Руководство системного администратора • третье издание { h h y с п п т п р



Pdf просмотр
страница63/82
Дата12.11.2016
Размер7.94 Mb.
Просмотров12838
Скачиваний0
ТипРуководство
1   ...   59   60   61   62   63   64   65   66   ...   82
685
разрешает пользователю изменять конфигурацию маршрутизатора. Поскольку данные о конфигурации устройства необходимы для глубокого анализа сетевых проблем, мы предполагаем, что в будущем большинство программ будет располагать средствами изменения конфигурации сетевых компонентов
20.10. Рекомендуемая литература
• Cisco Online. Internetworking Technology Overview: SNMP. http://www.cis- co.com/univercd/cc/td/doc/cisintwk/ito_doc/snmp.htin
• Hunt. Craig, and Gigi Estabrook. TCP/IP Network Administration, Second
Edition. Sebastopol: O'Reilly & Associates. 1998.
• StaLlings, William. Snrnp, Snmpv2, Snmpv3, and Rmon / and 2, Third Edition.
Reading, MA: Addison-Wesley. 1999. Также могут оказаться полезными перечисленные ниже документы RFC. Вместо названий мы приводим краткое описание их содержимого, так как названия представляют собой не вполне понятный набор модных словечек и жаргона S N M P .
• R F C 1155 — характеристики пространства данных S N M P (типы данных и т.п.).
• RFC1156 — определения базы МВ (описание идентификаторов OID).
• R F C I 1 5 7 - протокол S N M P .
• RFC1213 — определения базы M1B-II (описание идентификаторов O I D ) .
• R F C 1901 - R F C 1910 - протокол SNMPv2.
• RFC2011 — база M I B для протокола IP в S N M P v 2 .
• RFC2012 — база MIB для протокола ГСР в SNMF42.
• RFC2013 — база Ml В для протокола U D P в SNMPv2.
• RFC202I — база R M O N версии 2 с использованием SMIv2.
• RFC2570 — введение в протокол SNMPv3.
6 8 6
Чость II Робота в сетях

Безопасность
Р аз работ чик и операционной системы не придавали особого значения вопросам зашиты, и поэт ой причинен и одну из- систем нельзя сделать по- настоящему безопасной. Напр от я жени и всей истории- систем их регулярно взламывают, портят, увечат, атак жене законно присваивают им од и фи ц и р уют данные. С появлением сети начался новый этап этой" холодной войны. Кое- что для повышения надежности- системы, разумеется, сделать можно. Но полная нирвана безопасности все жене достижима, ибо в модели есть несколько фундаментальных изъянов, которые невозможно устранить. ОС ориентирована прежде всего на удобство в применении, что отнюдь не предполагаете ст ест вен нос т ь if простоту ее зашиты. Эту систему разрабатывали исследователи для исследователей, икон цеп ц и яз а ключа е т с я во беспечен и иуд об ног ома ни пули ров ан и яда т ш ми все те вой многопользовательской среде. Стратегия защиты в U N I X , пос у тип ред полагает всего два статуса пользователя пользователь, не обладающий привилегиями, и суп с р пользователь Такая возможность, как выполнение программ с установленным битом смены идентификатора пользователя, обеспечивает привилегированный доступ ко всем вычислительным ресурсам системы При этом из- зане значительных огрехов в защите может быть поставлено поду грозу нормальное функционирование системы как таковой. Большинство административных ф \ н к ц и й реализовано вне ядра, поэтом> кн им можно безо со бог отру да получить доступ с целью просмотра ив несения изменении. Это открывает широкое поле деятельности для хакеров. Первое издание з той книги вышло в свет всего несколько месяцев спустя после появления все т из нам е нит ого" червя г. Это событие, которое застало врасплох очень многие орган из а ш ш ( в том числе и наш

Глово 21 Безопосность
687
университет, получило широкую огласку. Тогда казалось, что Роберт
Моррис-младший (Robert Morris. Jr.), автор программы-"червя", навлек страшнейшее бедствие на все сообщество Internet. На самом деле "червь" наиес лишь незначительный ущерб, зато бдительность пользователей глобальной сети возросла на порядок. Все мы просто еще раз вспомнили о народной мудрости чем выше заборы, тем добрее соседи. В результате появился целый ряд прекрасиых инструментальных средств для системных администраторов (а также была основана организация, предназначенная для борьбы с подобным вредительством. В системе защиты UNIX существует множество всем известных изъянов, которые никогда не будут устранены, и просчетов, которые одни производители устранили, а другие — нет. Помимо этого, многие организации на одну-две версии программного обеспечения отстают либо по причине сложности локализации, либо потому, что они не заключили с поставщиком договор о сопровождении системы. Если производитель заткнул маленькую дырочку в системе защиты, это не означает, что окно для взлома исчезнет наследующий же день. Раньше считалось, что по мере выявления и устранения брешей безопасность операционной системы UNIX будет непрерывно повышаться. Суровая реальность оказалась иной. Сложность системного программного обеспечения стремительно растет, хакерская деятельность все больше приобретает черты организованной преступности, компьютеры оказываются все более тесно связанными посредством сети Internet. Война переходит в новые измерения, и, похоже, победителей не будет. Запомните такую формулу
Безопасность = —
1,072 х Удобство
Чем безопаснее система, тем труднее в ней работать пользователям.
