WWW.DISSERS.RU

БЕСПЛАТНАЯ ЭЛЕКТРОННАЯ БИБЛИОТЕКА

   Добро пожаловать!

Pages:     | 1 || 3 | 4 |

«ББК 32.973 Максим Левин УДК 681.3 Руководство для хакеров Максим Левин Л80 Руководство для хакеров. — М.: Бук пресс, 2006. — 416 с. ...»

-- [ Страница 2 ] --

Даже если внутренняя сеть хорошо По мнению пользователей шифровальных защищена, для пересылки сообщений через систем, польза от шифрования состоит не только в глобальную сеть приходится использовать линии том, что сотрудники компании могут спать связи сетей общего доступа, предоставляемые 123 Ломаем и защищаем сети Ломаем и защищаем сети спокойно, зная, что до их коммерческих секретов Тот, кто хочет ознакомиться с работой никто не доберется, но также и в том, что шифровальных систем, прежде всего должен шифрование помогает компании выйти на новый получить представление о двух важнейших уровень эффективности работы и экономии компонентах любой системы: ключе и средств. сертификате (key и certificate).

Хорошим примером здесь может послужить Ключ — это алгоритм или математическая обычная почта. Если как следует призадуматься, формула, используемая при кодировании то станет ясно, что этот способ передачи сообщения. Для того, чтобы получатель мог служебной информации не обеспечивает ее расшифровать посланное ему сообщение, он сам достаточной защиты информации. На самом деле, должен знать этот алгоритм или формула;

именно кто угодно может вскрыть это письмо и отсюда и происходит название ключ.

ознакомиться с его содержанием, так что всю Размер ключа (он измеряется в битах) конфиденциальная информацию приходится определяет, насколько сложен алгоритм пересылать с курьером. Если вместо курьера кодирования и насколько трудно будет удается использовать должным образом злоумышленнику расшифровать сообщение, не защищенную электронную почту, возникает зная ключа. Современные ключи, разрешенные к колоссальная экономия средств (особенно, если использованию исключительно на территории курьера приходится отправлять на другой конец Соединенных Штатов, имеют длину 1024 бит.

земного шара). Кроме того, становится Однако вывозить за границу разрешено только возможным в течении нескольких часов решать ключи длиной не более 40 бит.

вопросы, для решения которых обычно При работе с ключами можно следовать требовалась неделя.

либо симметричной модели (используются только открытые ключи), либо асимметричной модели Глава 8: Открой дверь своим ключом (используются как открытые, так и закрытые ключи).

Прежде чем отправляться покупать При работе с симметричными моделями для шифровальную систему, следует провести кодирования и декодирования сообщений серьезнейшую домашнюю работу. В используется один и тот же алгоритм. Именно шифровальном деле используется множество такой подход применяется в известной программе различных технологий и протоколов передачи Филиппа Циммермана Pretty Good Privacy (PGP), данных, а также сложный математический рассчитанной на работу с открытыми ключами.

аппарат.

125 Ломаем и защищаем сети Ломаем и защищаем сети В PGP применяется так называемая модель Работа с асимметричными ключами не равного доверия. Это означает, что отправитель требует доверия между отправителем и знает получателя и доверяет ему, и поэтому не получателем. Это, конечно, хорошо.

видит ничего плохого в том, чтобы передать ему Однако работа по этой модели требует ключ шифра. Именно тут и зарыта pretty good (в дополнительных административных усилий, буквальном переводе — довольно хорошая) поскольку ключи (и открытые и закрытые) надо, конфиденциальность. Хотя само использование во первых, где то хранить, а во вторых, время от алгоритма шифрования и затрудняет времени обновлять.

злоумышленнику доступ к содержанию Асимметричная технология используется в сообщения, такой способ можно признать не алгоритме, разработанном компанией RSA Data более чем довольно хорошим по сравнению с Securirty, и приобретенном недавно компанией прочими методами.

Security Dynamics. В RSA используется технология, С другой стороны, нельзя не признать, что представляющая собой некое видоизменение серьезное достоинство PGP состоит в отсутствии основанного на равном доверии метода Data необходимости осуществлять управление Encryption Standard (DES). Этот метод был ключами — именно потребность в таком разработан примерно десять лет назад управлении и составляет основной недостаток Национальным институтом стандартов и асимметричных ключей.

технологий (National Institute of Standards and При работе с асимметричной моделью Technology) и используется до сих пор. Для каждый из пользователей имеет свой открытый каждой операции кодирования в DES ключ, который хранится таким образом, чтобы он генерируется случайный ключ (вместо повторного был доступен всем желающим. Тот, кто хочет использования одного и того же ключа).

послать зашифрованное сообщение, должен Специалисты шифровальщики утверждают, что воспользоваться открытым ключом получателя. RSA помогает решить ряд проблем (в частности, При декодировании сообщения получатель проблему доверия между отправителем и использует свой закрытый ключ. Закрытый ключ получателем), однако при этом возникает ряд отличается от открытого ключа, однако между новых затруднений.

ними существует определенная математическая Представим себе, что кто то хочет послать связь, так что расшифровать сообщение можно кодированное сообщение. Первым делом он только при использовании закрытого ключа.

должен сгенерировать (случайным образом) ключ и с его помощью зашифровать сообщение. Однако не зная этого ключа, никто не сможет 127 Ломаем и защищаем сети Ломаем и защищаем сети декодировать зашифрованное сообщение, поэтому Чтобы обеспечить безопасность сообщений, сам ключ DES тоже приходится кодировать с нужно решить две задачи: во первых, обеспечить помощью открытого RSA ключа получателя. конфиденциальность информации, а во вторых, Получатель затем декодирует DES ключ с добиться того, чтобы никто не совал в нее нос.

помощью закрытого RSA ключа. Несколько И тут на сцене появляется сертификат, тяжеловесно. RSA очень громоздок и работает называемый также электронной подписью.

очень медленно. DES организован весьма Сертификат можно уподобить электронному эффективно и работает быстро, однако он не паспорту: благодаря ему можно убедиться, что может обеспечить ту степень защиты, которую отправитель и получатель действительно являются можно получить при работе по асимметричной теми, за кого себя выдают.

модели.

Проблема тут в том, что техника не всегда RSA по прежнему остается одной из самых может обеспечить необходимый уровень доверия.

известных шифровальных технологий, однако, Пока мы работаем с нашей собственной бесспорно, в настоящее время используются и кабельной системой, мы вполне ей доверяем. А другие методы шифровки, основанные на что теперь? Допустим, некий сотрудник Daytona асимметричной модели.

Co. хочет обратиться к информационной системе Например, другие производители Chrysler Corp. через несколько сетей общего используют альтернативный метод кодирования пользования. О каком доверии тут может идти Диффи Хеллмана, носящий имя своих создателей. речь? Необходимо убедиться в том, что данное Этот метод представляет собой другую лицо действительно имеет право работать с математическую реализацию асимметричной соответствующими документами.

модели. Именно он используется в продукте При работе с сертификатами можно NetFortress (DSN).

использовать две схемы. Во первых, сертификаты может создавать и поддерживать сторонняя компания;

в частности, этим занимается VeriSign.

Глава 9: Скажи мне, кто ты Во вторых, любая компания сама может создавать Конечно, невозможно представить себе и поддерживать сертификаты, используя при этом, кодирование сообщений без использования например, продукт Entrust (Nortel), который к ключей. Нельзя, однако, не признать, что никакое тому же обеспечивает кодирование сообщений.

использование ключей не может помочь После того, как пользователь получает установить личность адресата сообщения.

сертификат, он может использовать его в качестве своей электронной подписи.

129 Ломаем и защищаем сети Ломаем и защищаем сети При получении документа с электронной Однако если от услуг сторонней подписью, адресат знакомится со всей организации будет решено отказаться, то информацией, содержащейся в сертификате;

к ней немедленно возникнет проблема, откуда вообще относится, в частности, имя отправителя, адрес возьмутся сертификаты.

отправителя и прочие данные, которые решено С точки зрения администраторов сетей, было включить в сертификат. Электронная работа с сертификатами тоже представляет подпись содержит также информацию о том, кто определенную проблему. Если не обращаться к выдал сертификат, когда истекает срок его услугам сторонних компаний, то работа по действия и какой уровень верификации управлению сертификатами приведет к установлен для данного сертификата.

существенному возрастанию административных Существуют сертификаты трех классов. Для накладных расходов, даже если пользоваться такой сертификатов первого класса проверяется программой, как Entrust, где заложены функции уникальность имени и правильность адреса управления. По большей части, сертификаты электронной почты, а также то, что получатель выдаются на определенный срок, например, на сертификата имеет право на доступ к данному год. Следовательно, кто то должен следить за их разделу электронной почты. Для второго класса мы продлением. Кроме того, необходимо следить за проверяется имя, адрес, номер водительского аннулированием сертификатов увольняемых удостоверения и полис социального страхования, а сотрудников и выдачей новых сертификатов также дата рождения. Для сертификатов третьего принимаемым на работу.

класса проверяются все вышеперечисленные данные и осуществляется поиск по базе данных Глава 10: И слово это — SMIME...

Equifax (информационное бюро по кредитам).

Дополнительная нагрузка на менеджеров Сертификаты незаменимы в деле информационных систем связана с тем, что в идентификации пользователей для всех настоящее время поднимается очередная волна организаций, озабоченных защитой данных.

выпуска новых протоколов, разрабатываемых Тем не менее, пользователи признают, что различными промышленными компаниями.

организация, вынужденная прибегать к Создаются многочисленные интерфейсы API, использованию шифровки и работе с охватывающие все области шифровальной сертификатами, может неодобрительно отнестись технологии.

к идее доверить работу с сертификатами В настоящее время наибольшей сторонней организации.

популярностью пользуются два интерфейса API.

131 Ломаем и защищаем сети Ломаем и защищаем сети Несмотря на то, что их часто называют SMIME предполагается включить в Microsoft стандартами, на деле это не более чем средства Exchange), Netscape и Qualcomm, производитель возможно более широкого распространения программного обеспечения для электронной почты технологии работы с ключами производства Eudora.

какой то определенной компании.

