linux網路安全

A. 網路安全和LINUX，我該選哪個

網路安全和Linux可以同時學習，兩者是不沖突的，而且技多不壓身，對以後的發展也很有幫助。

B. Linux伺服器的安全防護都有哪些措施

一、強化密碼強度
只要涉及到登錄，就需要用到密碼，如果密碼設定不恰當，就很容易被黑客破解，如果是超級管理員(root)用戶，如果沒有設立良好的密碼機制，可能給系統造成無法挽回的後果。
很多用戶喜歡用自己的生日、姓名、英文名等信息來設定，這些方式可以通過字典或者社會工程的手段去破解，因此建議用戶在設定密碼時，盡量使用非字典中出現的組合字元，且採用數字與字元、大小寫相結合的密碼，增加密碼被破譯的難度。
二、登錄用戶管理
進入Linux系統前，都是需要登錄的，只有通過系統驗證後，才能進入Linux操作系統，而Linux一般將密碼加密後，存放在/etc/passwd文件中，那麼所有用戶都可以讀取此文件，雖然其中保存的密碼已加密，但安全系數仍不高，因此可以設定影子文件/etc/shadow，只允許有特殊許可權的用戶操作。
三、賬戶安全等級管理
在Linux操作系統上，每個賬戶可以被賦予不同的許可權，因此在建立一個新用戶ID時，系統管理員應根據需要賦予該賬號不同的許可權，且歸並到不同的用戶組中。每個賬號ID應有專人負責，在企業中，如果負責某個ID的員工離職，該立即從系統中刪除該賬號。
四、謹慎使用"r"系列遠程程序管理
在Linux操作系統中，有一系列r開頭的公用程序，如rlogin、rcp等，非常容易被不法分子用來攻擊我們的系統，因此千萬不要將root賬號開放給這些公用程序，現如今很多安全工具都是針對此漏洞而設計的，比如PAM工具，就可以將其有效地禁止掉。
五、root用戶許可權管理
root可謂是Linux重點保護對象，因為其權利是最高的，因此千萬不要將它授權出去，但有些程序的安裝、維護必須要求是超級用戶許可權，在此情況下，可以利用其他工具讓這類用戶有部分超級用戶的許可權。sudo就是這樣的工具。
六、綜合防禦管理
防火牆、IDS等防護技術已成功應用到網路安全的各個領域，且都有非常成熟的產品，需要注意的是：在大多數情況下，需要綜合使用這兩項技術，因為防火牆相當於安全防護的第一層，它僅僅通過簡單地比較IP地址/埠對來過濾網路流量，而IDS更加具體，它需要通過具體的數據包(部分或者全部)來過濾網路流量，是安全防護的第二層。綜合使用它們，能夠做到互補，並且發揮各自的優勢，最終實現綜合防禦。

C. linux下的網路安全與windows下的網路安全作比較

Linux的操作比較復雜,windows的比Linux較簡單.
Linux速度很快,安全性比windows好
但是有很多軟體只能在windows里運行

Linux適用在網路方面.

和Linux一樣，Windows系列是完全的多任務操作系統。它們支持同樣的用戶介面、網路和安全性。但是，Linux和Windows的真正區別在於，Linux事實上是Unix的一種版本，而且來自Unix的貢獻非常巨大。是什麼使得Unix如此重要？不僅在於對多用戶機器來說，Unix是最流行的操作系統，而且在於它是免費軟體的基礎。在Internet上，大量免費軟體都是針對Unix系統編寫的。由於有眾多的Unix廠商，所以Unix也有許多實現方法。沒有一個單獨的組織負責Unix的分發。現在，存在一股巨大的力量推動Unix社團以開放系統的形式走向標准化。另一方面Windows系列是專用系統，由開發操作系統的公司控制介面和設計。在這個意義上這種公司利潤很高，因為它對程序設計和用戶介面設計建立了嚴格的標准，和那些開放系統社團完全不一樣。一些組織正在試圖完成標准化Unix程序設計介面的任務。特別要指出的是，Linux完全兼容POSIX.1標准。

