solaris 9 .0基本安全设置
Solaris 9的安全加固，说难不难，说简单也不简单。很多人拿到一台新系统，装完就扔那儿了，结果漏洞百出。其实只要按着下面这些步骤走一遍，系统安全性就能上一个台阶。这里整理了一套实操流程，从安装到内核调整，再到工具部署，基本覆盖了主要的安全面。 1. 选择合适的安装 这一步看似简单，但很多人却走错
Solaris 9的安全加固，说难不难，说简单也不简单。很多人拿到一台新系统，装完就扔那儿了，结果漏洞百出。其实只要按着下面这些步骤走一遍，系统安全性就能上一个台阶。这里整理了一套实操流程，从安装到内核调整，再到工具部署，基本覆盖了主要的安全面。
1. 选择合适的安装
这一步看似简单，但很多人却走错了。原则只有一个：只装你真正需要的软件包。多一个包就多一个攻击面，不必要的组件完全没必要安装。比如本例基于Solaris 9，那么在定制安装时就尽量精简。
2. 安装系统补丁
系统装好后第一件事，就是去 sunsolve.sun.com 下载最新补丁。把 9_Recommended.zip 解压后，执行 ./install_cluster 即可完成补丁安装。这一步没什么可偷懒的，补丁就是系统安全的基础。
3. 最小化启动服务
这是很多管理员容易忽略的一步。系统默认会启动一堆你用不上的服务，这些服务就是潜在的安全风险。需要通过调整 /etc/rc*.d 目录下的启动脚本来关闭不必要的服务。基本思路是：把不需要的服务对应的脚本名前加一个下划线，比如 mv S47pppd _S47pppd，这样系统启动时就不会运行这个脚本了。
为了方便查阅，这里把Solaris 9的主要启动脚本及其“留”或“禁”的理由整理了一下，按照 /etc/rc2.d 和 /etc/rc3.d 两条线来走。
/etc/rc2.d 下的服务
- S01MOUNTFSYS：挂载本地文件系统，绝对不能禁用。
- S05RMTMPFILES：清理临时文件，需要启动。
- S20sysetup：系统设置，需要启动。
- S21perf：全部被注释掉了(...)，不需要动。
- S30sysid.net：网络设置，需要启动。
- S40llc2：LLC2协议支持，需要启动。
- S42ncakmod：网络缓存加速内核模块，需要启动。
- S47pppd：ppp支持。一般不需要，执行
mv S47pppd _S47pppd禁用。 - S69inet：TCP/IP配置，需要启动。
- S70sckm：Sun Fire 15000的密钥管理守护进程，一般不需要，禁用。
- S70uucp：Unix对Unix复制，不需要，禁用。
- S71ldap.client：启动LDAP客户端，不需要，禁用。
- S71rpc：启动rpcbind服务（RPC Portmap服务）。如果需要CDE，这个进程是必需的，需要启动。
- S71sysid.sys：配置系统参数，需要启动。
- S72autoinstall：自动安装脚本，不需要，禁用。
- S72directory：目录服务，不需要，禁用。
- S72inetsvc：启动inet server，包含named/nis。如果不需要命名和NIS服务，可以禁用。
- S72slpd：打印服务，不需要，禁用。
- S73cachefs.daemon：NFS缓存服务，不需要，禁用。
- S73mpsadm：集群服务管理进程？不需要，禁用。
- S73nfs.client：NFS客户端，不需要，禁用。
- S74autofs：自动挂载/卸载文件系统。没有使用NFS时，这个进程反而会对管理造成负面影响，不需要，禁用。
- S74syslog：系统日志服务，必须启动。
- S74xntpd：网络时间同步服务，不需要，禁用。
- S75cron：自动执行脚本服务，必须启动。
- S75flashprom：Flash更新脚本，需要启动。
- S75sa vecore：核心内存转储脚本，需要启动。
- S76nscd：DNS名字缓存服务，不需要，禁用。
- S77sf880dr：针对V880的一个脚本，不需要，禁用。
- S80lp：打印服务，不需要，禁用。
- S80spc：还是打印服务，不需要，禁用。
- S85power：电源管理，需要启动。
- S88sendmail：邮件服务，不需要，禁用。
- S88utmpd：监控utmp文件，与账号信息控制有关，需要启动。