21.1. Семь правил защиты Эффективная система безопасности должна базироваться на здравом смысле. Она во многом напоминает борьбу с грызунами в доме. Вот семь правил, которые при этом следует соблюдать. Не оставляйте на ночь на кухонном столе то. что может привлечь грызунов. Лучшие лакомства для них — сыри масло. Заткните все дыры, через которые грызуны обычно попадают в дом. Если они не залезут внутрь, тоне смогут вас побеспокоить. Позаботьтесь о том. чтобы в домене было мест, где грызуны могли бы вывести потомство. Мыши любят устраивать гнезда в кучах тряпья. Расставьте вдоль стен, в тех местах, где вы хотя бы раз видели мышь, мышеловки. Каждый день проверяйте мышеловки, меняйте приманки и выбрасывайте дохлых грызунов. В заполненные мышеловки грызуны уже не попадают, в частности, из-за плохого запаха. Избегайте ядовитых приманок. Отравленные грызуны могут навсегда остаться в стенах дома. Кроме того, есть риск, что отравится ваша собака. Лучше всего пользоваться традиционными мышеловками Заведите кота
6 8 8
Чость II. Робота в сетях
Этими же семью правилами (с незначительными корректировками) можно с успехом руководствоваться при организации зашиты систем. Вот как они звучат применительно к UNIX. Не оставляйте без присмотра файлы, которые могут представлять интерес для хакеров и не в меру любопытных сослуживцев. Коммерческие тайны, персональные досье, бухгалтерские ведомости, результаты выборов и т.д. — за всем этим нужен глаз да глаз. Гораздо надежнее зашифровать данные, чем просто пытаться предотвратить к ним несанкционированный доступ. В организации должен существовать порядок работы с секретной информацией. Некоторые рекомендации поэтому поводу даны в главе 27 и документе RFC2196. Затыкайте "дырки, через которые хакеры могут получить доступ к системе. Читайте бюллетени фирм-производителей и списки рассылки по вопросам защиты, чтобы своевременно узнавать о выходе "заплат. Отключите ненужные сервисы. Сделайте так. чтобы в системе не было мест, где хакеры могли бы закрепиться. Хакеры часто вламываются в одну систему, а затем используют ее как базу для операций по взлому других систем. Анонимные каталоги с возможностью записи, групповые учетные записи, учетные записи с плохо подобранными паролями — вот основные уязвимые места. Устанавливайте ловушки для обнаружения фактов или попыток вторжения. Такие средства, как tripwire, tcpd и crack (описаны в параграфе 21.7). помогут предупредить возможные проблемы. Следите за отчетами, которые генерируются этими программами. Незначительная проблема, проигнорированная в отчете, к моменту получения следующего отчета может перерасти в катастрофу. Учитесь защищать системы своими силами. Иначе вам не избавиться от различного рода высокооплачиваемых "консультантов" по вопросам безопасности, которые будут пугать вас и ваших руководителей леденящими душу рассказами о том, насколько беззащитны ваши системы. Такие специалисты обучены грамотно доказывать, почему вам нужно вложить "всего" 50000$ в обеспечение полной безопасности системы. К сожалению, после таких благодетелей внутри системы часто остаются дохлые мыши, из-за которых производительность работы пользователей падает до нуля. Так что защита системы должна базироваться на традиционных технологиях и здравом смысле. Постоянно следите затем, не появились ли отклонения от нормального хода работы системы. Обращайте внимание на все необычное, например на непонятные журнальные сообшения или изменение характера использования какой-либо учетной записи (резкое усиление активности, работа в необычное время, работа вовремя отпуска владельца учетной записи)
