Методы противодействия

Правила обеспечения безопасности

В 1997 году одна из подгрупп IETF выпустила справочник Site Security Handbook (RFC-2196). В нем содержатся рекомендации системным администраторам по разнообразным вопросам защиты сети, правилам использования и методике работы (см. также http://book.itep.ru/6/rfc2196.htm и http://book.itep.ru/6/rfc2827.htm). Этот документ предлагает включить в правила следующие разделы.

• Рекомендации по закупке оборудования и программного обеспечения. Участие системных администраторов в выборе оборудования и программного обеспечения может принести большую пользу, так как часто они знают о его недостатках и ограничениях то, чего не афишируют продавцы и производители.
• Политика секретности. Устанавливает степень контроля над почтой и действиями пользователей, а также политику размещения пользовательских файлов.
• Политика доступа. Определяет, кто может иметь доступ в систему, что можно делать в рамках этих прав доступа, какое программное обеспечение можно установить и пр. Данный документ должен включать те же меры предосторожности относительно авторизации доступа и степени контроля, что и политика секретности.
• Политика учетных записей. Содержит описание прав и обязанностей пользователей и системных администраторов.
• Политика аутентификации. Устанавливает правила использования паролей и порядка лишения доступа, а также методы аутентификации пользователей.
• Политика доступа. Определяет, в какое время система должна быть доступна, содержит расписание обслуживающих мероприятий, перечень действий при появлении проблем, а также инструкции по документированию проблем и оповещению о них администраторов и ориентировочное время их устранения.
• Политика управления. Устанавливает правила общения с внешним миром и порядок доступа для приглашенных из других организаций специалистов.

Правила для пользователей

В правилах для пользователей необходимо регламентировать следующие вопросы.

• Использование учетных записей совместно с друзьями и родственниками.
• Выполнение программ дешифрования паролей для расшифровки локального файла passwd, например, с помощью программы crack.
• Выполнение программ дешифрования паролей для расшифровки файлов passwd других систем.
• Нарушение нормального процесса обслуживания.
• Проникновение в чужие учетные записи.
• Неправильное использование электронной почты.
• Просмотр файлов других пользователей (есть ли возможность чтения и записи, одобряется ли?)
• Публикации в UseNet (запрещены? с оговорками? разрешены?)
• Импорт программ из Интернет (запрещен? разрешен? разрешен с оговорками?)
• Использование системных ресурсов (принтеров, дисков, модемов, процессора).
• Копирование лицензионного программного обеспечения.
• Выдача разрешений на копирование лицензионного программного обеспечения другим лицам.
• Копирование защищенных авторскими правами материалов (музыки, фильмов и пр.).
• Всевозможная незаконная деятельность: мошенничество, клевета и др.
• Вовлечение в деятельность, которая является запрещенной (например, порнография).
• Сканирование локальной сети, перехват пакетов в сетевом сегменте подключения.
• Подключение из дома к своему служебному компьютеру через модем.

Полезно объяснить пользователям, что их поведение в сети должно быть этичным!

Примером соглашения для доступа к компьютерам может служить документ такого рода для факультета информатики университета Мельбурна. (Смотри также http://www.admin.com.)

Следует, впрочем, иметь в виду, что, прочитав и подписав правила работы в сети, пользователь, если даже он понял, что он подписал, об этом немедленно забывает.

Попытайтесь убедить его не давать свой пароль даже очень большому начальнику.

Безопасность WEB-серверов

WEB-сервер — достаточно сложная и потому уязвимая для атак программа. Причем угрозы могут исходить из самых неожиданных мест. Так в конце июня 1997 года было обнаружено, что Windows-95 (и NT) "повисает" (полный перечень причин повисания этой системы может занять целый том) при приходе на ее вход ICMP-пакета с длиной, которая не соответствует значению, указанному в его поле заголовка Длина.

WEB-сервер, так же, как любая сеть, должен иметь свою, желательно изложенную на бумаге политику безопасности. Это должен быть достаточно простой документ типа приведенного ниже, а доступ к WEB-серверу должен имеет пять уровней.

