15、Linux 系统安全与邮件服务配置全解析

Linux 系统安全与邮件服务配置全解析

在当今数字化的时代，Linux 系统的安全和邮件服务配置至关重要。下面将详细介绍 Linux 系统中邮件服务的配置、安全更新的应用、防火墙规则的设置以及 AppArmor 的使用等关键内容。

邮件服务器配置

1. SMTP 通信理解

SMTP（简单邮件传输协议）是邮件传输的基础。在 SMTP 服务器上，为了实现 SMTP 通信，必须实现以下命令：
-HELO：用于客户端向服务器标识自己的主机名。
-MAIL FROM：指定发件人的邮箱地址。
-RCPT TO：指定收件人的邮箱地址。
-DATA：表示接下来是邮件的具体内容。
-RSET：重置当前的邮件事务。
-NOOP：空操作，用于测试连接。
-QUIT：结束 SMTP 会话。

这些命令构成了 SMTP 通信的基本框架，确保邮件能够准确无误地发送和接收。

2. 垃圾邮件管理

垃圾邮件是邮件服务中常见的问题。spamassassin（及其客户端spamc）期望从标准输入（STDIN）获取输入。如果要在 Postfix 配置中使用SpamAssassin，最简单的方法是使用Procmail。

垃圾邮件可以从邮件客户端进行过滤，也可以在Procmail的进一步配置（~/.procmailrc）中进行过滤。可以使用telnet来测试配置是否正确，也可以直接使用sendmail命令发送垃圾邮件进行测试。

3. 邮件病毒扫描

为了确保邮件的安全性，需要使用病毒扫描器。以下介绍两种常见的邮件病毒扫描工具：
-AVMailGate：由 H + BEDV Datentechnik GmbH 提供的反病毒邮件过滤器。它可以更新病毒定义文件和引擎本身。AVMailGate 由两种进程组成：
-avgated：SMTP 接收器，将传入的邮件存储在输入队列中。
-avgatefwd：具有病毒扫描功能，同时也是 SMTP 转发器和sendmail调用器。
这两个进程可以通过编辑/etc/avmailgate.conf文件进行配置。
-AMaViSd - new：由守护进程、可选的辅助程序（仅在消息传输代理（MTA）设置中需要）和一个或多个内容检查器（如SpamAssassin等病毒扫描器）组成。邮件服务器将所有传入和传出的邮件发送到AMaViSd，AMaViSd - new会提取邮件并使用病毒扫描器进行测试。如果未发现病毒，AMaViSd - new会将邮件发送回邮件服务器以便进行投递。AMaViSd - new的配置文件为/etc/amavisd.conf。

安全应用

1. 应用安全更新

SUSE Linux Enterprise Server 10 附带系统维护，其中包括软件更新和安全补丁。可以使用 YaST 在线更新（YOU）模块来管理软件更新。要应用安全更新，需要完成以下步骤：
-配置 Novell 客户中心：
- 启动 YaST 控制中心，选择“Software”>“Novell Customer Center Configuration”。
- 也可以以根用户身份在终端窗口中输入yast2 inst_suse_register直接启动对话框。该对话框与安装过程中提供的对话框相同。
- 选择“Details”可以查看正在收集和发送的信息。
- 使用浏览器访问 http://www.novell.com/center/，创建 Novell 账户后，使用 SUSE Linux Enterprise Server 10 产品附带的注册代码注册产品。
-使用 YaST 在线更新：
1. 从 YaST 控制中心启动 YOU 模块，选择“Software”>“Online Update”。
2. 在对话框的左上角会显示所有可用的补丁。选择一个条目可以在对话框的右侧查看更新的详细信息。要在下一个步骤中安装更新，请选择相应条目的复选框。
3. 选择“Accept”开始更新过程。根据选择，可能会出现“Automatic Changes”对话框。
4. 选择“Continue”接受更改，补丁将从更新服务器传输并安装。
5. 在安装过程中，YOU 会显示相应的对话框。有时某些更新会显示额外的信息，需要确认这些对话框才能安装相应的软件包。
6. 所有更新下载并安装完成后，选择“Finish”关闭对话框。

