WYDZIAŁ INŻYNIERII MECHANICZNEJ I INFORMATYKI
„ADMINISTRACJA I BEZPIECZEŃSTWO SIECI”
W.I.M. i I. Informatyka
Rok IV gr. VI
Puchała Marcin
Piech Jarosław
Obowiązki administratora:
1. Czynności wstępne:
· wybór bazy sprzętowej
· instalacja i konfiguracja serwera na bazie sieciowego systemu operacyjnego – np. Linux
· określenie warunków łącza internetowego
· założenie sieci komputerowej - wybór rodzaju sieci oraz konfiguracja urządzeń sieciowych
· konfiguracja stacji roboczych
· zapewnienie zdalnego dostęp do sieci firmowej
· instalacja programów użytkowych
2. Czynności administracji ciągłej:
· zarządzanie kontami użytkowników, uprawnienia
· system haseł
· bezpieczeństwo w dostępie do internetu, firewalle
· ochrona antywirusowa
· sprawdzanie logów systemowych
· aktualizacja oprogramowania pod kątem bezpieczeństwa sieci i serwera (kompilacja jądra systemu)
· monitoring i nadzorowanie pracy sieci
- kontrola platformy sprzętowej
- kontrola platformy programowej
· backup danych
· aktywowanie bądź dezaktywowanie usług dodatkowych
· dostęp do wszystkich urządzeń sieciowych
· dbanie o zgodność z prawem oraz normami moralnymi treści udostępnianych przez Członków sieci za pomocą serwerów
· blokowanie dostępu do sieci Internet bądź usług dodanych w przypadku naruszenia przez Członków sieci Regulaminua w szczególności w przypadku zalegania z opłatami (dotyczy głównie sieci akademickich i blokowych)
Zadaniem każdego administratora jest zarządzanie kontami użytkowników. Do zadań administratora należy dodawanie nowych użytkowników, usuwanie nieaktualnych, zmiana haseł, zmiana uprawnień (w zależności od potrzeb), przydzielanie użytkowników do poszczególnych grup.
Konto jest to nic innego jak zbiór danych użytkownika znajdujący się w katalogu domowym lub rozproszonej bazie danych. Każde konto jest dostępne pod unikalną nazwą, którą podajemy podczas logowania. Fakt ten sprawia, że poszczególni użytkownicy nie wchodzą sobie w drogę i nie mogą odczytywać danych nie należących do nich (chyba, że właściciel plików lub root zadecyduje inaczej). Najważniejszym kontem w systemie jest oczywiście konto root, które jest tworzone podczas instalacji.
Podstawowe uprawnie to: zapis, odczyt, uruchamianie. Uprawnienia należy nadawać poszczególnym użytkownikom według określonych zasad. Jedną z zasad jest nadawanie minimalnych uprawnień i zwiększanie ich w zależności od potrzeb.
System haseł jest najpopularniejszym sposobem identyfikacji i potwierdzania użytkownika w systemie komputerowym. Jest on szeroko stosowany zarówno w klasycznych systemach wielodostępnych jak i sieciowych systemach odległego dostępu. Ogólnie metoda ta pozwala stwierdzić, że użytkownik wydaje się być tym za kogo się podaje. O ile w przypadku systemów wielodostępnych, bazujących na klasycznych terminalach znakowych (łącza szeregowe), systemy haseł są stosunkowo bezpieczne o tyle w środowisku sieciowym są one bardzo proste do złamania.
· Istnieje możliwość łatwego nasłuchiwania połączenia sieciowego w celu pozyskania kombinacji identyfikator-hasło. Sztandarowym przykładem jest telnet. Odpowiednie programy typu LanWatch, IPtrace czy snoop są prostym narzędziem pozwalającym odczytać hasło. Klasyczne połączenie telnet nie jest bowiem kodowane i hasło wprowadzane jest do sieci „żywym” tekstem.
· Najprostszym sposobem pozyskania haseł jest zainstalowanie na swoim własnym koncie konia trojańskiego udającego pracę programu login (np. w UNIX). Program ten może być napisany w klasycznym shell-u i - jak to czyni system operacyjny - prosić o identyfikator i hasło. Dane te są zapamiętywane na dowolnym pliku, a następnie program wyświetla informację o niepoprawnej kombinacji identyfikator-hasło i wywołuje normalny program login. Użytkownik niczego nie podejrzewając rozpoczyna logowanie na terminalu a po komunikacie o błędzie uznaje, że się pomylił. Jego hasło jest już na pliku „złośliwego kolegi”.
