1概述
近幾年來Internet變得更加不安全了。網絡的通信量日益加大，越來越多的重要交易正在通過網絡完成，與此同時數據被損壞、截取和修改的風險也在增加。
只要有值得偷竊的東西就會有想辦法竊取它的人。Internet的今天比過去任何時候都更真實地體現出這一點，基於Linux的系統也不能擺脫這個“普遍規律”而獨善其身。因此，優秀的系統應當擁有完善的安全措施，應當足夠堅固、能夠抵抗來自Internet的侵襲，這正是Linux之所以流行並且成爲Internet骨幹力量的主要原因。但是，如果你不適當地運用Linux的安全工具，它們反而會埋下隱患。配置拙劣的安全系統會產生許多問題，本文將爲你解釋必須掌握的Linux安全知識。 本文講述瞭如何通過基本的安全措施，使Linux系統變得可靠。
2 安裝
使系統處於單獨（或隔離）的網絡中。以防止未受保護的系統連接到其它網絡或互聯網中受到可能的***
安裝完成後將下面軟件卸載
pump apmd lsapnptools redhat-logos
mt-st kernel-pcmcia-cs Setserial redhat-relese
eject linuxconf kudzu gd
bc getty_ps raidtools pciutils
mailcap setconsole gnupg
用下面的命令卸載這些軟件：
[root@deep]#rpm –e softwarename
卸載它們之前最好停掉三個進程：
[root@deep]# /etc/rc.d/init.d/apmd stop
[root@deep]# /etc/rc.d/init.d/sendmail stop
[root@deep]# /etc/rc.d/init.d/kudzu stop
3．用戶帳號安全Password and account security
3.1 密碼安全策略
l 口令至少爲6位，並且包括特殊字符
l 口令不要太簡單，不要以你或者有關人的相關信息構成的密碼，比如生日、電話、姓名的拼音或者縮寫、單位的拼音或者英文簡稱等等。
l 口令必須有有效期
l 發現有人長時間猜測口令，需要更換口令
3.2 檢查密碼是否安全
可以使用以下幾種工具檢查自己的密碼是否安全:
l JOHN,crack等暴力猜測密碼工具
l 在線窮舉工具，包括Emailcrk、流光等
3.3 Password Shadowing
l 使用shadow來隱藏密文（現在已經是默認配置）
l 定期檢查shadow文件，如口令長度是否爲空。
#awk -F: length($2)==0 {print $1} /etc/shadow
l 設置文件屬性和屬主
3.4 管理密碼
l 設置口令有效最長時限 （編輯/etc/login.defs文件）
l 口令最短字符 （如linux默認爲５，可以通過編輯/etc/login.defs修改）
l 只允許特定用戶使用su命令成爲root。
編輯/etc/pam.d/su文件，在文件頭部加上：
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=wheel
Red hat 7.0中su文件已做了修改，直接去掉頭兩行的註釋符就可以了
[root@deep]# usermod -G10 admin來將用戶加入wheel組
3.5 其它
l 清除不必要的系統帳戶
[root@deep]# userdel adm
[root@deep]# userdel lp
[root@deep]# userdel sync
[root@deep]# userdel shutdown
[root@deep]# userdel halt
[root@deep]# userdel news
[root@deep]# userdel uucp
[root@deep]# userdel operator
[root@deep]# userdel games (如果不使用 X Window，則刪除)
[root@deep]# userdel gopher
[root@deep]# userdel ftp （如果不使用ftp服務則刪除）
l 儘量不要在passwd文件中包含個人信息，防止被finger之類程序泄露。
l 修改shadow,passwd,gshadow文件不可改變位
[root@deep]# chattr +i /etc/passwd
[root@deep]# chattr +i /etc/shadow
[root@deep]# chattr +i /etc/group
[root@deep]# chattr +i /etc/gshadow
l 不要使用.netrc文件，可以預先生成$HOME/.netrc。設置爲0000。
touch /.rhosts ；chmod 0 /.rhosts