2. 理解 iptables 的近期匹配

iptables的近期匹配（recent match）可以动态创建 IP 地址列表，并针对这些 IP 地址创建规则。例如，存在一些自动攻击，试图通过 SSH 猜测账户和密码。使用近期匹配，可以临时阻止发起此类攻击的机器的流量。

信息默认保存在/proc/net/ipt_recent/DEFAULT中，除非使用--name选项指定不同的名称。指定名称对于在不同规则中跟踪不同的 IP 地址很有用。

以下是一个 SSH 的示例：

# 如果在过去 60 秒内命中次数达到 2 次或更多，则丢弃数据包 iptables -A INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 2 -j DROP # 将源地址添加到列表中 iptables -A INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set

对于第一次 SSH 连接，第一条规则不匹配，第二条规则在DEFAULT列表中创建一个新条目，由于没有使用-j定义目标，数据包会继续沿着链向下传递并由后续规则进行检查。对于第二次 SSH 连接，命中次数为 1，第一条规则仍然不匹配，第二条规则更新DEFAULT列表中的条目，此时命中次数变为 2。当第二个数据包到达后一分钟内第三个数据包到达时，第一条规则匹配，数据包将被丢弃。合法用户如果两次输入密码错误，需要等待 60 秒才能再次尝试。

3. 远程主机日志记录

SUSE Linux Enterprise Server 10 上用于记录系统消息的syslog - ng可以向其他计算机发送消息并接收其他计算机的消息，接收消息的计算机有时被称为日志主机（loghost）。需要在客户端和服务器端进行配置更改：
-客户端配置：
1. 编辑/etc/syslog - ng/syslog - ng.conf.in文件，添加以下内容：

destination tologhost { udp(10.0.0.254 port(514)); }; log { source(src); destination(tologhost); };

第一行定义了一个目标 `tologhost`，包含协议、IP 地址（也可以使用主机名）和端口。第二行配置将消息记录到该目标。由于没有包含过滤器，所有来自源 `src` 的消息都会发送到目标 `tologhost`。 2. 编辑完成后，运行 `SuSEconfig --module syslog - ng` 将更改传输到 `/etc/syslog - ng/syslog - ng.conf`，这是 `syslog - ng` 实际使用的配置文件。

• 服务器端配置：
  1. syslog - ng需要监听一个端口（通常是 514）来接收消息。与仅支持 UDP 连接的syslogd不同，syslog - ng还支持 TCP。要绑定到一个端口，需要在源部分添加一行。可以将其添加到现有的源src部分，也可以创建一个新的源部分，例如：

source network { udp(ip("10.0.0.254") port(514)); };

使用 `0.0.0.0` 作为 IP 地址会使 `syslog - ng` 绑定到所有可用的接口。 2. 然后需要定义一个目标和一个日志条目：

destination digiair { file("/var/log/$HOST"); }; log { source(network); destination(digiair); };

第一行定义了目标 `digiair`，每个主机的日志条目将被写入以主机名命名的文件中。日志条目将来自源 `network` 的消息定向到目标 `digiair`。

以下是远程主机日志记录的配置流程：

graph LR classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px; classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px; A([开始]):::startend --> B(客户端配置):::process B --> B1(编辑 /etc/syslog - ng/syslog - ng.conf.in):::process B1 --> B2(运行 SuSEconfig --module syslog - ng):::process A --> C(服务器端配置):::process C --> C1(添加源部分):::process C1 --> C2(定义目标和日志条目):::process B2 --> D(完成配置):::process C2 --> D D --> E([结束]):::startend

通过以上配置，可以实现邮件服务器的高效运行和系统的安全防护。在实际应用中，需要根据具体情况进行调整和优化，以确保系统的稳定性和安全性。

接下来，将介绍 AppArmor 的相关内容，包括如何使用它来提高应用程序的安全性、创建和管理 AppArmor 配置文件等。

AppArmor 应用

1. 使用 AppArmor 提高应用程序安全性

在软件安全方面，即使保持软件更新，仍然可能受到利用未知漏洞的攻击。AppArmor 是 Novell 推出的一种强制访问控制方案，它可以让用户针对每个程序指定该程序可以读取、写入和执行哪些文件。