Linux與Unix的區別
某些PC機的Unix和Linux在實現方面相類似。幾乎所有的商業Unix版本都基本支持同樣的軟體、程序設計環境和網路特性。然而，Linux和Unix的商業版本依然存在許多差別。Linux支持的硬體范圍和商業Unix不一樣。一般來說，商業Unix支持的硬體多一些，可是Linux支持的硬體也在不斷擴大。突出的是，Linux至少和商用Unix一樣穩定。對許多用戶來說，最重要的因素是價格。Linux是免費軟體，用戶可以從Internet網上下載。如果上網不方便，可以很便宜地通過郵購得到Linux的磁碟或CD-ROM。當然也可以直接從朋友那裡得到。商業Unix的價值不應被貶低。除了軟體本身的價格外，用戶還需支付文檔、售後支持和質保費。對於較大的機構，這些都很重要，但是PC機用戶也許從中得不到什麼好處。許多商業公司和大學等單位已經發現，在實驗室用廉價的PC機運行Linux比用工作站運行商業Unix還好。Linux可以在PC機上提供工作站的功能，而PC機的價格是工作站的幾分之一。也有一些針對PC機的便宜的Unix，其中最有名的是386BSD。在許多方面，386BSD軟體包和Linux兼容，但Linux更適合用戶的需求。最顯著的是，Linux的開發是開放的，任何志願者都可以對開發過程做出貢獻。相比之下，386BSD是由封閉的團隊開發的。正是這樣，這兩種產品存在著嚴重的概念上和設計上的差別：Linux的目標是從頭開始開發一個完整的Unix系統；386BSD的目標則是對現有的BSD做些修改，以適合80386系統。

Linux與其他操作系統的區別

Linux可以與MS-DOS、OS/2、Windows等其他操作系統共存於同一台機器上。它們均為操作系統，具有一些共性，但是互相之間各有特色，有所區別。

目前運行在PC機上的操作系統主要有Microsoft的MS-DOS、Windows、Windows NT、IBM的OS/2等。早期的PC機用戶普遍使用MS-DOS，因為這種操作系統對機器的硬體配置要求不高，而隨著計算機硬體技術的飛速發展，硬體設備價格越來越低，人們可以相對容易地提高計算機的硬體配置，於是開始使用Windows、Windows
NT等具有圖形界面的操作系統。Linux是新近被人們所關注的操作系統，它正在逐漸為PC機的用戶所接受。那麼，Linux與其他操作系統的主要區別是什麼呢？下面從兩個方面加以論述。

首先看一下Linux與MS－DOS之間的區別.在同一系統上運行Linux和MS-DOS已很普遍，就發揮處理器功能來說，MS-DOS沒有完全實現x86處理器的功能，而Linux完全在處理器保護模式下運行，並且開發了處理器的所有特性。Linux可以直接訪問計算機內的所有可用內存，提供完整的Unix介面。而MS-DOS只支持部分Unix的介面。

就使用費用而言，Linux和MS-DOS是兩種完全不同的實體。與其他商業操作系統相比，MS-DOS價格比較便宜，而且在PC機用戶中有很大的佔有率，任何其他PC機操作系統都很難達到MS-DOS的普及程度，因為其他操作系統的費用對大多數PC機用戶來說都是一個不小的負擔。Linux是免費的，用戶可以從internet上或者其他途徑獲得它的版本，而且可以任意使用，不用考慮費用問題。

就操作系統的功能來說，MS-DOS是單任務的操作系統，一旦用戶運行了一個MS-DOS的應用程序，它就獨佔了系統的資源，用戶不可能再同時運行其他應用程序。而Linux是多任務的操作系統，用戶可以同時運行多個應用程序。

再看一下Linux與OS/2、Windows、Windows NT之間的區別。
從發展的背景看，Linux與其他操作系統的區別是，Linux是從一個比較成熟的操作系統發展而來的，而其他操作系統，如Windows NT等，都是自成體系，無對應的相依託的操作系統。這一區別使得Linux的用戶能大大地從Unix團體貢獻中獲利。因為Unix是世界上使用最普遍、發展最成熟的操作系統之一，它是七十年代中期發展起來的微機和巨型機的多任務系統，雖然有時介面比較混亂，並缺少相對集中的標准，但還是發展壯大成為了最廣泛使用的操作系統之一。無論是Unix的作者還是Unix的用戶，都認為只有Unix才是一個真正的操作系統，許多計算機系統（從個人計算機到超級計算機）都存在Unix版本，Unix的用戶可以從很多方面得到支持和幫助。因此，Linux做為Unix的一個克隆，同樣會得到相應的支持和幫助，直接擁有Unix在用戶中建立的牢固的地位。

從使用費用上看，Linux與其他操作系統的區別在於Linux是一種開放、免費的操作系統，而其他操作系統都是封閉的系統，需要有償使用。這一區別使得我們能夠不用花錢就能得到很多Linux的版本以及為其開發的應用軟體。當我們訪問Internet時，會發現幾乎所有可用的自由軟體都能夠運行在Linux系統上。有來自很多軟體商的多種Unix實現，Unix的開發、發展商以開放系統的方式推動其標准化，但卻沒有一個公司來控制這種設計。因此，任何一個軟體商（或開拓者）都能在某種Unix實現中實現這些標准。OS/2和Windows
NT等操作系統是具有版權的產品，其介面和設計均由某一公司控制，而且只有這些公司才有權實現其設計，它們是在封閉的環境下發展的。