l 使用ssh來代替telnetd,ftpd.pop等通用服務。傳統的網絡服務程序，如：ftp、pop和telnet在本質上都是不安全的，因爲它們在網絡上用明文傳送口令和數據。
4 網絡服務安全(Network Service Security)
Linux系統對外提供強大、多樣的服務，由於服務的多樣性及其複雜性，在配置和管理這些服務時特別容易犯錯誤，另外，提供這些服務的軟件本身也存在各種漏洞，所以，在決定系統對外開放服務時，必須牢記兩個基本原則：
l 只對外開放所需要的服務，關閉所有不需要的服務。對外提供的服務越少，所面臨的外部威脅越小。
l 將所需的不同服務分佈在不同的主機上，這樣不僅提高系統的性能，同時便於配置和管理，減小系統的安全風險。
在上述兩個基本原則下，還要進一步檢查系統服務的功能和安全漏洞。
這裏針對主機所提供的服務進行相應基本安全配置，某些常用服務的安全配置請參考相關文檔。
4.1服務過濾Filtering
l 在SERVER上禁止這些服務
l 如果一定要開放這些服務，通過防火牆、路由指定信任IP訪問。
l 要確保只有真正需要的服務才被允許外部訪問，併合法地通過用戶的路由器過濾檢查。尤其在下面的服務不是用戶真正需要時候，要從路由器上將其過濾掉
NAME PORT PROTOCOL
echo 7 TCP/UDP
systat 11 TCP
netstat 15 TCP
bootp 67 UDP
tftp 69 UDP
link 87 TCP
supdup 95 TCP
sunrpc 111 TCP/UDP
news 144 TCP
snmp 161 UDP
xdmcp 177 UDP
exec 512 TCP
login 513 TCP
shell 514 TCP
printer 515 TCP
biff 512 UDP
who 513 UDP
syslog 514 UDP
uucp 540 TCP
route 520 UDP
openwin 2000 TCP
nfs 2049 UDP/TCP
x11 6000 to 6000+n TCP
注意：有些UDP服務可以導致DOS***和遠程溢出，如
rpc.ypupdated
rpcbind
rpc.cmsd 100068
rpc.statd 100024
rpc.ttdbserver 100083
sadmind 100232/10
l 配置完成以後，利用網絡掃描器模擬***者從外部進行掃描測試。如利用nmap
4.2 /etc/inetd.conf
l 確保文件權限設置爲600
l 確保文件屬主設置爲root
l 註釋掉所有不需要的服務，需要重新啓動inetd進程
l 使用netstat –an命令，查看本機所提供的服務。確保已經停掉不需要的服務
4.3 R 服務
不必使用R服務
l 關閉R服務,Red hat 6.2在/etc/inetd.conf文件中註釋以下服務，並且重新啓動inetd服務。Red hat 7.0在/etc/xinetd.d目錄中刪除
exec 512 TCP
Rlogin 513 TCP
Rshell 514 TCP
l 預先生成$HOME/.rhosts，/etc/hosts.equiv文件，並且設置爲0000,防止被寫入”+ +”。（***者經常使用類似符號鏈接或者利用ROOTSHELL寫入，並且遠程打開受保護主機的R服務）
必須使用R服務
l 使用更安全版本的r服務。如Wietse Venema的logdaemon程序等。
l 在路由或者防火牆上禁止外部網絡訪問受保護主機的512,513 and 514 (TCP)端口。
l 使用TCP WRAPPERS設置可訪問受保護主機R服務的信任機器。
4.4 Tcp_wrapper
該軟件的作用是在Unix平臺上過濾TCP/UDP服務，它目前已被廣泛用於監視並過濾發生在主機上的ftp、telnet、rsh、rlogin、tftp、finger等標準TCP/UDP服務。
當系統安裝TCP_wrapper之後，in.conf文件中 /usr/sbin/in.telnetd的in.telnetd會被TCP_wrapper附帶的tcpd程序取代。該程序截獲來自客戶端的服務請求、記錄請求發生的時間和IP地址，並按訪問控制進行檢查。當本次連接的用戶、請求源的IP等信息符合管理員的預設值時，纔將該次請求傳遞給系統in.telnetd，由系統in.telnetd完成後續工作；若連接不符合要求，該連接請求將被拒絕。同樣，ftp、 rsh等TCP/UDP服務均可被tcpd取代，由tcpd充當二傳手。
l 使用PARANOID 模式,用此參數後需要在/etc/hosts文件中加上允許使用telnet或ftp服務的客戶端的名字和IP地址
l 在/etc/hosts.deny中設置爲all:all，默認所有不允許
Access is denied by default.