21.2, Слабые места в системе безопасности В последующих параграфах рассматриваются некоторые наиболее распространенные проблемы, связанные с безопасностью систем, и стандартные контрмеры, позволяющие избежать этих проблем. Но прежде чем
Гпово 21. Безопосность
6 8 9
погрузиться в детали, необходимо взглянуть на ситуацию в целом и определить основные источники неприятностей. Человеческий фактор. Пользователи (и администраторы) системы часто являются ее слабейшим звеном. Например, компания America Online печально прославилась тем. что ее многократно атаковали хакеры, притворявшиеся служащими компании. Они посылали письма потенциальным жертвам с просьбой выслать пароли для "системного теста" или "плановой проверки учетной записи. Наивные пользователи часто выполняли такие просьбы (некоторые до сих пор так делают. Есть масса разновидностей подобного шарлатанства. Одна из задач системного администратора состоит в обучении пользователей правилам техники безопасности. Многие пользователи, начиная работать в Internet, часто не подозревают, сколько там всякого жулья. Научите их выбирать хорошие пароли и хранить их. а главное — никогда не общаться с незнакомцами Не забудьте в своих наставлениях упомянуть об неэлек- тронных средствах коммуникации в умелых руках телефон тоже может оказаться опасным оружием. Ошибки в программах. За много лет в программном обеспечении UNIX включая сторонние программы, как коммерческие, таки бесплатные) было выявлено несметное число ошибок, связанных с безопасностью. Используя незаметные программистские просчеты или архитектурные зависимости, хакерам удавалось манипулировать системой по своему усмотрению. Что может сделать в этом случае администратор Немногое, по крайней мере до тех пор. пока ошибка не будет выявлена, а разработчик не исправит ее или не выпустит "заплату" Быть в курсе последних событии — святая обязанность администратора. Открытые двери. Многие компоненты программного обеспечения можно сконфигурировать в режиме полной или не очень полной безопасности. К сожалению, по умолчанию чаще всего принимается второй вариант. Хакеры вламываются в системы, иезуитски эксплуатируя функциональные возможности, с миссионерской щедростью предоставленные разработчиками в надежде сделать работу пользователей удобнее и гуманнее учетные записи без паролей, глобальный совместный доступ к жестким дисками т.д. и т.п. Одна из самых важных задач, связанных с обеспечением безопасности системы, — убедиться в том. что. заботясь о благополучии пользователей, вы не пригласили на вечеринку монстра в маскарадном костюме. Проще всего устранить проблемы последней категории, хотя их может быть очень много и не всегда очевидно, что именно следует проверять. Большая часть усилий, затраченных за несколько последних лет на разработку программных средств защиты, была связана с анализом причин, по которым система может непреднамеренно оказаться открытой для вторжений- Такие программы, как. например, COPS (описана в параграфе 21.7), помогают сделать процесс аудита быстрыми автоматизированным.
21.3. Проблемы защиты файла /etc/passwd В файле /etc/passwd (в некоторых системах также в файле /etc/shadow) содержатся сведения о том. кто может входить в систему и что он при этом имеет право в ней делать. Такой файл следует рассматривать как передовую
6 9 0
Чость II. Робота в сетях
линию зашиты системы от захватчиков. Его нужно вести с особой тщательностью. стараясь не допускать ошибок и не загромождать устаревшими данными.
Подробнее о файле /etc/passwd можно узнать в главе 6.
