被入侵系统的恢复指南（9）

1.安装干净的操作系统版本

　　一定要记住如果主机被侵入，系统中的任何东西都可能被攻击者修改过了，包括：内核、二进制可执行文件、数据文件、正在运行的进程以及内存。通常，需要从发布介质上重装操作系统，然后在重新连接到网络上之前，安装所有的安全补丁，只有这样才会使系统不受后门和攻击者的影响。只是找出并修补被攻击者利用的安全缺陷是不够的。

　　我们建议你使用干净的备份程序备份整个系统。然后重装系统。

2.取消不必要的服务

　　只配置系统要提供的服务，取消那些没有必要的服务。检查并确信其配置文件没有脆弱性以及该服务是否可靠。通常，最保守的策略是取消所有的服务，只启动你需要的服务。

3.安装供应商提供的所有补丁

　　我们强烈建议你安装了所有的安全补丁，要使你的系统能够抵御外来攻击，不被再次侵入，这是最重要的一步。

　　你应该关注所有针对自己系统的升级和补丁信息。

4.查阅CERT的安全建议、安全总结和供应商的安全提示

　　我们鼓励你查阅CERT以前的安全建议和总结，以及供应商的安全提示，一定要安装所有的安全补丁。

　　CERT安全建议：

http://www.cert.org/advisories/

　　CERT安全总结：

http://www.cert.org/advisories/

　　供应商安全提示：

ftp://ftp.cert.org/pub/cert_bulletins/

5.谨慎使用备份数据

　　在从备份中恢复数据时，要确信备份主机没有被侵入。一定要记住，恢复过程可能会重新带来安全缺陷，被入侵者利用。如果你只是恢复用户的home目录以及数据文件，请记住文件中可能藏有特洛伊木马程序。你还要注意用户起始目录下的.rhost文件。