiệt đối với những ứng dụng đòi hỏi người dùng phải ghi thông tin mật khẩu

Do đó người quản trị nên giới hạn việc tự ý ghi nhận thông tin từ shell dựa vàohai biến môi trường HISTFILESIZE và HISTSIZE:

- Biến môi trường HISTFILESIZE quy định số lệnh ghi tại dấu nhắcshell sẽ được lưu lại cho lần truy cập sau

- Biến môi trường HISTSIZE quy định số lệnh sẽ được ghi nhớ trongphiên làm việc hiện hành

Vì vậy, phải giảm giá trị của HISTSIZE và cho giá trị HISTFILESIZEbằng 0 để giảm thiểu tối đa những nguy hiểm Thực hiện việc này bằng cáchthay đổi giá trị hai biến nêu trên trong file /etc/profile như sau:

HISTFILESIZE = 0

HISTSIZE = xx

Trong đó xx là số lệnh mà shell sẽ ghi nhớ, đồng thời không ghi lại bất kỳ một