Question

关于分区

一个潜在的黑客如果要攻击你的 Linux 服务器，他首先就会尝试缓冲区溢出。在过去的几年中，以缓冲区溢出为类型的安全漏洞是最为常见的一种形式 了。更为严重的是，缓冲区溢出漏洞占了远程网络攻击的绝大多数，这种攻击可以轻易使得一个匿名的 Internet 用户有机会获得一台主机的部分或全部的控 制权！

为了防止此类攻击，我们从安装系统时就应该注意。如果用 root 分区纪录数据，如 log 文件和 email，就可能因为拒绝服务产生大量日志或垃圾邮 件，从而导致系统崩溃。所以建议为/var 开辟单独的分区，用来存放日志和邮件，以避免 root 分区被溢出。最好为特殊的应用程序单独开一个分区，特别是 可以产生大量日志的程序，还有建议为/home 单独分一个区，这样他们就不能填满/分区了，从而就避免了部分针对 Linux 分区溢出的恶意攻击。

关于 Ping

既然没有人能 ping 通你的机器并收到响应，你可以大大增强你的站点的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次启动后自动运行，这样就可以阻止你的系统响应任何从外部/内部来的 ping 请求。

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

关于用户资源

对你的系统上所有的用户设置资源限制可以防止 DoS 类型攻击，如最大进程数，内存数量等。例如，对所有用户的限制， 编辑/etc/security/limits.con 加入以下几行：

* hard core 0
* hard rss 5000
* hard nproc 20

你也必须编辑 /etc/pam.d/login ​ 文件，检查这一行的存在：

session required /lib/security/pam_limits.so

上面的命令禁止 core files core 0 ，限制进程数为 nproc 50 ，且限制内存使用为 5M rss 5000 。