D. linux和網路安全都感興趣，哪個方向發展更好一些。

網路安全吧，國內linux基本上還處於皮毛階段，會用命令的不少，懂得工作模型的鳳毛麟角。網路安全覆蓋的業務面比較廣泛，可以做售前、銷售、產品經理、研發、主管等許多職位，linux恐怕你將來除了售後和實施外，很難得到什麼不錯的職位。要知道IT行業售後可是最累的工作之一，實施也好不到哪去。

E. linux網路安全是什麼

linux網路安全介紹：
1.分區：
一個潛在的黑客如果要攻擊你的Linux 伺服器，首先就會嘗試緩沖區溢出。在過去的幾年中，以緩沖區溢出為類型的安全漏洞是最為常見的一種形式了。
更為嚴重的是，緩沖區溢出漏洞佔了遠程網路攻擊的絕大多數，這種攻擊可以輕易使得一個匿名的Internet用戶有機會獲得一台主機的部分或全部的控制權！
為了防止此類攻擊，從安裝系統時就應該注意。如果用root分區紀錄數據，如log 文件和email ，就可能因為拒絕服務產生大量日誌或垃圾郵件，從而導致系統崩潰。所以建議為/var開辟單獨的分區，用來存放日誌和郵件，以避免root分區被溢出。
最好為特殊的應用程序單獨開一個分區，特別是可以產生大量日誌的程序，還有建議為/home 單獨分一個區，這樣們就不能填滿/ 分區了，從而就避免了部分針對Linux分區溢出的惡意攻擊。
2.BIOS：
記著要在BIOS設置中設定一個BIOS密碼，不接收軟盤啟動。這樣可以阻止不懷好意的人用專門的啟動盤啟動你的Linux 系統，並避免別人更改BIOS設置，如更改軟盤啟動設置或不彈出密碼框直接啟動伺服器等等。
3.口令：
口令是系統中認證用戶的主要手段，系統安裝時默認的口令最小長度通常為5，但為保證口令不易被猜測攻擊，可增加口令的最小長度，至少等於8.為此，需修改文件/etc/login.defs 中參數PASS_MIN_LEN（口令最小長度）。
同時應限制口令使用時間，保證定期更換口令，建議修改參數PASS_MIN_DAYS （口令使用時間）。

F. 如何使Linux伺服器變得更安全

1.安裝和配置一個防火牆
一個配置適當的防火牆不僅是系統有效應對外部攻擊的第一道防線，也是最重要的一道防線。在新系統第一次連接上Internet之前，防火牆就應該被安裝並且配置好。防火牆配置成拒絕接收所有數據包，然後再打開允許接收的數據包，將有利於系統的安全。Linux為我們提供了一個非常優秀的防火牆工具，它就是netfilter/iptables。它完全是免費的，並且可以在一台低配置的老機器上很好地運行。防火牆的具體設置方法請參見iptables使用方法。

2、關閉無用的服務和埠
任何網路連接都是通過開放的應用埠來實現的。如果我們盡可能少地開放埠，就使網路攻擊變成無源之水，從而大大減少了攻擊者成功的機會。把Linux作為專用伺服器是個明智的舉措。例如，希望Linux成為的Web伺服器，可以取消系統內所有非必要的服務，只開啟必要服務。這樣做可以盡量減少後門，降低隱患，而且可以合理分配系統資源，提高整機性能。以下是幾個不常用的服務：
① fingerd（finger伺服器）報告指定用戶的個人信息，包括用戶名、真實姓名、shell、目錄和聯系方式，它將使系統暴露在不受歡迎的情報收集活動下，應避免啟動此服務。
② R服務（rshd、rlogin、rwhod、rexec）提供各種級別的命令，它們可以在遠程主機上運行或與遠程主機交互，在封閉的網路環境中登錄而不再要求輸入用戶名和口令，相當方便。然而在公共伺服器上就會暴露問題，導致安全威脅。

3、刪除不用的軟體包
在進行系統規劃時，總的原則是將不需要的服務一律去掉。默認的Linux就是一個強大的系統，運行了很多的服務。但有許多服務是不需要的，很容易引起安全風險。這個文件就是/etc/xinetd.conf，它制定了/usr/sbin/xinetd將要監聽的服務，你可能只需要其中的一個：ftp，其它的類如telnet、shell、login、exec、talk、ntalk、imap、finger、auth等，除非你真的想用它，否則統統關閉。

4、不設置預設路由
在主機中，應該嚴格禁止設置預設路由，即default route。建議為每一個子網或網段設置一個路由，否則其它機器就可能通過一定方式訪問該主機。

