Linux系统安全：纵深防御、安全扫描与入侵检测第2版胥峰_胥峰_9787111785781

内容简介这是一部从技术原理、工程实践两个方面系统、深入讲解Linux系统安全的著作，得到了来自腾讯、杭州银行、叮咚买菜等知名企业的多位行业专家的高度评价。本书从纵深防御、安全扫描、入侵检测3个维度细致讲解了如何构建一个铜墙铁壁般的Linux防护体系，不仅包含大量工程实践案例，而且对各种的核心知识点绘制了方便记忆的思维导图。全书共15章：第1章介绍了安全的概念和保障安全的主要原则，引申出“纵深防御”理念。第2~9章对Linux系统的纵深防御做了全面、深入的讲解，分别从网络层面、操作系统层面、应用层面对Linux系统进行安全防护，以及如何在保障业务连续性的前提下做好数据备份和恢复，防止数据丢失或被篡改。第10章介绍了nmap、masscan等扫描工具的原理与使用，以及各种开源和商业Web漏洞扫描工具的原理和使用。第11~13章重点讲解了Linux系统的入侵检测，涉及Linux Rootkit、病毒木马检查、日志与审计等主题。第14章介绍了利用威胁情报追踪最新攻击趋势、确定攻击事件性质的方法。第15章首先概要性地介绍了网络安全相关法律和网络安全等级保护制度的背景与联系，然后基于网络安全等级保护制度的要求，介绍了对Linux系统进行安全加固的具体方案。

Preface　前　　言　为什么要写本书我国西汉时期著名学者戴圣在其著作《礼记·中庸》中写道，“凡事豫则立，不豫则废。”这句话对日益严峻的网络安全形势尤为适用。知名网络安全公司奇安信发布的《2024中国政企机构数据安全风险研究报告》显示，2024年全球公开报道的重大数据泄露事件共造成至少471.6亿条数据泄露，较2023年的103.8亿条增长354.3%。网络威胁事件时时刻刻在发生，黑客攻击手法也日益复杂和多样。高速的网络连接是一把双刃剑，它在加速互联网应用连接的同时，也助力了入侵者的危害能力。面对这样严峻的形势，我们亟须构建自己的网络防御体系，这样才能做到胸有成竹，御敌于千里之外。Linux是广受欢迎的互联网基础设施之一，具有开源、免费的特点，并有丰富、健康的生态环境和社区支持。正因如此，Linux成为黑客攻击的重要目标。它承载了互联网上大量不可或缺的基础服务，是收集、生产、处理、传输和存储有价值数据的实体，因而保障Linux安全的重要性不言而喻。我注意到，虽然市面上有很多以“信息安全”和“网络安全”为主题的书籍，但这些书籍大多聚焦在安全意识、法律法规和一些通用技术上。虽然这些书籍对网络安全建设起到了一定的指导作用，但是它们并不侧重于Linux安全，也不强调保障Linux安全方面的特定实践。因此，我认为有必要写一本侧重于Linux安全实践的书籍，把安全的规范和指南真正落实在Linux上，构建Linux的安全体系。本书以Linux安全为主线，强调实践。实践出真知，因此，鼓励读者在阅读本书的过程中，多多动手在测试机上进行验证，然后把这些技术应用到生产环境中。本书主要内容本书整体上按照纵深防御、安全扫描、入侵检测这3个大的方面来组织内容。第1章概要介绍安全的概念和保障安全的主要原则，引申出“纵深防御”理念。第2和3章讲解纵深防御的第1个关键步骤，即从网络层面对Linux系统进行防护。第4章介绍使用相应工具定位网络安全问题的方法。第5～7章讲解纵深防御的第2个关键步骤，即从操作系统层面对Linux系统进行防护。第8章讲解纵深防御的第3个关键步骤，即保障Linux应用的安全，避免应用成为黑客入侵的入口。第9章讲解纵深防御的第4个关键步骤，即确保业务的连续性，降低数据被篡改或者数据丢失的风险。第10章介绍安全扫描工具及其使用案例。安全并非一蹴而就，它需要按照PDCA（计划—执行—检查—改进）的顺序不断检查和改进，而安全扫描正是最有效的自我检查途径。通过安全扫描，我们可以发现现有防御手段的不足及新的安全风险，为持续改进提供强有力的、有针对性的指南。第11～13章介绍入侵检测相关技术和实践，以便在发生入侵事件后能够及时发现，找到入侵事件遗留的后门和威胁项，利用日志和审计工具找到黑客的行踪和动作。通过这些技术，我们可以知道黑客是怎么入侵进来的、做了什么，从而为后续完善防御手段提供支持。第14章介绍利用威胁情报追踪最新攻击趋势、确定攻击事件性质的方法。第15章首先概要性地介绍网络安全相关法律和网络安全等级保护制度的背景与联系，然后基于网络安全等级保护制度的要求，介绍对Linux系统进行安全加固的具体方案。读者对象本书以广泛适用的信息安全基本原则为指导，聚焦于Linux安全，强调实践，适用的读者对象包括：网络安全工程师。Linux运维工程师。Linux运维架构师。Linux开发工程师。Web开发工程师。软件架构师。大中专院校计算机系学生。勘误和支持尽管我努力确保书中不存在明显的技术错误，但由于技术水平和能力有限，书中可能存在某项技术不适用于读者特定环境的情况，也可能存在纰漏。在此，恳请读者不吝指正，反馈专属邮箱：linuxsecurity@sina.com。本书中所有已发现的错误，除了在下一次印刷中修正以外，还会通过微信公众号“运维技术实践”（yunweijishushijian）发布。致谢在长达数月的写作过程中，首先要感谢我的太太，她承担了全部的家庭责任，使得我能安心地完成本书的写作。还要感谢我活泼灵巧的女儿，她已成为我生命的一部分，激励我努力前行！