· Typowym sposobem łamania haseł jest tzw. „Dictionary Attack” (atak poprzez słownik). Polega on na próbkowaniu programu autoryzującego całym słownikiem danych. Jeżeli weźmiemy pod uwagę, że w przypadku klasycznego systemu UNIX maksymalna długość hasła wynosi 8 znaków, a funkcja haszująca używa tylko siedmiu bitów znaczących otrzymujemy klucz o długości 56 bitów. Ponieważ większość użytkowników stosuje „normalne” hasła, pole poszukiwań może być zawężone tylko do np. małych liter - odpowiada to sytuacji używania klucza o długości 19 bitów. Tego typu hasła są dość łatwe do złamania za pomocą słowników. Przykładem ataku poprzez słownik jest program COPS (Computer Oracle Password and Security), który używa tej metody do diagnozowania skuteczności zabezpieczeń poprzez hasła.
· Użytkownicy grup roboczych bardzo często pożyczają hasła koledze, a ci skrzętnie je zapisują np. na karteczkach przyklejonych do terminala. W takim przypadku nie istnieje potrzeba stosowania żadnych specjalnych technik hakerskich - wystarczy umieć czytać.
Istnieją oczywiście techniki pozwalające pracować z hasłami w sposób bardziej bezpieczny. Do najpopularniejszych z nich należą:
· W przypadku sporadycznych połączeń z odległymi komputerami stosowana jest technika ważności hasła tylko dla jednego połączenia Zakłada się, że przy nawiązywaniu łączności hasło zostanie podsłuchane i dlatego przed opuszczeniem odległego systemu użytkownik zobowiązany jest do zmiany swojego hasła.
· Wiele systemów operacyjnych ma możliwość narzucenia użytkownikom odpowiedniej polityki haseł. Co pewien okres czasu hasła ulegają przedawnieniu i użytkownik zmuszany jest do wprowadzenia nowego hasła. System wymaga stosowania odpowiednio ważonej kombinacji liter i znaków specjalnych. Administrator ma także możliwość przedawniania ważności kont (haseł).
· Bardzo bezpiecznym mechanizmem haseł są karty magnetyczne weryfikujące dostęp. Wygenerowane hasła charakteryzuje bardzo trudna do złamania kombinacja i odpowiednia długość (użytkownik nie musi pamiętać hasła - musi mieć kartę). Rozwiązania te są powszechnie stosowane np. w bankach i jak się można domyślać nie należą do najtańszych.
· Systemy jednokrotnych haseł. W systemach o hierarchicznej, protegowanej strukturze dostępu użytkownik może być zmuszony do ustalenia dużej ilości haseł w zależności od typu danych i aplikacji. Doprowadza to do ironicznej sytuacji, w której duża ilość haseł staje się niebezpieczna w użyciu. Wyobraźmy sobie użytkownika, który musi korzystać z 50 haseł - musi on je gdzieś zapisać, a w takim przypadku jedno hasło gwarantujące dostęp do różnych elementów i aplikacji systemu jest na pewno bezpieczniejsze.
· Systemy haseł jednokrotnego użycia należą do jednych z najbardziej technologicznie zaawansowanych rozwiązań. Szeroko stosowanym przekładem tej metody są karty mikroprocesorowe SecurID opracowane przez Security Dynamics. Każdy użytkownik posiada swoją kartę (małe urządzenie elektroniczne), która generuje hasło - weryfikowane przez dedykowany serwer - na podstawie tzw. PIN-u (stałego identyfikatora). Hasło ważne jest przez okres tylko 60-ciu sekund.
Bezpieczeństwo w dostępie do netu
Nawet najlepsze oprogramowanie czy sprzęt nie uchronią naszych zasobów jeżeli nie będziemy zdawać sobie sprawy z tego co i przed czym chcemy chronić.
Bezpieczeństwo jest bardzo drogie, bowiem straty mogą być bardzo duże. Jednakże w wielu przypadkach może okazać się, że zastosowanie podstawowych zasad bezpieczeństwa jest niemalże wystarczające dla spełnienia naszych założeń polityki bezpieczeństwa.
Dlaczego nasza sieć potrzebuje zabezpieczeń?