- S89PRESERVE：虽然不知所云，但留着吧，需要启动。
- S90loc.ja.cssd：看了脚本也不知道干什么，还是需要启动吧。
- S90wbem：WBEM管理界面服务器，不需要，禁用。
- S91afbinit / S91gfbinit / S91ifbinit / S91jfbinit：针对Elite3D显卡的初始化脚本。没有显卡的机器就不需要，禁用。
- S91zuluinit：针对Zulu卡的初始化脚本，不需要，禁用。
- S93cacheos.finish：cache文件系统，不需要，禁用。
- S94Wnn6：日文输入系统，不需要，禁用。
- S94ncalogd：NCA进程日志，不需要，禁用。
- S95IIim：输入法守护进程，Solaris国际化支持的一部分，需要启动。
- S95svm.sync：devfs同步进程，监控系统硬件，需要启动。
- S98efcode：嵌入式FCode解释器守护进程，虽然不知道具体作用，但只好让它运行着。
- S99atsv：可能是支持日文的，不需要，禁用。
- S99audit：审计进程，需要启动。
- S99dtlogin：启动CDE登录进程，需要启动。
- S99rcapd：跟资源回收有关的，需要启动。
/etc/rc3.d 下的服务
- S13kdc.master / S14kdc：KDC服务，不需要，禁用。
- S15nfs.server：NFS服务，不需要，禁用。
- S16boot.server：远程启动服务，不需要，禁用。
- S34dhcp：DHCP服务，不需要，禁用。
- S50apache：HTTP服务，不需要，禁用。
- S50san_driverchk：SAN驱动检查？机器上没装，不需要，禁用。
- S76snmpdx：SNMP服务，不需要，禁用。
- S77dmi：SNMP的子服务，不需要，禁用。
- S80mipagent：启动Mobile IP，不需要，禁用。
- S81volmgt：软盘光驱的卷管理，需要启动。
- S84appserv：Sun ONE Server的组件，不需要，禁用。
- S89sshd：SSH服务，需要启动。
- S90samba：需要挂载Windows文件系统才需要，不需要，禁用。
- S86directorysnmp：与Sun Directory目录服务有关，不需要，禁用。
- S99JESsplash：不知道干什么，不需要，禁用。
另外，与这些服务相关的配置文件也可以一并清理，让系统更加简洁，便于审计。
4. 关闭inetd服务
现在SSH已经非常普及了，完全可以用SSH替代Telnet和FTP，实现更安全的远程访问。
- 完全关闭方案：如果已经把SSH作为启动服务一直运行，那么完全可以彻底关闭 inetd 服务。这样系统中的绝大多数网络服务入口就被堵住了。
- 必须运行inetd时：如果有些老服务必须依赖 inetd，那就需要精简化配置。在
/etc/inetd.conf里只保留真正需要的表项，然后对保留下来的表项使用 tcp wrappers（通过tcpd进程），最后别忘了用inetd -t参数记录扩展的日志信息。
5. 调整内核参数
内核参数是系统安全的重要防线，合理的设置能有效抵御许多常见攻击。
5.1 减少ARP过期时间
缩短ARP缓存的刷新间隔，可以减少ARP欺骗攻击的窗口时间。执行以下命令：
ndd -set /dev/arp arp_cleanup_interval 60000
# ndd -set /dev/ip ip_ire_flush_interval 60000 (Solaris 9 已经没有这个参数)5.2 关闭IP转发
多宿主主机如果不承担路由功能，一定要关闭IP转发。
- 关闭IP转发：
ndd -set /dev/ip ip_forwarding 0 - 严格限定多宿主主机：如果是多宿主主机，可以加上更严格的限定防止IP欺骗攻击：
ndd -set /dev/ip ip_strict_dst_multihoming 1 - 关闭转发广播包：为了防止被用来实施Smurf攻击，需要关闭转发广播特性：
ndd -set /dev/ip ip_forward_directed_broadcasts 0
5.3 关闭转发源路由包
源路由包可以被攻击者用来绕过网络路径限制，必须关闭。
ndd -set /dev/ip ip_forward_src_routed 05.4 禁止响应ICMP广播