В результате этого, выбор SMIME в Тем не менее, производители, например, качестве протокола кодирования оказывается программ поддержки электронной почты, весьма привлекательным для производителей выстраиваются в очередь на получение лицензии программного обеспечения. Покупая продукты, на использование этих интерфейсов API. поддерживающие SMIME, или наборы инструментальных средств разработчика под В настоящее время ведутся работы над SMIME, они могут быть уверены, что будут в следующими четырьмя протоколами: Secure состоянии передавать информацию большому Multipurpose Internet Mail Extensions (SMIME), числу пользователей;

именно это и называется Multipart Object Security Standard (MOSS), новая стандартом де факто. Покупатели же других версия PGP, где допускается использование протоколов будут вынуждены вести беседу сами с асимметричной модели ключей, и протокол собой.

Message Security Protocol.

Тем не менее, SMIME в его теперешнем MOSS — это API для Министерства состоянии нельзя считать панацеей. Одна из его обороны, и его использование будет обязательным проблем состоит в том, что расписываться для всех правительственных организация и всех приходится на внешней стороне запечатанного частных компаний, ведущих дела с конверта. Кроме того, проблема состоит и в том, правительством.

что закодировав сообщение с помощью общего Но с коммерческой точки зрения более ключа получателя, отправитель уже не может сильными протоколами являются SMIME и PGP, вносить в него какие либо изменения.

Version 3.0. Их наборы функций больше подходят Разработчики SMIME еще не завершили для коммерческого сектора. В частности, в них работы над этим API, так что имеется надежда, имеется совместимость с более ранними версиями что эти недостатки будут устранены. Тем не менее, и более развитые функции управления ключами и представляется весьма маловероятным, чтобы сертификатами. Наиболее серьезные силы в проблемы были решены еще до того, как SMIME области передачи данных по Internet собрал под будет включен в состав ряда прикладных свои знамена протокол SMIME. За его программ.

плечами — компании Microsoft (поддержку 133 Ломаем и защищаем сети Ломаем и защищаем сети Даже несмотря на то, что целый ряд программное обеспечение, работающее с ключами серьезных проблем еще ожидает своего решения, длиной более 40 бит. В то же время, компании шифровка сообщений и сертификация других стран, например, Японии, могут свободно пользователей позволяют весьма существенным продавать технологии, где используются ключи образом усовершенствовать защиту данных, в длиной до 1024 бит.

особенности для тех организаций, которые Нельзя сказать, чтобы американское активно используют Internet или глобальные сети правительство полностью игнорировало проблему.

intranet. Такие организации не могут себе Вице президент Альберт Гор внес предложение о позволить дожидаться появления стандарта создании системы депонирования ключей, де факто.

согласно которому американские компании могут Те же, кто в состоянии ждать, в настоящее получить право экспорта ключей длиной свыше время заняты освоением новой технологии. Не бит только при выполнении определенного подлежит сомнению, что массовое внедрение условия. В соответствии с этим условием, копии шифровальных технологий уже началось. Те, кто всех ключей должны храниться у определенной игнорирует новую технологию, очень скоро сторонней организации, откуда они могут быть обнаружат, что их коммерческие секреты знает затребованы представителями закона.

любой ребенок.

Сенатский подкомитет по технике, науке и космосу выслушал целый ряд заявлений от производителей шифровальных технологий и Глава 11: Будет ли разрешен прочих экспертов. На самом деле, в обе палаты вывоз современных шифровальных Конгресса уже внесено несколько законопроектов, технологий?

предусматривающих смягчение запретов на экспорт. Все они предполагают отмену 40 битного Одним из главных препятствий на пути ограничения и устранение прочих запретов на широкого распространения являются строгие международное использование и разработку ограничения на вывоз шифровальных технологий, шифровальных технологий.

введенные федеральным правительством. По Руководство американских компаний с существу, шифровальная технология отнесена к большим нетерпением ждет принятия этих той же категории, что и боеприпасы.

законопроектов и выражает уверенность в том, что В соответствии с этими постановлениями, снятие ограничение повысит американские компании не имеют права конкурентоспособность американских экспортировать и устанавливать за границей производителей на международном рынке.

135 Ломаем и защищаем сети Ломаем и защищаем сети соединение при помощи телекоммуникационного Глава 12: Internet вне закона устройства, вслед за которым следует разговор, Выдержка из Акта о Телекоммуникациях исключительно с целью вызвать беспокойство 1996 года.

другого лица по вызываемому номеру или того, с кем установлено соединение или намеренно Любой, кто при межштатных или разрешает использование любого межгосударственных коммуникациях посредством телекоммуникационного устройства, находящегося телекоммуникационного устройства намеренно в его распоряжении или под его контролем будет производит, создает или подстрекает, а также оштрафован в соответствии с Законодательством инициирует передачу любого комментария, Соединенных Штатов или заключен в тюрьму просьбы, предложения, образа или другого сроком до двух лет, либо то и другое;

сообщения, являющегося непристойным, похотливым, сладострастным, грязным или Любой, кто при межштатных или нескромным, с намерением оскорбить, напугать межгосударственных коммуникациях намеренно или смутить другое лицо посредством использует интерактивную компьютерную службу телекоммуникационного устройства намеренно для посылки какому либо лицу или лицам, не производит, создает или подстрекает, а также достигшим 18 лет или использует любую инициирует передачу любого комментария, интерактивную компьютерную службу для просьбы, предложения, образа или другого размещения способом, доступным лицу, не сообщения, являющегося непристойным или достигшему 18 лет любого комментария, просьбы, нескромным, зная, что получатель сообщения не предложения, образа или другого сообщения, достиг восемнадцатилетнего возраста как при которое рисует или описывает в терминах открыто осуществлении автором такого звонка, так и при оскорбительных с точки зрения принятой в инициации передачи, производит телефонный обществе морали сексуальные или экскреторные звонок или использует телекоммуникационное действия или органы как в случае, когда устройство (независимо от того, состоялся ли пользователь такой службы производит звонок, так данный разговор или передача сообщений), не и в случае когда он инициирует передачу представившись, с целью досадить, оскорбить, сообщения или намеренно допускает напугать или смутить любое лицо по вызываемому использование телекоммуникационного номеру или того, кто получит сообщение;

устройства, находящегося в его распоряжении или непрестанно или регулярно звонит по телефону с под его контролем будет оштрафован в целью досадить любому лицу по вызываемому соответствии с Законодательством Соединенных номеру или постоянно звонит или устанавливает 137 Ломаем и защищаем сети Ломаем и защищаем сети Штатов или заключен в тюрьму сроком до двух Глава 13: На линии огня лет, либо то и другое.

Если компания выходит в Internet, то она Помимо других средств защиты, может быть уверена, что хакеры о ней не забудут.

предоставляемых законом:

Однако, если установить брандмауэр, сон Никакое лицо не может быть обвинено в администратора сети может стать спокойнее.

нарушении вышеуказанных подпараграфов за В старые добрые времена хозяева часто не предоставление доступа или соединения с/к запирали двери, когда ложились спать. Тогда устройством/ у, системой/ е или сетью/ и, угроза личной безопасности и собственности была имевшим место без ведома данного лица, включая минимальна.

передачу, загрузку по сети, промежуточное За прошедшие годы преступность получила хранение, программное обеспечение доступа или такое распространение, что даже жители тому подобные средства, а также произведенного небольших городков не защищены от опасностей случайно.

внешнего мира. Пусть эта угроза только...

потенциальна, большинство людей Ни один работодатель не несет предпринимают стандартные меры ответственности, определенной в данном предосторожности, запирая двери домов и параграфе, за действия служащего или агента, за гаражей, а некоторые даже устанавливают системы исключением случаев, когда деятельность сигнализации.

служащего или агента осуществляется с ведома его Нет никакого сомнения, что эта компании или агентства и работодатель знает о бдительность спасла бессчетное число людей от таком поведении, разрешает и поощряет такое попадания в сводки криминальных новостей.

поведение или халатно не обращает внимания на Аналогия может быть без труда распространена на такое поведение.

мир компьютеров и сетей, когда соединения с Билл Клинтон — президент США внешним миром делают всю систему открытой для атак извне.

В подготовке этого Акта принимал участие коллектив авторов Конгресса США.

В дни черно белого телевидения, когда сеть Internet еще не была бельмом на глазу Министерства юстиции, бал правили мэйнфреймы и закрытые протоколы передачи. Ввиду закрытости этих систем необходимость контроля и 139 Ломаем и защищаем сети Ломаем и защищаем сети защиты сетевого трафика не возникала. Однако входящий и выходящий из шлюза в Internet пакет ситуация изменилась с принятием TCP/IP в на наличие соответствующих прав. Брандмауэры качестве сетевой технологии и с ростом контролируют сетевой трафик на уровне как популярности Internet. Internet, так и Intranet и в некоторых случаях не только пропускают разрешенные пакеты, но и Переход к TCP/IP изменил парадигму:

предотвращают попытки взлома системы извне.

«частные сети со специально написанными приложениями больше не нужны для того, чтобы По словам Фарроу, брандмауэры имеют общаться друг с другом, — говорит Рик Фарроу, три важные особенности: первое — весь трафик независимый консультант из Internet Security должен проходить через одну точку;

Consulting. — Сегодня все сетевые приложения второе — брандмауэр должен контролировать и способны общаться друг с другом. Если ваша сеть регистрировать весь проходящий трафик и с компьютерами и серверами использует открытые третье — платформа брандмауэра должна быть сетевые технологии, то вы должны приглядывать неприступна для атак.

за входной дверью, т.е. за соединениями с Рынок брандмауэров возник только в начале другими».

90 х, хотя такие компании, как Digital Equipment и С открытием доступа из сети в Internet для Cisco Systems, включали аналогичные технологии в работы с электронной почтой, World Wide Web и свои продукты и раньше. В 1992 г. технология такими сервисами, как telnet и ftp, любой абонент брандмауэра вступила в пору расцвета;

с этого Internet может, в принципе, получить доступ к момента рынок просто изобилует разнообразными этой сети с непредсказуемыми последствиями. продуктами.

Точно так же, как хозяева вынуждены Широкое развертывание брандмауэров запирать двери в своих домах, компании должны началось год полтора назад. В прошлом году защищать сетевые ресурсы от посторонних. только где то около 20% компаний приняли на вооружение эту технологию. Сегодня только 20% ее не применяют.

