基于Linux 网络教学平台的安全策略

摘要：网络教学平台是实施网络教育的支撑平台，该文详细介绍了基于linux系统环境下，系统的安全设置、用户的管理、网络访问的基本策略、系统的监管，通过对这些方面进行综合分析，实现了网络教学平台的安全策略。

关键词：网络教学平台；Linux；网络安全；策略

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）26-5814-04

1 概述

网络教学综合平台是实施网络教育的基础，为网络教学提供了教学环境；包括网络教学支持，网络教育，资源库的管理，教学管理与评价，系统管理等部分，主要功能是将各种形式的课件（文本、视频、图片）放入资源库中进行管理，为教师教学、学生学习，管理员系统管理提供不同的服务。采用B/S（Browser/Server）技术，搭建只需Internet浏览器作为客户端的访问浏览模式；以Linux为支撑采用solaris+java+oracle技术构建服务器软件环境，用于支持各种格式的文件上传；一台磁盘阵列作为教学资源库的存储。由于Linux是一个开放式系统，用户可以利用开源软件进行传播，给黑客提供了大量攻击的机会，因此确保各类数据的精确完整，教学平台的平稳运行是系统安全的基本要求。

2 服务器操作系统的安全机制

Linux网络操作系统提供了用户帐号、文件系统权限和系统日志文件等基本安全机制，如果这些安全机制配置不当，就会使系统存在一定的安全隐患。因此，网络系统管理员必须小心地设置这些安全机制。

2.1 Linux系统用户帐号的管理

在Linux系统中，用户帐号是用户的身份标志，它由用户名和用户口令组成。用userdel、groupdel删除一些特殊用户和特殊组，减少非法用户利用特殊用户进行侵入的途径；在Linux系统中，系统将输入的用户名存放在/etc/passwd文件中，而将输入的口令以加密的形式存放在/etc/shadow文件中，清除/etc/passwd文件中的大部分内容或将账户转移到数据库中存储，提高系统账户的安全性，将/etc/passwd和/etc/shadow文件只提供给管理员使用。防止系统账户的泄露带来的不安全。

2.2 网络教学平台的登录安全认证

网络教学平台在Linux文件系统中安装了apache2和tomact应用组件，提高了系统的安全级别，应用apache2和tomact对数据库和web服务进行封装，加强文件访问权限的设置实现教师和学生的登录认证。

2.3 网络教学平台地址过滤

为网络教学平台设置适当的内网IP，并在教学平台系统内设置IP地址访问策略，制定IP地址访问列表，拒绝外部非法IP地址，避免外部非法用户的越权访问。

2.4关闭不必要网络教学平台服务

Linux的服务分为两种，一种是由inetd超级服务器来启动的，如：ftp、telnet等；对于这些服务来说，系统并不总是运行telnetd、 ftpd等服务进程，而是由inetd进程监听这些服务的服务端口，一旦有服务请求到达就启动对应的服务进程（如：telnetd等）来提供服务。另外一种是独立的服务器，系统一直运行有对应的服务进程。防止黑客利用服务漏洞进行入侵攻击。

2.5 关闭和修改默认端口

Linux的默认端口如port 22，修改和更改这些常用默认端口，减少黑客利用默认端口进行监听和远程登录，造成对系统的破坏。

2.6 采用OPEN SSH技术进行远程数据维护

网络教学平台驻留SSH进程，为远程会话和网络服务提供安全性协议，利用SSH进行远程数据维护可以有效防止信息的泄露，弥补网络漏洞。

3 Linux网络系统可能受到的威胁和安全防范策略

Linux操作系统是一种公开源码的操作系统，因此比较容易受到来自底层的网络内外的威胁，系统管理员一定要有安全防范意识，对系统采取一定的安全措施，这样才能提高Linux系统的安全性。

3.1 Linux网络系统可能受到的威胁类型

3.1.1 使系统不可用威胁

远程非法用户采取具有破坏性的方法阻塞目标网络的资源，使网络暂时或永久瘫痪，从而使Linux服务器无法为正常的用户提供服务。例如远程非法用户不断的发出访问请求，利用伪造的源地址，不断地向目标服务器发出TCP/IP请求，使服务器不断响应服务请求，造成系统进程占用系统资源，使系统处于高负荷状态，从而使系统瘫痪。

3.1.2 “本地用户获取了他们非授权的文件的读写权限”