1. Общедоступный с возможностью только чтения всех URL за исключением тех, что помещены в каталогах /private.
2. Доступ сотрудников фирмы или организации, которой принадлежит сервер. Здесь также допустимо только чтение, но доступны и секции каталога /private.
3. Разработчики WEB-сервера. Имеют возможность модифицировать содержимое сервера, инсталлировать CGI-скрипты, прерывать работу сервера.
4. Администраторы узла (сервера). Имеют те же привилегии, что и разработчики, но могут также реконфигурировать сервер и определять категорию доступа.
5. Системные администраторы. Имеют идентичные привилегии с администраторами сервера.

Для получения доступа на уровне 3-5 необходимо письменное разрешение директора организации или его заместителя по информационным системам. Доступ уровня 2 автоматически получают все сотрудники организации или фирмы при авторизации. Администраторы могут аннулировать авторизацию по решению заместителя директора по информационным системам, а при чрезвычайных обстоятельствах — самостоятельно, но с последующим уведомлением руководства. Работа с локальной консоли WEB-сервера разрешается только администраторам. Удаленная работа администраторам запрещена, они должны работать только с локального терминала. CGI-скрипты устанавливаются на сервер после их проверки и одобрения как минимум двумя членами группы администраторов. Скрипты, исходные тексты которых недоступны, устанавливаются только по решению заместителя директора по информационным системам.

Информация из каталогов /private, которая считается конфиденциальной, доступна только с терминала самой ЭВМ.

При работе с WEB-сервером не разрешается доступ к базам данных или файлам, если для этого не имеется соответствующего индивидуального договора .

Описание политики безопасности должно включать указание периода формирования резервных копий содержимого сервера, описания допустимых сетевых услуг и время профилактических остановок. Включается сюда перечень видов обязательного мониторинга сервера и просмотра дневника посещений.

Приведенный текст описания политики безопасности может варьироваться в широких пределах, он зависит от используемой ОС и набора сетевых утилит.

Наиболее безопасной сетевой средой считается Macintosh OS. Это связано с тем, что она не включает в себя интерпретатора команд, не поддерживает скрипты и не предоставляет каких-либо дополнительных сетевых услуг, — неавторизованный просмотр WEB-страниц на Макинтоше практически не возможен.

Системы Windows NT и UNIX обладают сопоставимыми и достаточно высокими уровнями безопасности. Большое число сообщений о дефектах безопасности UNIX свидетельствует о его массовом использовании.

Теперь рассмотрим, что нужно сделать, чтобы обеспечить максимально возможную безопасность WEB-cервера.

• Выбрать наиболее безопасную ОС и сконфигурировать ее с учетом требования безопасности. Использовать все известные корректирующие программы, выпущенные разработчиком ОС.
• Организовать мониторирование любой подозрительной активности на сервере (активность в ночное время, многократные попытки авторизации и т.д.).
• Контролировать доступ к конфиденциальным документам. Доступ к таким документам должен быть разрешен только ограниченному числу пользователей. Доступ к таким частям сервера должен быть организован с использованием протокола SSL.
• Тщательно разрабатывать и проверять используемые CGI-скрипты и аплеты.
• Установить жесткие требования к доступу для выполнения различных операций, особенно для модификации содержимого и конфигурации сервера.
• Защитить локальную сеть от WEB-сервера. Исключить возможность проникновения к жизненно важным ресурсам сети через WEB-сервер, например, с помощью Firewall.
• Отслеживать вновь обнаруженные слабости используемой ОС и программного обеспечения сервера. Делайте это чаще, если вам не безразлична безопасность вашего сервера, не надейтесь, что все хакеры ленивее вас.

При работе с ОС Windows NT следует отключить доступ TCP/IP от услуг NETBIOS. Это может быть сделано с помощью Firewall, блокировкой доступа к портам 137 и 138 для UDP и TCP. Можно решить эту проблему отключения NETBIOS от TCP/IP драйвера переконфигурировав Windows NT.

Если WEB-сервер нуждается в контроле доступа, то в настоящее время (в HTTP/1.1) имеется две возможности. Первая (basic) предполагает традиционный ввод и передачу по сети имени клиента и пароля. Эта схема проста, но допускает перехват параметров доступа (а между клиентом и сервером может быть достаточно много промежуточных узлов). Вторая схема (digest) для пользователя выглядит аналогично, но вводимое имя и пароль не передаются по сети непосредственно. На их базе формируется дайджест MD5, который пересылается по сети и используется для идентификации клиента.