Глава 14: Смените замки С выходом компаний в Internet они Любой более или менее серьезный план начинают испытывать потребность в защите своих защиты внутренней сети от плохих парней в сетевых ресурсов от атак извне.

Internet не может обойтись без брандмауэра.

Брандмауэры часто сравнивают с охранниками:

они стоят на входе в сеть и проверяют каждый 141 Ломаем и защищаем сети Ломаем и защищаем сети разработки Checkpoint Software Technologies в свои Глава 15: Идите своим путем продукты. Все маршрутизаторы имеют списки С началом объединения территориально доступа — базовый механизм, при помощи разбросанных локальных сетей маршрутизаторы которого маршрутизатор определяет, какие пакеты стали необходимым инструментом при передаче могут входить и выходить из сети. Однако этот трафика локальной сети в глобальную сеть для метод не столь надежен, как оснащение доставки в другую локальную сеть.

маршрутизатора всеми функциями брандмауэра.

То, что Firewall 1 выполняется маршрутизатором Маршрутизаторы занимают важное место в Bay Networks, означает — покупать отдельный большинстве сетевых сред, однако они не в продукт для выполнения функций брандмауэра не состоянии обеспечить безопасность системы.

нужно.

В отличие от большинства типов брандмауэров маршрутизаторы не имеют надежных средств протоколирования. Как таковые Глава 16: Фильтрация донизу маршрутизаторы достаточны для компаний, Фильтры пакетов производят оценку данных пользующихся только базовыми услугами Internet на основе IP информации, содержащейся в типа электронная почта. Но если компания заголовке пакета, а точнее, адреса отправителя и расширяется, создает филиалы и начинает получателя пакета. Фильтр не только считывает пользоваться более сложными услугами или IP заголовок пакета, но и сопоставляет предоставлять удаленный доступ, то обычный полученную информацию со списком правил маршрутизатор оказывается не в состоянии фильтрации для разрешения или запрещения обеспечить защиту.

передачи пакета.

Однако при добавлении функций Правила фильтрации содержат такие поля, маршрутизатор может действовать как фильтр как IP адрес, тип протокола, номер порта пакетов, т.е. служить в качестве одного из самых отправителя и номер порта получателя.

типичных брандмауэров. В самом деле большинство фильтров пакетов реализуется на Фильтры пакетов анализируют приходящие базе маршрутизаторов. IP пакеты и пропускают или не пропускают их в зависимости от предопределенного списка правил Среди них продукты Cisco Systems и фильтрации.

Livingston Enterprises.

Фильтры пакетов прежде, чем разрешить Такой гигант, как Bay Networks, заявил, что пакету продолжение его предполагаемого он собирается внедрить код брандмауэра 143 Ломаем и защищаем сети Ломаем и защищаем сети маршрута, сравнивают эти характеристики с достигнет отправителя пакета, и сеанс не получит предопределенным значением. продолжения. Динамическую фильтрацию пакетов поддерживают продукты типа WatchGuard Security В целом фильтры пакетов представляют System компании Seattle Software Labs и наименее дешевые решения для брандмауэра, но, BorderWare Firewall Server компании Secure благодаря своему умению проверять пакеты Computing (данный продукт был приобретен различных протоколов, они являются и наиболее Secure вместе с компанией Border Network гибкими. Кроме того, фильтры работают быстро, Technologies из Торонто).

поскольку они просто просматривают информацию о пакете при принятии решения. Но Seattle Software Labs, Cisco и CheckPoint фильтры пакетов имеют несколько существенных Software Technologies поддерживает также недостатков: они не в состоянии отслеживать технологию преобразования сетевого адреса. Эта конкретный сетевой сеанс и не в силах технология обеспечивает обычную фильтрацию предотвратить атаки с имитацией IP адресов. пакетов с искажением. При прохождении пакета через брандмауэр его IP адрес заменяется на один Имитация IP адресов имеет место, когда из пула адресов. Такая замена позволяет скрыть хакер присваивает себе IP адрес законного внутренние адреса от злоумышленника за пользователя — зачастую внутренний адрес того, пределами сети. Другие типы брандмауэров, кто имеет доступ к ресурсам. А так как фильтры например шлюзы уровня приложения и шлюзы пакетов просматривают информацию об IP адресе, уровня канала, имеют эту возможность по то они допускают пакет с разрешенным адресом в умолчанию.

сеть вне зависимости от того, откуда инициирован сеанс и кто скрывается за адресом. Если хакер Когда дело касается протоколирования узурпирует внутренний адрес, то результаты могут сетевого трафика, продукты, содержащие только быть поистине разрушительными. фильтры пакетов, оказываются сплошь и рядом не в состоянии выполнить эту задачу, вследствие чего Однако усовершенствованная версия администраторы не могут определить, что их сеть фильтрации пакетов, известная как динамическая была взломана.

фильтрация пакетов, позволяет анализировать адрес, с которого некто пытается осуществить Сети, имеющие несколько точек доступа доступ, и производит ping для проверки этого извне, или сети, содержащие чрезвычайно важную адреса. информацию, наряду с фильтрами пакетов должны, вообще говоря, использовать другие Очевидно, если злоумышленник использует продукты. Робин Хатчинсон, менеджер по внутренний IP адрес компании извне, то ping не продуктам в Secure Computing, объясняет:

145 Ломаем и защищаем сети Ломаем и защищаем сети Маршрутизатор с фильтром пакетов защитит разве Обнаружив сетевой сеанс, шлюз что от 11 летнего хакера;

любой, кто захочет приложений останавливает его и вызывает проникнуть в сеть, сможет это сделать. уполномоченное приложение для оказания запрашиваемой услуги, допустим telnet, ftp, World Wide Web или электронная почта. Инициировав Глава 17: Помоги себе сам уполномоченный сеанс, брандмауэр по существу ограничивает доступ к определенным Фильтры пакетов заняли свое место в приложениям. Многие шлюзы приложений системе безопасности сети. Поскольку фильтры предоставляют также уполномоченных для HTTP, пакетов обеспечивают высокую Network News Transfer Protocol (протокол для производительность при низкой цене, они хорошо управления группам новостей Usenet), Simple Mail подходят для обслуживания нужд безопасности Transfer Protocol и SNMP. Некоторые продукты, внутри сети. Организация может разбить сеть на например Gauntlet компании Trusted Information сегменты и установить брандмауэр в каждом из Systems, поддерживают помимо вышеупомянутых них, отделив, например, бухгалтерскую систему от сервисов и такие как rlogin, TN3270, POP 3, системы отдела кадров.

gopher, X Window, finger и whois.

Однако компаниям, которым нужен По большей части популярные брандмауэры надежный страж, следует задуматься об установке представляют собой шлюзы приложений, хотя они шлюзов приложений, развивающих идею осуществляют также фильтрацию пакетов и другие фильтрации пакетов. Вместо анализа IP адресов функции. По самой своей природе шлюзы пакетов такие шлюзы анализируют их на уровне приложений имеют много преимуществ над приложений. Часто шлюзы приложений фильтрами пакетов. Они выполняются на используют уполномоченное приложение для стандартном оборудовании, в частности на создания отдельного сеанса. В отличие от фильтра рабочей станции Unix, имеющей больше, чем пакетов, этот сеанс не допускает прямого маршрутизатор, возможностей настройки. Raptor соединения между двумя сетями, функционируя Systems выпустила Eagle NT, первый брандмауэр как посредник для трафика пакетов.

на базе Windows NT, с помощью которого Шлюзы приложений следят за пакетами на администраторы сетей могут сконфигурировать уровне приложений и инициируют надежную защиту без знания Unix. С тех пор уполномоченный сеанс, а не устанавливают такие компании, как CheckPoint и NetGuard, прямое соединение между внешним миром и также выпустили программные брандмауэры для внутренней сетью.

Windows NT.

147 Ломаем и защищаем сети Ломаем и защищаем сети Ввиду того, что шлюзы приложений действуют аналогично транслирующей программе, функционируют на уровне приложений, контроль получая пакеты от одного хоста и передавая их доступа может быть отрегулирован значительно другому.

точнее, нежели в случае фильтров пакетов. Однако Такая схема менее надежна, чем в случае одним из недостатков такого подхода является то, шлюза приложений, поскольку пакеты что поток трафика существенно замедляется, анализируются на сеансовом (пятый уровень поскольку инициация уполномоченного сеанса модели OSI), а не на прикладном уровне (седьмой требует времени. Многие шлюзы приложений уровень модели OSI). Кроме того, шлюзы уровня поддерживают скорости вплоть до уровня Т 1, но, канала упрощают задачу инициирования если компании развертывают несколько внутренним пользователям незаконного сеанса.

брандмауэров или число сеансов увеличивается, Шлюзы уровня канала редко применяются в заторы становятся настоящей проблемой.

автономных устройствах, однако если они Шлюзы приложений, кроме того, требуют используются совместно со шлюзами приложений, отдельного приложения для каждого сетевого то такой брандмауэр более надежен.

сервиса. Брандмауэры, не имеющие соответствующего приложения, не позволят Глава 18: Виртуальное соединение осуществить доступ к данному сервису. С технической точки зрения, это означает, что при Обычно локальные сети связывают друг с появлении новой версии какого либо приложения другом при помощи глобальной сетевой службы, она должна быть загружена на брандмауэр.

например арендованной линии или других CheckPoint решила эту проблему следующим выделенных средств для обеспечения надежного образом: заказчики могут скачать с узла Web соединения между двумя точками. Для многих компании макросы с поддержкой последних компаний плата в тысячи долларов за выделенные редакций популярных приложений.

линии ложится тяжелым бременем на общий бюджет ИТ. Однако, развернув виртуальную Другой тип брандмауэров, шлюзы уровня частную сеть (VPN), компании могут создать канала, напоминает шлюзы приложений за тем соединение между брандмауэрами без исключением, что уполномоченный сеанс дополнительных расходов на Т 1 или другие организуется на уровне TCP (или UDP), а не на выделенные линии. Получить надежное уровне приложения. Приложение выполняется не соединение по Internet можно посредством на брандмауэре, а в настольной системе кодирования проходящей по каналу VPN внутреннего пользователя. Шлюзы каналов информации.