非法用户诱骗合法用户告知其机密信息或执行任务，有时非法用户会假装网络管理人员向用户发送邮件，要求用户给他系统升级的密码。从而获得本地用户登录服务器的口令，因此通过本地用户获得了他们非授权的文件的读写权限，打开网络资源，进行系统的破坏

3.1.3 “远程用户获得特权文件的读写权限”

远程用户利用linux系统服务器配置中的一些弱点：即远程用户无需有效账号就可以在服务器上执行有限数量的命令，去核实特定文件的存在，并且读写这些文件；或者利用密码破解工具如字典攻击（Dictionary attack）、混合攻击（Hybrid attack）、蛮力攻击（Brute force attack）损坏或获得用户密码，登录系统进而拥有特定文件的读写权限。

3.1.4 “远程用户获得根权限”

远程用户利用扫描工具找出目标服务器上的各种漏洞对系统实施攻击，或者利用网络监听如TCP/IP连续偷窃，篡改和拦截用户数据包，获得用户的登录信息，成功登录Linux服务器，并取得服务器全部服务控制权，直至毁坏系统。

3.2 Linux安全防范策略

3.2.1 开发环境

硬件上把网络教学平台置于内网，采用物理硬件的隔离，通过交换机和防火墙的层层保护，防止外网用户的非法访问；软件上基于linux平台，安装apache、oracle和java软件环境，采用客户端、逻辑处理、和数据库三层结构架构模型，不同用户给予不同的访问权限。同时采用B/S结构用户通过浏览器进行访问，减少对数据库的访问，保证后台服务器的稳定安全。

3.2.2 磁盘分区合理性，把分区设置成只读

根目录（/）、用户目录（/home）、临时目录（/tmp）和/var目录应分开到不同的磁盘分区并合理设置磁盘分区的大小，避免因服务日志文件填满分区产生溢出遭受恶意攻击和导致系统崩溃；

3.2.3 禁止无用的网络服务

编辑/etc/inetd.conf禁止以下服务：ftp， telnet， shell， login， exec， talk， ntalk， imap， pop-2， pop-3， finger，auth， etc 减少入侵通道。

3.2.4 删减登录信息

禁止显示登录时的一些提示信息，编辑/etc/rc.d/rc.local文件将显示系统信息和登录信息进行编辑注释：

This will overwrite /etc/issue at every boot. So， make any changes you

want to make to /etc/issue here or you will lose them when you reboot.

echo "" > /etc/issue

echo "$R" >> /etc/issue

echo "Kernel $（uname -r） on $a $（uname -m）" >> /etc/issue

cp -f /etc/issue /etc/

echo >> /etc/issue

rm -f /etc/issue

rm -f /etc/

touch /etc/issue

touch /etc/

3.2.5 设置root能登陆的控制台

/etc/securetty文件指定了允许root登录的tty设备，由/bin/login程序读取，其格式是一行一个被允许的名字列表，你可以编辑/etc/securetty且注释出下面的行。

tty1

tty2

tty3

tty4

tty5

这时root仅被允许在tty1终端登录。

3.2.6 删除无用的系统用户

当你第一次装上系统时系统会建立非常多的内制用户，linux提供了很多默认账号，帐号越多，就越容易受到攻击。用户userdel、groupdel删除不用账号和组用户账号：

3.2.7 禁止使用su命令

禁止所有人能够su作为root，编辑/etc/pam.d/su加如下两行：

auth sufficient /lib/security/pam_rootok.so debug

auth required /lib/security/pam_wheel.so group=wjpt设置仅wjpt组的用户能su作为root.然后，设置用户admin能su作为root.就运行下面的命令# usermod -G10 admin

3.2.8 设置系统会自动注销root账户

root账户是具有最高特权的。编辑profile文件（vi /etc/profile）， 在"HISTFILESIZE="后面加入下面这行：

TMOUT=3600 （秒）。通过修改账户中“TMOUT”参数，能实现系统自动注销root账户防止用户进行登录访问。

3.2.9 阻止系统响应所有从外部/内部来的ping请求

编辑/etc/rc.d/rc.local文件增加echo 1>/proc/sys/net/ipv4/icmp_echo_ignore_all命令，以使每次启动后自动运行，阻止黑客对系统ping请求，减少对系统的攻击。