AppArmor 通过强制应用程序遵循良好的行为规范来保障应用程序的安全，而不依赖于攻击特征码，因此即使是利用先前未知漏洞的攻击，它也能起到预防作用。

通常，入侵者不会直接获取 root 权限，而是通过利用某个软件（如 Web 服务器）的漏洞，以运行该 Web 服务器的用户身份启动一个 shell，然后再利用其他软件的漏洞来获取 root 权限。有了 AppArmor，即使入侵者找到了服务器软件的漏洞，由于 AppArmor 的规则集限制，入侵者只能访问和执行应用程序在常规操作中被允许的文件和程序，从而限制了损害的范围。

AppArmor 的内核模块（apparmor和aamatch_pcre）会挂载到内核的 Linux 安全模块框架中。/etc/apparmor.d/目录下的配置文件用于配置哪些应用程序可以访问和执行哪些文件。

AppArmor 必须在它所控制的应用程序启动之前激活。如果在 AppArmor 激活时应用程序已经在运行，即使为这些应用程序创建了配置文件，它们也不会受到 AppArmor 的控制。因此，AppArmor 在启动过程的早期由/etc/init.d/boot.apparmor激活。

在 SUSE Linux Enterprise Server 10 的默认安装中，AppArmor 使用 Novell 提供的一组配置文件来积极保护多个服务。可以使用提供的 YaST 模块或命令行工具轻松地根据需要调整这些配置文件，并为想要保护的其他应用程序创建新的配置文件。

一般来说，应该对授予特权的程序进行限制，即那些可以访问用户本身无法访问的资源的程序，例如：
-网络代理：具有开放网络端口的程序。
-Cron 作业：定时执行的任务。
-Web 应用程序：提供 Web 服务的应用。

2. 创建和管理 AppArmor 配置文件

SUSE Linux Enterprise Server 10 为各种应用程序提供了 AppArmor 配置文件，如named、ntpd、nscd等。这些配置文件位于/etc/apparmor.d/目录下，配置文件的文件名代表了应用程序的文件名（包括路径），其中的/被替换为.。例如，/usr/sbin/squid的配置文件为/etc/apparmor.d/usr.sbin.squid。

一个配置文件可以使用#include语句包含其他文件。/etc/apparmor/abstractions/目录包含了几个文件，这些文件可以根据要保护的程序类型包含在配置文件中。例如，有适用于所有程序都应该可读或可写的文件的抽象（base）、适用于与名称服务相关的文件（如/etc/passwd）的抽象（nameservice）、适用于与控制台操作相关的文件的抽象（console）等。

配置文件是纯文本文件，因此可以使用任何文本编辑器创建和修改它们。不过，命令行工具和 YaST 模块可以大大简化创建配置文件的过程。

除了/etc/apparmor.d/中的活动配置文件外，/etc/apparmor/profiles/extras/目录中还预先准备了几个配置文件，可以根据需要进行定制，然后复制到/etc/apparmor.d/目录中以激活它们。

要成功管理 AppArmor，需要做到以下几点：
-理解配置文件和规则：了解配置文件的结构和规则的含义，以便正确配置 AppArmor。
-使用 YaST 管理 AppArmor 配置文件：通过 YaST 界面可以方便地进行配置文件的创建、修改和管理。
-使用命令行工具管理 AppArmor 配置文件：命令行工具提供了更灵活的操作方式，适合有一定经验的用户。

以下是 AppArmor 配置文件管理的步骤总结：
| 步骤 | 操作 |
| ---- | ---- |
| 1 | 了解/etc/apparmor.d/目录下现有配置文件的命名规则和结构。 |
| 2 | 根据需要，使用#include语句包含/etc/apparmor/abstractions/目录下的抽象文件。 |
| 3 | 可以使用文本编辑器手动创建和修改配置文件，也可以使用 YaST 模块或命令行工具。 |
| 4 | 对于/etc/apparmor/profiles/extras/目录中的预先准备的配置文件，进行定制后复制到/etc/apparmor.d/目录中激活。 |

通过合理使用 AppArmor 并正确管理其配置文件，可以显著提高 Linux 系统中应用程序的安全性，有效防范各种潜在的安全威胁。在实际应用中，还需要根据具体的业务需求和安全策略，不断调整和优化 AppArmor 的配置，以确保系统的安全稳定运行。