располагаются на хостах и как таковые они 149 Ломаем и защищаем сети Ломаем и защищаем сети BorderWare Firewall Server 4.0 позволяет Отдел бизнес приложений для Internet передавать информацию через Internet по компании NEC Technologies продемонстрировал шифрованным каналам с применением закрытых VPN с протяженностью от США до Японии.

и открытых ключей. Продукт обеспечивает Ввиду того, что многие стандарты шифрования шифрование по алгоритму RSA Data Security, запрещены к экспорту из США, в демонстрации стандарт шифрования данных DES с NEC использовала шифрование DES и Triple DES 56 разрядным ключом, Triple DES в три раза более на конце канала в Сан Хосе и японскую версию мощный, нежели DES, и стандарт шифрования DES на конце канала в Токио.

RC5.

Сеть VPN может применяться не только для Eagle 4.0 компании Raptor Systems также связи между двумя офисами. Часто мобильному поддерживает VPN с возможностью фильтрации или удаленному пользователю нужен аналогичный внутри канала VPN. уровень защиты и надежности при обмене информацией или доступе к сервисам Internet.

Обычно канал открыт для всех протоколов, CheckPoint Software использует клиентское но Eagle может пропускать только указанные программное обеспечение шифрования, благодаря приложения. Например, сеансы telnet могут быть чему удаленные пользователи имеют возможность запрещены, а электронная почта и World Wide инициировать надежное соединение либо через Web разрешены. Раньше все сервисы необходимо коммутируемые линии, либо через Internet.

было разрешать или запрещать одновременно, теперь же некоторые функции можно блокировать CheckPoint FireWall 1 SecuRemote работает с по выбору. Firewall 1. Вместе они позволяют мобильным или удаленным пользователям осуществлять Соединения через виртуальную частную защищенную передачу данных и применять сеть, менее дорогие, чем выделенная линия, сервисы Internet, даже когда прямой защищенный работают, только если на обоих концах канала канал с главным офисом невозможен. При установлены брандмауэры одного и того же установке на портативную или другую удаленную поставщика. При установке нескольких машину SecuRemote дает возможность позвонить брандмауэров неполное взаимодействие их между по локальному номеру Internet вне зависимости от собой может вызвать проблемы. Однако местоположения пользователей, инициировать поставщики брандмауэров, и не только они, соединение VPN, отправить и получить стремятся выработать стандарты, чтобы заказчики шифрованную информацию.

получили свободу выбора, а узлы взаимодействовали друг с другом без проблем.

151 Ломаем и защищаем сети Ломаем и защищаем сети Централизованное управление вызывает Глава 19: Все вместе определенные заботы. До сих пор люди Вполне вероятно, что в течение ближайшего присматривались к брандмауэрам в целях времени большинству компаний будет нужен ознакомления с технологией. Теперь заказчики только один брандмауэр.

готовы к широкому развертыванию брандмауэров, но их больше интересует возможности управления Однако потребность в брандмауэрах продуктом, нежели его непосредственные возрастает с ростом числа филиалов. Но тогда, как функции.

администраторы сетей смогут управлять несколькими брандмауэрами? К счастью, многие Многими сетевыми устройствами, такими популярные брандмауэры имеют компонент как концентраторы, коммутаторы и другие управления или консоль.

ресурсы, можно управлять с централизованной панели управления, например HP OpenView или Например, Raptor разработал консоль Spectrum компании Cabletron. В потенциале управления безопасностью Security Management брандмауэры могут также быть включены в эту Console для мониторинга, анализа и управления систему. Если брандмауэров несколько, то они безопасностью предприятия. Raptor выпустила должны управляться централизованно. Многим недавно несколько компонентов для консоли, компаниям это пока еще не нужно, но нет включая Eagle Netwatch 1.1, трехмерный монитор сомнений в том, что с ростом спроса безопасности с возможностью составления централизованное управление появится и в отчетов;

Security System Adminis tration, продуктах типа SideWinder. Другие компании, автоматически предупреждающий консоль при включая Raptor, намереваются осуществить обнаружении подозрительных действий;

продукт интеграцию будущих редакций своих под названием Internet Scanner разработки Internet брандмауэров с ведущими продуктами управления.

Security Systems с базой данных с 135 имитациями атак хакеров для тестирования защиты выбранных Но, поскольку безопасность — это IP адресов.

совершенно другой коленкор в сравнении с управлением традиционными сетевыми Secure Computing, производящая помимо устройствами, появление отдельной системы BorderWare Firewall Server брандмауэр Sidewinder, управления безопасностью вполне возможно.

встроила управление брандмауэром на базе Web в Предприятия вынашивают концепцию отдельной свой продукт BorderWare;

для удаленного консоли для системы безопасности. Заказчики управления с шифрованием канала продукт устанавливают отдельные консоли, потому что они пользуется средствами Netscape Navigator и Java.

153 Ломаем и защищаем сети Ломаем и защищаем сети хотят иметь независимую структуру для NT в качестве платформы. По мере усложнения и обеспечения всех потребностей защиты. развития рынка мелкие поставщики будут наверняка вытеснены, если у них не будет Такой подход может даже привести к солидного продукта. Поставщикам никак не созданию независимой команды, отвечающей за прожить с продуктом, у которого ограниченный конфигурацию, администрирование и управление набор возможностей.

защитой.

Благословенные 50 е никогда не вернутся, но с продуманным планом защиты мы можем Глава 20: В начале большого пути чувствовать себя в безопасности, как и в те времена.

Рынок брандмауэров находится на начальной стадии своего формирования, но они Подавляющая часть мелких и средних тем не менее уже нашли свою нишу среди компаний с присутствием в Internet имеет только компаний с соединениями вовне. Исследование один брандмауэр для обслуживания потребностей рынка на предмет использования брандмауэров защиты. Если даже они приобретут еще один, то выявило 10 важных поставщиков, работающих в наверняка он окажется от того же поставщика, что этой области. В настоящее время около и предыдущий. Ввиду того, что продукты защиты компаний соперничают друг с другом за этот покупались в основном у одного поставщика, кусок рыночного пирога. По мере созревания потребность во взаимодействии брандмауэров рынка и роста конкуренции изменения должны различных поставщиков друг с другом не наверняка затронуть несколько уровней. Рынок возникала.

развивается с умопомрачительной скоростью, и Однако с установкой организациями под давлением конкуренции компании проявляют множества брандмауэров в штаб квартирах, всю свою изобретательность для добавления новых филиалах и удаленных узлах дать гарантию возможностей в свои продукты.

единства происхождения продуктов из одного Эти новые разработки включают поддержку источника стало невозможно. Осознав эту таких приложений, как RealAudio, для ситуацию и следуя по стопам RSA Data Security, обеспечения защищенной радиопередачи, Internet несколько поставщиков брандмауэров предложили Phone, усовершенствованной аутентификации с стандарт для шифрования и аутентификации на помощью аппаратных ключей сторонних уровне IP в целях обеспечения защищенного поставщиков типа Security Dynamics и Digital обмена данными вне зависимости от того, кем Pathways, а также топологий Token Ring и данный брандмауэр произведен. Группа 100Base T. Кроме того, они опираются на Windows инженерной поддержки Internet опубликовала 155 Ломаем и защищаем сети Ломаем и защищаем сети стандарт IPSec, благодаря которому брандмауэры то слабых мест найдется не больше, чем два различных поставщиков могут работать друг с десятка, если же опускаться до конкретики другом. С его реализацией пользователи могут каждого аппаратно программного решения, их безопасно обмениваться данными через будут уже сотни.

IPSec совместимые брандмауэры.

При сбалансированном подходе правде Продукты, поддерживающие IPSec уже положено лежать где то посередине, поэтому, сейчас или в ближайшем будущем, включают наверное, можно согласиться с оценкой Internet Connection Secured Network Gateway 2.2 специалистов компании Internet Security Systems, компании IBM, Eagle 4.0 компании Raptor считающих, что в любой сети, основанной на Systems, Firewall 1 компании Checkpoint Software и протоколе TCP/IP, существует около BorderWare Firewall Server 4.0 компании Secure потенциальных лазеек для хакеров. Заметим, речь Computings. идет именно о TCP/IP. Если сервер в имеющей выход в Internet сети работает под Novell NetWare, применяющей протокол IPX/SPX, и к тому же у Глава 21: Дырявая сеть него даже нет IP адреса, то дотянуться до него злоумышленник попросту не сможет. Не стоит, Вследствие роста темпов развития Internet в думается, называть взлом такой сети абсолютно России защита данных в сетях Internet/Intranet невозможным, но без серьезной помощи изнутри приобретает не меньшую, чем на Западе, организации проникнуть в сеть точно не удастся.

актуальность.

Если же TCP/IP — базовый протокол Вы уверены, что сеть защищена на 100%?

корпоративной сети (что, как правило, следует из Вследствие изначального отставания, использования Unix систем, входящих в группу отечественный сетевой бизнес миновал ряд риска), то ее уязвимость многократно возрастает.

детских болезней Internet (не ходили со всеми в Самые незащищенные конфигурации сетей имеют, детский сад и ветрянкой не болели), но тем не прежде всего, крупные компании — наиболее менее проблема защиты данных Internet до сих вероятная жертва происков мошенников. Правда, пор воспринимается многими довольно даже структурно небольшие организации рискуют абстрактно.

конфиденциальной информацией, если в качестве Сколько же потенциально уязвимых мест у магистрали глобальной сети они применяют сетей, подключенных к Internet или, употребляя Internet. При необходимости в такой магистрали более корректную формулировку, использующих компании с небольшим бюджетом обращаются в службы и сервисы Сети? Если сильно обобщать, первую очередь к Internet, как к готовому 157 Ломаем и защищаем сети Ломаем и защищаем сети недорогому решению, и сталкиваются с английском языке приблизительно равно незащищенностью открытых систем. (во всяком случае, столько их в Большом англо русском словаре). Безусловно, администратор может обнаружить следы Глава 22: Ключ под ковриком многократных исполнений команды login с определенного IP адреса, но не факт, что по этому В недалеком будущем протокол TCP/IP и адресу он сумеет найти злоумышленника.

