单元1系统性能和安全

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单元1系统性能和安全,目标,以服务形式提供系统资源,从原则角度讨论安全性,从实际操作角度讨论安全性,安全策略：用户,安全策略：系统,响应策略,系统错误和违例,对错误进行分析的方法,错误分析：假说,对错误进行分析的方法（续）,错误分析：收集数据,系统监控的益处,网络监控工具,联网，本地视图,联网，远程视图,文件系统分析,典型的可疑权限,监控进程,进程监控工具,报告系统活动,根据账户管理进程,系统日志文件,syslogd 和 klogd 的配置,日志文件分析,结束 单元 1,目标,学习了本单元后，你应该能够：,理解系统性能和安全的目标,描述安全域,描述系统错误,解释系统错误分析方法,解释维护系统状态的益处,描述联网资源,描述贮存数据的资源,描述进程资源,描述日志文件分析,以服务形式提供系统资源,计算机体系由各种“角色”组成,提供服务的系统,请求服务的系统,系统体系由各种“角色”组成,提供服务的进程,请求服务的进程,处理体系由各种“角色”组成,提供服务的账户,接受服务的账户,作为保护系统安全的策略，系统资源及其使用必须要被逐项记录,从原则角度讨论安全性,安全领域,物理,本地,远程,人事,从实际操作角度讨论安全性,从设计目标上讲，系统提供可用资源,从策略上讲，系统保留可用资源,只提供您必须提供的服务，只提供个必需的用户,“我需要提供这个服务吗？我知道自己在提供它吗？”,“他们需要这个服务吗？他们知道这个服务的存在吗”,“系统行为和它的历史记录一致吗？”,“我有没有应用所有相关的安全更新？”,监控系统资源的安全弱点和不良性能,安全策略：用户,管理用户活动,包括安全策略的维护,谁负责什么？,关于假警报，谁做最后的决定？,什么时候通知警方？,安全策略：系统,管理系统活动,定期系统监控,在外部服务器上记载日志，以防万一系统泄密,使用 logwatch 来监控系统日志,监控输入和输出的带宽用量,定期备份系统数据,响应策略,假定可疑的系统是不值得信任的,不要运行来自可以系统的程序,用可信的介质引导，校验是否有破环之处,分析远程记录器的日志和“本地”日志,根据只读的备份 RPM 数据库来检查文件的完整性,为机器制作一份系统映像，进行进一步的分析和证据收集,重新安装机器，从备份中恢复数据,系统错误和违例,都会影响系统性能,系统性能关系到系统安全,系统错误会生出体系空挡,体系空挡会给另类资源访问提供可乘之机,另类资源访问机会会导致无法记录的资源访问,无法记录的资源访问时违反安全策略的行为,对错误进行分析的方法,判断问题的性质,再现出错过程,查找进一步信息,错误分析：假说,形成一系列假说,挑选一个假说来证明,测试假说,对错误进行分析的方法（续）,记录结果，若有必要建立或测试新的假说,如果简单的假说没有产生有建设性的结果，就需要进一步分析问题,错误分析：收集数据,strace,tail f,syslog 的*.debug,应用程序中的 debug 选项,系统监控的益处,系统性能和安全可以通过定期系统监控来维护,系统监控包括:,网络监控和分析,文件系统监控,进程监控,日志文件分析,网络监控工具,网络接口（ip）,显示系统中可用的网络接口,端口扫描器（nmap）,显示系统中的可用服务,数据包嗅探器（tcpdump、wireshark）,保持和分析所有“嗅探”系统式看得到的网络流量,联网，本地视图,ip 工具,被初始化脚本调用,比 ifconfig 命令的功能更强大,使用 netstat ntaupe 来获取一下列表：,活跃的网络服务器,建立的连接,联网，远程视图,nmap 报告在对远程连接开放的端口上的活跃服务,具备高级扫描选项,提供远程 OS 检测,在小型或大型子网中扫描,没有被扫描系统管理员的书面许可，不要使用该程序！,带有图形化前端（nmapfe）,文件系统分析,定期文件系统监控能够防止,用尽系统资源,缺乏访问控制导致的安全违例,文件系统监控应该包括：,数据完整性扫描,检查可疑文件,工具：df、du,典型的可疑权限,没有已知用户的文件可能代表未经授权的访问：,查找不属于/etc/passwd 文件中列出的用户或组群的文件和目录：,find/(-nouser o-nogroup),带有“其它（other）”写权限（o+w）的文件或目录可能代表有潜在问题,查找可被“其它”用户写入的文件:,find/-type f perm-002,查找可被“其它”用户写入的目录：,find/-type d perm-2,监控进程,监控进程来决定：,性能降低的原因,是否有正在执行的可疑进程,监控工具,top,gnome-system-monitor,sar,进程监控工具,top,实时查看处理器活动,交互地终止（kill）进程或重设其优先级（renice）,查看系统的统计数据，总数或累计数据,图形化（GUI）系统监控工具,gnome-system-monitor:GNOME的进程、CPU、和内存监控器,kpm：KDE平台中的 top 命令,报告系统活动,定时报告，超时,cron 命令大量产生sa1 和 sa2,sar 读取和生成“可读”的日志,通常用来对性能进行微调,更准确的统计数据,二进制“数据库”采集方法,定期,模式的存在迹象表明哪些活动属于“正常”活动,根据账户管理进程,使用 PAM 来在账户资源上设置控制会限制,pam_access.so 可以被用来按账户和位置来限制访问,pam_time.so 可以被用按照日期和时间来限制访问,pam_limits.so 可以被用来限制进程可用的资源,系统日志文件,为什么要监控日志文件？,要监控哪些日志？,日志记录服务：,许多守护进程都将信息发送给 syslogd 命令,内核信息由 klogd 命令处理,syslogd 和 klogd 的配置,在/etc/syslog.conf 配置 syslogd 和 klogd,语法：,facility.prioritylog_location,示例：,mail.info /dev/tty8,日志文件分析,应该定期执行,安装 logwatch，并由 crond 每小时运行一次来报告可能出现的问题,在寻找异常情况时，logwatch 使用“否定”列表,丢弃所有正常的信息,分析剩下的信息,结束 单元 1,答疑,总结,答疑,上机准备,课程目标,序列,参考答案,若需帮助，请向知道老师咨询,