4 合理利用各种工具，加强网络教学平台服务器的安全监管

4.1漏洞检查

利用漏洞扫描器如主机漏洞扫描器（Host Scanner）和网络漏洞扫描器（Network Scanner）检测远程或本地主机安全性弱点程序，及时发现系统安全漏洞和不安全设置，为系统安装安全补丁，修复系统漏洞，同时更改系统的配置错误及不安全权限设置，减少入侵的通道。

4.2入侵检测

日志文件时刻记录着系统的运行情况。当非法用户入侵时，也不能逃脱日志。系统管理员要定期查看系统日志，记录系统遭受的攻击源，然后进行漏洞修复，管理员要限制对/var/log文件的访问，禁止一般权限的用户查看日志文件；或者采用第三方入侵检测工具对系统进行检测，利用智能检测技术分析判断来自网络内部和外部的非法攻击，然后进行响应和防范。

4.3病毒的防护

Linux系统的安全性和权限控制比较强大，有一定的防御功能，但现在病毒的猖獗，仍然有一些系统程序会感染可执行文件病毒、蠕虫病毒、脚本病毒，后门程序病毒等，安装Linux防病毒软件已不可少，linux上安装avast！ For linux查杀可执行文件病毒、蠕虫病毒，脚本病毒；安装Lids和Chkrootkit加强系统内核和日志文件的管理，查看是否有恶意程序入侵，防范后门程序病毒的感染。

4.4合理设置NFS服务

基于linux网络教学平台内核配置了NFS服务，实现了linux和windows系统文件和磁盘共享，防止系统崩溃时也能进行数据的备份和恢复。同时也利用DES加密算法和指数密钥交换技术对NFS请求的用户进行身份验证。

4.5利用防火墙机制

充分利用防火墙将网络教学平台服务器置于内部网络，创建一个安全的网络拓扑结构，同时开启linux系统的防火墙，拦截非法用户的访问，确保系统数据安全。对于内部网络，根据各个子网合理分配IP地址的访问权限，防止黑客突破防火墙时，利用内网IP进行非法访问。网络教学平台的安全拓扑图如图1。

4.6 采用SSL和用户身份认证

采用SSL技术在Linux服务器上建立一个加密系统，确保客户端与服务器之间传输的数据是安全与隐密的，客户端和服务器之间利用密钥对和证书建立会话通道，防止信息被监听和截获。同时采用linux、tomcat、apache三者结合实现对用户身份的认证，保证用户访问时输入“用户名/口令”，实现对资源的有效访问，保证数据的安全。

4.7 采用NAS磁盘阵列对数据进行存储、备份

NAS （Network Attached Storage）是一种专用的网络数据存储和备份器，它是以数据为中心，将存储设备与服务器彻底分离，集中管理数据，采用更可靠、更精准的磁轨式备份方式，保证网络教学平台数据资源库数据的完整、精确，不受服务器运行的影响。

4.8 网络教学平台安全应急响应机制

由于网络安全技术不断更新发展，网络教学平台的安全策略也需要不断的调整，要及时组建网络安全应急响应机制，专人负责维护，防范安全突发事件，排除、预防故障，优化性能，保障网络教学平台的健康运行。合理制定网络教学平台的安全策略，采用多种安全设备和技术来构建多层防护系统；同时制定网络教学平台运行管理制度，定期检查记录设备性能和运行日志，使得网络教学平台快速、高效、稳定运行。

5 结束语

网络教学平台是实施网络教育的基础环境。构建良好Linux系统运行环境，是网络教学平台得以稳定运行的前提，因此作为网络教学平台的技术维护人员，必须采取积极有效的措施提高系统安全性，利用防火墙和SSL构建安全的Linux系统网络，减少黑客对系统的攻击，确保网络教学平台的安全、稳定的运行，为网络教学、教学资源库的管理提供良好的教学支撑环境。

参考文献：

[1] 王一川. Linux黑客大曝光：Linux安全机密与解决方案[M].北京：清华大学出版社，2002.

[2] 施势帆，吕建毅.Linux网络服务器实用手册[M].北京：清华大学出版社，1999.

[3] 陈胤.Linux信息安全实用教程[M].北京：科技出版社，2007.

[4] 尼春雨.Linux操作系统基础与实训教程[M].北京：清华大学出版社，2008.

[5] [美]Haisen Linux安全基础[M].北京：人民邮电出版社，2002.