10.18.1. Сервер Apache и сетевая безопасность в Red Hat

Семёнов Ю.А. (ГНЦ ИТЭФ), book.itep.ru

Общие правила безопасности

1. Файлы, привлекательные для преступников и просто любопытных сослуживцев (персональные досье, экзаменационные задания, результаты выборов накануне их проведения и т.д.) следует шифровать, а не пытаться защитить от несанкционированного доступа. Смотри RFC-2196.
2. Закрывайте все известные “дырки” сразу, как только становится известно их существование. Читайте бюллетени фирм производителей и сообщения, рассылаемые через подписные листы безопасности. Отключайте ненужные сервисы.
3. Следите за надежностью паролей, исключайте анонимные FTP-каталоги с возможностью записи, групповые учетные записи.
4. Установите ловушки для обнаружения фактов или попыток вторжения, такие средства как tripwire, tcpd и crack.
5. Просматривайте журналы, генерируемые этими программами.
6. Постоянно следите за отклонениями в нормальной работе системы. Обращайте внимание на все необычное, например, на непонятные журнальные сообщения или изменение характера использования некоторой учетной записи (изменение активности, работа во внеурочное время, во время отпуска владельца учетной записи).

Серверы по проблемам безопасности LINUX

По материалам книги Дэвида Бэндла “Защита и безопасность в сетях LINUX”, Питер, 2002.

Наиболее полезными серверами по проблемам безопасности являются в данный момент серверы: http://www.linuxberg.com/ и http://freshmeat.net/