5、口令管理
口令的長度一般不要少於8個字元，口令的組成應以無規則的大小寫字母、數字和符號相結合，嚴格避免用英語單詞或片語等設置口令，而且各用戶的口令應該養成定期更換的習慣。另外，口令的保護還涉及到對/etc/passwd和/etc/shadow文件的保護，必須做到只有系統管理員才能訪問這2個文件。安裝一個口令過濾工具加npasswd，能幫你檢查你的口令是否耐得住攻擊。如果你以前沒有安裝此類的工具，建議你現在馬上安裝。如果你是系統管理員，你的系統中又沒有安裝口令過濾工具，請你馬上檢查所有用戶的口令是否能被窮盡搜索到，即對你的／ect／passwd文件實施窮盡搜索攻擊。用單詞作密碼是根本架不住暴力攻擊的。黑客們經常用一些常用字來破解密碼。曾經有一位美國黑客表示，只要用「password」這個字，就可以打開全美多數的計算機。其它常用的單詞還有：account、ald、alpha、beta、computer、dead、demo、dollar、games、bod、hello、help、intro、kill、love、no、ok、okay、please、sex、secret、superuser、system、test、work、yes等。
密碼設置和原則：
a.足夠長，指頭只要多動一下為密碼加一位，就可以讓攻擊者的辛苦增加十倍;
b. 不要用完整的單詞，盡可能包括數字、標點符號和特殊字元等;
c.混用大小寫字元;
d.經常修改。

6、分區管理
一個潛在的攻擊，它首先就會嘗試緩沖區溢出。在過去的幾年中，以緩沖區溢出為類型的安全漏洞是最為常見的一種形式了。更為嚴重的是，緩沖區溢出漏洞佔了遠程網路攻擊的絕大多數，這種攻擊可以輕易使得一個匿名的Internet用戶有機會獲得一台主機的部分或全部的控制權！。
為了防止此類攻擊，我們從安裝系統時就應該注意。如果用root分區記錄數據，如log文件，就可能因為拒絕服務產生大量日誌或垃圾郵件，從而導致系統崩潰。所以建議為/var開辟單獨的分區，用來存放日誌和郵件，以避免root分區被溢出。最好為特殊的應用程序單獨開一個分區，特別是可以產生大量日誌的程序，還建議為/home單獨分一個區，這樣他們就不能填滿/分區了，從而就避免了部分針對Linux分區溢出的惡意攻擊。
很多Linux桌面用戶往往是使用Windows、Linux雙系統。最好使用雙硬碟。方法如下：首先將主硬碟的數據線拆下，找一個10GB左右的硬碟掛在計算機上，將小硬碟設置為從盤，按照平常的操作安裝Linux伺服器版本，除了啟動的引導程序放在MBR外，其它沒有區別。 安裝完成，調試出桌面後，關閉計算機。將小硬碟的數據線拆下，裝上原硬碟，並設定為主盤（這是為了原硬碟和小硬碟同時掛接在一個數據線上），然後安裝Windows軟體。將兩個硬碟都掛在數據線上，數據線是IDE 0介面，將原硬碟設定為主盤，小硬碟設定為從盤。如果要從原硬碟啟動，就在CMOS里將啟動的順序設定為「C、D、CDROM」，或者是「IDE0(HDD-0)」。這樣計算機啟動的時候，進入Windows界面。如果要從小硬碟啟動，就將啟動順序改為「D、C、CDROM」，或者是「IDE1(HDD-1)」，啟動之後，將進入Linux界面。平時兩個操作系統是互相不能夠訪問的。

7、防範網路嗅探：
嗅探器技術被廣泛應用於網路維護和管理方面，它工作的時候就像一部被動聲納，默默的接收看來自網路的各種信息，通過對這些數據的分析，網路管理員可以深入了解網路當前的運行狀況，以便找出網路中的漏洞。在網路安全日益被注意的今天.我們不但要正確使用嗅探器.還要合理防範嗅探器的危害.嗅探器能夠造成很大的安全危害，主要是因為它們不容易被發現。對於一個安全性能要求很嚴格的企業，同時使用安全的拓撲結構、會話加密、使用靜態的ARP地址是有必要的。

8、完整的日誌管理
日誌文件時刻為你記錄著你的系統的運行情況。當黑客光臨時，也不能逃脫日誌的法眼。所以黑客往往在攻擊時修改日誌文件，來隱藏蹤跡。因此我們要限制對／var／log文件的訪問，禁止一般許可權的用戶去查看日誌文件。
另外要使用日誌伺服器。將客戶機的日誌信息保存副本是好主意，創建一台伺服器專門存放日誌文件，可以通過檢查日誌來發現問題。修改/etc/sysconfig/syslog文件加入接受遠程日誌記錄。

/etc/sysconfig/syslog SYSLOGD_OPTIONS="-m r 0"

還應該設定日誌遠程保存。修改/etc/syslog.conf文件加入日誌伺服器的設置，syslog將保存副本在日誌伺服器上。
/etc/syslog.conf *.* @log_server_IP