разновидности Unix, точнее, их сетевые разделы, станут более защищенными, но пока нам Впрочем, мы забегаем вперед. Вернемся к приходится пожинать плоды того, что при их паролям: при всей своей простоте прямой перебор разработке никто и не задумывался толком, какие слишком легко фиксируется и может быть тут же проблемы могут возникнуть в будущем, то есть пресечен, но арсенал взломщика им не сегодня. Какое же наследие старорежимных исчерпывается. Предположим, удаленный времен мешает нам жить?

пользователь, человек или программа, через telnet или ftp удаленно регистрируется в сети — что из Главным образом — это недостатки системы этого следует? То, что имя пользователя и его аутентификации пользователей. Лично мне не так пароль открытым текстом пропутешествуют через давно (без злого умысла, по необходимости) Internet. Отслеживание IP пакетов, идущих на удалось подобрать чужой пароль вручную. Я имел конкретный адрес, позволяет получить реквизиты представление, какие именно слова может зарегистрированного пользователя, правда, использовать мой коллега, и, применив метод перехват трафика — методика далеко не Бивиса и Батт Хэда, угадал с первой попытки.

тривиальная и требует реализации Конечно, простой перебор отнял бы у вас соответствующих условий, о чем еще пойдет речь.

вечность, но программе хватит и нескольких часов. У хакера есть возможность запустить Итак, пароль одного из пользователей у программу, делающую одну за другой попытки нас... то есть, мы хотели сказать, в руках у войти в сеть через telnet, и не исключено, что он взломщика. Если перехвачен пароль добьется успеха, поскольку при довольно администратора, то ключ от квартиры, где деньги скромных ресурсах компьютера, на котором лежат, уже в кармане, и остальное — дело запускается программа взломщик, можно времени. Но даже если получена возможность производить до 1000 попыток регистрации в всего лишь легально зарегистрироваться в системе минуту, что составит 1152000 паролей в день. Для под именем первого попавшегося пользователя, то сравнения скажем, что, например, количество добиться можно очень и очень многого.

более менее общеупотребительных слов в Во первых, этот первый попавшийся пользователь 159 Ломаем и защищаем сети Ломаем и защищаем сети может иметь доступ к ценной корпоративной Да да, не удивляйтесь, они продаются на информации;

во вторых, даже если это не так, совершенно легальной основе, как инструменты у него есть доступ к одному важному сетевых администраторов для проверки файлу — файлу паролей. надежности системы паролей. Администратор может найти слабый пароль до того, как это Все пароли в системе Unix лежат в сделает кто нибудь другой, и принять зашифрованном виде в одном файле, доступном соответствующие меры, под которыми для чтения простым пользователям.

подразумевается воспитательная работа с Многочисленные программы взлома позволяют пользователями (урезание бюджета, например) с извлечь из файла все пароли, в том числе и пароль последующей сменой пароля.

root — все тот же ключ от квартиры. В Windows NT, правда, такой открытости нет, но тем не Если пароль состоит из 10 символов, то при менее если незваный гость закрепится на одном приведенной выше производительности узле сети, то проникнуть дальше вглубь сети ему программы взломщика на перебор всех возможных уже проще. вариантов уйдет порядка двух миллиардов дней или трех миллионов лет. Поэтому методу атаки в Распространенный метод сбора лоб можно противостоять простыми конфиденциальной информации — запуск на организационными мероприятиями. Куда опаснее инфицированных рабочих станциях программ, упомянутое вскользь прослушивание IP пакетов.

считывающих ввод с клавиатуры. Эта методика дает шанс получить другие пароли, используемые в системе.

Глава 23: И у стен есть… носы Кое кто, возможно, уже удивился легкости, Если пользоваться английской с которой наш гипотетический злоумышленник терминологией, то IP пакеты (и сеть вообще), не расправляется с паролями. Но тому есть прослушивают, а пронюхивают.

сразу два объяснения: с одной стороны, Соответствующие программы так и методика взлома основывается на том называются — снифферы (sniffer — буквально допущении, что люди выбирают, как правило, нюхач). Снифферы распространяются как в среде легко запоминаемые пароли, а с другой хакеров, так и на коммерческой основе. Тут, стороны, программы взломщики системных кстати, прослеживается традиция: точно так же паролей распространяются не только профессиональный слесарный инструмент может с хакерами любителями, но и фирмами, равным успехом применяться как мастерами, так и занимающимися профессиональной медвежатниками.

разработкой ПО.

161 Ломаем и защищаем сети Ломаем и защищаем сети Технология вынюхивания все время Обладая достаточной квалификацией, совершенствуется, и, не останавливаясь подробно злоумышленник может заставить соединение на истории ее развития, посмотрим, на что существовать даже после того, как пользователь способны самые продвинутые и, соответственно, прекратит работу. В сочетании со способностью самые опасные снифферы. программы прерывать TCP соединения это приводит к следующему возможному сценарию Самый яркий представитель последнего атаки. Взломщик, образно говоря, сидит на поколения слухачей (назовем их по русски соединении, но пока не может зарегистрироваться так) — это IP Watcher.

на конкретной станции. Он прерывает Отличительными чертами программы соединение, что, с большой степенью вероятности, является наличие пользовательского интерфейса, приводит к повторной регистрации пользователя позволяющего выборочно отслеживать любые и, соответственно, перехвату пароля. На период потоки пакетов, и, главное, примененная в ней времени укоренения на станции сниффер может технология активного сниффинга, позволяющего временно отсечь возможность удаленного взаимодействовать с сетевыми соединениями. Под мониторинга администраторами, происходящего взаимодействием в данном случае подразумевается на станции.

прерывание или даже захват активных соединений.

Наконец, перекрыв все сетевые соединения Захват законного соединения возможен на данной рабочей станции, атакующий даже при использовании в сети системы вынуждает пользователя обратиться за помощью к одноразовых или же зашифрованных паролей.

администратору. Наиболее вероятный Проникновение в систему при этом не только результат — администратор, пытаясь установить упрощается, но и становится практически возможные причины сбоя сети, зарегистрируется незаметным: взломщик, по сути дела, лишь на станции, и его пароль будет перехвачен. Очень разбавляет поток пакетов (что избавляет его от похоже на кадры из фантастического боевика, с необходимости подделывать свой IP адрес в той только разницей, что все сделанные случае фильтрации системой входящих допущения не выходят за рамки сегодняшней пакетов по этому признаку). Пользователь реальности.

заметит только некоторое замедление сети, что Возможность выборочного отслеживания свяжет с перегрузкой трафика или проблемами трафика позволяет IP Watcher собирать связи, а сервер, естественно, это никак не практически любую информацию, передаваемую в воспримет.

сети. Он может, во первых, перехватывать все ту же удаленную регистрацию пользователей, и, 163 Ломаем и защищаем сети Ломаем и защищаем сети во вторых, либо перехватывать файлы, Главным при захвате является возможность записываемые на сервер после обработки на прослушивания соответствующего трафика, для рабочей станции, либо перехватывать изменения, чего, как мы уже говорили, требуется реализация вносимые пользователем в случае архитектуры определенных условий. Internet — это не клиент сервер. Выборочное отслеживание трафика широковещательная сеть (иначе сегодняшний оказывается и хорошим средством защиты от трафик ее бы просто похоронил), а посему обнаружения. Если администратор подозревает, перехват чужих пакетов возможен, только когда что в системе работает сниффер, он ищет взломщик по чистой случайности находится в результат его деятельности, т.е. особо крупные одном сегменте с жертвой — раз;

когда взломщик файлы с записью перехваченного трафика. В действует на уровне провайдера — два;

когда случае IP Watcher вместо всего, что гуляет по сети, подключение к трафику происходит на уровне записывается только необходимый минимум кабельных соединений — три. Последние две информации — это позволяет программе довольно ситуации — безусловно исключительные, но долго скрывать свое присутствие. криминальным структурам и некоторым государственным органам они вполне по плечу.

Думается, нам удалось обосновать свое утверждение о том, что активный сниффинг на Итак, предположив, что на двух концах сегодняшний день — самая передовая технология соединения находятся клиент и сервер, примем обхода многих устоев протокола TCP/IP. следующую систему обозначений:

SVR_SEQ — порядковый номер очередного байта, посылаемого сервером;

Глава 24: Методика захвата SVR_ACK — следующий байт, который соединения TCP/IP получит сервер (порядковый номер Возможность захвата соединения — это предыдущего байта + 1);

врожденный недостаток протокола TCP/IP.

SVR_WIND — окно приема сервера;

Правда, сей недостаток представляет не только CLT_SEQ, CLT_ACK, CLT_WIND — это инструмент для проникновения в чужую сеть, но и аналогичные величины для клиента.

дополнительные средства управления и мониторинга потоков IP пакетов, и, несомненно, Введем также обозначения для полей знание этого механизма будет нелишним. заголовка пакета TCP:

Ознакомимся с упрощенной моделью захвата SEG_SEQ — порядковый номер пакета;

соединения, оговорив начальные условия.

165 Ломаем и защищаем сети Ломаем и защищаем сети SEG_ACK — ожидаемый порядковый номер Получив этот пакет, сервер подтверждает следующего принимаемого байта;

порядковый номер клиента, посылает свой собственный начальный номер и устанавливает SEG_FLAG — набор контрольных битов бит SYN:

пакета.

SEG_SEQ = SVR_SEQ_0, Перечисленные параметры связаны между SEQ_ACK = CLT_SEQ_0+1, собой следующим образом:

SEG_FLAG = SYN, всегда затем сервер задает CLT_ACK Ј SVR_SEQ Ј CLT_ACK+CLT_WIND SVR_ACK= CLT_SEQ_0+1.

и Получив этот пакет, клиент подтверждает SVR_ACK Ј CLT_SEQ Ј SVR_ACK+SVR_WIND;

порядковый номер сервера:

SEG_SEQ = CLT_SEQ_0+1, как правило (при прямом соединении) SEQ_ACK = SVR_SEQ_0+1, SEG_SEQ = CLT_SEQ и устанавливает и CLT_ACK = SVR_SEQ_0+1, SEG_ACK = CLT_ACK.

переходя в состояние установленного Теперь предположим, что установлено соединения.

соединение TCP/IP.

По получении этого пакета на стороне Установление соединения TCP/IP сервера соединение также приходит в состояние Процесс установления соединения, в установлено. В итоге мы имеем:

предположении, что оно инициируется клиентом CLT_SEQ = CLT_SEQ_0+ при отсутствии обмена информацией, потерях CLT_ACK = SVR_SEQ_0+ пакетов и т.д., проходит следующим образом.

