前言

網絡系統安全度取決於管理者素質與措施力度。SCO UNIX 成熟穩定，廣泛用於金融/保險/郵電，內建豐富網絡功能，但若配置不當仍存漏洞。除部署防火牆等設備，作業系統層面合理規劃同樣關鍵。以下以 OpenServer 5.0.5 為例，提煉核心配置要點。

核心配置清單

1. 合理設定系統安全等級

四級可選：Low、Traditional（預設）、Improved（達美軍 C2 標準）、High（超 C2）。按系統重要性與用戶數選擇。路徑：scoadmin → system → security → security profile manager。

2. 合理建立用戶與群組

• 不可濫用預設 group，按需建立群組並確定成員。
• 用戶主目錄下新建檔案權限由 .profile 中 umask 決定。Traditional 級 umask=022：檔案 rw-r--r--、目錄 rwxr-xr-x。
• 限制登入失敗次數：scoadmin → Account Manager → 選帳號 → User → Login Controls → 添加失敗次數。

3. 指定主控台與終端登入限制

• 主控台鎖定 root：編輯 /etc/default/login 加入 CONSOLE=/dev/tty01，root 僅能在第一虛擬終端登入，防遠程暴力破解。修改即時生效無需重啟。
• Modem/串口終端：設定失敗次數超限鎖定終端。scoadmin → System → Terminal Manager → Examine → 選終端 → 設失敗次數。解鎖 ttyunlock <終端號>，手動鎖 ttylock <終端號>。

4. 檔案與目錄權限精細化

避免為圖方便設 777/666。嚴格分配應用程式、數據、目錄權限；發現不當立即 chmod 修正。

5. 口令策略強化

• ≥8 字元，大小寫+數字+符號無規則組合，禁用字典詞。
• 定期輪換。
• 編輯 /etc/default/passwd 強制：最小長度、修改間隔最短/最長天數。
• 保護 /etc/passwd、/etc/shadow 僅管理員可讀。

6. 嚴控等價主機配置

嚴格管理三檔案：

• /etc/hosts.equiv：允許 rsh/rcp 等遠程命令的主機名。
• ~/.rhosts：用戶目錄下指定遠程用戶，免密執行 rcp/rlogin/rsh。
• ~/.netrc：ftp/rexec 自動登入資訊。

原則：最小授權，.rhosts 禁用「+」（允許任意主機免密）。

7. 精簡 /etc/inetd.conf 服務

inetd 監聽多數網絡連接並啟動對應服務。安全角度：關閉不必要服務（行首加 #），然後：

# ps -ef | grep inetd | grep -v grep
# kill -HUP 

8. 規範 /etc/ftpusers

列出允許 FTP 傳輸的用戶。高安全系統：將 root、UUCP 列入禁止清單。

9. 合理規劃網段與路由

• 子網掩碼隔離禁止訪問 IP。
• 嚴禁預設路由（default route）。
• 建議每子網/網段獨立路由，防其他機器繞道訪問。

10. 禁用 UUCP

雖提供簡單撥號聯網，但為駭客提供入侵途徑，必須避免使用。

11. 刪除無用軟體包與協議

• scoadmin → Soft Manager 移除 X Window。
• 編輯 /etc/services 刪除 UUCP、SNMP、POP/POP2/POP3 等無用協議。

12. 強化 .profile 防中斷進入 Shell

文件首部加入：

trap '' 0 1 2 3 5 15

屏蔽鍵盤中斷信號，防一般用戶中斷進入 $ 提示符狀態。

13. 建立匿名 FTP

對外發布資訊又顧數據安全：建匿名 FTP，允許無密訪問指定目錄，無法切換目錄、無法獲取系統其他資訊。注意：勿複製 /etc/passwd、/etc/group 到匿名 FTP 的 etc 目錄，否則存潛在威脅。

14. 應用用戶與維護用戶分離

金融系統用戶僅跑應用程式，無需 Shell。維護時用 root su 切換不便。解法：建立相同 UID/主目錄的雙帳號（如 work/worksh），work 的 .profile 判斷登入用戶名：

set -- `who am i`
case $1 in
work) exec workmain; exit;;
worksh) break;;
esac

work 登入直進應用，worksh 登入進 Shell 維護。

總結

SCO UNIX 安全配置是系統級纵深防禦的基石：等級分級、最小權限、服務精簡、審計追蹤、物理與邏輯雙重鎖定。管理者應定期審核、持續加固，將風險壓縮至最低。