Jako nowoczesna firma, dostrzegająca wagę i korzyści płynące z prowadzenia działalności w sieciach publicznych, podłączamy się do Internetu. Zamykamy wszystko na „potężne klucze” i idziemy spokojnie spać. Czy aby jednak nie zostawiliśmy otwartego okna - naszego podłączenia do Internet?
Większość przestępstw komputerowych związanych z włamaniami do systemów komputerowych nie jest raportowana - trochę „ze wstydu”, trochę z bojaźni przed utratą wiarygodności i prestiżu. Statystyki są jednak alarmujące:
· Zgodnie z CERT NASK w okresie 03.96 - 09.96 7% komputerów w polskim Internecie było próbkowanych pod względem możliwości realizacji włamania. Na nasze szczęście tylko ok. 1% z tych komputerów uległ udanemu atakowi hakerów. Dane dotyczą oczywiście tylko zgłoszonych wydarzeń (incydentów). Najczęściej spotykanymi typami ataków były próby wykorzystania:
- słabości wynikających z mechanizmów stosowanych w systemach rozproszonych takich jak NIS;
- „słabe hasła”;
- słabości protokołu HTTP stosowanego w serwerach WWW;
- „dziury” w oprogramowaniu systemowym (najczęściej sendmail).
Co możemy stracić? - w gruncie rzeczy zależy kim lub czym jesteśmy.
· Możemy przyjść rano do pracy i zobaczyć, że nas serwer Internetu znajduje się w stanie inicjacji początkowej z dość zaskakującym komunikatem „missing operating system” i nasze połączenie ze światem jest nieczynne.
· Możemy także pozbyć się centralnej bazy haseł i nikt nie będzie mógł podłączyć się do serwera.
· Możemy stracić dane związane z „tajnym projektem” lub udostępnić włamywaczowi konta naszego banku do dowolnej dyspozycji.
Niektóre elementy bezpieczeństwa sieciowego
· Najbardziej oczywistym sposobem ochrony naszych zasobów jest po prostu ochrona fizyczna wrażliwych elementów naszego systemu komputerowego takich jak np. pomieszczenie, w którym pracuje serwer, czy stacja robocza administratora sieci. Nigdy nie zakładajmy, że nikt poza jednym guru nie zna się na skomplikowanych poleceniach.
· Następny poziom zabezpieczeń to bezpieczeństwo systemu operacyjnego. Często słyszymy, że systemy takie jak UNIX czy Microsoft Windows NT uzyskały certyfikat klasy C2. Oznacza to, że systemy te wyposażono w mechanizmy kontroli dostępu, gwarantowania zezwoleń na czytanie i zapis kartotek oraz plików przez określonych użytkowników oraz notowanie (auditing) dostępów i autoryzacji.
Poziomy bezpieczeństwa - Orange Book
W dokumencie „Trasted Computer Standards Evaluation Criteria”, znanym także jako „Orange Book”, Departament Obrony USA zdefiniował siedem poziomów bezpieczeństwa komputerowego systemu operacyjnego. Klasyfikacja ma charakter „zawierania” (wyższe poziomy mają wszystkie cechy poziomów niższych).
· D1 Najniższy poziom bezpieczeństwa
· C1
· C2 Poziom ten gwarantuje automatyczne rejestrowanie wszystkich istotnych - z punktu widzenia bezpieczeństwa - zdarzeń i zapewnia silniejszą ochronę kluczowych danych systemowych takich jak np. baza danych haseł użytkowych.
· B1
· B2
· B3
· A1 Jest to najwyższy poziom bezpieczeństwa.
Bezpieczne IP
Jedną z metod próby globalnego zabezpieczenia transmisji w sieciach bazujących na protokole TCP/IP jest tzw. IP Security lub IP Sec, która de facto jest zbiorem protokołów opracowanych przez IETF (Internet Enginnering Task Force) a udokumentowanym w RFC 1825-1829. Standard ten gwarantuje autentyczność, prywatność i integralność danych działając na poziomie jądra IP. Niewątpliwą zaletą takiego rozwiązania jest zatem jego skuteczność w odniesieniu do każdej aplikacji sieciowej, niezależnie od tego, czy jest to poczta elektroniczna czy telnet. IP Sec zdefiniowano dla IPv4 (aktualnie stosowanego systemu adresowania IP), ale włączono go jako standardową własność do IPv6.