Во FreeBSD файл /etc/passwd генерируется на основании файтта /etc/mas- ler.passwd и не должен редактироваться напрямую. Тем не менее не помешает в одинаковой мере защищать оба файла. О файле /etc/master.passwd рассказывалось в параграфе 6.2. Проверка и выбор паролей Регулярно (желательно каждый день) проверяйте, всели учетные записи имеют пароль. В элементах файла /etc/passwd, содержащих описания псев- доттользователси наподобие daemon (такие псе водопользователи являются владельцами некоторых системных файлов, но они никогда не регистрируются в системе, в поле пароля должна стоять звездочка (*) Она не соответствует ни одному паролю и, таким образом, предотвратит использование учетной записи. Существует несколько специализированных программных пакетов, которые обеспечивают проверку файла /etc/passwd на предмет наличия проблем, связанных с безопасностью, хотя для поиска пустых паролей HI юл недостаточно и такой команды perl -F: -ane 'print if not 5F(1];' /ecc'passwd Сценарий, выполняющий эту проверку и направляющи» по электронной почте результаты администратору, можно запускать посредством демона сгоп Дополнительно обезопасьте себя с помощью сценария, который будет ежедневно сверять файл /etc/passwd сего версией за предыдущий день (это позволяет делать команда did) и сообщать о выявленных различиях. К тому же вы получите возможность проверять правомерность внесенных изменений. Доступ к файлами следует организовать так, чтобы их могли читать все пользователи, но право на запись имел только пользователь root. Если в системе присутствует файл /ctc/shadow. он должен быть недоступен пользователям Файл /etc/master.passwd во FreeBSD должен быть доступен лишь суперпользонателю. В UNIX пользователи могут задавать собственные пароли. Это, конечно, очень удобно, но влечет за собой массу проблем, связанных с безопасностью Выделяя пользователям регистрационные имена, обязательно давайте им указания о том. как правильно выбрать пароль. Следует предупредить пользователей о недопустимости задавать в качестве такового фамилии, инициалы, имен детей и супругов, а также слова, которые можно найти н словаре. Пароли, сконструированные на основе таких личных данных, как номера телефонов и адреса, тоже достаточно легко поддаются расшифровке. Рекомендуется выбирать пароль, состоящий не менее чем из восьми знаков, при этом допускается использование цифр, знаков препинания, а также прописных и строчных букв. Бессмысленные сочетания знаков, слогов, первые буквы слов легко запоминаемой фразы — вот самые лучшие пароли. При этом легко запоминаемая фраза не должна быть одной из широко Для ее выполнения требуется наличие интерпретатора Perl версии 5 или выше
Гпово 21. Безопосность
6 9 1
распространенных. Лучше придумать собственную. Совет по выбору фраз приводился в параграфе Э.З. Во многих системах значащими являются лишь первые 8 символов пароля. Остальные просто игнорируются. Этот вопрос рассматривался в параграфе 6.1. Пароли обычно меняются с помошью команды passwd. Существует множество ее эквивалентов, призванных заставить пользователей выбирать более удачные пароли. Мы рекомендуем применять для этой цели известный многим пакет npasswd, поддерживаемый Клайдом Хувером (Clyde Hoover) из университета штата Техас Пакет можно найти по адресу h Up ://www, utexas.edu/cc/unix/softwa п passwd Л- В Solans входит версия программы passwd. заставляющая пользователей придерживаться определенных правил, например не выбирать в качестве паролей свои регистрационные имена. Правила построения паролей задаются в файле /etc/default/passwd.
_ Модель аутентификации в Red Hat основана на подключаемых модулях аутентификации (Pluggable Authentication Modules. РАМ) В связи с этим команда passwd подчиняется набору правил имеющегося модуля, описанных в файле /etc/pam.d/passwd. Получить более подробную информацию о модулях РАМ можно по адресу http://parc-power.nei/mongan/Linux-PAM/index.htmI Теневые пороли Каждый элемент файла /etc/passwd состоит из семи полей второе поле содержит строку, которая представляет собой зашифрованный пароль пользователя. Для того чтобы могли работать такие команды, как Is и ей подобные, к файлу /etc/passwd должны иметь доступ для чтения все пользователи Таким образом, зашифрованная строка пароля доступна каждому пользователю системы. Злоумышленнику ничего не стонт представить в зашифрованном виде целый словарь или отдельные слова и провести сравнение с указанным полем во всех элементах файла /etc/passwd При совпадении сравниваемых объектов злоумышленник получает в свои руки пароль.