# Deny access to everyone.
ALL: ALL@ALL, PARANOID #Matches any host whose name does not match its address, see
bellow.
l 在/etc/hosts.allow中設置允許的服務和地址
如：sshd: 208.164.186.1 gate.openarch.com
l 使用tcpdchk檢查
l UDP服務使用tcpwrapper時要使用/etc/inetd.conf中的nowait選項。
4.5 /etc/hosts.equiv 文件
不必使用/etc/hosts.equiv文件
l 從系統中刪除此文件
l 預先生成/etc/hosts.equiv文件，並且設置爲0000,防止被寫入”+ +”。（***者經常使用類似符號鏈接或者利用ROOTSHELL寫入，並且遠程打開受保護主機的R服務）
必須使用/etc/hosts.equiv文件
l 確保此文件中可信賴主機爲必須的。
l 預先生成/etc/hosts.equiv文件，並且設置爲0000,防止被寫入”+ +”。（***者經常使用類似符號鏈接或者利用ROOTSHELL寫入，並且遠程打開受保護主機的R服務）
l 如果使用NIS或者NIS+的話，此文件中的組應該是容易管理的。
l 信賴主機必須確保可靠
l 信賴主機使用全名，如例如 hostname.domainname.cn
l 任何時候都不應該出現”+”字符，因爲這樣會使任何一臺主機上的任何用戶都可以不加口令地訪問系統
l 文件中不要使用'!' 和'#'符號，因爲在該文件中那並不表示註釋信息
l 文件開始字符不應該爲'-'.，請查閱C8
l 確保該文件的訪問權限被設置成600。
l 文件屬主確保爲ROOT。
l 在每次安裝補丁程序或操作系統之後，都應該重新檢查該文件夾的設置情況
4.6 /etc/services
l 確保文件權限設置爲600
l 確保文件屬主設置爲root
l 如果需要提供一些常見服務，如telnetd等，可以在此修改端口
此文件爲端口號和服務的對應關係，給此文件加上保護，避免沒有授權的修改和刪除
[root@deep]# chattr +i /etc/services
4.7 /etc/aliases
l 修改/etc/aliases文件，註釋掉"decode" "games,ingress,system,toor,manager,….”.等
l 使用/usr/bin/newaliases命令激活新配置
l 確保文件權限設置爲755
l 確保文件屬主設置爲root
4.8 NFS
NFS文件系統應注意以下幾方面的安全
l 在外部路由上過濾端口111、2049 （TCP/UDP），不允許外部訪問。
l 檢查ＰＡＴＣＨ更新情況。
l 檢查 /etc/exports 輸出路徑的權限,確定只有root能修改, all user只能read
l 用exportfs 去增加或刪除directories
exportfs -o access=engineering,ro=dancer /usr
exportfs -u /usr
l 假如你的機器沒有NIS(YP server)的服務,當更改資料時記得修改
/etc/passwd
/etc/group
/etc/hosts
/etc/ethers
l 不允許export出去包含本地入口的目錄
l 確定對方機器是完全可信賴的。使用全名
l 確保輸出列表沒有超過256個字符。
l 使用showmount –e命令查看自己的export設置
l 將/etc/exports權限設置爲644，屬主爲root
l 使用noexec,nodev.nosuid等選項控制mount的文件系統，在/etc/fstab中設置。
4.9 Trivial ftp (tftp)
無論何種情況下都不應該啓動這個服務進程。
4.10 Sendmail
sendmail提供了許多在編譯期間選擇的功能特性。通常情況下，按照其缺省配置，即可滿足一般用戶的需要。但是，瞭解研究其提供的特性，可以實現對sendmail許多功能的更爲準確的配置使用。從網絡安全的角度考慮，通過合理地配置有關特性，可以在提供服務和保證安全之間找到更爲準確的平衡點(配置特性的方法是將需要的特性加入到相應系統的.mc文件中,然後利用工具m4生成最終的sendmail.cf文件。目前最新版本是sendmail8.11.1.(www.sendmail.org)
l 最新的發行包
l promiscuous_relay：該特性打開任意轉發功能，也即關閉8.9帶來的郵件轉發方面的安全增強控制。此特性的使用會對電子郵件服務的濫用留下許多隱患，建議除非特別情況，不要使用此特性。
l accept_unqualified_senders：缺省情況下，該特性被關閉，即當MAIL FROM:參數中的地址表明屬於網絡連接,但是卻不包含合法的主機地址時，sendmail將拒絕繼續通信。打開此特性則不再根據MAIL FROM:參數拒絕接收郵件。建議不可輕易使用該特性。
l loose_relay_check ：通常情況下,當郵件使用了源路由功能,例如user%site@othersite,如果othersite屬於轉發郵件的範圍,則sendmail將分離othersite,繼續檢查site是否屬於轉發範圍.使用該特性將改變上述缺省操作.建議不要輕易使用該特性
l accept_unresolvable_domains ：通常情況下,當MAIL FROM:參數中的主機地址部分無法解析,即無法判定爲合法主機地址時,sendmail將拒絕連接.使用該特性將改變上述操作. 在某些情況下,例如,郵件服務器位於防火牆後面,無法正常解析外部主機地址,但是仍然希望能夠正常接收郵件時,可能需要利用該特性.