目　　录　Contents前言第1章　Linux系统安全概述11.1　什么是安全21.1.1　什么是信息安全21.1.2　信息安全的木桶原理41.1.3　Linux系统安全与信息安全的　　　关系41.2　威胁分析模型51.2.1　STRIDE模型51.2.2　常见的安全威胁来源51.3　安全的原则71.3.1　纵深防御71.3.2　运用PDCA模型81.3.3　最小权限法则101.3.4　白名单机制101.3.5　安全地失败111.3.6　避免通过隐藏来实现安全111.3.7　入侵检测121.3.8　不要信任基础设施121.3.9　不要信任服务131.3.10　交付时保证默认情况下的　　　　设置是安全的131.4　组织和管理的因素131.4.1　加强安全意识培训131.4.2　特别注意弱密码问题151.4.3　明令禁止使用破解版软件151.4.4　搭建合理的安全组织架构161.5　本章小结16第2章　Linux网络防火墙182.1　网络防火墙概述182.2　利用iptables构建网络防火墙202.2.1　理解iptables的表和链202.2.2　实际生产中的iptables脚本编写222.2.3　使用iptables进行网络地址转换232.2.4　禁用iptables的连接追踪252.3　利用Cisco防火墙设置访问控制292.4　利用TCP Wrappers构建应用访问　　　控制列表302.5　利用DenyHosts防止暴力破解312.6　在公有云上实施网络安全防护332.6.1　减少公网暴露的云服务器数量332.6.2　使用网络安全组防护342.7　使用堡垒机提高系统访问的　　　安全性352.7.1　开源堡垒机概述372.7.2　商业堡垒机概述392.8　分布式拒绝服务攻击的防护措施392.8.1　直接式分布式拒绝服务攻击402.8.2　反射式分布式拒绝服务攻击412.8.3　防御的思路422.9　对局域网中ARP欺骗攻击的防御422.10　本章小结43第3章　虚拟专用网络453.1　常用的虚拟专用网络构建技术463.1.1　PPTP虚拟专用网络的原理463.1.2　IPSec虚拟专用网络的原理463.1.3　SSL/TLS虚拟专用网络的原理473.2　深入理解OpenVPN的特性473.3　使用OpenVPN构建点到点的虚拟　　　专用网络483.4　使用OpenVPN构建远程访问的　　　虚拟专用网络523.5　使用OpenVPN构建站点到站点的　　　虚拟专用网络603.6　回收OpenVPN客户端的证书623.7　使用OpenVPN提供的各种脚本　　　功能623.8　OpenVPN的排错步骤643.9　本章小结67第4章　网络流量分析工具694.1　理解tcpdump的工作原理704.1.1　tcpdump的实现机制704.1.2　tcpdump与iptables的关系714.1.3　tcpdump的简要安装步骤714.1.4　tcpdump的常用参数724.1.5　tcpdump的过滤器734.2　使用RawCap抓取回环端口的数据734.3　熟悉Wireshark的最佳配置项744.3.1　Wireshark安装过程中的注意　　　事项744.3.2　Wireshark的关键配置项754.3.3　使用追踪数据流功能774.4　使用libpcap进行自动化分析784.5　案例1：定位非正常发包问题794.6　案例2：分析运营商劫持问题824.6.1　中小运营商的网络现状824.6.2　基于下载文件的缓存劫持834.6.3　基于页面的iframe广告嵌入　　　　　　劫持864.6.4　基于伪造DNS响应的劫持874.6.5　网卡混杂模式与Raw Socket　　　　　　技术874.7　本章小结90第5章　Linux用户管理925.1　用户管理的重要性925.2　用户管理的基本操作945.2.1　增加用户945.2.2　为用户设置密码955.2.3　删除用户955.2.4　修改用户属性965.3　存储用户信息的关键文件详解965.3.1　passwd文件说明965.3.2　shadow文件说明975.4　用户密码管理985.4.1　