当前页面位置: » 丰搜网 » 文档中心 » 详细内容
一个安全web服务器的安装(5)
最后的提示
更新！一个没有采用最新的安全补丁进行更新的系统会很快称为攻击者的目标。
已经完成配置安全系统所需的所有工作之后，要记住：cgi脚本将是最大的安全隐患。大多数成功的攻击都是通过这些脚本实现的。简明的建议是：最好使用那些公开发布并且已经被不同的网站使用了一段时间的cgi脚本；如果管理员不得已需要写一些cgi脚本程序的话，这些程序应该由其它人对其安全因素进行例行检查。
结论
一个非常安全且高可用的web服务器——这似乎有些矛盾，但确实是很好的折中——能够在短短45分钟的时间内配置完。当然您可以通过更多的工作以提高系统的安全级别，但是这里配置的系统对大多数应用来说已经足够了。
linux与安全的更多信息
如果您决定选用linux，您应该感到庆幸，因为您可以免费使用非常多且优秀的安全程序，这是其它unix和windows平台所无法比拟的。为找到合适的工具，您会发现安全焦点[9]和包风暴(packetstorm [10])是两个比较好的起点。
迄今为止，suse linux是所有商用linux发布中最专注与安全的。下面一些工具是suse所开发的，您可以根据需要自由下载：
--------------------------------suse安全软件------------------------------
---------------------------------------------------------------------------------
程序名称(rpm)---功能-----------从哪一版本------能否运行-----下载地址-----------
-------------------------------开始包含在--------于其它发布
-------------------------------linux发布中----------------
———————————————————————————————————————
ftp代理套件--一个非常--------6.3------------------http:／／proxy-suite.suse.de----
---------------安全的ftp---------------------------------------------------
---------------代理，它还----------------------------------------------
(fwproxys)-----支持ssl--------------------------------------------
suse防火墙-----一个包过滤器---6.3---－---http:／／www.suse.de／~marc-(betas)
---------------，能够创建一----------------（如果是其它--------------------------
(firewals)------复杂的防火墙----------------发布，init.d------
-----------------系统并且非常----------------和startup脚本-------
------------------容易配置--------------------要重新调整）----------------------------
-------------------------------------------------------------------------
加固suse-------配置一个非常-----6.1------------否------------http:／／www.suse.de／~marc-(betas)----
---------------安全的suse------------------（专门为suse----------------------
(hardsuse)----------------------------------所设计）--------------
---------------------------------------------------------------
安全模块-------一个防止symlink--6.3------------是-------------suse-ftp-server----
---------------,hardlink,-pipe-------------------------------------------------------
(secumod)------和许多其它安全策
-------------------略的内核模块
----------------------------------------------------
安全检查器-----每天对本地安全------6.2---------大部分--------------suse-ftp-server----
---------------进行一次例行检----------------------------------------------------
(seccheck)-----查---------------------------------------------http:／／www.suse.de／~marc-(betas)------
compartment----程序的安全包装------计划在------是-------------http:／／www.suse.de／~marc-(betas)
(-)------------器，支持chroot------7.0中采用----------------------------------
---------------ing，特权和能力--------------------------------------------------------
---------------分配
--------------------------------------------------------------------
auditdisk-(-)--安全产生校验和------计划在------是-------------现在还没有发布beta版-------
---------------与tripwire不同------7.0中采用---------------------------
---------------它不能被回避---------------------------------------------------
-------------------------------------------------------------------------------
scslogger------能够记录向内和------6.2---------是-------------suse-ftp-server---- ---------------向外连接日志的---------------------------------http:／／www.suse.de／~thomas-
(betas)-----------------------
(scslog)-------内核模块-----------------------------------
----------------------------------------------------------
安全库---------一个为程序员准------计划在------是-------------http:／／www.suse.de／~thomas-(betas)
(-)------------备的函数库，它------7.0中采用--------------------------------
---------------为不安全的函数----------------------------------------------------
---------------提供了安全功能---------------------------------------------------
---------------提示--------------------------------------------------------
cd上提供的其它安全程序还有：nessus, saint, nmap, pgp, gnu privacy guard, openssh, tripwire, freeswan,等等。
另外，除随suse linux发布的操作手册中广泛深入地涉猎安全内容之外，还有suse-security和suse-security-announce两个邮件列表可供参考。
当然，也有其它的选择。比如说trustix[6] linux发布就是新近出现的完全面向安全的产品。令人失望的是，这个发布还处在初级阶段。不过，它的一个大约150 mb iso文件的第一个alpha已经提供下载了。
如果您不信任linux，那就看看openbsd [5]。就在几年前，人们为了安全问题逐行地检查.netbsd发布的程序。通过比较关于unix变种(当然还有windows)的安全问题的消息的数量和质量，人们发现openbsd是无可争议的优胜者。那么主要障碍是什么呢？其中的一个原因是应用软件太少。把所有的openbsd汇集在一起，甚至还不能填满一张cd。其它需要集成到系统中的程序都需要用户通过一种所谓的接口(ports)或者称为引入(imported)的方法实现。这些都没能被验证是安全的。另外一个问题是，它的代码基础是bsd，受linux热潮的影响，bsd平台已经不再是软件工业的战略目标。但是，openbsd在安全专家中间仍然有很好的口碑。如果不需要运行一些特殊的软件的话，openbsd仍然是配置安全服务器的正确选择。
当然，也有很多商用的高度安全的unix系统。他们被称为trusted {solaris, irix, sco, ...}。不同的系统实现了美国c2、b1甚至b2安全标准。这些系统除了非常昂贵以外，其安全也根本没有达到他们宣称的那样高。虽然安全标准的实现显著地增强了系统的安全性，但受到缺少开放源码和质量声誉极佳的源码的影响，期望它100%的安全是不现实的(但还是要比windows强很多)。