可以使用彩色日誌過濾器。彩色日誌loco過濾器，目前版本是0.32。使用loco /var/log/messages | more可以顯示出彩色的日誌，明顯標記出root的位置和日誌中異常的命令。這樣可以減少分析日誌時人為遺漏。還要進行日誌的定期檢查。Red Hat Linux中提供了logwatch工具，定期自動檢查日誌並發送郵件到管理員信箱。需要修改/etc/log.d/conf/ logwatch.conf文件，在MailTo = root參數後增加管理員的郵件地址。Logwatch會定期檢查日誌，過濾有關使用root、sudo、telnet、ftp登錄等信息，協助管理員分析日常安全。完整的日誌管理要包括網路數據的正確性、有效性、合法性。對日誌文件的分析還可以預防入侵。例如、某一個用戶幾小時內的20次的注冊失敗記錄，很可能是入侵者正在嘗試該用戶的口令。

9、終止正進行的攻擊
假如你在檢查日誌文件時，發現了一個用戶從你未知的主機登錄，而且你確定此用戶在這台主機上沒有賬號，此時你可能正被攻擊。首先你要馬上鎖住此賬號(在口令文件或shadow文件中，此用戶的口令前加一個Ib或其他的字元)。若攻擊者已經連接到系統，你應馬上斷開主機與網路的物理連接。如有可能，你還要進一步查看此用戶的歷史記錄，查看其他用戶是否也被假冒，攻擊音是否擁有根許可權。殺掉此用戶的所有進程並把此主機的ip地址掩碼加到文件hosts.deny中。

10、使用安全工具軟體：
Linux已經有一些工具可以保障伺服器的安全。如bastille linux和Selinux。 bastille linux對於不熟悉 linux 安全設定的使用者來說，是一套相當方便的軟體，bastille linux 目的是希望在已經存在的 linux 系統上，建構出一個安全性的環境。增強安全性的Linux（SELinux）是美國安全部的一個研發項目，它的目的在於增強開發代碼的Linux內核，以提供更強的保護措施，防止一些關於安全方面的應用程序走彎路，減輕惡意軟體帶來的災難。普通的Linux系統的安全性是依賴內核的，這個依賴是通過setuid/setgid產生的。在傳統的安全機制下，暴露了一些應用授權問題、配置問題或進程運行造成整個系統的安全問題。這些問題在現在的操作系統中都存在，這是由於他們的復雜性和與其它程序的互用性造成的。SELinux只單單依賴於系統的內核和安全配置政策。一旦你正確配置了系統，不正常的應用程序配置或錯誤將只返回錯誤給用戶的程序和它的系統後台程序。其它用戶程序的安全性和他們的後台程序仍然可以正常運行，並保持著它們的安全系統結構。用簡單一點的話說就是：沒有任何的程序配置錯誤可以造成整個系統的崩潰。安裝SELinux SELinux的內核、工具、程序/工具包，還有文檔都可以到增強安全性的Linux網站上上下載你必須有一個已經存在的Linux系統來編譯你的新內核，這樣才能訪問沒有更改的系統補丁包。

11.使用保留IP地址
維護網路安全性最簡單的方法是保證網路中的主機不同外界接觸。最基本的方法是與公共網路隔離。然而，這種通過隔離達到的安全性策略在許多情況下是不能接受的。這時，使用保留IP地址是一種簡單可行的方法，它可以讓用戶訪問Internet同時保證一定的安全性。- RFC 1918規定了能夠用於本地 TCP/IP網路使用的IP地址范圍，這些IP地址不會在Internet上路由，因此不必注冊這些地址。通過在該范圍分配IP地址，可以有效地將網路流量限制在本地網路內。這是一種拒絕外部計算機訪問而允許內部計算機互聯的快速有效的方法。 保留IP地址范圍:
---- 10.0.0 .0 - 10.255.255.255
---- 172.16.0.0 - 172.31.255.255
--- 192.168.0.0 - 192.168.255.255。
來自保留IP地址的網路交通不會經過Internet路由器，因此被賦予保留IP地址的任何計算機不能從外部網路訪問。但是，這種方法同時也不允許用戶訪問外部網路。IP偽裝可以解決這一問題。

12、合理選擇Linux發行版本：
對於伺服器使用的Linux版本，既不使用最新的發行版本，也不選擇太老的版本。應當使用比較成熟的版本：前一個產品的最後發行版本如RHEL 3.0等。畢竟對於伺服器來說安全穩定是第一的。