Подробнее об отгадывании паролей рассказывается в параграфе 21.7.
Насколько это опасно В е гг. существовал по крайней мере один способ очень быстрой расшифровки паролей, но рядовому хакеру приходилось довольствоваться библиотечной функцией crypt()"\ для того чтобы шифровать слова из словаря для их последующего сравнения. Нов е гг. быстродействующий" компьютер мог выполнять лишь порядка нескольких сотен операций шифрования в секунду. В I99S г. Джон Гилмор (John Gilmorej из организации Electronic Fromier Foundation и шифровальшпк Пол Кошер
(Paul Kocher) взломали 56-разрядны и ключ DES методом "Трубой силы" за В 1984 г. Эви Немет с помощью суперкомпьютера HEP нашла ключ к шифру Диффи-Хелл- мана, которым часто пользовались при работе по алгоритму DES (Data Encryption Stand- ard — стандарт шифрования данных. Считалось, что алгоритм DES математически надежен тем не менее при использовании ключей малой длины степень секретности значительно понижается.
" Не следует путать ее с командой crypt, в которой используется другой, менее безопасный алгоритм шифрования.
6 9 2
Чость И Работе в сетях

56 часов. Последние исследования показывают, что с помощью специализированного компьютера стоимостью 1 млн долларов можно взломать любой разрядный ключ DES засчитанные часы. Из этих далеко не обнадеживающих подсчетов вытекает настоятельная необходимость в ограничении доступа пользователей к зашифрованным строкам паролей. Самый распространенный способ — поместить пароли в отдельный файл, который может читать только суперпользователь, а остальную часть файла /etc/passwd оставить без изменений. Файл, содержащий информацию о паролях, называется "файлом теневых паролей" (часто он имеет имя /etc/shadow). Большинство производителей систем, в том числе наших тестовых, реализует механизм теневых паролей. В HP-UX для работы механизма теневых паролей требуется установить вспомогательный программный пакет. Он содержит множество дополнительных средств защиты, нов тоже время на порядок усложняет задачу администрирования. Групповые и совместно используемые учетные записи Опасно, если учетная запись используется более чем одним человеком. Регистрационные имена групп (например, guest или demo) — удобная лазейка для хакеров, поэтому применять их не следует. Нельзя допускать, чтобы пользователи делили учетные записи с членами семьи или друзьями. Если маленькому Джонни нужно войти в систему, чтобы решить домашнее задание, лучше предоставить ему для этой конкретной цели отдельное имя. В случае злоупотребления проще удалить регистрационное имя Джонни, чем поставить под удар папину учетную запись, особенно если речь идет о правительственном учреждении.
Дополнительные комментарии по поводу совместно используемых учетных
записей даны в параграфе 27.1.
Во многих организациях учетная запись root является групповой. Это опасно Рекомендуем контролировать предоставление прав суперпользователя с помощью программы sudo (см. параграф 3.4). Устаревание паролей Многие системы, поддерживающие теневые пароли, позволяют реализовать механизм так называемого устаревания паролей, при котором пользователей принуждают периодически менять таковые. На первый взгляд, это хорошая идея, однако на практике ее реализация влечет за собой определенные проблемы. Не всякому пользователю по душе замена пароля, поскольку она требует определенных усилий по его поиску и запоминанию Обычно для пароля выбирается простое слово, которое легко вводится и запоминается, и когда подходит время замены, многие пользователи, не желая себя утруждать, опять берут предыдущий пароль. Таким образом, дискредитируется сама идея. Тем не менее пароль пользователя root следует модифицировать регулярно. При вводе он должен легко "скатываться" с пальцев, чтобы его нельзя было угадать, следя за движением пальцев по клавиатуре. В нашей организации многие работают с программой sudo, но к выбору пароля суперпользователя мы все равно относимся с особой ответственностью.