SVR_SEQ = SVR_SEQ_0+ Перед установлением соединение на SVR_ACK = CLT_SEQ_0+ стороне клиента находится в закрытом состоянии, из чего следует, что а на стороне сервера — в состоянии ожидания.

SVR_SEQ=CLT_ACK Клиент сперва посылает свой начальный и порядковый номер и устанавливает бит SYN:

CLT_SEQ=SVR_ACK.

SEQ_SEQ = CLT_SEQ_O, SEG_FLAG = SYN.

167 Ломаем и защищаем сети Ломаем и защищаем сети После установления соединения пакет (2) CLT_SEQ SVR_ACK + SVR_WIND принимается сервером или клиентом, если его порядковый номер укладывается в интервал или CLT_SEQ SVR_ACK [XXX_ACK,XXX_ACK+XXX_WIND], пакет отбрасывается, а данные теряются.

где XXX — это SVR или CLT соответственно. Соединение прерывается после И в том и в другом случае обмен данными, выставления флагов RST (получатель обрывает даже если соединение не прерывается, соединение немедленно) или FIN (получатель невозможен.

приступает к процедуре его постепенного Предполагаемая атака основывается на закрытия).

приведении обоих концов соединения в десинхронизированное состояние, что прерывает Атака соединения обмен данными между ними, и создании пакетов, Если два последних равенства перестают мимикрирующих под оригинальные, естественно выполняться, то соединение (обмен данными в таких, которые удовлетворяют текущему нашей модели отсутствует) переходит в состоянию на соответствующем конце соединения.

десинхронизированное состояние. При отсутствии Предположим, сеанс TCP/IP передачи информации такое состояние может десинхронизирован, а клиент продолжает слать оставаться стабильным сколь угодно долго. Если пакеты, у которых же передача начинается, то возможны две SEG_SEQ = CLT_SEQ, ситуации:

а (1) SEG_ACK = CLT_ACK.

CLT_SEQ SVR_ACK + SVR_WIND Пакеты, вследствие нарушения все тех же и равенств, отбрасываются. Атакующий меняет CLT_SEQ SVR_ACK SEG_SEQ и SEG_ACK (корректируя при этом информация принимается для дальнейшего контрольную сумму), чтобы они были равны использования, но не посылается пользователю, SVR_ACK и SVR_SEG соответственно.

поскольку начало потока (под номером SVR_ACK) Фактически получается, что взломщик потеряно;

пропускает трафик через свою машину — это дает ему возможность по своему усмотрению добавлять 169 Ломаем и защищаем сети Ломаем и защищаем сети и удалять пакеты. Эффект таких действий описан примера рассмотрим десинхронизацию на стадии выше. установления соединения. Метод заключается в прерывании соединения со стороны сервера на Как же атакующий добивается ранней стадии и установлении нового соединения десинхронизации? Самый простой метод — десинхронизация при помощи пакетов с Взломщик высматривает пакет SYN/ACK, отсутствием данных. Клиент и сервер идущий от сервера к клиенту (второй этап забрасываются большим количеством пакетов. установления соединения).

Посылаемая информация не будет ими Обнаружив этот пакет, он посылает серверу воспринята, но приведет к рассогласованию пакет с флагом RST, затем пакет, аналогичный порядковых номеров на обоих концах. Если перехваченному по параметрам (порт TCP), но с атакуемый сеанс TCP/IP допускает пересылку другим номером последовательности, в пакетов с информацией нулевой длины, то этот дальнейшем обозначаемым как ATK_ACK_0.

метод самый удобный, хотя его применение может Получив RST пакет, сервер прерывает повлечь за собой ряд непредсказуемых эффектов.

первое соединение. Получив следом от В частности, особенно сильно проявится одно из атакующего SYN пакет, он, используя тот же последствий любой десинхронизации — ураган из самый порт, откроет новое соединение c ACK пакетов. Суть этого стихийного явления в измененным номером последовательности том, что отброшенные ACK пакеты влекут (SVR_SEQ_0') и пошлет клиенту пакет SYN/ACK.

за собой генерирование все новых и Определив это, атакующий посылает ему новых — процесс замыкается в петлю или, если свой ACK пакет и тем самым переводит сервер в угодно, в воронку урагана.

состояние установленного соединения.

К счастью (или же к несчастью — как Клиент, получив пакет от сервера, также хотите), поддержка TCP соотношения потерь переходит в состояние установленного ненулевых пакетов приводит рано или поздно к соединения.

разрыву петли. Таким образом, процесс саморегулируется и поддерживает избыточный Очевидно, что основные равенства не трафик на определенном уровне, не давая ему выполняются, и соединение оказывается захлестнуть сеть. Наличие ACK урагана, кстати, изначально десинхронизированным.

позволяет обнаружить чужое вмешательство в Главная сложность такого метода — это работу сети.

правильный выбор атакующим поддельного Есть ряд более сложных и надежных (что номера последовательности. Если разногласие в делает их узкоприменимыми) методов. В качестве 171 Ломаем и защищаем сети Ломаем и защищаем сети номерах последовательности позволит серверу Применение брандмауэров такого осуществлять прием пакетов от клиента (первый типа — сети, в которых Internet используется вариант десинхронизации), то вполне вероятны только изнутри, отсутствует связь с внешними нежелательные побочные эффекты. сетями, и, безусловно, все пользователи в достаточной мере облечены доверием. Брандмауэр будет наглухо закрывать доступ извне: его можно Глава 25: Насколько надежны также применять для предотвращения сегодняшние методы защиты сетей?

злоупотребления Internet сотрудниками компании.

Брандмауэры, работающие на уровне В свете вышеизложенного возникает вопрос:

приложений, предполагают наличие шлюза для какие меры защиты сетей наиболее эффективны?

каждого приложения, а также аутентификацию (с В первую очередь, на ум приходит применение использованием) при любом соединении. Такой брандмауэров. Главное, это выбрать брандмауэр, подход позволяет отказаться от проверки соответствующий тому, в какой степени ваша сеть IP адресов, но взамен требует наличие шлюза для зависит от Internet. На сегодняшний день широкое каждого приложения, что представляется довольно распространение получили два типа брандмауэров:

серьезным ограничением. Насколько эффективна использующих фильтрацию пакетов;

эта технология? Она, очевидно, устойчива перед работающих на уровне приложений.

пассивным сниффингом и подделкой адреса, но в любом случае надежность подобной защиты от Начали также появляться продукты, в активного сниффинга не может быть которых в различной степени применяются обе стопроцентной.

технологии.

Брандмауэры, по сути дела, предохраняют Итак, мы имеем две технологии защиты сеть только от случайной утечки информации и сетей. Первая представляет собой исследование проникновения в нее, так сказать, первого входящих и выходящих пакетов на предмет того, встречного, что, впрочем, раз в десять снижает откуда — куда они направляются и какой тип риск потери конфиденциальности хранимой и соединения устанавливают. Недостатки этого передаваемой информации и нарушения подхода: очевидно, что он практически бессилен работоспособности информационной системы.

перед подделкой IP адреса, пассивным и, тем Единственное же, что может гарантировать более, активным сниффингом, привязка же к безопасность от подслушивания — шифрование конкретным хостам (IP адресам) ограничивает всех внутренних (не говоря уже о внешних) возможности удаленных пользователей.

потоков данных в сети и организация 173 Ломаем и защищаем сети WWW сервер — защита и взлом дополнительных уровней аутентификации. Все это Часть шестая не исключает возможности перехвата пакетов сниффером, но, в то же время, не дает взломщику WWW сервер — защита и воспользоваться перехваченной информацией.

взлом Определение необходимой степени защиты информации осуществляется при помощи несложных математических оценок: вероятность взлома умножается на размер возможного ущерба и на основе полученной величины определяются Глава 1: Как защитить WEB сервер средства, которые требуется выделить на В последние дни все актуальней становится обеспечение соответствующих мер безопасности.

вопрос защиты информации, хранимой на WWW серверах. Впрочем, в равной степени это относится и к серверам FTP. Любой, используемый в коммерческих целях, узел Web или FTP находится в довольно двусмысленном положении (даже если не учитывать того, что на нем могут быть организованы различные уровни доступа к хранимым на сервере данным).

Любая общедоступная информация, будь то розничный прайс лист или технические характеристики продукции, имеет несомненную коммерческую ценность, и возможные последствия их искажения выражаются в ощутимых убытках.

Завышенные цены могут отпугнуть потенциальных клиентов, а применение страниц компаний в качестве забора, на котором пишутся известные слова, несомненно нанесет ущерб имиджу компании. Причем первое намного опасней, поскольку будет замечено далеко не сразу.

175 WWW сервер — защита и взлом WWW сервер — защита и взлом Взлом FTP серверов еще менее заметен и защиты вычислительной системы от более опасен. Если хотя бы часть свободно несанкционированного доступа по телефонным распространяемого ПО (драйверы, shareware и линиям.

демоверсии продуктов) окажется дефектной, или, Подключиться к удаленной вычислительной что еще хуже, зараженной вирусами, последствия сети по телефонной линии ничуть не сложнее, чем катастрофы примут фатальный характер.

снять трубку с телефонного аппарата. Об этом Во первых, пострадают тысячи ни в чем не стоит задуматься — так ли уж хорошо, когда повинных пользователей, а во вторых, компании доступ к корпоративной вычислительной сети (и придется вернуться к традиционным методам ко всему, что в ней содержится) осуществляется распространения подобного ПО, что приведет к настолько легко? Судя по тому, какое количество резкому увеличению расходов.

информации хранится сейчас в коммерческих Защита узлов Web оказывается далеко не компаниях в цифровом виде, — никто, конечно, простой задачей, ведь они должны быть не может назвать точной цифры, однако ясно, одновременно и защищены, и открыты для всех. что речь тут идет о колоссальных объемах Если закрывать их брандмауэром, разрешающим данных, — вычислительные сети, а также только HTTP и FTP соединения, то такой входящие в их состав серверы файлов и брандмауэр необходимо сделать выделенным, приложений стали основной инфраструктурой, чтобы не осталось лазейки для проникновения в обеспечивающей нормальную работу организаций.