这几项都是为了防止系统被用作网络放大攻击的跳板。
- 禁止响应Echo广播：
ndd -set /dev/ip ip_respond_to_echo_broadcast 0 - 禁止响应时间戳广播：
ndd -set /dev/ip ip_respond_to_timestamp_broadcast 0 - 禁止响应地址掩码广播：
ndd -set /dev/ip ip_respond_to_address_mask_broadcast 0
5.5 处理重定向错误
恶意路由器可以发送虚假的重定向报文来劫持流量。
- 禁止接受重定向错误：
ndd -set /dev/ip ip_ignore_redirect 1 - 禁止发送重定向错误报文：
ndd -set /dev/ip ip_send_redirects 0 - 禁止时间戳响应：
ndd -set /dev/ip ip_respond_to_timestamp 0
5.6 防御SYN Flood攻击
将TCP连接请求队列的默认值从1024提高到4096，可以降低半开连接攻击的影响。
ndd -set /dev/tcp tcp_conn_req_max_q0 40965.7 防御连接耗尽攻击
将完全建立的连接队列参数从默认的128增大到1024，可以预防连接耗尽攻击。
ndd -set /dev/tcp tcp_conn_req_max_q 10245.8 防止IP欺骗
Solaris系统对TCP协议初始序列号（ISN）的生成有三种方式：0（可预测）、1（增强随机生成）、2（RFC 1948方式）。默认是方式1。为了提高安全性，建议修改 /etc/default/inetinit 文件，将 TCP_STRONG_ISS=1 改为 TCP_STRONG_ISS=2，重启后生效。这样生成的ISN更难被预测，大大增加了IP欺骗的难度。
5.9 增加私有端口
一般来说，1-1024端口被称为私有端口，只允许根权限的进程连接。但有些服务（如NFS的端口2049）运行在更高的端口上。可以通过以下命令灵活管理私有端口范围。
- 自定义最小非私有端口：
ndd -set /dev/tcp tcp_smallest_nonpriv_port 2050，这样0-2049都被定义为私有端口。 - 查看已定义的扩展私有端口：
ndd /dev/tcp tcp_extra_priv_ports - 单独增加一个私有端口：
ndd -set /dev/tcp tcp_extra_priv_ports_add 6112 - 删除私有端口定义：
ndd -set /dev/tcp tcp_extra_priv_ports_del 6112
不过这里需要特别提醒：不要随意定义私有端口。改变最小非私有端口这个参数经常会引发问题，建议先仔细分析需求，再用扩展私有端口的方式单独增加。举个例子，某系统的执行结果显示了三个私有端口：2049、4045、9010。
5.10 其他内核参数调整
- 启用堆栈保护：在
/etc/system文件中添加以下两行，可以有效防止缓冲区溢出攻击：set noexec_user_stack = 1和set noexec_user_stack_log = 1。 - 禁止核心转储：执行
coreadm -d process，避免核心内存信息泄露。 - 设置进程限制：根据系统资源情况合理设置。
6. 增强日志记录
日志是事后审计和入侵检测的重要依据。务必调整 syslog.conf，捕获 auth.info 和 daemon.notice 消息。创建 /var/adm/loginlog 文件以记录登录信息。还可以考虑启用系统审计（sar）、进程审计以及内核级别的BSM审计。
7. 保护文件系统
挂载文件系统时，对于不需要执行程序或写入的目录，应挂载为 nosuid 或 ro（只读）模式。如果Solaris版本在8及以上，可以在根文件系统上设置 logging 选项。可移动介质设备也要注意：如果可能，关闭 vold 服务，并确保 rmmount.conf 设置了 nosuid 选项。
8. 设置警告信息
通过修改 /etc/motd 和 /etc/issue 文件，可以设置登录前的警告信息，告知用户系统受法律保护，非授权访问将被记录。这些信息还能在 /etc/default/{telnetd,ftpd}、EEPROM以及GUI登录界面中配置。
