6. 整合各部分

6.1.1. 需求回顾

在大多数关于保护计算机系统的书籍中，作者都会告诉您坐下来“制定安全策略”。 这听起来像是一场官僚主义的噩梦，以至于大多数人跳过了整个章节。 我不打算建议您制定任何策略。 但是，下次您淋浴时，问问自己您需要什么样的防御措施。

您想要保护什么？ 您是否担心有人会入侵模拟大型机并窃取您的数据，这是好莱坞电影中经典的计算机威胁？ 还是您的硬件可能被闪电摧毁？ 或者有人会在用户离开去洗手间时坐在终端前，以他的名义写电子邮件？ 或者人们会打开电脑机箱并偷走处理器？ 另一种看待这个问题的方式是弄清楚系统的哪些部分是您难以甚至无法割舍的。 例如，我女儿婴儿时期的数码照片和影片是不可替代的。

谁或什么是邪恶势力？ 一旦您知道自己想要保护什么，就想想您要防范谁，也许在您刷牙时想想。 您是否担心来自互联网的黑客，还是您被困住的不可靠的电力公司会用电涌击坏您的计算机？ 还记得那些拿着冰棒棍的小孩吗？

如果您的系统 24/7 全天候连接到互联网，您需要担心蠕虫和黑客。 如果您只是为了接收母亲发来的三封电子邮件而在线，那么这方面的风险将大大降低。 这表明了攻击“概率”是如何起作用的。 在这 20 秒内，有人攻击您的系统的可能性有多大？ 如果攻击的可能性极低，您就不想费力气来保护自己免受攻击。 有些事情您可能会不假思索地否定：您到底要如何保护您的系统免受锈蚀怪物的攻击？

一旦您知道自己害怕什么以及攻击的可能性有多大，您就应该对您面临的风险有所了解。 处理风险有三种方法：您可以承担风险、最小化风险或为风险投保。 第一种选择并不像您想象的那么疏忽：考虑到我们的预算，我们大多数人只是在承担陨石撞击的风险。 第三种选择通常需要花钱，而我们没有钱，所以我们在这里忽略它。

第二种选择涉及任何安全过程的三个主要部分：预防、检测和响应。 大多数计算机安全都与预防有关：例如，确保机箱已锁定，这样就没人能偷走 CPU。 检测通常被忽略——您上次查看/var/log/中的文件是什么时候？ ——而且通常很少考虑响应，因为人们认为反正这一切都不会发生。 不幸的是，您始终都需要这三者，至少在某种程度上是这样。

即使您认为像这样的检测系统tripwire安装起来太麻烦，而且您没有时间每天阅读日志文件，也请考虑一下您如何才能知道您的系统已被入侵。 在某些情况下，这将很难错过，例如，当佩戴徽章的人敲门并将您带走，因为您的计算机一直在向韩国发送与松鼠发生不可能的性行为相关的垃圾邮件。 其他入侵可能更微妙。 您会知道是否有人复制了您信件文件夹中的文件吗？

考虑一下您将如何应对至少最有可能发生的攻击和故障。 如果您的硬盘驱动器崩溃了，您会怎么做？ 如果您以 root 身份登录，系统告诉您上次登录是在星期五——但您星期五还在英国伦敦，一边唱着酒歌，一边快乐地从一家酒吧蹒跚走到下一家酒吧。 对于普通的家庭系统和良好的备份，您或许可以使用从头开始重新安装作为应对所有大大小小问题的标准响应（但请确保您的备份没有受到损害）。

当您穿上袜子时，您可能已经发现您最大的风险与媒体一直谈论的风险大相径庭。 如果您的网络上没有 Microsoft 产品，您不必太担心防病毒软件或 Active X 漏洞。 但是，在电涌、洪水或风扇损坏方面，Linux 没有任何特别的优势。

6.1.2. 安全原则

回到预防：在您设计系统时，请牢记这些安全原则

构建更好的篮子。 将所有文件放在一台计算机上可能看起来像是将所有鸡蛋放在一个篮子里，谚语中的祖母说这是不好的做法。 事实上，从安全的角度来看，这实际上可能是一个好策略：因为防御一件东西总是比防御许多东西容易，所以一个篮子可能没问题，只要您确保它是一个非常、非常好的篮子。

避免复杂性。 集中式系统通常在设置和管理上不太复杂：如果您的所有用户都在一台机器上，您不必担心网络文件系统、网络登录、网络打印机以及所有其他连接计算机的巧妙但复杂的方式。 保持简单可以保持安全。 对于支持机器也是如此：它们应该只做一项工作。

封装。 这是隔离系统一部分的过程，这样如果它受到损害，整个系统就不会随之崩溃。 Guardian 是封装的一个例子：连接到互联网的危险工作由一台廉价、可消耗的机器处理，这台机器为攻击者提供了很少的工具。 另一个例子是将用户可以用他肮脏的小手实际触摸到的系统部件——显示器、键盘和鼠标——放在 Linux 终端上。 然而，模拟大型机设置显然不太擅长封装：在一台机器上完成所有事情的整个想法与这个概念背道而驰。

纵深防御。 预防性安全措施只是争取时间的手段，直到您的响应生效——如果有足够的连续时间，攻击者总是会获胜。 为了增加您的响应时间，请部署您的纵深防御：在攻击者跋涉穿过数公里的茂密丛林后，他到达了环绕着 20 米高外墙的护城河，然后是雷区和有毒的竹尖桩。 最后，您神奇巧克力机的秘密计划不仅将以代码形式存在，而且还将用隐形墨水书写。 这就是纵深防御。

Guardian 是您防御的延伸； 在模拟大型机上安装第二个防火墙也是一种防御。 这听起来可能微不足道，但请为模拟大型机和 Guardian 使用不同的密码。 如果您有其他支持机器，将它们放在不同的网络上也意味着它们与攻击者之间有更多的空间。 如果您有必须不惜一切代价保密的数据（眨眼暗示），请对其进行加密，或者至少对那些备份 CD 进行加密。 几年备份后，您将不知道它们最终都去了哪里。

但请记住，即使是最深的防御也只能为您争取更多时间。 正如印第安纳·琼斯和劳拉·克劳馥会告诉您的那样，通过预防措施只是容易的部分：您只需要一根鞭子或几次恰到好处的跳跃。 当当地人开始喊叫，拿着枪的人到达时，问题就开始了。

扼制点。 如果只有一种进入系统的方式，并且您可以完全控制这种方式，那么在危险时期，该系统将更容易保护。 我们再次转向 Guardian，以了解扼制点的示例：关闭机器，您就可以免受互联网恶棍的侵害，前提是它确实是唯一的访问点。 许多网络的问题在于，在某个地方，有人拥有系统管理员不知道的外部连接。 想想现在所有配备调制解调器，甚至更糟糕的是内置无线 LAN 卡的笔记本电脑。 将这些笔记本电脑连接到您的网络，您就拥有了一个即时后门。 记住您的历史：您的主门可能又高又坚固，并且爬满了兽人，但错过一个小小的蜘蛛洞，两个霍比特人就可以毁掉您的一天。