l blacklist_recipients ：打開接收黑名單功能。接收黑名單可以包括用戶名、主機名、或其它地址。
l relay_entire_domain ：缺省配置下,sendmail只爲在轉發控制數據庫(access db)中定義爲RELAY的主機提供轉發郵件服務. 該特性的使用,將使sendmail爲本地域內（由$=m類定義）的所有主機上面的用戶提供轉發功能
l sendmail的受限shell程序smrsh可以防止內部用戶惡意操作。
l 防止系統信息泄漏，如修改banner,禁止expn,vrfy命令
l 建議配置爲需要smtp認證功能。
l 其他相關的mailserver
qmail: www.qmail.org
postfix: www.postfix.org
qpop: http://www.qpopper.org/
Imail：http://www.imailbox.com/
4.11 finger
l 不應該啓動這個服務進程。
l 如果一定要使用，請使用最新的版本。
4.12 UUCP
l 建議不要使用
l 刪除所有的rhosts文件（ＵＵＣＰ目錄下的）
l 確保.cmds 文件屬主爲root
l 對ＵＵＣＰ登陸進行限制
l 確保ＵＵＣＰ文件沒有被設置爲所有人可寫
4.13 World Wide Web (WWW) – httpd
l 使用你選擇的ＷＥＢＳＥＲＶＥＲ的最新版本
l 不要使用ＲＯＯＴ用戶運行httpd
l 在chroot環境中運行httpd
l 儘量不要使用ＣＧＩ腳本
l 對ＣＧＩ腳本進行安全審計
l 鏈接使用靜態庫
l 過濾危險字符，如\n \r (.,/;~!)>|^&$`< 等
l 使用https進行關鍵業務傳送。
比較流行的webserver是
apache http://www.apache.org
netscpe的web server 和browser http://home.netscape.com/enterprise/v3.6/index.html
IETF的Web事務安全工作組維持着一個特別針對WWW安全問題的郵寄列表.
要訂閱,可發e-mail到www-security-[email protected].在信息的
正文裏寫上
SUBSCRIBE www-security 你的email地址
主要的WWW FAQ也包含關於Web安全的問與答,如記錄文件管理和服務軟件來源等.這個FAQ的最新版在: http://www.boutell.com/faq/
4.14 FTP安全問題
l wuftp 最新版本是２６.１
下載地址是ftp://ftp.wu-ftpd.org/pub/wu-ftpd-attic/wu-ftpd-2.6.1.tar.gz
l proftp 最新版本是1.2.0rc2
下載地址是ftp://ftp.proftpd.net/pub/proftpd
l ncftp 最新版本是２.６.３
下載地址是http://www.ncftp.com/ncftpd/
l 檢查所有的默認配置選項
l 確定沒有SITE EXEC問題
l 設置/etc/ftpusers確定禁止使用ftp的用戶
l 使用chroot環境運行ftpd
l 使用自己的ls等命令
l 加入對quota,pam等支持
l 配置/etc/ftpaccess文件，禁止系統信息泄露和設置最大連接數
l 配置／etc/ftphosts,設置允許使用ＦＴＰ的ＨＯＳＴ和ＵＳＥＲ
l 針對不同用戶設置不同權限
l 經常查看ＬＯＧ記錄 /var/log/xferlog
l 配置文件屬性改爲６００
l 編譯時打開允許匿名選項
l 如果使用分佈式passwords (e.g., NIS, NIS+)，需要設置好密碼文件。
l 匿名用戶只給讀權限（在/etc/ftpaccess中設置）
5 系統設置安全(System Setting Security)
5.1限制控制檯的使用
禁止使用控制檯程序：刪除/etc/security/console.apps中的服務
[root@deep]# rm -f /etc/security/console.apps/servicename，
比如：[root@deep]# rm -f /etc/security/console.apps/halt
[root@deep]# rm -f /etc/security/console.apps/poweroff
[root@deep]# rm -f /etc/security/console.apps/reboot
[root@deep]# rm -f /etc/security/console.apps/shutdown
[root@deep]# rm -f /etc/security/console.apps/xserver（如刪除，只有root能啓動Xserver）
禁止控制檯的訪問：在/etc/pam.d中的所有文件中，給包含pam_console.so的行加上註釋
5.2系統關閉Ping