9. 加强系统的访问控制
访问控制是安全防御的最后一道闸门。
- 限制root登录：在
/etc/default/login中设置CONSOLE=/dev/console，同时在sshd_config中设置PermitRootLogin no，禁止root通过SSH登录。 - 禁用不用的账号：对不需要登录的用户账号，在
/etc/passwd文件中将shell改为/bin/false或/dev/null。 - 创建 /etc/ftpusers：只有该文件中指定的用户才能使用ftp服务。
- 禁止 .rhosts 支持：删除系统中的
.rhosts文件；使用SSH时确保sshd_config中IgnoreRhosts yes；检查/etc/pam_conf，移除包含rhosts_auth的条目。 - 限制对cron和at的访问：创建
cron.allow和at.allow文件，只允许列出的用户提交或修改定时任务。 - 设置EEPROM安全模式：将eeprom设置为
security-mode=command，这样在系统启动前会要求输入密码，防止攻击者通过物理方式从光盘启动绕过系统安全。 - 限制XDMCP和屏幕保护：如果运行了X Windows，需要在
/etc/dt/config/Xaccess中禁用远程XDMCP访问。还可以在/etc/dt/config/*/sys.resources中为用户设置默认的带锁屏的屏幕保护超时时间。
10. 安装安全工具
最后，安装一些安全工具来巩固整个防御体系。
- 基本必备：SSH（已安装）、TCP Wrappers（用于inetd下的服务保护）、NTP（保持时间同步，利于日志审计）、fix-modes（修复系统文件和目录权限）。
- 增强工具：Tripwire或AIDE（文件完整性检查）、Logsentry或Swatch（日志监控和告警）、基于主机的防火墙或Portsentry（端口扫描检测工具）。
按照这个流程一步步走下来，Solaris 9系统基本上就有了一个比较稳固的安全基础。当然，安全是动态的，还需要根据实际运营环境不断调整和加固。但这套“从系统安装到内核调优，再到工具辅助”的打法，是任何时候都过时的基本功。
WPS Office是一款面向macOS用户的综合办公套件，将文字处理、电子表格、演示文稿、PDF工具、模板与云协作整合在同一应用中。它兼容常见Microsoft Office格式，支持Intel及Apple芯片Mac，基础功能可免费使用，
Shapr3D是一款面向工业设计、机械工程、建筑概念和三维打印工作流的CAD软件。Mac版采用Parasolid建模内核，支持草图约束、实体建模、工程图、可视化渲染及常见CAD格式交换，并可通过账户在多台设备之间同步项目。
REAPER是Cockos开发的数字音频工作站，提供多轨音频与MIDI录制、剪辑、处理、混音和母带制作工具。Mac版兼容Intel与Apple芯片，支持AU、VST、VST3、CLAP等插件格式，并提供高度可定制的工作流程。
Ableton Live 是面向音乐制作人与现场表演者的数字音频工作站，提供编曲视图、独具特色的现场视图、音频录制、MIDI创作、实时变速、乐器及效果器。Mac版原生支持Apple芯片，并可连接音频接口、MIDI控制器和第三方插件。
Adobe After Effects 是面向动态图形、影视特效与视频合成的专业创作软件。它提供关键帧动画、遮罩抠像、运动跟踪、三维空间、文字动画和表达式等工具，并可与 Premiere Pro、Photoshop、Illustrator
Adobe Audition 是面向播客、影视后期、音乐制作及内容创作者的专业音频工作站，提供波形精修、多轨录制与混音、频谱编辑、降噪修复、响度匹配和效果处理工具，并可与 Adobe Premiere 协同完成视频声音制作。
Adobe Bridge 是面向摄影师、设计师及内容团队的免费数字资产管理工具，可集中预览照片、视频和 Adobe 项目文件，并利用评级、标签、关键词、元数据、筛选与收藏集完成分类检索。它还支持批量重命名、格式导出、相机导入及 Camera
Adobe Illustrator 是 Adobe 推出的专业矢量图形设计软件，适合在 Mac 上制作标志、图标、插画、包装、信息图及印刷版面。它以路径和锚点构建可无损缩放的图形，并提供钢笔、形状、文字、图像描摹、渐变、画板及生成式功能。