13、部署Linux防範病毒軟體
Linux操作系統一直被認為是Windows系統的勁敵，因為它不僅安全、穩定、成本低，而且很少發現有病毒傳播。但是，隨著越來越多的伺服器、工作站和個人電腦使用Linux軟體，電腦病毒製造者也開始攻擊這一系統。對於Linux系統無論是伺服器，還是工作站的安全性和許可權控制都是比較強大的，這主要得力於其優秀的技術設計，不僅使它的作業系統難以宕機，而且也使其難以被濫用。Unix經過20多年的發展和完善，已經變得非常堅固，而Linux基本上繼承了它的優點。在Linux里，如果不是超級用戶，那麼惡意感染系統文件的程序將很難得逞。速客一號(Slammer)、沖擊波(Blast)、霸王蟲(Sobig)、 米蟲(Mimail)、勞拉（Win32.Xorala）病毒等惡性程序雖然不會損壞Linux伺服器，但是卻會傳播給訪問它的Windows系統平台的計算機。

G. 網路安全與linux哪個更有發展

我覺得是安全，因為安全涉及到東西太多了。不單單是網路，還要懂系統，懂資料庫，懂很多東西，linux
是很強大，但是現在如果找工作你會的越多，機會就越多，不是么？

H. LINUX真的很安全嗎

題主說的Linux安全，應該指的是Linux操作系統的本身的安全吧。這個范圍比較廣，包括Linux內核層的安全與用戶層的安全。用戶層的安全包括Linux下的各種認證系統，比如目前流行的PAM認證機制，Ukey指紋認證機制，遠程網路認證機制，LDAP認證機制，3A認證機制等。用戶層安全還包括網路安全，比如通過iptables定製防火牆，關閉伺服器不必要開啟的埠等。內核態的安全，比如，緩沖區溢出攻擊，當然這個安全漏洞在windows中也是存在的，各種各樣的內核態提權漏洞等，現在有很多網路安全公司基於netfilter框架添加自已的勾子函數， 生產各種入侵檢測系統等。
Linux系統安全之所以在互聯網公司包括像阿里巴巴這樣的公司不受重視，是因為這些公司覺得，做為暴露給用戶的各種應用，如Web應用等，這些應用的安全顯然比操作系統的安全來得更加重要。當應用的安全得不到保障，Web程序被各種腳本小子植入如存儲型XSS腳本，導致用戶密碼被盜，甚至導致一些更嚴重的結果，比如存儲用戶名與密碼的資料庫被脫庫，這個就是相當嚴重的安全事故了。也許這個破壞者完成這些操作，並不需要利用操作系統的漏洞，也不需要取得操作系統的用戶名和密碼，只是要取得一個具有較高許可權的資料庫管理員的密碼即可完成上述操作。當黑客取得Linux系統的普通用戶名與密碼時，當他需要root用戶時，才會去利用操作系統本身的漏洞進行提權。關於Linux操作系統提權漏洞，在2.6.18版本存在較多的提權漏洞，到了2.6.32內核，這種提權漏洞已經少了很多。
回到正題，對於現在的很多IT從業人員來說，前途最直接的體現就是工資，待遇。就目前國內來說，直接從事Linux操作系統安全的公司很少，大部分都是科研院校在做這方面的工作。比如中科院下屬的一些研究所，國家電網、南方電網裡面的研究院，當然還有各大高校的一些信息安全實驗室，還有解放軍叔叔，他們也在從事這些方面的工作。
當然，如同所有的IT技術一樣，Linux操作系統的各種安全機制，也是國外在主導。現有的Linux安全框架叫做LSM，Linux security mole。基於這個框架，可以實現各種各樣的Linux安全機制，其中最著名的就是SELinux。因為Redhat的Linux自帶的安全模塊就是SELinux。SELinux最早是由NSA(美國國家安全局)主導的項目，後面開源了。Redhat在SELinux上做了大量的工作。但SELinux由於其配置比較復雜，再加上許多人認為Linux系統本身已經足夠安全了，所以大部分人都將SELinux設置了disabled。想了解更多Linux命令，可查看《Linux命令大全》，具體搜索方式看下圖：