Гпово 21. Безопосность
6 9 3
Пользовательские интерпретаторы команд Не используйте сценарий как средство для неконтролируемой (беспа- рольной регистрации в системе Вход в систему без пароля следует разрешать только для прогона небольших неинтерактивных утилит, таких как date, sync и Ipq Привилегированные учетные записи Единственная отличительная черта пользователя root состоит в том, что его идентификатор равен 0. Поскольку в файле /etc/passwd может быть несколько элементов, для которых установлен этот идентификатор, то существует и несколько способов входа в систему в качестве суперпользователя. Один из способов, который хакеры, получив доступ к интерпретатору команд суперпользователя, широко применяют для открытия "черного хода, заключается в редактировании файла /etc/passwd посредством ввода в него новых регистрационных имен с идентификатором пользователя, равным
0. Поскольку такие программы, как who и w, работают с регистрационным именем, записанным в файле /etc/utmp, а нес идентификатором владельца регистрационного интерпретатора, они не в состоянии разоблачить хакера, который выглядит как рядовой пользователь, а на самом деле зарегистрирован в системе в качестве суперпользователя.
Cnaceinte от такого вероломства — применение мини-сценария. подобного гому, который используется для поиска учетных записей без паролей p e r l - F : - a n e ' p r i n t i f n o t S F [ 2 J ; ' / e t c / p a s s w d Этот сценарий отображает любые элементы файла passwd. в которых идентификатор пользователя не указан или равен 0 Сценарий можно адаптировать для поискав файле элементов с подозрительными идентификаторами групп или идентификаторами пользователей, совпадающими с идентификаторами руководящих сотрудников организации. Пристального внимания заслуживают, кроме того, элементы файла passwd, в которых нет имени пользователя либо вместо имени стоят знаки препинания. Эти элементы могут показаться не имеющими смысла, но очень часто они позволяют свободно входить в систему.
21.4. Программы с установленным битом смены идентификатора пользователя Программы, которые запускаются с измененным идентификатором пользователя. особенно те, для которых установлен идентификатор пользователя root, являются источником проблем, связанных с безопасностью системы Теоретически команды с установленным битом SUID (Sei User ID — смена идентификатора пользователя, поставляемые вместе с операционной системой, являются безопасными. Тем не менее огрехи в зашите обнаруживались в прошлом и. несомненно, будут обнаруживаться в будущем. Самый надежный способ уменьшения количества проблем, вызванных сменой идентификатора, — это сведение к минимуму числа программ с установленным битом SUID. Подумайте дважды, прежде чем инсталлировать
* Для его выполнения требуется наличие интерпретатора Perl версии 5 нли выше.
6 9 4
Чость II. Робота в сетях
такую программу, и вообше избегайте задания этого бита в собственных программах. Особенно подвержены всякого рода проблемам сценарии интерпретатора команд. Они автоматически ставят систему под угрозу. Интерпретаторы допускают множество способов настройки, поэтому их легко обмануть. Интерпретатор, запускаемый для выполнения сценария, не всегда читает пользовательские файлы конфигурации, но есть и другие способы воздействия на него посредством пользовательских переменных среды, содержимого текущего каталога, способа вызова сценария и т д Не существуют правила, гласящего, что программы с установленным битом SUID должны запускаться от имени суперпользователя Если нужно всего лишь ограничить доступ к файлу или базе данных, достаточно добавить в файл /etc/passwd псевдопользователя, единственное назначение которого будет заключаться во владении требуемыми ресурсами. Следуйте обычным соглашениям о добавлении псевдопользователей: используйте низкое значение. поставьте в поле пароля звездочку и сделайте начальным каталогом псевдопользователя каталог /dev/null Большинство систем позволяет отключать выполнение программ с установленными битами SUID и SGID (Set Group ID — смена идентификатора группы) в отдельных файловых системах с помощью опции -о nosuid команды mount. Чаще всего это файловые системы, содержащие начальные каталоги пользователей или смонтированные из ненадежных доменов. Полезно периодически сканировать диски на предмет выявления новых программ с установленным битом SUID. Хакер, взломавший систему, без особых усилий может создать собственный командный интерпретатор и утилиту, которая облегчит ему последующий вход в систему. Некоторые из программ, описанных в параграфе 21.7, позволяют обнаруживать такие файлы, нос этой задачей справится и простая команда find:
/ u s r / b i n / f i n d , - u s e r r o o t - p e r m - 4 0 0 0 - p r i n t '
/ b i n / m a i l
- s " S e t u i d r o o t f i l e s " n e t a d m i n В данном случае пользователю netadmin но электронной почте направляется список всех файлов, принадлежащих' пользователю root и имеющих установленный бит SUID.
