操作系統平臺加固要考慮哪些方面

依據平臺加固的總體指導思想，平臺加固應從以下幾方面考慮。

端口和進程

網絡操作系統使用進程向外提供服務，減少無用軟件及服務的任務就是要在所有系統進程中找出多余進程。由于進程通過打開網絡端口向外提供服務，所以找出多余進程的最快方法是觀察進程及端口對應表。Netstat命令顯示協議統計和當前的TCP/IP網絡連接，該命令只有在安裝了TCP/IP協議后才可以使用。通過使用該命令可以列出一個系統上所有打開的TCP/IP網絡監聽端口。這些打開著的端口正是入侵者所要攻擊的，因為它們通向系統平臺內部。因此，作為平臺加固的一部分，用戶使用Netstat命令來識別出無關端口，并由此找到需要刪除或禁用的服務。

安裝系統補丁

所有軟件都有缺陷。為了修復這些錯誤，供應商會發布軟件補丁。如果沒有這些補丁，組織很容易遭受攻擊。在有很嚴格的更改控制策略的組織中，及時安裝補丁會是一個問題。對補丁的徹底測試是這個過程的關鍵部分，因為供應商在解決舊問題時，有可能會引入新的問題。而對于和安全缺陷無關的補丁來說沒有問題。但是，入侵者搜索和利用安全弱點的速度很快，所以要求有更快的安全補丁修正過程。企業必須注意安全補丁的發布，并隨時準備快速地使用它們。

密碼強度及存儲

計算平臺速度的巨大改進，以及人們對現代密碼系統的興趣和理解的增加，向平臺安全提出了新的挑戰。UNIX系統傳統上使用一些快速類型的哈希算法來對存放的用戶密碼進行加密。為了允許低特權進程使用這個密碼系統，密碼存儲（依賴于加密技術來保護它）需要全局性的可讀許可。

系統允許的密碼強度是傳統UNIX系統的另一薄弱之處。密碼強度取決于密碼中使用的字符數和隨機性。越來越快速的計算機和可以免費得到的解密軟件已經使密碼存儲越來越容易受到離線攻擊，因為幾乎任何用戶都可以訪問用戶口令的密文。現代的PC機有足夠的能力解密這些脆弱的口令。

UNIX系統能夠為用戶口令存儲添加保護層，只需要設置這些系統就可以了。現代的UNIX系統（甚至一些合理修補的遺留系統）對無特權用戶隱藏了用戶口令的密文，但是仍然允許他們訪問認證子系統（稱為陰影）。它們也可以阻止用戶使用容易被猜測到的字典詞匯作為用戶口令并要求用戶定期更換口令。UNIX系統有一些固有的對用戶透明的功能，只需要激活它們就可以了。

Windows也包含了保護本地密碼存儲完整性的方法。通過一次性使用syskey命令，可以使操作系統在密碼存儲中使用更強的加密技術。Windows也可以要求用戶使用更長、更隨機的密碼。

用戶賬戶

用戶賬戶標識了需要訪問平臺資源的實體（無論是應用程序進程還是人）。操作系統通過權限和優先權將用戶賬戶與其訪問控制系統相關聯。因為用戶賬戶是合法進入系統的機制，所以入侵者常常試圖利用用戶賬戶管理和訪問控制中的缺陷。如果可以作為合法用戶輕松地登錄系統，那么為什么還要浪費時間去做自定義緩沖器溢出攻擊呢？用戶賬戶管理的弱點有5個方面：弱密碼、制造商默認的賬戶、基于角色的賬戶、公司默認賬戶，以及廢棄賬戶。在任何情況下，平臺加固的目標是將用戶賬戶數目減少到所需的絕對最小值。

用戶特權

用戶特權是UNIX系統安全的基礎之一。正確實現的用戶特權應該確保用戶只具有他們執行任務所需要的訪問權限。UNIX系統中的超級用戶是一個享有完全和不受限系統資源訪問權的用戶賬戶。這個賬戶是為專門需要高級別訪問的系統管理任務保留的，但是系統管理員常常將之用于他們普通的日常活動。大多數UNIX系統不提供一個中間級別的系統特權，所以超級用戶特權往往被授予比完成任務實際所需的數目多得多的用戶。因為超級用戶賬戶可以破壞和修改系統安全功能，所以系統管理員每次給予這個關鍵的訪問級別，就是在增加系統被攻擊的可能。并且，由于只有一個超級用戶賬戶，所以要跟蹤誰在使用它是很困難的。

SUDO（Set User and Do）設計使系統管理員能夠給超級用戶更精細級別的訪問權。可以為每一個用戶指派通常只能作為超級用戶運行的特定的應用程序和功能，而不是真正地使用超級用戶賬戶。SUDO也可以啟用詳細的日志記錄，使得可以根據任何運行于SUDO的超級用戶功能追蹤到某個特定的用戶。在特定的應用中，使用SUDO意味著沒有人使用過超級用戶賬戶。

文件系統安全

通過在程序文件上設置SUID標志，某一個進程可以臨時提升其特權用以完成某項任務（例如，訪問文件passwd）。當程序執行時，可以暫時得到這些額外的特權而不用被全授予如此高的特權。這個SUID標志常常過度使用，當它與被黑客修改過的軟件包結合時，被修改的程序執行后會使某個用戶得到全時提升的系統權利。UNIX系統可能有很多帶有這個標志的組件，但是通常只需要它們中的一小部分。建議使用命令從整個系統中刪除不需要SUID標志程序的SUID標志。

遠程訪問的安全

Telnet和rlogin是UNIX系統上最常用的遠程訪問方式。這些系統都不采用加密技術來保護遠程訪問會話。一種被動的網絡監聽攻擊可以看到用戶在進入Telnet或者rlogin會話中按下的每一個鍵。安全Shell（SSH）是一種在UNIX及Window系統上使用的軟件包，它提供與Telnet和rlogin相同功能，但增加了加密會話功能。這個軟件包已經成為用加密和訪問控制的各種可配置級別進行安全遠程訪問的行業標準。

服務標題、操作系統指紋

前面已經提到過，平臺加固要減少系統泄露的信息數。默認情況下，類似Telnet和FTP的服務在被訪問時，會顯示一個描述其軟件版本和平臺類型的標題。攻擊者使用這個信息，通過檢查任何含有關于特定軟件版本和類型的可利用信息的數據庫，可以確定該平臺是否有可利用的漏洞。許多入侵者通過掃描Internet的整個區段，尋找他們已知可利用的服務的特定版本漏洞。這個服務信息對平臺的正常運行完全是不必要的，因此完全可以將之刪除。這樣，攻擊者就只能盲目地攻擊服務了。

另外一個對攻擊者特別有用的是系統平臺的指紋信息。通過使用特定的工具查詢系統的網絡服務，入侵者可以將結果與屬性數據庫相匹配，以確定操作系統的類型和版本。這樣，攻擊者可以使攻擊針對特定操作系統的弱點。通常，應把這種指紋信息偽裝成其他操作系統，或者可以偽裝成不與任何操作系統相匹配。與服務標題一樣，做這種修改不會影響平臺的正常功能，而且可以大大增強防御能力。

回答所涉及的環境：聯想（Lenovo）天逸510S、Windows 10。