Adobe InDesign 是面向印刷品与数字出版物的专业版面设计软件，可在 Mac 上制作书籍、杂志、宣传册、海报、报告及交互式文档。它提供精细的文字样式、网格、母版、长文档管理和印前输出能力。
Adobe Lightroom Classic 是面向桌面摄影工作流的照片管理与后期处理软件，可将原始照片保存在本地硬盘，通过目录、关键词、评分和收藏夹高效整理图库，并提供 RAW 冲印、蒙版、镜头校正、批量同步及多格式导出等功能。
Adobe Media Encoder 是 Adobe 推出的专业音视频编码与转码工具，可通过队列、预设和监视文件夹批量完成格式转换、代理文件创建及多平台成片输出，并与 Premiere Pro、After Effects 等软件紧密协作。
Adobe Photoshop 是面向摄影师、设计师和内容创作者的专业图像处理软件，提供图层、蒙版、选区、修复、调色、文字排版、智能对象及生成式编辑等能力。Mac 版支持 Intel 与 Apple Silicon 处理器。
Adobe Photoshop 是面向摄影师、设计师和内容创作者的专业图像处理工具，可在 Windows 上完成照片修饰、选区抠图、图层合成、文字排版、绘画及生成式编辑。软件采用订阅授权，由 Creative Cloud 管理安装、更新与许
Adobe InDesign 是面向印刷与数字出版的专业页面排版工具，可制作书籍、杂志、宣传册、海报、交互式 PDF 和电子书。它提供精细的文字样式、多页面管理、印前检查及多格式输出能力，并能与 Photoshop、Illustrator
Adobe Illustrator 是用于绘制矢量图形、插画、图标、徽标和版式的专业设计工具。它以路径和锚点为核心，作品放大后仍能保持清晰，并提供画板、文字、渐变、图像描摹及精确变换等功能，适合品牌视觉、印刷物料、数字界面和商业插画创作。
Adobe Bridge 是 Adobe 推出的创意资产管理工具，可集中预览、分类和查找照片、视频、PDF及多种设计文件，并支持元数据、关键词、评级、批量重命名和格式导出。它可与 Photoshop、Illustrator 等应用衔接，
Affinity Photo 是一款面向摄影师、修图师和视觉设计人员的桌面图像编辑工具，提供 RAW 显影、多图层合成、蒙版、实时滤镜、批处理和色彩管理等功能。原独立产品已停止销售，其照片编辑能力已延续至免费的新 Affinity 应用；
Adobe Lightroom Classic 是面向 Windows 桌面摄影工作流的照片管理与无损编辑工具，可通过目录集中整理大型图库，并完成 RAW 显影、局部蒙版、批量调整、打印和多格式导出。它强调本地文件管理与精细控制，
Figma 是面向产品设计与开发团队的云端协作平台，可在 Windows 桌面客户端中完成界面绘制、组件管理、交互原型、评论评审和开发交付。文件保存在云端，多名成员能够同步编辑并共享设计系统；官方同时提供免费 Starter 方案及按席位计
Affinity Designer 是面向矢量图形、数字插画和界面设计的专业创作工具，可在矢量、像素与导出工作区之间快速切换。它提供曲线编辑、形状构建、画板、排版、图层和专业色彩管理，并支持常见设计文件的导入及多种印刷、网页格式输出。
Capture One Pro 是面向摄影师和影像团队的专业桌面照片处理工具，提供相机定制色彩配置、RAW转换、图层与蒙版、联机拍摄、目录及会话管理等功能。它适合棚拍、人像、商业产品、婚礼和风光摄影，
Adobe Acrobat Pro 是面向专业 PDF 工作的综合解决方案，可在 Windows 中创建、编辑、转换、比较、整理和保护文档，并支持表单、电子签名、扫描件文字识别及敏感信息永久遮盖。订阅还包含网页、移动服务和云端协作能力，
Adobe After Effects 是面向动态图形、动画与影视视觉特效制作的专业工具，可完成关键帧动画、图层合成、遮罩跟踪、抠像、文字动画和二维三维元素整合。Windows 版通过 Adobe Creative Cloud 安装及更新，
DaVinci Resolve是Blackmagic Design推出的一体化影视后期工具，将素材管理、非线性剪辑、专业调色、Fusion视觉特效、Fairlight音频处理和成片交付整合在统一工程中。免费版已覆盖多数个人创作需求，