3. 控制 AppArmor

控制 AppArmor 主要涉及到启动、停止、重启以及查看其状态等操作，这些操作可以通过命令行工具来完成。以下是一些常用的控制命令：

• 启动 AppArmor：使用systemctl start apparmor命令可以启动 AppArmor 服务。这会激活 AppArmor 并使其开始根据配置的规则对应用程序进行限制。
• 停止 AppArmor：若要暂时停止 AppArmor 的运行，可以使用systemctl stop apparmor命令。停止后，AppArmor 不再对应用程序进行访问控制。
• 重启 AppArmor：当对 AppArmor 的配置文件进行了修改后，需要重启服务以使更改生效。使用systemctl restart apparmor命令即可完成重启操作。
• 查看 AppArmor 状态：通过systemctl status apparmor命令，可以查看 AppArmor 服务的当前状态，包括是否正在运行、最近的活动日志等信息。

以下是控制 AppArmor 的操作流程：

graph LR classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px; classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px; A([开始]):::startend --> B(选择操作):::process B --> C{启动?}:::process C -- 是 --> D(执行 systemctl start apparmor):::process C -- 否 --> E{停止?}:::process E -- 是 --> F(执行 systemctl stop apparmor):::process E -- 否 --> G{重启?}:::process G -- 是 --> H(执行 systemctl restart apparmor):::process G -- 否 --> I{查看状态?}:::process I -- 是 --> J(执行 systemctl status apparmor):::process D --> K([结束]):::startend F --> K H --> K J --> K

4. 监控 AppArmor

监控 AppArmor 对于及时发现潜在的安全问题和违规行为非常重要。可以通过以下几种方式来监控 AppArmor：

• 日志文件：AppArmor 的活动信息会记录在系统的日志文件中，通常是/var/log/syslog或/var/log/messages。可以使用grep命令来过滤出与 AppArmor 相关的日志信息，例如：

grep "apparmor" /var/log/syslog

这会显示所有包含 “apparmor” 关键字的日志条目，帮助你了解 AppArmor 的运行情况和可能的违规行为。

• AppArmor 审计工具：AppArmor 提供了一些专门的审计工具，如aa-audit和aa-logprof。
  • aa-audit：用于分析 AppArmor 的日志文件，找出潜在的违规行为。可以使用以下命令运行aa-audit：

aa-audit /var/log/syslog

它会对指定的日志文件进行分析，并输出可能的违规信息。
-aa-logprof：根据 AppArmor 的日志信息生成或更新配置文件。当发现应用程序有新的访问需求时，可以使用aa-logprof来自动更新配置文件，例如：

aa-logprof

运行该命令后，会根据日志中的信息提示你是否要更新配置文件，按照提示操作即可。

以下是监控 AppArmor 的方法总结：
| 监控方式 | 操作命令 | 作用 |
| ---- | ---- | ---- |
| 日志文件 |grep "apparmor" /var/log/syslog| 查看 AppArmor 相关的日志信息 |
| AppArmor 审计工具 -aa-audit|aa-audit /var/log/syslog| 分析日志文件，找出潜在违规行为 |
| AppArmor 审计工具 -aa-logprof|aa-logprof| 根据日志信息生成或更新配置文件 |

总结

通过对 Linux 系统中邮件服务配置、安全更新应用、防火墙规则设置以及 AppArmor 使用等方面的详细介绍，我们可以看到，保障 Linux 系统的安全和稳定运行需要从多个方面进行综合考虑和配置。

在邮件服务配置方面，要确保 SMTP 通信的正常运行，有效管理垃圾邮件，并使用病毒扫描器来保障邮件的安全性。在安全应用方面，及时应用安全更新、合理设置防火墙规则以及实现远程主机日志记录都是必不可少的措施。而 AppArmor 则为应用程序的安全提供了额外的保障，通过对应用程序的访问进行细粒度的控制，可以有效防范各种潜在的安全威胁。

在实际应用中，需要根据具体的业务需求和安全策略，灵活运用这些技术和方法，并不断进行调整和优化，以确保 Linux 系统始终处于安全、稳定的运行状态。同时，要定期对系统进行检查和维护，及时发现和解决潜在的问题，保障系统的正常运行。