сеть — во первых, обмен пакетами между ним и Те, чьим делом стало совать нос в дела сервером должен шифроваться — во вторых.

других, легко могут воспользоваться телефонными Впрочем, стопроцентной защиты такая система линиями для входа в сеть, получив таким образом может и не дать, а администратор сети будет доступ к вышеупомянутой инфраструктуре.

вынужден как можно чаще проверять состояние Не ошибемся, если скажем, что система Web сервера, чем, кстати, неплохо заняться уже удаленного доступа не может считаться хорошей, сейчас.

если при ее разработке не была предусмотрена защита данных. Кому то, возможно, данное Глава 2: Задраить люки!

утверждение не покажется особенно глубоким, однако не следует забывать, что в области защиты Получить удаленный доступ к данных пренебрежение даже самыми простыми вычислительной сети очень просто — достаточно вещами может впоследствии обернуться подключить к телефонной линии несколько серьезнейшими проблемами.

модемов. Ниже описаны способы 177 WWW сервер — защита и взлом WWW сервер — защита и взлом управлению и использованию Глава 3: Отыскание лазеек специализированных приложений.

Доступ по телефонной линии к Любое приложение удаленного доступа корпоративной сети (dial in access) необходим несет в себе потенциальную угрозу для четырем основным категориям пользователей:

корпоративной сети. Программное обеспечение мобильным пользователям, надомным работникам, удаленного узла позволяет злоумышленнику сотрудникам удаленных филиалов, а также копировать на свой компьютер конфиденциальную пользователям, у которых время от времени информацию, распространять по сети данные и возникает необходимость обратиться к вирусы, а также портить файлы и сетевые ресурсы.

корпоративной сети из собственного дома.

С помощью программного обеспечения Удаленные пользователи набирают дистанционного управления злоумышленник телефонный номер при помощи модема. Если может просматривать информацию и уничтожать пользователь подключен к локальной сети (что или модифицировать файлы.

вполне возможно, когда речь идет об удаленном Специализированные приложения для офисе), то для соединения можно использовать доступа к сети обычно используют собственные коммуникационный сервер. В противном случае шлюзы, что позволяет создать альтернативное абонент использует общедоступную телефонную окно доступа, помимо сервера удаленного доступа сеть для соединения либо с модемом на рабочей или коммуникационного сервера.

станции в офисе компании, либо с устройством удаленного доступа в локальной сети.

Глава 4: Самое уязвимое место Все пользователи используют городскую телефонную сеть для связи с сервером удаленного Любой, кто задастся целью доступа в локальной сети. Некоторые дестабилизировать работу информационной пользователи могут также напрямую связываться с системы, должен прежде всего получить доступ к модемами, подключенными к рабочим станциям ней. Задача эта не особенно сложна, если линии локальной сети.

телефонной связи для входа в систему не Возможности удаленных пользователей снабжены специальной защитой. Ниже мы существенно ограничены низкой скоростью сформулируем четыре основных проблемы защиты информационного обмена через модемы (как информации в системах удаленного доступа.

правило, 14,4 Кбит/с или 28,8 Кбит/с), поэтому Первая проблема — идентификация чаще всего их работа сводится к простейшим пользователя. Как установить, что лицо, функциям удаленного узла, дистанционному 179 WWW сервер — защита и взлом WWW сервер — защита и взлом пытающееся осуществить удаленный доступ к необходимо установить наверняка его личность.

системе, является законным пользователем? Поэтому хорошая система управления доступом Любой, у кого есть модем, может набрать номер должна представлять собой устройство, точки входа в систему и запросить доступ к подключаемое к телефонной линии перед данным. Поскольку увидеть удаленного коммуникационным устройством.

пользователя нельзя, следует позаботиться о том, Четвертая задача — обнаружение чтобы в системе имелись средства верификации несанкционированного доступа. Если того, что абонент на линии действительно злоумышленнику все же удастся проникнуть в является тем, за кого себя выдает.

сеть, то администратор сети должен уметь При простых способах идентификации определить, как был осуществлен доступ, в каком пользователю вначале предлагается назвать себя, а примерно месте это произошло и какой урон затем ввести пароль. понесет компания от несанкционированного входа.

Считается, что этого вполне достаточно для идентификации пользователя. Но этот способ не Современные системы удаленного доступа обеспечивает должной защиты. Более совершенное имеют некоторые встроенные средства защиты средство — раздать удаленным пользователям данных. Например, в сетевых операционных персональные устройства идентификации или, системах применяется идентификация иначе, аппаратные ключи (token). пользователя с использованием имени и пароля.

Кроме того, некоторые устройства удаленного Следующая проблема — это доступа поддерживают работу со списками конфиденциальность обмена сообщениями. По пользователей, где перечисляются не только имена телефонной линии, используемой для входа в и пароли, но и права пользователей на доступ к систему, данные передаются открытым текстом, а центральным ресурсам. В настоящее время на значит, злоумышленник, подключившийся к этой рынке появился ряд устройств удаленного доступа, линии, может узнать и имя пользователя, и рекламируемых в первую очередь как надежные пароль. Чтобы избежать подобного пассажа, средства обеспечения защиты данных. Это администратору сети необходимо позаботиться о несомненное свидетельство того, что и кодировании передаваемых данных.

производители, и потребители осознали важность Третья проблема — управление доступом к данной функции.

сети. Посты следует выставить на всех дорогах, Тем не менее следует отметить, что система ведущих в информационную систему. Прежде чем защиты данных оказывается надежной лишь тогда, пользователь получит доступ к системе, когда она обеспечивает решение всех четырех 181 WWW сервер — защита и взлом WWW сервер — защита и взлом вышеперечисленных проблем. Кроме того, Глава 5: Кто там?

использование системы защиты не должно При внимательном изучении рынка средств создавать пользователю особых проблем. Если защиты доступа к информации по телефонным пользователи сочтут, что система защиты данных линиям можно выявить целый ряд продуктов, причиняет им неудобства, они, вполне вероятно, решающих некоторые или даже все из найдут способы обойти эту систему. В частности, вышеописанных задач. В основе этих продуктов пользователь может не выходить из системы, лежат различные механизмы обеспечения защиты отлучаясь со своего рабочего места, — тем самым данных при удаленном доступе через телефонную при возобновлении работы ему удастся избежать сеть. Несмотря на такое разнообразие, повторения ритуала входа в систему.

используемые в этих механизмах базовые методы Те же самые соображения касаются и весьма немногочисленны.

администратора сети. Если система трудна в Наиболее простым, пожалуй, является метод установке и эксплуатации, то ее нельзя считать идентификации пользователя при помощи пароля.

удачной, как нельзя считать удачной и систему, Использование пароля обеспечивает так требующую постоянного внимания в течение называемую однофакторную идентификацию;

это рабочего дня.

означает, что идентификация пользователя Приведем пример системы удаленного осуществляется только по одному признаку.

доступа по телефонным линиям с защитой:

Безусловно, любая система защиты данных пользователи получили аппаратные ключи для должна обеспечивать использование пароля. Тем входа в систему, сеть оборудована устройством не менее не следует думать, будто пароль — это управления доступом, включенным перед полная защита от несанкционированного доступа.

устройством удаленного доступа. Кроме того, Проблема тут в том, что пользователи часто система оснащена сервером защиты, в задачу используют легко угадываемые пароли. Как которого входит управление и мониторинг показывает практика, люди предпочитают пароли, системы защиты.

в основе которых лежат реально существующие Существуют различные системы защиты слова. К примеру, очень популярны данных при удаленном доступе. Они основаны на разнообразные комбинации из фамилии, имени и применении разных методов или их комбинаций.

отчества. Другой пример — содержательные В качестве примера можно привести аппаратные комбинации цифр, например дата рождения, ключи, устройства идентификации, кодирование номер паспорта и тому подобное.

информации и серверы защиты данных.

183 WWW сервер — защита и взлом WWW сервер — защита и взлом Тот, кто склонен поступать именно таким Другой метод однофакторной образом, делает свой пароль легкой добычей. идентификации состоит в том, чтобы система Первое, что предпринимает злоумышленник, перезванивала пользователю, пытающемуся войти пытаясь определить пароль, — перебирает в систему (callback). Получив звонок от разнообразные вариации на тему фамилии пользователя, система немедленно отключается и пользователя и всевозможные осмысленные сама перезванивает пользователю по тому номеру, комбинации цифр, вроде номера паспорта или с которого ему разрешено входить в систему.

водительского удостоверения. Кроме того, есть Недостаток здесь в том, что злоумышленник программы, производящие поиск пароля прямым может, воспользовавшись технологией перебором всех слов из обычного словаря. Ясно, переключения телефонного вызова (call что такая программа легко подберет любой пароль, forwarding), перехватить звонок, адресованный на в основе которого лежит реально существующее зарегистрированный номер пользователя. Кроме слово. того, ответный вызов совершенно не пригоден для мобильных пользователей, ведь им приходится Надежность системы защиты определяется входить в систему с самых разных телефонных надежностью наиболее ненадежного ее звена.

номеров.

Поэтому администратор сети должен принять некие меры общего характера. В частности, для укрепления системы защиты на основе пароля Глава 6: Попрошу документы!

следует задать определенные критерии Двухфакторная система идентификации допустимости пароля. Например, надо запретить позволяет повысить надежность защиты системы.

использование простых схем выбора паролей и Этот метод предполагает применение пароля или обязать пользователей выбирать в качестве персонального идентификационного номера паролей комбинации букв, цифр и символов;

(personal identification number — PIN) и подойдут также всевозможные бессмысленные персонального устройства идентификации слова.

пользователя, именуемого также аппаратным Не мешает установить временные пределы ключом. Примером двухфакторной использования паролей, обязав пользователей идентификации может служить система доступа к менять их через определенные промежутки банкоматам. Для получения доступа к счету времени. Еще один способ повышения клиент должен иметь банковскую карточку надежности — ограничить допустимое число (аппаратный ключ) и правильно ввести свой попыток войти в систему в течение определенного идентификационный номер.

промежутка времени.