21.5. Специальные права доступа В системах есть много файлов, для которых должны быть установлены специальные права доступа, позволяющие предупреждать возникновение проблем, связанных с безопасностью. Некоторые поставщики выпускают дистрибутивы, в которых права доступа заданы в расчете на собственную "дружественную" среду разработки. Вашей системе такие установки могут оказать "медвежью услугу. В некоторых системах специальный файл /dev/hniem позволяет получить доступ к виртуальному адресному пространству ядра Его используют те программы (например, ps). которые работают со структурами данных ядра Право чтения указанного файла должно предоставляться только его владельцу и членим соответствующей группы Если необходимо получить доступ к файлу нз определенной программы, для нее должен быть установлен идентификатор группы, владеющей этим файлом (обычно это kmem), и бит SGID. В прошлом некоторые поставщики беззаботно выпускали дистрибутивы, в которых файл /dev/kmem был доступен для чтения всем пользователям. Это
Глово 21 Безопосность " 6 9 5
создавало серьезную угрозу для безопасности системы, потому что опытный программист, получив доступ к данными буферам ядра, мог найти там незашифрованные пароли. Если в вашей системе файл /dev/kmem могут читать все пользователи, немедленно исправьте этот промах. Правда, после внесения изменений может оказаться, что некоторые программы перестали работать. Для них следует установить бит SG1D и идентификатор топ фуппы, которой принадлежит файл /dev/kmcm. Проверьте также права доступа к файлами, если они присутствуют в системе. Этн файлы позволяют получить свободный доступ к системной области подкачки и физической памяти н потенциально также опасны, как и файл /dev/kmem. Файлы /etc/passwd и /etc/group должны быть доступны для записи только владельцу (пользователю root) и его группе. Режим доступа в данном случае будет 644. Группа должна быть какой-нибудь системной группой (обычно это daemon). Чтобы пользователи, не имея права записи в файл /etc/passwd. моглн изменять свои пароли, команда passwd (владельцем которой является пользователь root) выполняется с установленным битом SUID Пользователи, относящиеся к категории "прочие, не должны иметь прак.1 записи в каталоги, доступные по анонимному протоколу FTP. Такие каталоги позволяют хакерам незаконно копировать программное обеспечение и другие важные файлы Если вы управляете архивом. допускающим добавление в него файлов, не забывайте регулярно просматривать каталог добавлений.
Информация о безопасной настройке 1-ТР-сервера приведена в параграфе 22.6.
При настройке анонимного сервера в каталог *"ftp/etc/passwd обычно копируется усеченный файл паролей (с сохранением его структуры, что позволяет правильно работать программе Is. Не забудьте удалить зашифрованные строки паролей.
Еше один потенциальный источник проблем — файлы устройств для разделов жесткого диска Наличие права чтения и записи такого файла равнозначно нгитичию аналогичных прав для любого элемента файлоьои системы этого раздела. Право чтения-записи может иметь только схперполь- зователь. Члены группы иногда могут получать право чтения, что позволит им выполнять резервное копирование. Для категории 'прочие" права доступа не устанавливаются.