Wdrożenie IP Sec polega na używaniu dwu opcjonalnych nagłówków IP:
· AH - Authentication Header, dedykowany do stwierdzania autentyczności i integralności danych,
· ESP - Encapsulating Security Payload zapewniający prywatność (szyfrowanie).
Nagłówki mogą być używane rozłącznie albo wspólnie w zależności od potrzeb.
Specyfikacja IPS Sec umożliwia komunikującym się stronom na uzgodnienie odnośnych parametrów (mechanizm identyfikacji, algorytm szyfrowania, klucz, czas ważności połączenia, etc.), na bazie odpowiedniego pola w nagłówkach IP, tzw. SPI (Security Parameter Index). Dzięki temu istnieje możliwość ominięcia wszelkich restrykcji eksportowych USA, bowiem zamiast standardowego szyfrowania DES można uzgodnić np. 40-bitowy RC4. Jedynym nie ustalonym parametrem IP Sec jest sposób dystrybucji kluczy. Aktualna propozycja wskazuje na tzw. ISA Key Management Protocol (ISAKMP, Oalkey), ale na obecnym etapie używane są „ręczne” sposoby wymieniania kluczy. Jak dotąd jedynym komercyjnym pakietem posiadającym wdrożenie IP Sec i IPv6 jest OnNet32 for Windows z FTP Software.
„Firewall’e - Ściany ognia”
Systemy firewall chronią naszą sieć na kilku poziomach, a także umożliwiają wdrożenie zupełnie nowych własności:
· Użytkownicy wewnętrzni mogą mieć dostęp do wszystkich (lub wybranych) usług Internet, natomiast użytkownicy zewnętrzni nie będą mieli dostępu do jakiegokolwiek zasobu naszej sieci lokalnej.
· Usługi takie jak e-mail, ftp, WWW mogą być dozwolone dla ruchu zewnętrznego tylko w odniesieniu do specyficznego komputera. Daje to nam otwartość na świat jednocześnie chroniąc i ukrywając inne zasoby sieciowe.
· Zaawansowane systemy identyfikacji i kontroli tożsamości są skuteczną metodą zabezpieczenia określonych zasobów przed nieupoważnionym dostępem zarówno w odniesieniu do użytkownika jak i aplikacji. Często istnieje możliwość połączenia procesu identyfikacji z systemami kart elektronicznych (np. SecurID).
· Wszystkie wydarzenia są bardzo detalicznie monitorowane i rejestrowane, a niektóre z nich generują natychmiastowe alarmy.
· Pakiety mogą podlegać badaniu jeszcze przed ich pojawieniem się w systemie operacyjnym. Są niejako zdejmowane wprost z karty sieciowej. Jeżeli nie spełniają zasad polityki bezpieczeństwa są natychmiast odrzucane.
· Zawierają mechanizmy ukrywania adresów IP komputerów chronionej sieci lokalnej, tłumaczenia adresów IP (np. niepoprawnych adresów Internet na poprawne) lub translacji grupy wewnętrznych adresów IP do jednego lub kilku adresów zewnętrznych. Daje to m.in. wielkie możliwości podłączenia dużych sieci lokalnych do Internet z wykorzystaniem tylko jednego, przydzielonego nam adresu IP.
· Wiele systemów ma możliwość konstrukcji wirtualnych sieci prywatnych - VPN (Virtual Private Network), opartych na metodach szyfrowania transmisji danych. Oznacza to, że możemy utworzyć swoją sieć prywatną na bazie publicznych mediów takich jak Internet. Pozwala to np. łatwo połączyć różne, odległe oddziały firmy w jedną bezpieczną sieć. Niekiedy istnieje możliwość kodowania tylko niektórych typów usług (jak np. telnet) pozostawiając inne w normalnej postaci, co pozwala utrzymać efektywność całego systemu.
Każdy system firewall wprowadza oczywiście pewne obciążenie i obniża efektywność pracy.
Sposób realizacji danego firewall’a zależy głównie od jego sposobu działania, możemy tutaj wyróżnić dwa główne typy firewall’i :
· zapory sieciowe na poziomie sieci\pakietu (filtry pakietów)
· zapory sieciowe na poziomie aplikacji\usługi (bramy pośredniczące, proxy)
Zapory sieciowe na poziomie sieci (filtry pakietów)
Działają na najniższym poziomie czyli na pakietach IP. Firewall`e te korzystają z danych dostępnych w każdym pakiecie IP, czyli :
· adres źródłowy
...
kakal55