I. 為什麼網路安全要學 Linux拜託各位大神

Linux操作系統也是自由軟體和開放源代碼發展中最著名的例子。Linux是一套免費使用和自由傳播的類Unix操作系統，它主要用於基於x86系列CPU的計算機上。這個系統是由世界各地的成千上萬的程序員設計和實現的。其目的是建立不受任何商品化軟體的版權制約的、全世界都能自由使用的Unix兼容產品。 傳統上有以Linux為基礎的「LAMP（Linux, Apache, MySQL, Perl/PHP/Python的組合）」經典技術組合，提供了包括操作系統、資料庫、網站伺服器、動態網頁的一整套網站架設支持。而面向更大規模級別的領域中，如資料庫中的Oracle、DB2、PostgreSQL，以及用於Apache的Tomcat JSP等都已經在Linux上有了很好的應用樣本。除了已在開發者群體中廣泛流行，它亦是現時提供網站務供應商最常使用的平台 已經發展成了一個遵循POSIX標準的純32位多工操作系統，64位版本也在開發之中。Linux可以兼容大部分的UNIX系統，很多UNIX的程序不需要改動，或者很少的改變就可以運行於Linux環境；內置TCP/IP協議，可以直接連入Internet，作為伺服器或者終端使用；內置JAVA解釋器，可直接運行JAVA源代碼；具備程序語言開發、文字編輯和排版、資料庫處理等能力；提供X Window的圖形界面；主要用於x86系列的個人電腦，也有其它不同硬體平台的版本，支持現在流行的所有硬體設備。就性能上來說，它並不弱於Windows甚至UNIX，而且靠模擬程序還可以運行Windows應用程序。它有成千上萬的各類應用軟體，並不輸於Windows的應用軟體數量，其中也有商業公司開發的贏利性的軟體。最可貴的是：它是一個真正的UNIX系統，可以供專業用戶和想學UNIX的人在自己的個人電腦上使用。Linux是一個非常靈活的系統，相對於Windows而言也是一個比較難用的系統，就如同大多數用戶用不慣MacOS的單鍵滑鼠一樣。 想要對Linux輕車熟路，你必須懂得一些相關知識，軟、硬體的配置，最好還懂點程序，因為沒有人有義務為您提供技術支援，除了和其它用戶交流之外 ，您必須要自己解決問題。當然，如果您只是作為日常應用，就不需要那麼復雜啦，Linux一樣會為您提供完美的操作環境，你所要做的就是改變使用習慣和成見。 早期的操作系統是沒有圖形界面的，自從Apple於1984年推出System 1.0開始，個人電腦才實現了真正的GUI（Graphics User Interface，圖形用戶界面），從此電腦變得更加具有親和力，也更加易於使用。Windows的圖形化開始於Windows 3.1/3.2，直到Windows 95的出現才標志著多媒體時間的到來，從此計算機變得能說會唱起來。Linux始於UNIX，卻青出於藍勝於藍，同樣擁有著不俗的圖形用戶界面，性能更穩定，也更漂亮，可以和世界上曾經出現過的，最美麗的操作系統媲美！不同於現在的XP，Linux的圖形界面是基於Console之上的，類似於Windows 95架於DOS之上，Linux下實現圖形界面的是X Window系統（區別於MS的Windows）。 X Window是一套用於UNIX的具有極大可攜性、對彩色掌握的多樣性和網路之間的操作透明性的健在式處理窗口系統。它和微軟的Windows的工作原理並不相同，不過兩者都使用圖形界面和窗口技術，從外表看來有那麼一點點相似，但又存在著巨大的不同，實際上X Window的界面更加多樣化，也更漂亮，且高效快捷。就Windows對於DOS的地位一樣，X Window一改UNIX/Linux單調的文本界面，提供了一個友善的圖形用戶界面（GUI）。 1984年在麻省理工學院（MIT）電腦科學研究室工作的Bob Scheifler正在發展分布式系統，DEC公司的Jim Gettys也在MIT進行A-thena計劃的一部分。兩者都需要一套在UNIX系統上使用的圖形界面，因此兩者開始合作研製X Window。1987年，MIT發布了第11個版本的X Window，並成立了非贏利性組織「X協會」來發展及控制X Window標准。所以現在的X Window並不完全是一個軟體，而是一個協定，定義了一個系統所必須具備的功能。任何系統能滿足這個協定及符合X協會其它的規范，便可稱為X Window，它的源代碼公開。因為X Window具有強大的與設備無關結構性，它提供了一組網路通信協議，任何硬體只要提供X協定，便可以執行應用程序顯示一群包含圖文的窗口，不需要重新編譯，這種與設備無關的特性只要是根據X Window標准所開發的應用程序均可在不同的環境下作用，這就大大減少了跨越不同平台之間的編譯工作，應用程序更加具有可移植性。 Linux上最常用的X Window是Xfree86，它是MIT的X11R5的移植版，使用Openlook窗口管理系統，所以Xfree86是免費的。Xfree86支持現行所有的PC顯示卡，但不一定支持它們的Windows加速特性，比如DirectX 9。

J. 如何保證Linux伺服器的網路安全

本文將向你介紹基本的 Linux 伺服器安全知識。雖然主要針對 Debian/Ubuntu，但是你可以將此處介紹的所有內容應用於其他 Linux 發行版。我也鼓勵你研究這份材料，並在適當的情況下進行擴展。

