熟悉Linux内核安全入侵侦察系统

叶子

　　LIDS( Linux入侵侦察系统)是Linux内核补丁和系统管理员工lidsadm)，它加强了Linux内核。它在内核中实现了一种安全模式 -- 参考模式以及内核中的Mandatory Access Control（命令进入控制）模式。本文将阐述LIDS的功能和如何使用它来建立一个安全的Linux系统。
% p( I5 i  J# ]8 _
( I3 M# `0 Z9 P. ^　　为什么选择LIDS
5 p( o' ?0 m4 y  \* Y) I) G4 I( B) A$ k. K& y" ~( s% k
　　随着互连网上Linux越来越受欢迎 ,越来越多现有GNU/LINUX系统上的应用软件中的安全漏洞被发现。很多程序利用了程序员的粗心，例如缓存溢出、格式化代码攻击。当系统安全受到程序的危及，黑客获得ROOT权限以后，整个系统将被入侵者控制。   Z/ r7 I8 I. j, }2 ~
! |" w: U5 }$ ?: Q9 N
　　由于代码的开放性，我们可以获得很多所希望Linux应用程序的原代码，并且根据我们的需要来修改。所以bug能很容易地被找到，并很快修补。但是当漏洞被揭示后，而系统管理员疏于给漏洞打补丁，从而造成很容易地就被入侵，更糟的是黑客能获得ROOT SHELL。利用现有的GNU/Linux系统，他为所欲为。这正是LIDS想要解决的问题。
- R6 r- M! v1 Y; V8 X+ ~6 v
5 h; N  y$ \5 o2 D9 x4 G" [: H) {　　首先看看现有的GNU/Linux系统存在哪些问题。 5 x  W, t/ B0 D/ D; R) ]6 T( U/ z' A

8 O: H5 Q% a3 E　　文件系统未受到保护
$ _* k5 Q9 V  F6 ]5 b0 f; x' }, H
" V, a' ~( n8 ~( X. b0 s$ {　　系统中的很多重要的文件，例如 /bin/login，一旦黑客入侵后，他可以上传修改过的login文件来代替/bin/login ，然后他就可以不需要任何登陆名和密码就登陆系统。这常被称为Trojan house。 : e& V6 i1 y9 r: d! N- ~
7 o! X+ l6 P0 h0 S6 Z% l% \, l
　　进程未受到保护 . N8 J; C2 s! }# ]/ _
" S6 }! F/ |$ a
　　系统上运行的进程是为某些系统功能所服务的，例如HTTPD是一个web服务器来满足远程客户端对于web的需求。作为web服务器系统，保护其进程不被非法终止是很重要的。但是当入侵者获得了ROOT权限后，我们却无能为力。 , T9 \5 I. Y3 L% V4 D. c

' o$ _$ V% p/ E! o' [6 y$ n$ z" X! ~& Q
　　系统管理未受保护 / G/ r/ c2 e/ T+ N4 g/ F! E

( ?+ I5 v+ g% |3 I3 Q　　很多系统管理，例如，模块的装载/卸载，路由的设置，防火墙的规则，能很容易就被修改，如果用户的ID是0。所以当入侵者获得ROOT权限后，就变得很不安全。   I3 z, g. {4 E4 {) r+ m
( j1 v; M  w. H% p8 Q2 E. h5 P
　　超级用户(root)作为ROOT可能滥用权限
2 ]* _, X- D& P' z; f1 G3 i& F- v, C: q0 T# h! K0 v
　　他可以为所欲为，作为ROOT他甚至可以对现有的权限进行修改。
, Z5 N$ w3 ~% b; Z: |" j% t6 i' ?) i
( x- O% P/ y0 i　　综上所述，我们发现在现有的Linux系统中的进入控制模式是不足以建立一个安全的Linux系统。我们必须在系统中添加新的模式来解决这些问题。这就是LIDS所要做的。 , e* F- ~; x9 S( p& |0 ^) _
2 l5 V4 X1 n/ j2 L  ~4 C
　　LIDS的特色
, P! L5 S; L5 p; l* s. b  w& L1 U/ z+ v+ k. f2 j8 v) p
　　Linux入侵侦察系统是Linux内核补丁和系统管理员工具，它加强了内核的安全性。它在内核中实现了参考监听模式以及Mandatory Access Control（命令进入控制）模式。当它起作用后，选择文件进入，每一个系统/网络的管理操作，任何使用权限， raw device， mem和 I/O 进入将可以禁止甚至对于ROOT也一样。它使用和扩展了系统的功能，在整个系统上绑定控制设置，在内核中添加网络和文件系统的安全特性，从而加强了安全性。你可以在线调整安全保护，隐藏敏感进程，通过网络接受安全警告等等。
( j' O5 Y6 ]; T; Y2 U& w! ]+ K- g: J- {# m+ k2 }
　　简而言之，LIDS提供了保护、侦察、响应的功能，从而是LINUX系统内核中的安全模式得以实现。 ' y1 _- O& b+ M" O, F% {& B! Z
, h! t8 t0 V% W# k) x8 M: ~
　　保护
+ t1 f; V% X+ h2 V) A* ^' d# Y; ^
! g6 n2 T9 L1 t8 ?8 C　　LIDS提供以下的保护： 4 i$ g1 I4 l: \

. T+ O0 X7 x( s2 ?7 ]9 F* I3 ~$ _　　保护硬盘上任何类型的重要文件和目录，任何人包括ROOT都无法改变。能保护重要进程不被终止 能防止非法程序的RAW IO 操作。保护硬盘，包括MBR保护，等等。能保护系统中的敏感文件，防止未被授权者(包括ROOT)和未被授权的程序进入。
8 e# X! d6 [) o' [
+ [$ t$ W# U) a! w8 f　　侦察 - H. J1 S( O2 i6 l  R/ h7 G5 H
' E$ P( ^' |4 C5 |( y) k0 p% c
　　当有人扫描你的主机， LIDS能侦察到并报告系统管理员。LIDS也可以检测到系统上任何违法规则的进程。 : A  Z' r  v% j8 \+ F3 J5 e/ j
0 A+ P' b' H8 K( O$ s5 E  U
　　响应
# o2 D1 Q7 j4 m* }/ o! `1 ?* W7 Y; z9 F! J
　　当有人违反规则， LIDS会将非法的运作细节记录到受LIDS保护的系统log文件中。LIDS还可以将log信息传到你的信箱中。LIDS也可以马上关闭与用户的对话。 # @5 ^4 P, y. ]% e# j  c/ ~. Y  \
4 B- G+ i8 o; b2 A. x
　　建立安全的Linux系统
5 K# J5 u9 j( u& ]$ {) S: E! l" t& A0 U
　　看完了LIDS特性，让我们来看看怎么样一步步地用LIDS建立安全的系统。