21.6. Различные аспекты защиты Ниже рассматривается ряд дополнительных вопросов, связанных с безопасностью. В основном внимание уделяется либо средствам, которые могут быть полезны администратору, либо "антисредствам", которые при отсутствии должного контроля могут стать оружием в руках хакеров. Удаленная регистрация событий Система Syslog позволяет записывать журнальную информацию о процессах ядра и пользовательских процессах в файл, рассылать ее членам группы пользователей или передавать на другой компьютер сети. Рассмотрите вопрос о выделении защищенного компьютера, который будет служить центральной регистрационной станцией и выдавать сообшения о нарушении зашиты на старый матричный принтер. Это помешает хакерам заметать следы путем перезаписи и удаления журнальных файлов.
w\ Более детальная информация о системе Sysfog содержится в гчаве //
6 9 6
Чость II. Робота в сетях
Защищенные терминалы Некоторые системы можно настроить так, чтобы суперпользователь мог зарегистрироваться в системе только с определенных, "защищенных" терминалов. Рекомендуется запрещать привилегированный вход в систему по таким каналам, как модемы и сетевые псевдотерминалы.
Звшишенные каналы обычно задаются в виде списка TTY-устроЙств или с помошью специального ключевого слова в файле конфигурации. В Solaris это файл /etc/default/login*, в HP-UX и Red Hat — /etc/securetty, а во
FreeBSD — /etc/ttys. Файлы /etc/hosts.equiv и -/.rhosts В файлах liosts.equiv и
/.rliosts компьютеры определяются как административно "эквивалентные" друг другу, что позволяет пользователям входить в систему (с помощью программы rlogin) и копировать файлы (посредством программы гср) с одной машины на друтую без ввода паролей . Раньше, в эпоху беззаботного существования UNIX, подобная конфигурация была широко распространена, но со временем все осознали потенциальную угрозу. Мы рекомендуем отключать серверные демоны rslid и riogind, читающие файлы .rliosts и liosts.equiv В большинстве систем для этого достаточно превратить в комментарии строки их вызова в файле /etc/inetd.conf. Конечно, в отсутствие серверных демонов компьютер окажется недоступен программами гср. Но их всех с успехом заменяет более безопасный пакет SSH см. параграф 21.8). В простейших случаях получить удаленный доступ к системе, где отключен демон riogind. позволит программа telnet. Ноне забывайте о том, что эта программа передает посети пароль в незашифрованном виде. Некоторые программы, используемые вместо rlogin (включая SSH!), все же обращаются к файлами, если их неправильно сконфигурировать. С целью повышения безопасности имеет смысл для каждого пользователя (в том числе пользователя root) создать файлы
/etc/hosts.equiv и rliosts нулевой длины, причем без права записи. Тогда можно будет напнсать сценарии, определяющий, каково состояние файла, к примеру. « 3 часа дня и не подвергался ли он изменениям. Это может очень помочь при выслеживании нарушителей, пытающихся "взломать" систему. Демоны rexd, rexecd и tftpd Демон rexd вон имеется ив других системах, включая HP-UX) — это слабо защищенный сервер удаленного выполнения команд. DH обычно поставляется в отключенном виде (данная установка делается в файле
/etc/inetd.conf). и "будить" его не рекомендуется. Ни одна стандартная системная программа к нему не обращается. Демон rcxccd тоже предназначен для удаленного выполнения команд. Он служит сервером для библиотечной функции гехесО- Запросы, посылаемые демону, содержат в себе незашифрованные пароли, поэтому любая программа,
"проелушивающая" сеть, способна узнать их и получить доступ к требуемой системе. Этот демон также должен быть отключен. Подойдет также файл /etc/default/su. В некоторых системах эти файлы используются программами печати для проверки прав доступа к удаленному принтеру. Подробнее об этом рассказывается в главе 23.
Гпоео 21. Безоп оси ость
6 97
Демон tftpd — это сервер Г FTP (Trivial File Transfer Protocol — простейший протокол передачи файлов. Иногда сего помощью в сетевые устройства загружается программа ПЗУ или код начальной загрузки. Позволяя компьютерам в сети запрашивать файлы с жестких дисков, данный протокол является потенциальной брешью в системе зашиты. Лучше оставлять демон tftpd отключенным, если он не используется Демон fingerd Команда finger выводит короткий отчет об определенном пользователе



Поделитесь с Вашими друзьями:
1   ...   59   60   61   62   63   64   65   66   ...   82


База данных защищена авторским правом ©nethash.ru 2019
обратиться к администрации

войти | регистрация
    Главная страница


загрузить материал