1、更新你的伺服器

保護伺服器安全的第一件事是更新本地存儲庫，並通過應用最新的修補程序來升級操作系統和已安裝的應用程序。

在 Ubuntu 和 Debian 上：

$ sudo apt update && sudo apt upgrade -y

在 Fedora、CentOS 或 RHEL：

$ sudo dnf upgrade

2、創建一個新的特權用戶

接下來，創建一個新的用戶帳戶。永遠不要以 root 身份登錄伺服器，而是創建你自己的帳戶（用戶），賦予它 sudo 許可權，然後使用它登錄你的伺服器。

首先創建一個新用戶：

$ adser <username>

通過將 sudo 組（-G）附加（-a）到用戶的組成員身份里，從而授予新用戶帳戶 sudo 許可權：

$ usermod -a -G sudo <username>

3、上傳你的 SSH 密鑰

你應該使用 SSH 密鑰登錄到新伺服器。你可以使用 ssh--id 命令將 預生成的 SSH 密鑰 上傳到你的新伺服器：

$ ssh--id <username>@ip_address

現在，你無需輸入密碼即可登錄到新伺服器。

4、安全強化 SSH

接下來，進行以下三個更改：

• 禁用 SSH 密碼認證

• 限制 root 遠程登錄

• 限制對 IPv4 或 IPv6 的訪問

使用你選擇的文本編輯器打開 /etc/ssh/sshd_config 並確保以下行：

• PasswordAuthentication yes
• PermitRootLogin yes



改成這樣：

• PasswordAuthentication no


• PermitRootLogin no



接下來，通過修改 AddressFamily 選項將 SSH 服務限制為 IPv4 或 IPv6。要將其更改為僅使用 IPv4（對大多數人來說應該沒問題），請進行以下更改：

• AddressFamily inet



重新啟動 SSH 服務以啟用你的更改。請注意，在重新啟動 SSH 服務之前，與伺服器建立兩個活動連接是一個好主意。有了這些額外的連接，你可以在重新啟動 SSH 服務出錯的情況下修復所有問題。

在 Ubuntu 上：

• $ sudo service sshd restart



在 Fedora 或 CentOS 或任何使用 Systemd 的系統上：

• $ sudo systemctl restart sshd



5、啟用防火牆

現在，你需要安裝防火牆、啟用防火牆並對其進行配置，以僅允許你指定的網路流量通過。（Ubuntu 上的） 簡單的防火牆 （UFW）是一個易用的 iptables 界面，可大大簡化防火牆的配置過程。

你可以通過以下方式安裝 UFW：

• $ sudo apt install ufw



默認情況下，UFW 拒絕所有傳入連接，並允許所有傳出連接。這意味著伺服器上的任何應用程序都可以訪問互聯網，但是任何嘗試訪問伺服器的內容都無法連接。

首先，確保你可以通過啟用對 SSH、HTTP 和 HTTPS 的訪問來登錄：

• $ sudo ufw allow ssh


• $ sudo ufw allow http


• $ sudo ufw allow https



然後啟用 UFW：

• $ sudo ufw enable



你可以通過以下方式查看允許和拒絕了哪些服務：

• $ sudo ufw status



如果你想禁用 UFW，可以通過鍵入以下命令來禁用：

• $ sudo ufw disable



你還可以（在 RHEL/CentOS 上）使用 firewall-cmd ，它已經安裝並集成到某些發行版中。

6、安裝 Fail2ban

Fail2ban 是一種用於檢查伺服器日誌以查找重復或自動攻擊的應用程序。如果找到任何攻擊，它會更改防火牆以永久地或在指定的時間內阻止攻擊者的 IP 地址。

你可以通過鍵入以下命令來安裝 Fail2ban：

• $ sudo apt install fail2ban -y



然後復制隨附的配置文件：

• $ sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local



重啟 Fail2ban：

• $ sudo service fail2ban restart



這樣就行了。該軟體將不斷檢查日誌文件以查找攻擊。一段時間後，該應用程序將建立相當多的封禁的 IP 地址列表。你可以通過以下方法查詢 SSH 服務的當前狀態來查看此列表：

• $ sudo fail2ban-client status ssh



7、移除無用的網路服務

幾乎所有 Linux 伺服器操作系統都啟用了一些面向網路的服務。你可能希望保留其中大多數，然而，有一些你或許希望刪除。你可以使用 ss 命令查看所有正在運行的網路服務：（LCTT 譯註：應該是只保留少部分，而所有確認無關的、無用的服務都應該停用或刪除。）

• $ sudo ss -atpu



ss 的輸出取決於你的操作系統。下面是一個示例，它顯示 SSH（sshd）和 Ngnix（nginx）服務正在偵聽網路並准備連接：

• tcp LISTEN 0 128 *:http *:* users:(("nginx",pid=22563,fd=7))


• tcp LISTEN 0 128 *:ssh *:* users:(("sshd",pid=685,fd=3))



刪除未使用的服務的方式因你的操作系統及其使用的程序包管理器而異。

要在 Debian / Ubuntu 上刪除未使用的服務：

• $ sudo apt purge <service_name>



要在 Red Hat/CentOS 上刪除未使用的服務：

• $ sudo yum remove <service_name>



再次運行 ss -atup 以確認這些未使用的服務沒有安裝和運行。

以上文章來源www.idccoupon.com，歡迎一起交流討論學習。