熟悉Linux内核安全入侵侦察系统

叶子

　　LIDS( Linux入侵侦察系统)是Linux内核补丁和系统管理员工lidsadm)，它加强了Linux内核。它在内核中实现了一种安全模式 -- 参考模式以及内核中的Mandatory Access Control（命令进入控制）模式。本文将阐述LIDS的功能和如何使用它来建立一个安全的Linux系统。
3 [$ b) Q! t. R. ~0 w, `) E# @( K7 o
3 F" b9 P9 A9 u  o　　为什么选择LIDS , P  _* q: }: I( f7 l
2 J9 a9 v3 p9 N- r4 E
　　随着互连网上Linux越来越受欢迎 ,越来越多现有GNU/LINUX系统上的应用软件中的安全漏洞被发现。很多程序利用了程序员的粗心，例如缓存溢出、格式化代码攻击。当系统安全受到程序的危及，黑客获得ROOT权限以后，整个系统将被入侵者控制。
  k5 \9 E( M1 T) |% P+ G+ [1 R& P5 c8 p$ ~/ G% }8 K* |1 A8 \! f7 ]3 G4 Z
　　由于代码的开放性，我们可以获得很多所希望Linux应用程序的原代码，并且根据我们的需要来修改。所以bug能很容易地被找到，并很快修补。但是当漏洞被揭示后，而系统管理员疏于给漏洞打补丁，从而造成很容易地就被入侵，更糟的是黑客能获得ROOT SHELL。利用现有的GNU/Linux系统，他为所欲为。这正是LIDS想要解决的问题。
4 Q2 y- O" J* ]( u& `  b8 F4 |# p0 R" N
　　首先看看现有的GNU/Linux系统存在哪些问题。
& {- B- S2 Y$ \1 N; u, j$ Y, j" ?  s, Z- A  I
　　文件系统未受到保护 $ r( J: l3 N* q* g( a9 `% {
; e0 v3 [5 c& @# a* s
　　系统中的很多重要的文件，例如 /bin/login，一旦黑客入侵后，他可以上传修改过的login文件来代替/bin/login ，然后他就可以不需要任何登陆名和密码就登陆系统。这常被称为Trojan house。
3 K* P2 {6 h2 |) }( N
8 m$ l" c, |; k% m8 Q　　进程未受到保护 + E& u; h) Z" y' U

7 g4 Z6 p- i5 u) W　　系统上运行的进程是为某些系统功能所服务的，例如HTTPD是一个web服务器来满足远程客户端对于web的需求。作为web服务器系统，保护其进程不被非法终止是很重要的。但是当入侵者获得了ROOT权限后，我们却无能为力。 . W# B) a( Q; @8 A  b
9 o* ?+ e* d  t7 _# A
+ J( Y" W/ s) M4 Y6 a* ~* B
　　系统管理未受保护
3 X; w( u3 M( f" e# e1 k6 L6 C7 Y9 e5 c2 ~8 l" {
　　很多系统管理，例如，模块的装载/卸载，路由的设置，防火墙的规则，能很容易就被修改，如果用户的ID是0。所以当入侵者获得ROOT权限后，就变得很不安全。 ( M- \1 x  N0 B, _4 ?4 W4 f6 F% R

$ I8 I7 A' h$ x' S8 N　　超级用户(root)作为ROOT可能滥用权限
# [9 ?1 H. k$ ]' s, H! z0 e: ]3 e4 Q' N4 R7 n# p1 G! C' z
　　他可以为所欲为，作为ROOT他甚至可以对现有的权限进行修改。 / k# j; a* T( [1 [( d% y  v
+ t( s5 M( O- N' V0 _0 K
　　综上所述，我们发现在现有的Linux系统中的进入控制模式是不足以建立一个安全的Linux系统。我们必须在系统中添加新的模式来解决这些问题。这就是LIDS所要做的。 , @' O5 m" g8 O+ i. \: f4 \

) c$ g/ I3 {5 |　　LIDS的特色
; i" z6 s- r, t$ N0 [2 g% o, `  S, t6 t. D( ~/ q9 S, s  y
　　Linux入侵侦察系统是Linux内核补丁和系统管理员工具，它加强了内核的安全性。它在内核中实现了参考监听模式以及Mandatory Access Control（命令进入控制）模式。当它起作用后，选择文件进入，每一个系统/网络的管理操作，任何使用权限， raw device， mem和 I/O 进入将可以禁止甚至对于ROOT也一样。它使用和扩展了系统的功能，在整个系统上绑定控制设置，在内核中添加网络和文件系统的安全特性，从而加强了安全性。你可以在线调整安全保护，隐藏敏感进程，通过网络接受安全警告等等。 ' D0 ]8 u" V; y+ F3 t' n0 U

7 W6 `3 E# g0 B6 ?2 j) B  z9 U　　简而言之，LIDS提供了保护、侦察、响应的功能，从而是LINUX系统内核中的安全模式得以实现。 4 d1 p' J) r1 _: J1 l9 O* {
' w% a0 m: X8 e* B. e" _
　　保护
" b  d9 y3 k! \# h; o
" m7 i( a# V, {　　LIDS提供以下的保护： * T! x; @2 K+ i# K3 D# {
# h' f7 T. \" j& \0 S
　　保护硬盘上任何类型的重要文件和目录，任何人包括ROOT都无法改变。能保护重要进程不被终止 能防止非法程序的RAW IO 操作。保护硬盘，包括MBR保护，等等。能保护系统中的敏感文件，防止未被授权者(包括ROOT)和未被授权的程序进入。
5 @* P( N7 u6 Y( r) j; \
: e2 g& F% C4 B+ f6 A, L& }　　侦察 / M8 x4 @$ [2 @; @& |

' c7 O$ M- F* a$ E+ s/ B　　当有人扫描你的主机， LIDS能侦察到并报告系统管理员。LIDS也可以检测到系统上任何违法规则的进程。
) R. s0 ]: A" w& z' L, L) x$ v/ N) `* B+ N- l
　　响应
( M! s- F% \/ O: P/ f2 o* Q+ G" U
2 X5 g; V5 E; x0 a" E1 |　　当有人违反规则， LIDS会将非法的运作细节记录到受LIDS保护的系统log文件中。LIDS还可以将log信息传到你的信箱中。LIDS也可以马上关闭与用户的对话。
0 N+ E* P4 |8 n- e: o( q3 {0 U' p  [1 O8 M$ l
　　建立安全的Linux系统
7 n- O7 y, K1 l6 E9 f7 s* U6 K# U$ U0 {
　　看完了LIDS特性，让我们来看看怎么样一步步地用LIDS建立安全的系统。