關閉ping，使系統對ping不做反應，對網絡安全大有好處。
可以使用如下命令：
[root@deep]#echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
可以將這一行加到/etc/rc.d/rc.local文件中去，這樣系統重啓動後會自動執行
恢復系統的Ping響應：
[root@deep]#echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all
5.3關閉或更改系統信息
關閉telnet系統信息
Red Hat 6.2中,編輯/etc/inetd.conf
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd –h
加上參數-h可以關閉telnet信息
Red Hat 7.0中,編輯/etc/xinetd.d/telnet
加上server_args = -h,可以關閉telnet信息
/etc/rc.d/rc.local中關閉或修改系統信息
/etc/issue和/etc/issue.net中包含本地登錄和網絡登錄時提示的系統信息,對它們進行更改可以改變系統信息,或直接刪除,並在/etc/rc.d/rc.local文件中註釋相關行:
#echo "" > /etc/issue
#echo "$R" >> /etc/issue
#echo "Kernel $(uname -r) on $a $(uname -m)" >> /etc/issue
#cp -f /etc/issue /etc/issue.net
#echo >> /etc/issue
5.4 /etc/securetty文件
/etc/securetty文件規定root從哪個TTY設備登錄,列出的是允許的tty設備,將不允許的tty設備行註釋掉.
5.5 /etc/host.conf文件
/etc/host.conf定義主機名怎樣解析,使用什麼服務,什麼順序解析
# Lookup names via DNS first then fall back to /etc/hosts.
order bind,hosts
# We have machines with multiple IP addresses.
multi on
# Check for IP address spoofing.
nospoof on
order指定選擇服務的順序
multi指定主機能不能有多個IP地址,ON代表允許
nospoof指定不允許IP僞裝,此參數必須設置爲ON
5.6禁止IP源路徑路由
允許IP源路徑路由(IP source routing)會使得***能夠欺騙你的計算機,截取信息包.強烈建議禁止，使用如下命令：
for f in /proc/sys/net/ipv4/conf/*/accept_source_route; do
echo 0 > $f
done
將accept_source_route設置爲0，並將上述命令加到/etc/rc.d/rc.local中去，每次重啓動將自動執行
5.7資源限制
爲了避免拒絕服務***，需要對系統資源的使用做一些限制。
首先，編輯/etc/security/limits.conf，加入或改變如下
* hard core 0 （禁止創建core文件）
* hard rss 5000 （除root外，其他用戶最多使用5M內存）
* hard nproc 20 （最多進程數限制爲20）
編輯/etc/pam.d/login,在文件末尾加上：
session required /lib/security/pam_limits.so
對TCP SYN Cookie的保護：（防止SYN Flood***）
[root@deep]# echo 1 > /proc/sys/net/ipv4/tcp_syncookies
5.8 LILO安全
在“/etc/lilo.conf”文件中添加3個參數：time-out、restricted 和 password。這些選項會在啓動時間（如“linux single”）轉到啓動轉載程序過程中，要求提供密碼。
步驟1
編輯lilo.conf文件（/etc/lilo.conf），添加和更改這三個選項：
boot=/dev/hda
map=/boot/map
install=/boot/boot.b
time-out=00 #change this line to 00
prompt
Default=linux
restricted #add this line
password= #add this line and put your password
image=/boot/vmlinuz-2.2.14-12
label=linux
initrd=/boot/initrd-2.2.14-12.img
root=/dev/hda6
read-only
步驟2
