第8章 Linux网络安全(2)

执 行 #rpm -ivh sudo* 进 行 安 装 ， 然 后 用 /usr/sbin/visudo 编 辑 /etc/sudoers文件。 sudoers这个文件是由一个选择性的主机别名(host alias)节区，一 个选择性的指令别名(command alias)节区以及使用者说明 (user specification)节区所组成的。所有的指令

别名或主机别名必须 需以自己的关键字作为开始(Host_Alias/Cmnd_Alias)。

linux操作系统课件

使用者说明节区格式： 使用者说明节区格式：使用者 接取群组 [: 接取群组 ]... 接取群组 ::= 主机象征 = [op]指令象征 [,[op]指令象征]... ::= [op]指令象征 [,[op]指令象征 指令象征] 主机象征 ::= 一个小写的主机名称或主机别名。 ::= 一个小写的主机名称或主机别名。 指令象征 ::= 一个指令或指令别名。 ::= 一个指令或指令别名。 op ::= 逻辑的 '!' 否定运算元。 ::= 否定运算元。 主机别名节区格式： 主机别名节区格式： Host_Alias 主机别名 = 主机列表 Host_Alias ::= 这是一个关键字。 ::= 这是一个关键字。 主机别名 ::= 一个大写的别名。 ::= 一个大写的别名。 主机列表 ::= 以逗号间隔的一些主机名称。 ::= 以逗号间隔的一些主机名称。 指令别名节区格式： 指令别名节区格式： Cmnd_Alias 指令别名 = 指令列表 Cmnd_Alias ::= 这是一个关键字。 ::= 这是一个关键字。 指令别名 ::= 一个大写的别名。 ::= 一个大写的别名。 指令列表 ::= 以逗号间隔的一些指令。 以逗号间隔的一些指令。

linux操作系统课件

所有在“#”符号后面的文字都会被当作是注解。 太长的行可以使用 倒 斜 线 “ \” 字 符 来 分 成 新 的 行 。 保 留 的 别 名 “ ALL” 在 “{Host,Cmnd}_Alias”里都可以使用。不要用“ALL”来定义一个别 名，这个别名无效。注意到“ALL”暗示全部的主机和指令。 可以使用这个语法从整个范围中减掉一些项目： user host=ALL,!ALIAS1,!/etc/halt... 2.Sniffit . sniffit 是一个有名的网络端口探测器，可以配置它在后台运行，以检 测哪些TCP/IP端口上用户的输入/输出信息。最常用的功能是可以用 它来检测系统的23(telnet)和110(pop3)端口上的数据传送以轻松得 到系统的登录口令和mail帐号密码，当然，sniffit基本上是被破坏者 所利用的工具。 sniffit 的主页在#tar xvfz sniff* http://reptile.rug.ac.be/~coder/sniffit/sniffit.html

用户能从那里下载最新的版本，用户在根目录运行：

linux操作系统课件

解开所有文件到对应目录后，先仔细阅读其中的README.FIRST文件， 可能有些版本需要预先进行编译才能使用。用户能运行sniffit -i以 交互式图形界面查看所有在指定网络接口上的输入/输出信息。例如： 为了得到所有用户通过某接口a.b.c.d接收邮件时所输入的pop3帐号 和密码，用户能运行：#sniffit -p 110 -t a.b.c.d & #sniffit -p 110 -s a.b.c.d &

记录文件放在目录/usr/doc/sniffit*下面：log file根据访问者的 IP地址，随机用高端端口号和用来检测的网络接口IP地址和检测端口 来命名。它利用了TCP/IP协议天生的虚弱性，因为普通的telnet和 pop3所传的用户名和密码信息都是明文，不带任何方式的加密。 因

此对telnet/ftp,可以用ssh/scp来替代。sniffit检测到的ssh/scp信 息基本上是一堆乱码，因此不需要担心ssh所传送的用户名和口令信 息会被第三方所窃取。 3、nmap 、 nmap 是用来对一个比较大的网络进行端口扫描的工具，它能检测 该服务器有哪些TCP/IP端口目前正处于打开状态。可以运行它来确保 已经禁止掉不该打开的不安全的端口号。nmap的主页在/nmap/index.html

linux操作系统课件

8.2 防火墙技术8.2.1 什么是防火墙防火墙是指设置在不同网络( 防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公 共网)或网络安全域之间的一系列部件的组合， 共网)或网络安全域之间的一系列部件的组合，是不同网络或网络 安全域之间信息的唯一出入口 能根据企业的安全政策控制(允许、 唯一出入口， 安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、 拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。 拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。 防火墙是提供信息安全服务，实现网络和信息安全的基础设施。 防火墙是提供信息安全服务，实现网络和信息安全的基础设施。 在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器， 在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器， 有效地监控了内部网和Internet之间的任何活动， Internet之间的任何活动 有效地监控了内部网和Internet之间的任何活动，保证了内部网络 的安全，如图8 的安全，如图8-1。图 8-1 防火墙 逻辑位 置示意 图

linux操作系统课件

使用防火墙地作用如下： 使用防火墙地作用如下： (1)防火墙是网络安全的屏障 (1)防火墙是网络安全的屏障 (2)防火墙可以强化网络安全策略 (2)防火墙可以强化网络安全策略 (3)对网络存取和访问进行监控审计 (3)对网络存取和访问进行监控审计 (4)防止内部信息的外泄 (4)防止内部信息的外泄

8.2.2三种类型的防火墙 8.2.2三种类型的防火墙1.数据包过滤型防火墙

数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择， 数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制表(Access 选择的依据是系统内设置的过滤逻辑，被称为访问控制表(Access Control Table)。通过检查数据流中每个数据包的源地址、目的地址、 Table)。通过检查数据流中每个数据包的源地址、目的地址、 所用的端口号、协议状态等因素， 所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数 据包通过。数据包过滤防火墙逻辑简单，价格便宜，易于安装和

使用， 据包通过。数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用， 网络性能和透明性好，通常安装在路由器上。 网络性能和透明性好，通常安装在路由器上。路由器是内部网络与 Internet连接必不可少的设备 因此， Internet连接必不可少的设备，因此，在原有网络上增加这样的防火墙 连接必不可少的设备， 几乎不需要任何额外的费用。 几乎不需要任何额外的费用。

linux操作系统课件

数据包过滤防火墙有两个主要缺点： 数据包过滤防火墙有两个主要缺点： 一是非法访问一旦突破防火墙， 一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞 进行攻击； 进行攻击； 二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部 的端口号都在数据包的头部， 二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部， 很有可能被窃听或假冒。 很有可能被窃听或假冒。 2.应用级网关型防火墙 应用级网关(Application 应用级网关(Application Level Gateways)是在网络应用层上建立协 Gateways)是在网络应用层上建立协 议过滤和转发功能。 议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据 过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计， 过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计， 形成报告。应用级网关型防火墙的工作流程示意图请见图8 形成报告。应用级网关型防火墙的工作流程示意图请见图8-2。

图8-2 应用级网关型防火墙的工作流程

数据包过滤和应用网 …… 此处隐藏：3602字，全部文档内容请下载后查看。喜欢就下载吧 ……