站点主机安全档案

2008-04-02 10:57:15来源：互联网阅读 ()

作者：花劫容版本：version 1.0

本文档与站点服务器安全有关，由本人根据实际工作经验编写而成；这里只是一个初稿，以后有时间我会更新它。
站点服务器通常指托管在IDC机房的服务器，如果你有服务器托管在IDC那里，就不得不对它们的安全予以关注。如果你是网络程序员或系统管理员，本文或许会对你有所帮助，如果你是专业安全管理员，那么看一下本文也无妨。
站点安全应该包括几部分：物理安全、网络安全、系统安全以及安全管理，下面从这几方面予以阐述。

一．物理安全
服务器运行的物理安全环境是很重要的，很多人忽略了这点。物理环境主要是指服务器托管机房的设施状况，包括通风系统、电源系统、防雷防火系统以及机房的温度、湿度条件等。这些因素会影响到服务器的寿命和所有数据的安全。我不想在这里讨论这些因素，因为在选择IDC时你自己会作出决策。
在这里着重强调的是，有些机房提供专门的机柜存放服务器，而有些机房只提供机架。所谓机柜，就是类似于家里的橱柜那样的铁柜子，前后有门，里面有放服务器的拖架和电源、风扇等，服务器放进去后即把门锁上，只有机房的管理人员才有钥匙打开。而机架就是一个个铁架子，开放式的，服务器上架时只要把它插到拖架里去即可。这两种环境对服务器的物理安全来说有着很大差别，显而易见，放在机柜里的服务器要安全得多。
如果你的服务器放在开放式机架上，那就意味着，任何人都可以接触到这些服务器。别人如果能轻松接触到你的硬件，还有什么安全性可言？以下是几个不安全的事例：
很多Windows服务器采用终端服务进行管理，在一个机架式的机房里，你可以随便把显示器接在哪台服务器上。如果你碰巧遇到某台机器的管理员或使用者正通过终端使用这台机器，那么他的操作你可以一览无余。甚至，你可以把键盘接上去，把他kill off，然后完全控制这台机器。当然，这种事情比较少见，但不意味着不可发生。
另外，很多Unix系统的管理员在离开机房时，没有把root或其他帐号的shell从键盘退出，这样你只要把键盘和显示器接上去，就完全可以获取这个shell的权限。这可比远程攻击获取系统权限容易得太多。我有次在机房时想要一个unix shell临时使用一下，于是我把显示器在旁边机架的几台服务器上接了一下，很快就发现一个没有退出的root shell，我把键盘接上去，做完我自己的事后，帮他退出了这个shell。如果我是一个不安好心的人，我完全可以在他的服务器里不带任何痕迹的安装一个木马（RootKit）。
某天我看到一个公司的维护人员在机房调试专线时，怀疑是协议转换仪有问题，于是他毫不犹豫的把旁边一个机架上的协议转换仪拔下来，接到他自己的专线上用于调试。被破坏的服务器数据传输会中断几分钟，这对某些公司可能是致命的，而他们的服务器管理人员可能到死也查不出原因！
还有，用一张Linux光盘引导Linux系统，你可以毫无障碍的重新获取主机的root权限；你可以无意中碰动别人的电源，等等，不在这里赘述。所有这些是要说明一点，放在开放机架上的服务器是不安全的。如果你的服务器硬件可以让其他人轻易接触，那么不出事是你的幸运，出事了你也找不到原因或找不到责任人。
而放在密封式机柜里的服务器会安全很多，一般情况下，你的所有服务器放在一起（同一个机柜或者几个机柜）是明智之举，机柜里不要有其他公司的服务器。如果你的服务器只有有限的几台，那么放在机柜里也会安全很多。因为不是任何人都可以打开机柜接触到你的硬件，就算同一个机柜的其他公司的服务器的维护人员有这个机会，但风险也要小得多。而且，就算出事了，你也可以追查到责任人。
有一次我们的服务器因为电源断掉，而中断几个小时，我们根据系统日志很快判断出服务器的down机情况，在追查责任时，我首先想到是IDC机房的维护人员的责任，因为在我们那个机柜里没有其他公司的服务器，别人不会接触到那里面的电源。后来经查实，果然是该IDC的电工在弄电时不小心把我们的服务器电源断掉，他们向我们出具了道歉声明。而如果在一个开放式机架的机房里，碰到这样的情况你无从查起。
如果你的服务器只能放在开放式机架的机房，那么你可以这样做：1）将电源用胶带绑定在插槽上，这样避免别人无意中碰动你的电源；2）安装完系统后，重启服务器，在重启的过程中把键盘和鼠标拔掉，这样在系统启动后，普通的键盘和鼠标接上去以后不会起作用（USB鼠标键盘除外）3）跟机房值班人员搞好关系，不要得罪机房里其他公司的维护人员。这样做后，你的服务器至少会安全一些。

二．网络安全
网络安全是指你机房的服务器要有合理的安全拓扑结构。安全的网络环境会让你的系统管理任务轻松很多，否则你会时刻提心吊胆。例如，如果你的NFS服务器直接面对互联网，那么你的麻烦就来了。因此，在服务器的前面，至少要有网络屏蔽设施，或称为防火墙。
从头部署新的防火墙策略是一件复杂的事情，你要综合考虑许多方面。一般来说，防火墙有两种工作模式，称为路由模式和透明模式，在路由模式下，防火墙就象一个路由器，能进行数据包的路由。不同的是，它能识别网络第四层协议（即传输层）的信息，因此它能基于TCP/UDP端口来进行过滤。在该模式下，防火墙本身要配备两个或多个网络地址，你的网络结构会被改变。在透明模式下，防火墙更象一个网桥，它不干涉网络结构，从拓扑中看来，它似乎是不存在的（因此称为透明）。但是，透明模式的防火墙同样具备数据包过滤的功能。透明模式的防火墙不具备IP地址。这两种模式的防火墙都提供网络访问控制功能，例如你可以在防火墙上设置，过滤掉来自因特网的对服务器的NFS端口的访问请求。
在网络中使用哪种工作模式的防火墙取决于你的网络环境。一般来说，如果你的服务器使用真实IP地址（该地址一般是IDC分配给你的），会选择防火墙的透明模式。因为在该模式下，你的服务器看起来象直接面对互联网一样，所有对服务器的访问请求都直接到达服务器。当然，在数据包到达服务器之前会经过防火墙的检测，不符合规则的数据包会被丢弃掉（从服务器编程的角度看，它不会觉察到数据包实际已被处理过）。
实际上为了安全起见，很多服务器都采用私有IP地址（例如172.16.0.0/16和192.168.0.0/24都属于私有IP地址），如果这些服务器不必对外提供服务，那么就最安全不过了，如果要对外提供服务，就有必要通过防火墙的NAT（网络地址转换）来满足来自因特网的访问要求。NAT是防火墙的一项功能，它实际上工作在路由模式下。大多数防火墙都会区分所谓的正向NAT和反向NAT，所谓正向NAT就是指从内网出去的数据包，在经过防火墙后，包头会被改写，源IP被改写成防火墙上绑定的IP地址（或地址池，肯定是公网真实IP），源端口也会有所改变，回来的数据包经过同样处理，这样就保证内网具有私有IP的主机能够与因特网进行通信。在反向NAT的实现中，会将服务器的公网IP绑定在出口处的防火墙上，服务器只会使用一个私有IP，防火墙会在它的公网IP和这个私有IP之间建立一个映射，当外网对这台服务器的请求到达防火墙时，防火墙会把它转发给该服务器。当然，在转发之前，会先匹配防火墙规则集，不符合规则的数据包将被丢弃。