由於其中的密碼未加密，“/etc/lilo.conf”文件只對根用戶爲可讀。
[root@kapil /]# chmod 600 /etc/lilo.conf （不再爲全局可讀）
步驟3
作了上述修改後，更新配置文件“/etc/lilo.conf”。
[Root@kapil /]# /sbin/lilo -v （更新lilo.conf文件）
步驟4
還有一個方法使“/etc/lilo.conf”更安全，那就是用chattr命令將其設爲不可：
[root@kapil /]# chattr +i /etc/lilo.conf
它將阻止任何對“lilo.conf”文件的更改，無論是否故意。
5.9 Control-Alt-Delete 鍵盤關機命令
編輯“/etc/inittab”文件，只要在下面行前面加“＃”，改爲註釋行。
ca::ctrlaltdel:/sbin/shutdown -t3 -r now
改爲：
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now
然後，爲使更改生效，在提示符下輸入：
[root@kapil /]# /sbin/init q
5.10日誌系統安全
爲了保證日誌系統的完整性，防止***刪除日誌，需要對日誌系統進行安全配置。本專題將有專門文檔來講述日誌系統的安全。
5.11修正腳本文件在“/etc/rc.d/init.d”目錄下的權限
對腳本文件的權限進行修正，腳本文件用以決定啓動時需要運行的所有正常過程的開啓和停止。添加：[root@kapil/]# chmod -R 700 /etc/rc.d/init.d/*
這句指的是，只有根用戶允許在該目錄下使用 Read、Write，和 Execute 腳本文件。
6 文件系統安全(File System Security)
6.1文件權限
l 去掉不必要的suid程序，可以通過腳本查看
[root@deep]# find / -type f \( -perm -04000 -o -perm -02000 \) \-exec ls –lg {}\;
通過下面的命令來去掉不需要的程序的‘s’位
[root@deep]# chmod a-s /usr/bin/commandname
l 重要的配置文件如/etc/passwd,/etc/shadow,/etc/inetd.conf等設置爲0755,並設置爲不可更改
l /etc, /usr/etc, /bin, /usr/bin, /sbin, /usr/sbin, /tmp and/var/tmp的屬主是root,並且設置粘滯。
l /dev目錄下沒有特殊文件。
l 查找任何人可寫的文件和目錄
[root@deep]# find / -type f \( -perm -2 -o -perm -20 \) -exec ls -lg {} \;
[root@deep]# find / -type d \( -perm -2 -o -perm -20 \) -exec ls -ldg {} \;
l 查找異常文件，如..文件，…文件等
find / -name ".. " -print –xdev
find / -name ".*" -print -xdev | cat -v
l 檢查沒有屬主的文件。
Find / -nouser –o –nogroup
l 檢查在/dev目錄以外還有沒有特殊的塊文件
find / \( -type b -o -type c \) -print | grep -v '^/dev/'
l 使用checksum md5 或者PGP來效驗文件
6.2控制mount上的文件系統
可以使用noexec, nodev, nosuid來控制mount上的文件系統.在/etc/fstab中設置，比如：
將/dev/sda11 /tmp ext2 defaults 1 2
/dev/sda6 /home ext2 defaults 1 2
改爲：/dev/sda11 /tmp ext2 nosuid,nodev,noexec 1 2
/dev/sda6 /home ext2 nosuid,nodev 1 2
noexec表示不允許可執行，nodev表示不允許塊設備，nosuid表示不允許suid位
6.3備份與恢復
定期對文件系統進行備份，可以將損失減小到最小程度。
Linux下有多種方法進行備份，如：dd, cpio, tar, dump等
7 其它
7.1使用防火牆
防火牆是網絡安全的重要方面，我們將另有專題來詳細闡述防火牆，包括防火牆的原理，linux 2.2內核下IPChains實現，linux 2.4內核下netfilter實現，商業防火牆產品應用等。
7.2使用第三方安全工具
Linux下有很多很好的安全工具，比如：Tripwire, SSH, Sudo, Tcpdump, nmap, nessus, snort, sniffit… …我們將安排專題來具體講述這些非常實用的安全工具。