在尽可能多地取消服务后，下一步就是配置系统日志了。所有的系统日志存放在/var/log目录下。缺省时，Linux有不错的日志设置，除了ftp。有两种方法记录ftp的日志，配置/etc/ftpaccess文件或编辑/etc/inetd.conf。建议采用相对简单的编辑/etc/inetd.conf文件的方法。通过编辑/etc/inetd.conf文件如下，可以记录所有FTP会话的所有日志。
ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd -l -L -i -o
--- 以下选自ftp手册页 ---
如果指定-l参数，syslog会记录每一个ftp会话。
如果指定-L参数，缺省时一旦ftp服务器被调用，命令日志就会激活。这将使服务器记录下所有的USER命令。注意，此时如果一个用户偶然性地在用户名输入时输入了口令，该口令会被syslog记录下来！
如果指定-i参数，ftpd服务器接收到的文件都会被记录到xferlog。
如果指定-o参数，ftpd服务器发送的文件都会被记录到xferlog。
--- snip snip ---
下一步配置是系统调整。这包括了多个文件的管理。第一件事情是确保/etc/passwd文件的安全。首先要确认系统使用了/etc/shadow文件，此保存了所有用户口令密文的文件仅允许root根用户访问，这可以阻止用户口令轻易地被访问和破解。Red Hat 6.0缺省时使用了shadow口令系统，但务必要检查确定。只要运行以下命令，就会将口令系统自动转换到/etc/shadow口令系统：
pwconv
第二步是删除/etc/passwd文件中许多缺省的系统帐号。Linux提供这些帐号主要是用于许多其实极少需要的系统操作。如果不需要这些帐号，删除它们。帐号越多，系统被入侵的可能性就越大。例如"news"帐号，如果不运行nntp新闻组服务器，就不需要该帐号（注意要更新/etc/cron.hourly文件，因为脚本中涉及到了"news"用户）。另外，一定要删除"ftp"帐号，因为该帐号仅用于匿名FTP访问。
我们还要修改/etc/ftpusers文件。任何被列入该文件的帐号将不能ftp到本系统。通常用于限制系统帐号，例如root和bin等，禁止这些帐号的FTP会话。缺省时Linux已创建了该文件。一定要确保root根用户被包含在该文件中，以禁止root与系统的ftp会话。检查并确认需要FTP到该防火墙的所有帐号**不**在/etc/ftpusers文件中。
另外，确保根用户root不能telnet到系统。这强迫用户用其普通帐号登录到系统，然后再su成为root。/etc/securetty文件列出了root所能连接的tty终端。
将tty1、tty2等列入该文件中，使root用户只能从本地登录到系统中。ttyp1、ttyp2等是pseudo（虚拟）终端，它们允许root远程telnet到系统中。
最后，创建/etc/issue文件。该ASCII文本文件用于在所有telnet登录时显示的信息。当试图登录到系统中时，该文件中的警告信息将被显示。在Linux系统中要修改/etc/rc.d/init.d/S99local脚本文件，以生成固定的/etc/issue文件。
因为缺省时Linux在每次启动时都生成新的/etc/issue文件。
4、连接到防火墙
通过安全可控的途径连接到防火墙也是非常重要的。通常，我们需要远程访问防火墙以进行管理或上载文件。这些通讯需要考虑安全性。在这里我们主要讨论两种方式：ssh和TCP Wrappers。
我个人推荐ssh，因为它使在我们和防火墙之间的通讯都是经过加密的。TCP Wrappers不能保证网络通讯不被窃听，使用户仍然有可能捕获通过网络传送的明文口令。如果你担心被其它用户窃听你和防火墙之间的通讯，推荐用ssh替代telnet/ftp。ssh会话对其所有网络通讯进行加密，使在防火墙上的管理和文件上载变得更安全。ssh和TCP Wrappers的相似之处是有自己的日志文件功能，并能限制哪些系统可以创建网络连接。要获取更多关于ssh的信息和下载ssh客户端和服务器端源代码，请访问http://www.ssh.org网站。建议使用1.2.x版本的ssh，因为2.x版本有版权限制。对于Windows 95/NT用户，推荐用SecureCRT作为ssh客户端。
TCP Wrappers，虽然不支持加密，但它提供日志功能和控制何人能访问系统。它通常用于为inetd中的服务，例如telnet或ftp，添加一层限制。当使用TCP Wrappers时，系统通过它来监视inetd进程创建的连接，记录所有连接请求，然后对照一个访问控制列表（ACL）检验该请求。如果该连接是允许的，TCP Wrappers将此连接请求传递给相应的真正守护进程，例如telnet。如果该连接是禁止的，则TCP Wrappers会丢弃此连接请求。对于Linux系统，TCP Wrappers缺省时就被安装到系统中，我们只需编辑/etc/hosts.allow和/etc/hosts.deny文件即可。这些文件用于确定什么人能和不能访问系统。TCP Wrappers的语法比较简单，将被允许网络连接的IP地址或网络添加到/etc/hosts.allow文件，将被禁止网络连接的IP地址或网络添加到/etc/hosts.deny文件。缺省时，Linux允许所有连接，所以需要对这两个文件进行修改。对于TCP Wrappers有以下两点建议：
使用IP地址而不是系统名字或域名。
设置/etc/hosts.deny文件禁止所有连接（ALL），然后在/etc/hosts.allow文件中指定仅允许特定主机和网络。
5、更严格的安全配置