密码复杂度设置985.4.2　生成复杂密码的方法995.4.3　弱密码检查方法1015.5　用户特权管理1035.5.1　限定可以使用su的用户1035.5.2　安全地配置sudo1035.6　关键环境变量和日志管理1045.6.1　关键环境变量设置为只读1045.6.2　记录日志执行时间戳1045.7　本章小结105第6章　Linux软件包管理1076.1　RPM概述1076.2　使用RPM安装和移除软件包1086.2.1　使用RPM安装和升级软件包1086.2.2　使用RPM移除软件包1096.3　获取软件包的信息1096.3.1　列出系统中已安装的所有　　　　　　 RPM包1106.3.2　软件包的详细信息查询1106.3.3　查询哪个软件包含指定文件1116.3.4　列出软件包中的所有文件1116.3.5　列出软件包中的配置文件1116.3.6　解压软件包内容1116.3.7　检查文件完整性1126.4　Yum及Yum源的安全管理1136.4.1　Yum概述1136.4.2　Yum源的安全管理1146.5　自启动服务管理1146.6　本章小结115第7章　Linux文件系统管理1177.1　Linux文件系统概述1177.1.1　Inode1187.1.2　文件的权限1197.2　SUID和SGID可执行文件1197.2.1　SUID和SGID可执行文件　　　概述1197.2.2　使用sXid监控SUID和SGID　　　文件变化1207.3　Linux文件系统管理的常用工具1217.3.1　使用chattr对关键文件加锁1217.3.2　使用extundelete恢复已删除　　　文件1227.3.3　使用srm和dd安全擦除敏感　　　文件1247.4　案例：使用Python编写敏感文件　　扫描程序1247.5　本章小结126第8章　Linux应用安全1278.1　简化的网站架构和数据流向1278.2　主要网站漏洞解析1288.2.1　注入漏洞1298.2.2　跨站脚本漏洞1308.2.3　信息泄露1318.2.4　文件解析漏洞1328.3　Apache安全1338.3.1　使用HTTPS加密网站1348.3.2　使用ModSecurity加固Web1358.3.3　关注Apache漏洞情报1388.4　Nginx安全1388.4.1　使用HTTPS加密网站1388.4.2　使用NAXSI加固Web1388.4.3　关注Nginx漏洞情报1408.5　PHP安全1408.5.1　PHP配置的安全选项1408.5.2　PHP开发框架的安全1418.6　Tomcat安全1428.7　Memcached安全1448.8　Redis安全1448.9　MySQL安全1458.10　使用公有云上的WAF服务1468.11　本章小结146第9章　Linux数据备份与恢复1489.1　数据备份和恢复中的关键指标1499.2　Linux下的定时任务1509.2.1　本地定时任务1509.2.2　分布式定时任务系统1519.3　备份存储方式的选择1529.3.1　本地备份存储1539.3.2　远程备份存储1539.3.3　离线备份存储1549.4　数据备份1559.4.1　文件备份1559.4.2　数据库备份1569.5　备份加密1579.6　数据库恢复1589.7　案例：生产环境中的大规模备份　　系统1599.8　本章小结160第10章　Linux安全扫描工具16210.1　需要重点关注的敏感端口列表16210.2　扫描工具nmap16410.2.1　使用源码安装nmap16410.2.2　使用nmap进行主机发现16510.2.3　使用nmap进行TCP端口　　　　扫描16610.2.4　使用nmap进行UDP端口　　　　扫描16710.2.5　使用nmap识别应用16810.3　扫描工具masscan16810.3.1　masscan安装16810.3.2　masscan用法示例16910.3.3　联合使用masscan和nmap16910.4　开源Web漏洞扫描工具17010.4.1　Nikto217010.4.2　OpenVAS17110.4.3　SQLMap17310.5　商业Web漏洞扫描工具17310.5.1　Nessus17310.5.2　AWVS17510.6　渗透测试17610.6.1　定义与目的17610.6.2　渗透测试的特点17710.6.3　渗透测试的主要方法17710.6.4　渗透测试的流程17710.6.5　渗透测试的重要性17810.7　本章小结178第11章　入侵检测系统18011.1　IDS与IPS18011.2　开源HIDS OSSEC部署实践18111.3　商业主机入侵检测系统19011.3.1　青藤云安全19011.3.2　