并不绝对安全：Linux下安全十二法则

2004年，英国一家安全公司对当年一月份发生的安全攻击事件进行调查，在成功的安全攻击中，约有80%（共计13654次）是成功地攻击了Linux服务器，只有2005次是成功地攻击了Windows服务器。调查报告认为针对Linux的安全攻击成功次数上升是因为很多采用了Linux系统的公司并未正确地配置、管理Linux。该报告指出：问题出在他们的网管而不是Linux本身。这再次印证了安全学方面的一个基本观点：安全问题首先是人的问题，然后才是技术的问题。世界上没有绝对安全的系统，如果疏于管理、没有正确配置，就算是FreeBSD也照样会被攻击、入侵。这篇报告发布后，网友评论说：从这个角度来说，无论是Linux还是Windows，在安全方面最大的问题都不是产品本身，而是使用的人有没有实践一些基本的安全原则，例如“Default to a secure mode”、“Apply the principle of least privilege”、注意经常打补丁等。补丁是一定要打的，并不只是Windows才有补丁，Linux照样需要打补丁，照样会有安全漏洞。那些认为只要把Windows换成Linux就可以一劳永逸高枕无忧的人，就大错特错了。

　　另据伦敦安全分析及咨询机构mi2g公司最近的一份调查结果显示，从2003年11月到2004年10月份共发生了24万次攻击事件。这些攻击事件既有黑客远程手动攻击，也有通过病毒、蠕虫或其他恶意程序发动的攻击。分析结果显示，其中65％的攻击对象为Linux系统，共发生154846起攻击事件，25％的攻击对象为Windows。而最安全的操作系统要属基于BSDUnix的操作系统。Mi2g公司表示，导致Linux系统最容易遭受攻击的原因是该操作系统各项功能组件过于分散，因为它们分别来自不同的企业，拥有着不同的特性。分析结果还发现，遭到攻击的用户多为个人用户和小型企业用户。其被攻击比例为80％，而大中型企业的被攻击比例仅为8.5％。据Mi2g透露，他们的分析数据主要来自北美、欧洲和亚洲的银行和保险机构，同时还包括一些监控数据和来自黑客组织的内部数据。

　　2005年，另一份权威报告——《2005 North American Linux and Windows TCO Comparison Report, Part 2: Hardening Security Is Key to Reducing Risk and TCO》对Linux以及Windows的安全性进行了对比，他们对北美的550家企业安全状况进行调查并并得出了一些重要结论，下面给出部分与Linux相关具有参考意义的结论：

　　● 没有任何操作系统是被证明为hack-proof的，也就是说，被证明不能被攻破的，Linux也是可以被攻破的，因而需要防护；

　　● 人为的错误（包括不遵守安全规程，不采取必要的安全措施，实行常规的安全检查，进行及时的打补丁工作等等）是导致系统不安全的重要原因；

　　● 针对Linux的攻击呈现日趋上升的态势。

　　该报告也给出了针对性的提示：

　　● 加强员工的培训，包括安全意识、安全工具的使用、安全规程的培训等等；

　　● 及时给系统打补丁，防范攻击以及病毒入侵；

　　● 实行常规的安全审计以及系统风险评估。

　　从上述给出的几份权威的安全分析报告，我们不难看出，“世上没有不透风的墙”，Linux操作系统作为一种软件，与Windows操作系统一样，必然存在漏洞。而随着它在全世界范围内的普及使用，目前针对其的攻击越来越多，安全事件也呈上升趋势，形势非常严峻。要想在技术日益发展、纷繁芜杂的网络环境中，保证Linux系统的安全性，需要切实做好事前预防以及事后恢复的工作，这很大程度上取决于人的因素。人是决定系统安全的第一要素。