以上讨论的内容包括了所有的要点。通过执行以上操作，你就可以显著增强系统的安全性。然后不幸的是，你的系统并不是100%安全，而且永远也不会是。因此，这里提供几个更严格的安全配置方法和步骤。
首先是创建whell用户组。wheel用户组包含了允许执行一些功能强大命令（例如/usr/bin/su）的用户帐号列表。通过限制有权限访问这些命令的用户帐号，就能够增强系统的安全性。要创建wheel组，用vi编辑文件/etc/group，创建wheel组并为其增加系统管理员帐号。然后确定重要的系统程序，例如/usr/bin/su。
把这些程序文件的组用户设置为wheel，并只允许程序的属主和组用户执行（注意要保留必需的suid或guid位）。例如对于/usr/bin/su，使用如下命令：
/usr/bin/chgrp wheel /usr/bin/su
/usr/bin/chmod 4750 /usr/bin/su
然后，我们需要限制.rhosts、.netrc和/etc/hosts.equiv文件的使用。r系列命令使用这些文件来访问系统。要为这些文件加锁，先创建它们，然后修改其属性为零即可。这样除了root用户就没有其它用户能创建或修改它们了。
例如：
/usr/bin/touch /.rhosts /.netrc /etc/hosts.equiv
/usr/bin/chmod 0 /.rhosts /.netrc /etc/hosts.equiv
第三，配置/etc/shadow使用MD5哈希函数而不用crypt函数作为加密算法。这可以使被加密的口令文件更难以破解。这可以通过修改PAM模块配置完成。PAM（Pluggable Authentication Modules）是一个共享库套件，可用于选择应用程序如何对用户进行认证等。要了解PAM更多知识，请访问：
ftp://ftp.us.kernel.org/pub/linux/libs/pam/Linux-PAM-html/pam.html.
在以前的旧版本中，必须手工修改PAM模块以使用MD5哈希函数。然而在Red Hat 6.0及更高版本中，可用setup工具选择MD5哈希。在命令行输入"setup"然后选择"authentication configuration"，从那里就能够选择使用MD5哈希。然而，MD5哈希在用户再次输入其口令前并未真正生效。如果因为某些原因不使用setup工具，手工修改PAM模块也是可以的。
作为bash用户，我不大愿意使用.bash_history文件，因为不希望别人（包括root）知道我曾经运行了哪些命令。所以，在.bash_profile文件里，我添加了一行，这样命令就不会被记录到.bash_history文件：
HISTFILESIZE=0
最后一件事情是保护系统不被攻击者物理访问。一是要为BIOS设置口令，二是通过在/etc/lilo.conf文件中配置口令保护（password=xxx）系统的启动过程。然而记住，一旦系统被入侵者能够完全物理接触，则没有任何方法能保证系统的绝对安全了。
6、IPChains
讨论Linux安全性，不可能不讨论IPChains。IPChains是集成到2.2.x内核中的包过滤防火墙软件。只要运行了Red Hat 6.0或更高版本，IPChains已在Linux的安装包中。IPChains与Cisco Access Control Lists（访问控制列表）相似，它能够控制什么数据包能够进出Linux系统。作为一个防火墙软件，IPChains能够用于保护Linux系统。要保护一台独立服务器系统，可以配置IPChains仅允许出站的TCP连接。如果外部主机试图发起任何TCP连接，都会被禁止创建连接。由于IPChains不是基于状态过滤的，因此通常允许所有的UDP和ICMP连接。最后，应该记录下所有的被禁止连接，这样可以发现可能的攻击企图。然而，对于广播和多播数据包，应该将其丢弃，因为这些数据包可能会很快地填满系统日志。以下是一个IPChains配置例子（保护独立服务器系统）：
bash# ipchains -L
Chain input (policy DENY):
target prot opt source destination ports
DENY all ------ 0.0.0.0 anywhere n/a
DENY all ------ anywhere 255.255.255.255 n/a
DENY all ------ anywhere BASE-ADDRESS.MCAST.NET/8 n/a
ACCEPT tcp !y---- anywhere anywhere any -> any
ACCEPT udp ----l- anywhere anywhere any -> any
ACCEPT icmp ----l- anywhere anywhere any -> any
DENY all ----l- anywhere anywhere n/a
Chain forward (policy ACCEPT):
Chain output (policy ACCEPT):
7、结论
我们在本文中讨论了如何安全配置一台Linux系统（Red Hat发行版本）的一些主要步骤。使一个系统安全的关键是最小化安装，使用TCP Wrappers、IPChains等软件、用shadow口令增加安全防护。此外还有一些附加步骤，例如tripwire（监视系统文件的改动）和swatch（日志监视和报警工具）。另外向Linux初学者推荐一个能够自动对新安装的Linux系统进行安全配置的PERL脚本：Bastille。记住，没有系统是真正100%安全的。然而，通过以上列出的操作步骤，可以较大幅度地减少安全风险。