安全狗19111.3.3　安骑士19211.4　Linux Prelink对文件完整性检查的　　　影响19211.5　利用Kippo搭建SSH蜜罐19311.5.1　Kippo概述19411.5.2　Kippo安装19511.5.3　Kippo捕获入侵案例分析19511.6　本章小结197第12章　Linux Rootkit与病毒木马　　　　检查19812.1　Rootkit分类和原理19812.2　可加载内核模块20012.3　利用Chkrootkit检查Rootkit20012.3.1　Chkrootkit安装20112.3.2　Chkrootkit执行20112.4　利用Rkhunter检查Rootkit20212.4.1　Rkhunter安装20212.4.2　Rkhunter执行20212.5　利用ClamAV扫描病毒木马20312.6　可疑文件的在线病毒木马　　　　检查20412.6.1　VirusTotal20512.6.2　VirSCAN20512.6.3　Jotti20612.7　Webshell检测20612.7.1　D盾20712.7.2　LMD检查Webshell20712.8　本章小结208第13章　日志与审计21013.1　搭建远程日志收集系统21013.1.1　syslog-ng服务端搭建21113.1.2　rsyslog/syslog客户端配置21213.2　利用Audit审计系统行为21213.2.1　审计目标21213.2.2　组件21313.2.3　安装21313.2.4　配置21313.2.5　转换系统调用21513.2.6　审计Linux的进程21513.2.7　按照用户来审计文件访问21613.3　利用unhide审计隐藏进程21613.4　利用lsof审计进程打开文件21713.5　利用netstat审计网络连接21813.6　利用McAfee审计MySQL　　　数据库21813.6.1　McAfee审计插件安装22013.6.2　McAfee审计插件配置22013.7　本章小结220第14章　威胁情报22214.1　威胁情报概述22214.2　主流威胁情报22314.2.1　微步在线威胁情报社区22314.2.2　360威胁情报中心22514.2.3　IBM威胁情报中心22714.3　利用威胁情报提高攻击检测与　　　防御能力22714.4　本章小结228第15章　网络安全等级保护制度　　　　与Linux系统安全22915.1　《网络安全法》与网络安全等级　　　保护概述22915.1.1　《网络安全法》的立法背景与　　　核心内容23015.1.2　网络安全等级保护制度的　　　　建立与实施23015.1.3　《网络安全法》与网络安全　　　　等级保护制度相互促进23015.1.4　违反《网络安全法》和网络　　　　安全等级保护制度的处罚　　　　案例23115.2　基于网络安全等级保护制度的　　　　要求对Linux系统进行安全　　　　加固23215.2.1　基于《等保基本要求》中　　　　“8.1.4.1身份鉴别”的要求　　　　对Linux系统进行安全加固23215.2.2　基于《等保基本要求》中　　　　“8.1.4.2访问控制”的要求　　　　对Linux系统进行安全加固23715.2.3　基于《等保基本要求》中　　　　“8.1.4.3安全审计”的要求　　　　对Linux系统进行安全加固24615.2.4　基于《等保基本要求》中　　　　“8.1.4.4入侵防范”的要求　　　　对Linux系统进行安全加固25215.2.5　基于《等保基本要求》中　　　　“8.1.4.5恶意代码防范”的要求　　　　对Linux系统进行安全加固26115.2.6　基于《等保基本要求》中　　　　“8.1.4.6可信验证”的要求　　　　对Linux系统进行安全加固26315.2.7　基于《等保基本要求》中　　　　“8.1.4.7数据完整性”的要求　　　　对Linux系统进行安全加固26415.2.8　基于《等保基本要求》中　　　　“8.1.4.8数据保密性”的要求　　　　对Linux系统进行安全加固26815.2.9　基于《等保基本要求》中　　　　“8.1.4.9数据备份恢复”的　　　　要求对Linux系统进行安全　　　　加固27115.2.10　基于《等保基本要求》中　　　　“8.1.4.10剩余信息保护”的　　　　要求对Linux系统进行安全　　　　加固27515.2.11　基于《等保基本要求》中　　　　“8.1.4.11个人信息保护”的　　　　要求对Linux系统进行安全　　　　加固27715.3　本章小结279附录A　网站安全开发的原则281附录B　Linux系统被入侵后的　　　　排查过程295

你还可能感兴趣

我要评论