熟悉Linux内核安全入侵侦察系统

叶子

　　LIDS( Linux入侵侦察系统)是Linux内核补丁和系统管理员工lidsadm)，它加强了Linux内核。它在内核中实现了一种安全模式 -- 参考模式以及内核中的Mandatory Access Control（命令进入控制）模式。本文将阐述LIDS的功能和如何使用它来建立一个安全的Linux系统。 : [2 w3 F; a1 f* r* |
4 U" G: z5 Q, {- t
　　为什么选择LIDS
: k5 B  b8 ^% `$ {; u  @0 N% K2 O
' ^) H2 M2 N2 z# N  \　　随着互连网上Linux越来越受欢迎 ,越来越多现有GNU/LINUX系统上的应用软件中的安全漏洞被发现。很多程序利用了程序员的粗心，例如缓存溢出、格式化代码攻击。当系统安全受到程序的危及，黑客获得ROOT权限以后，整个系统将被入侵者控制。 ) S* c2 F/ @( l$ }7 Z1 D
) d. c& G; b3 M3 U, c
　　由于代码的开放性，我们可以获得很多所希望Linux应用程序的原代码，并且根据我们的需要来修改。所以bug能很容易地被找到，并很快修补。但是当漏洞被揭示后，而系统管理员疏于给漏洞打补丁，从而造成很容易地就被入侵，更糟的是黑客能获得ROOT SHELL。利用现有的GNU/Linux系统，他为所欲为。这正是LIDS想要解决的问题。
9 j5 t& G6 ]% j7 l! h
- `# @5 G! Q) c( V. |( r　　首先看看现有的GNU/Linux系统存在哪些问题。 ' @# i/ r3 Q6 a9 N5 x. f

. b$ c# a! @2 E* A6 i0 c0 G4 g　　文件系统未受到保护
4 B; q4 o8 v3 X$ |8 `4 r9 j" I7 s1 C7 R( M" W/ H
　　系统中的很多重要的文件，例如 /bin/login，一旦黑客入侵后，他可以上传修改过的login文件来代替/bin/login ，然后他就可以不需要任何登陆名和密码就登陆系统。这常被称为Trojan house。 ) o+ \3 I" X2 f; Y% z7 V

3 ]/ J& G8 p' Y3 f9 R( z! c　　进程未受到保护
, e/ w( P: ?% ]' g, b& z& c2 g$ P- P1 I5 f8 j' T
　　系统上运行的进程是为某些系统功能所服务的，例如HTTPD是一个web服务器来满足远程客户端对于web的需求。作为web服务器系统，保护其进程不被非法终止是很重要的。但是当入侵者获得了ROOT权限后，我们却无能为力。 2 i% i! q; E1 u$ U. f' \  |' e
* d3 n  ~/ Q, H2 S% U

/ k7 w$ N3 X8 o3 ~　　系统管理未受保护 ) S+ n; f0 P; ^$ C3 V4 S/ Y
: {. g2 {# V2 W7 k. x
　　很多系统管理，例如，模块的装载/卸载，路由的设置，防火墙的规则，能很容易就被修改，如果用户的ID是0。所以当入侵者获得ROOT权限后，就变得很不安全。 " R! V6 u& W- |4 l- k
1 x: W0 {% N6 I( Y# R4 h3 T( B
　　超级用户(root)作为ROOT可能滥用权限 . r( D: d/ u* j7 y- t6 b4 ]

. d9 F4 V" [7 c$ Y0 w　　他可以为所欲为，作为ROOT他甚至可以对现有的权限进行修改。 , E$ R7 }6 k* O/ r% N! V% Y" H

! q! m: \* ^- H- h/ J/ i　　综上所述，我们发现在现有的Linux系统中的进入控制模式是不足以建立一个安全的Linux系统。我们必须在系统中添加新的模式来解决这些问题。这就是LIDS所要做的。
; n9 J7 e% |3 A2 @& J
7 b; Q' U( T  e7 V& }' n: z　　LIDS的特色
' Z" j7 |- g( ]1 d% B( N( ]& O
# |- `% y& b5 c' `1 ]　　Linux入侵侦察系统是Linux内核补丁和系统管理员工具，它加强了内核的安全性。它在内核中实现了参考监听模式以及Mandatory Access Control（命令进入控制）模式。当它起作用后，选择文件进入，每一个系统/网络的管理操作，任何使用权限， raw device， mem和 I/O 进入将可以禁止甚至对于ROOT也一样。它使用和扩展了系统的功能，在整个系统上绑定控制设置，在内核中添加网络和文件系统的安全特性，从而加强了安全性。你可以在线调整安全保护，隐藏敏感进程，通过网络接受安全警告等等。
* \* ^. |0 e  z' ~- J/ T6 \" a9 Z
; T3 d) E+ d  S3 i　　简而言之，LIDS提供了保护、侦察、响应的功能，从而是LINUX系统内核中的安全模式得以实现。 ! V1 |8 R" t5 Q' C& D

5 B' }; ?1 G9 B- J( ~　　保护
, A2 H( R" u. g3 t9 H4 t) D$ q. r0 p: P* ?! k" p2 `- {" R
　　LIDS提供以下的保护：
$ ]( x$ H, h& Y) }+ R: o& {2 \3 \3 h! L, @- T1 \1 F! v% ]9 ^
　　保护硬盘上任何类型的重要文件和目录，任何人包括ROOT都无法改变。能保护重要进程不被终止 能防止非法程序的RAW IO 操作。保护硬盘，包括MBR保护，等等。能保护系统中的敏感文件，防止未被授权者(包括ROOT)和未被授权的程序进入。 " {8 j! t+ O; y3 I
2 l$ R4 c1 w1 M6 O
　　侦察 $ ]2 u, P8 T8 @/ |
) t# ]' x+ g. W3 Q. g2 Q  I. s  k" O
　　当有人扫描你的主机， LIDS能侦察到并报告系统管理员。LIDS也可以检测到系统上任何违法规则的进程。 2 B8 x! I; H6 |3 E

! |; t: W) R8 t6 y  v, i) r3 q1 R　　响应
' B0 X3 B; }3 u* [
$ Y6 x1 [: r: q" |+ H; X; S　　当有人违反规则， LIDS会将非法的运作细节记录到受LIDS保护的系统log文件中。LIDS还可以将log信息传到你的信箱中。LIDS也可以马上关闭与用户的对话。 & |, D7 i0 `. b1 ^0 x& ?

  T) O6 K- Z; x9 D　　建立安全的Linux系统 6 Y8 C  F/ X, O0 G; O
% {5 g* B! m" w  d+ {* D2 \% p8 [' Q+ W
　　看完了LIDS特性，让我们来看看怎么样一步步地用LIDS建立安全的系统。