旋转木马の阶梯

作为系统管理员，我们首先要担心的问题是一个系统的安全性和稳定性，其次才是它的效能和效率。
一个系统是否安全，一般来说取决于以下几点：

系统对外接口的多寡，及其安全性
系统内部向外的接触能力
进入系统内部后，接触系统信息的可能性

对于必须开放访问的系统来说，成熟而可靠的系统保护措施是十分重要的。而对作为各种程序运行平台的操作系统而言，系统中的各种列表，例如目录、文件、进程等，都可以成为怀有恶意的用户甚至是骇客的窥探的窗口。例如一个已经侵入系统获得普通用户权限的骇客，可以通过观察系统中的各种服务器进程和相关的配置文件，探测系统的保护机制和各种漏洞。譬如一个普通用户，如果具有执行 Apache 的权限，那他就很有可能可以通过 Apache 的编译参数、版本查找服务器的漏洞。一个很重要的原则是：把服务器上的所有用户都看成是怀有恶意的使用者，所以系统必须限制普通使用者的权限。这是一个无关道德的问题，而是一个技术问题。
对于 Windows 来说，系统的权限控制可以通过 Active Directory 来实现。但这只是对文件访问的控制，而并没有涉及系统的进程、网络接口。当然，复杂的 AD 规则当然包括对网络服务的访问，可是这只是限制的系统的接口部分，并没有从根本上解决上述问题。Linux 本身也并没有复杂的系统安全机制，一如传统的 Unix 一样，Linux 是通过普通的文件权限来保护系统，而这并不足够。
为了解决上述问题，Linux 内核有几个相关的 patch，包括由 NSA 开发的 SELinux、Brad Spengler 开发的 GRSecurity 和 RSBAC Team 开发的 RSBAC。由于效能和简便性方面的原因，这里选择使用 GRSecurity。相关的比较可以看这里、这里、这里和这里。
GRSecurity (grsec) 内核的安装和配置
在 kernel 网站和 grsecurity 网站分别下载内核源代码和对应版本的 grsec patch。这里以目前的最新版，kernel 2.6.17.11 以及 grsec-2.1.9为例。
解开 linux-2.6.17.11.tar.bz2 压缩包之后，就可以进行 patch 了。以下是关键命令：

然后找到你的原来的内核配置文件，并配置之。

在 make oldconfig 的时候，请根据你的需要回答Y/N。后面将会继续 make menuconfig。

这里要选择 Security Level。可以根据你的需求选择 Low/Medium/High/Custom。不过一般来说，我在这里是选择 Medium 的。其它选项可以根据需求配置。下面是配置 [...]