AIDE	http://www.cs.tut.fi/~rammer/aide.html	Свободно распространяемая замена tripwire
BASS	http://www.securityfocus.com/data/tools/network/bass-1.0.7.tar.gz	Balk Auditing Security Scanners
Bastille Linux	http://bastille-linux.souceforge.net/	Программа усиления защиты Red Hat
Chech.pl	http://checkps.alcom.o.uk/	Средство аудита разрешений доступа к файловой системе
firesoft	http://www.unix.gr/	Для просмотра LOG-файлов ipchain и snort
Firewall Manager	http://www.tectrip.net/arg/	Графический интерфейс для Firewall
FreeS/WAN	http://www.xs4all.nl/~freeswan/	Безопасная сеть WAN для ядер Linux
Fwctl	http://indev.insu.com/Fwctl/	Средство конфигурирования для пакетных фильтров Linux
gfcc	http://icarus.autostock.co.kr/	Firewall GTK+ (ipchains)
gSentiel	http://zurk.netpedia.net/zfile.html	Графический интерфейс для Sentiel, основанный на GTK
gShield	http://muse.linuxgeek.org/	Модульный Firewall Godot
HostSentry	http://www.psionic.com/abacus/hostsentry/	Обнаружение анормальных подключений к системе
hping2	http://www.kyuzz.org/antirez/	Аудит и тестирование сети
ipchains	http://www.rustcorp.com/linux/ipchains/	Управление пакетным фильтром Linux
ipchains-firewall	http://ipchains.nerdherd.org/	Сценарии для формирования правил ipchains и маскирования IP
ipfa	http://www.soaring-bird.com.cn/oss_proj/ipfa/	Управление для Firewall
ISIC	http://expert.cc.purdue.edu/~frantzen/	Программа посылки частично случайных пакетов для тестирования стеков IP и Firewall
Ripper	http://www.openwall.com/john/	Взломщик паролей
Linux Intrusion Detection System	http://www.soaring-bird.com.cn/oss_proj/lids/	Обнаружение проникновения злоумышленников
Logcheck	http://www.psionic.com/	Анализ LOG для обнаружения нарушений
maillog	http://old.dhs.org/	По cron передает по почте LOGs
Mason	http://www.pobox.com/~wstearns/mason/	Формирование Firewall на основе ipwadm или ipchain
Nessus	http://www.nessus.org/	Аудит безопасности
netfilter	http://www.samba.org/netfilter/	Программный фильтр пакетов
nmap	http://www.insecure.org/nmap/	Сканирование сети
nstream	http://www.hsc.fr/cabinet/products/index	Анализатор сетевых потоков
OpenSSH	http://www.openssh.com/	Защищенная оболочка Secure Shell с открытым кодом
Ping String	http://www.ksrt.org/pstring/	Идентификатор трафика ICMP
PMFirewall	http://www.pointman.org/	Конфигурирование ipchains в Firewall и маскирования IP
PortSentry	http://www.psionic.com/abacus/portsentry/	Регистрация сканирования портов в реальном времени и реагирование
PSPG	http://members.xoom.com/miscreants/	Pretty Simple Password Generator/ Генерация паролей
QIPchains	http://www.vano.odessa.net/software/	Сценарий оболочки для быстрого добавления/удаления правила Firewall Linux
redir	http://sammy.net/~sammy/hacks/	Перенаправляет порт ТСР на другой IP-адрес и порт
S/key	ftp://thumper.bellcore.com/pub/nmh/	Система одноразовых паролей
SAINT	http://www.wwdsi.com/saint/	Security Administrator’s Integrated Network Tool - Инструмент администратора безопасности
samhain	http://samhain.netpedia.net	Средство проверки целостности файлов
SARA	http://home.arc.com/sara/index.html	Аудит безопасности (как SATAN/SAINT), если в системе установлена программа nmap
secure delete	http://thc.pimmel.com/files/thc/secure_delete-2.1.tar.gz	Безопасное удаление файлов, безопасная перезапись виртуальной памяти и незанятого дискового пространства
Secure Remote Password Protocol	http://srp.stanford.edu/srp/	Протокол аутентификации и обмена ключами, основанный на использовании паролей
Secure Shell (ssh)	ftp://ftp.cs.hut.fi/pub/ssh/ http://www.ssh.fi/	Средство для защищенных подключений с использованием шифрования и взаимной авторизации
Secure-Linux Patch	http://www.openwall.com/linux/	Исправление ядра Linux для блокировки атак, основанных на переполнении стека
Sentiel	http://zurk.netpedia.net/zfile.html	Быстрое сканирование системных файлов
sifi	http://www.ifi.unizh.ch/ikm/SINUS/firewall	Пакетный фильтр TCP/IP для Linux, основанный на состояниях
Slinux Kernel	http://www.slinux.cx/	Безопасное ядро Linux
snort	http://www.clark.net/~roesh/security.html	Система обнаружения несанкционированного проникновения
sslwrap	http://www.rickk.com/sslwrap/	SSL-оболочка для серверных приложений, таких как демоны РОР3/IMAP
Sportal	http://sportal.sourceforge.net/	Слежение за файлами с графическим интерфейсом GTK
sXid	ftp://marcus.seva.net/pub/sxid/	Слежение за suid/sgid, написанное на С
TARA	http://home.arc.com/tara/index.html/	Tiger Analytical Research Assistant - набор сценариев для проверки локальной безопасности
Phreak Firewall	http://bewoner.dma.be/Phreak/	Установка настройки Firewall с использованием к маскировки IP
TheBox	http://yak.airwire.net/	Сценарии для установки, настройки и управления маскировкой IP и прозрачного кэширования
Triplight	http://linux.rice.edu/magic/triplight/	Обнаружение несанкционированного проникновения и целостности файлов, использует md5 sum
Tripwire	http://www.tripwiresecurity.com/	Обнаружение несанкционированного доступа
Wipe	http://gsu.linux.org.tr/wipe/	Безопасное удаление файлов с магнитных носителей
ya-wipe	http://www.erols.com/thomassr/zero/download/wipe	Безопасное удаление файлов

Информацию об атаках и различных средствах противодействия читатель может найти на в:

http://www.cert.org/reports/dsit_workshop-final.html

Существует много средств для детектирования DDoS (Distributed denial-of-service). Каждое из этих средств имеет свои слабости, и ни одно не является универсальным решением. Некоторые из них можно найти:

http://www.fbi.gov/nipc/trinoo.htm
http://staff.washington.edu/dittrich/misc/stacheldraht.analysis
http://www.iss.net/cgi-bin/dbt-display.exe/db_data/press_rel/release/122899199.plt
http://www.sans.org/y2k/stacheldraht.htm

Информацию о том, как корректно сконфигурировать сеть можно найти в RFC-2267

Архив средств для детектирования DDoS атак можно найти по адресу

http://packetstorm.securify.comdistributed/

CERT/CC публикует справочные материалы и другие документы по данной проблематике, например

http://www.cert.org/advisories/CA-2000-01.html
http://www.cert.org/advisories/CA-99-17-denial-of-service-tools.html
http://www.cert.org/tech_tips

Назад: 10.18. Краткий справочник по командам UNIX
Оглавление: Телекоммуникационные технологии
Вперёд: 10.19. Символьный набор HTML