185 WWW сервер — защита и взлом WWW сервер — защита и взлом Существует два вида аппаратных ключей пользователь ввел свой идентификационный для удаленного доступа по телефонной сети: номер. По пути введенный пользователем ручные устройства и модули, включаемые между идентификационный номер проходит через модемом удаленной станции и телефонной аппаратный ключ и запоминается.

розеткой. В будущем, вполне возможно, появятся Система запрос ответ хороша тем, что при комбинированные устройства, сочетающие в себе ее использовании не надо передавать пароль и функции модема и аппаратного ключа. На ручных ключ (в кодированном или декодированном виде) аппаратных ключах обычно имеется цифровая по открытым телефонным линиям, а также тем, клавиатура и экран для считывания информации.

что идентификация пользователя при каждом Аппаратные ключи по виду напоминают входе в систему осуществляется по новому.

утолщенную кредитную карточку. Такое Получив идентификационный номер, устройство представляет собой интеллектуальную устройство идентификации обращается к базе карточку.

данных, чтобы выяснить, принадлежит ли Любой аппаратный ключ предполагает введенный код к числу зарегистрированных.

наличие в сети главного (master) устройства Помимо базы данных идентификационных идентификации, работающего в паре с этим номеров в устройстве идентификации имеется аппаратным ключом. Главное устройство, также база данных уникальных кодов, — как включаемое обычно перед модемом или правило, это алгоритмы шифрования, устройством удаленного доступа, выполняет присвоенные каждому аппаратному ключу. Чуть функции контроля за удаленным доступом.

позже мы поподробнее расскажем о таких кодах.

Некоторые из имеющихся на рынке систем Если идентификационный номер защиты представляют собой комбинацию принадлежит к числу зарегистрированных, устройств удаленного доступа и двухфакторной устройство идентификации генерирует случайное идентификации.

число, используя в качестве начальных параметров В основе идентификации пользователя при генератора случайных чисел идентификационный помощи аппаратных ключей лежит процедура типа номер пользователя и уникальный код запрос — ответ (challenge — response). Обмен аппаратного ключа. Это случайное число сообщениями в этой процедуре начинается в тот посылается в качестве запроса. По получении момент, когда пользователь, имеющий аппаратный запроса аппаратный код генерирует случайное ключ, набирает номер для входа в систему.

число, используя в качестве начальных параметров Главное устройство идентификации пользователя свой ключ и идентификационный номер перехватывает звонок и требует, чтобы пользователя. Получившееся таким образом число 187 WWW сервер — защита и взлом WWW сервер — защита и взлом отправляется на главное устройство признан корректным при инициализации идентификации в качестве ответа. конкретного сеанса.

Тем временем устройство идентификации Другое преимущество систем такого типа самостоятельно генерирует число ответ, используя состоит в том, что при формировании запроса и число запрос, идентификационный номер ответа используется алгоритм кодирования, пользователя и код аппаратного ключа. Если поэтому оба числа передаются по телефонной сети получившийся ответ совпадает с присланным по в закодированной форме.

линиям связи, то удаленная система получает В заключение выскажем несколько доступ к сети.

соображений, которые стоит учитывать при Для идентификации пользователей с выборе метода идентификации.

ручными аппаратными ключами используется Во первых, реализация таких систем может похожая, но несколько менее автоматизированная оказаться непростым делом. При работе с процедура. Получив запрос от устройства некоторыми видами аппаратных ключей в них идентификации, пользователь должен вручную приходится вводить определенную информацию о набрать на клавиатуре аппаратного ключа запрос и пользователе. Кроме того, следует позаботиться о свой идентификационный номер. Аппаратный том, чтобы при раздаче пользователям аппаратные ключ генерирует ответ и выводит его на экран, а ключи не перепутались — некоторые из них пользователь должен набрать этот ответ на необходимо сначала подключать к главному клавиатуре рабочей станции, которая в свою устройству идентификации для согласования кодов очередь посылает ответ устройству идентификации ключей. И только после этого раздать пользователя.

пользователям.

Описанная процедура хороша не только Другое важное соображение — это тем, что пользователь должен знать правильный масштабируемость системы. Если система защиты идентификационный номер и иметь аппаратный удаленного доступа охватывает сравнительно ключ, но еще и тем, что ответ, однажды небольшое число пользователей, подготовка признанный корректным, не может быть необходимого количества аппаратных ключей и использован повторно. Каждый раз как согласование кодов с главным устройством пользователь входит в систему, генератор идентификации будет не так уж и сложна. Однако случайных чисел выдает новое число запрос.

если в будущем ожидается расширение системы, Соответственно меняется и ответ, поэтому выбор в значительной степени определяется тем, бессмысленно пытаться выяснить, какой ответ был сколько пользователей в конечном счете должны 189 WWW сервер — защита и взлом WWW сервер — защита и взлом получить аппаратные ключи. (Отметим, кстати, подразумевается уникальный ключ для что срок службы элементов питания в некоторых кодирования и декодирования данных. Если ручных аппаратных ключах ограничен пользователь кодирует свой пароль при помощи несколькими годами, а стало быть, без повторной личного ключа, то для декодирования этого переконфигурации всей системы скорее всего не пароля устройство идентификации должно иметь обойтись). точно такой же ключ. Поскольку данные может декодировать любой, у кого есть ключ, его Как всегда, вопрос стоимости играет необходимо сохранять в тайне.

немаловажную роль. Система на базе аппаратных ключей может оказаться весьма дорогой, Промышленный стандарт схемы поскольку каждому удаленному пользователю кодирования на основе личного ключа — это Data придется выдать свое собственное устройство. Encryption Scheme (DES). В этой схеме применяется 64 битный ключ (56 бит служат для собственно кодирования и декодирования, а Глава 7: Кодирование сигнала остальные 8 бит зарезервированы под контроль четности). Каждый бит ключа генерируется Как мы уже убедились, кодирование случайным образом. При этом число возможных сигнала важно и при идентификации комбинаций составляет 72 квадрильона. При пользователя, и в обеспечении кодировании данных с помощью такого ключа конфиденциальности связи. Кодирование возникает уникальная последовательность битов.

обеспечивает безопасность передачи паролей, идентификационных номеров, а также коротких Кодирование с использованием открытого сообщений и файлов по незащищенным ключа невозможно без двух ключей, работающих телефонным линиям. Если даже кодированное только в паре. Пара состоит из личного и сообщение будет перехвачено, его все равно открытого ключа. Если данные были кодированы невозможно прочесть, не зная схемы кодирования.

при помощи открытого ключа, то декодировать их Подобрать схему кодирования можно, однако для можно только при помощи соответствующего этого потребуется очень мощная вычислительная личного ключа. На практике часто используется техника. Соответственно и цена такой операции схема кодирования под названием RSA, будет весьма высока, не говоря уже о предложенная компанией RSA Data Security.

колоссальных затратах машинного времени.

В системе на базе открытых ключей у Как правило, используется кодирование каждого пользователя есть свой личный ключ.

одного из двух типов — либо с личным, либо с Открытый ключ пользователя, парный с личным открытым ключом. Под личным ключом ключом, сообщается всем пользователям. При 191 WWW сервер — защита и взлом WWW сервер — защита и взлом необходимости послать кому либо сообщение, конфиденциальности коммерческих операций в отправитель шифрует его при помощи открытого Internet.

ключа получателя. Поскольку личный ключ Почему? Дело в том, что основная цель имеется только у получателя, расшифровать систем на базе открытых ключей заключена в сообщение может только он.

обеспечении конфиденциальности переговоров В системе на основе открытого ключа между двумя собеседниками в большой группе каждому пользователю выдается личный ключ, пользователей. Для этого надо просто который он должен сохранять в тайне. воспользоваться открытым ключом адресата для Соответствующие открытые ключи копируются, и кодирования предназначенных ему сообщений.

этот список раздается всем сотрудникам или Никто другой не сможет прочесть закодированные записывается либо в устройство идентификации таким способом сообщения.

пользователя, либо на сервер ключей. Если По отношению к Internet это означает пользователь хочет отправить кому либо следующее. Частные лица и компании получают конфиденциальное сообщение, он должен личные ключи. Доступ же к соответствующим закодировать его при помощи принадлежащего открытым ключам открывается для всех адресату открытого ключа.

желающих. Решив, например, приобрести товары, Поскольку декодировать это сообщение рекламируемые какой либо компанией в Web, можно только при помощи личного ключа покупатель может закодировать номер своей адресата, никто другой не может ознакомиться с кредитной карточки с помощью открытого ключа содержанием сообщения. При отправке ответа на компании и отправить это сообщение по сообщение следует воспользоваться открытым указанному адресу. Для декодирования данных ключом того пользователя, кому этот ответ необходимо лишь знание личного ключа адресован. компании.

В настоящее время на рынке продуктов Проблема тут только в том, что покупатель системы на базе личных ключей наиболее должен знать открытый ключ компании.

распространены. Например, многие системы запрос ответ основаны на использовании личных Глава 8: Секретные переговоры ключей. Тем не менее системы на основе открытых ключей завоевывают все большую Если ключ собеседника неизвестен, то для популярность, поскольку такая система предлагает ведения кодированных переговоров по открытой возможное решение по обеспечению телефонной линии можно использовать систему 193 WWW сервер — защита и взлом WWW сервер — защита и взлом обмена ключами Диффи Хеллмана, названную по Глава 9: Черный ход надо запирать именам ее создателей Уитфилда Диффи и В качестве финального аккорда заметим, Мартина Хеллмана.

что все системы удаленного доступа по Система Диффи Хеллмана позволяет двум телефонным линиям предполагают использование пользователям (или двум устройствам) определенного программного обеспечения.

договориться об использовании определенного Например, имена пользователей, пароли и ключи ключа. При этом такие переговоры можно вести должны храниться в базе данных, которая может по открытой телефонной линии. Одно устройство располагаться либо на сервере, либо на устройстве посылает другому несколько больших чисел и удаленного доступа, либо на устройстве фрагмент алгоритма, то выполняет ряд сложных идентификации пользователей.

вычислений и возвращает ответ. В свою очередь, Некоторые производители выпускают первое устройство также выполняет ряд комбинированные устройства для идентификации, вычислений, возвращает ответ и так далее.

контроля доступа и поддержки удаленного доступа Получившийся ключ можно использовать с установленным на них программным как для кодирования, так и для декодирования обеспечением управления системой защиты пересылаемых данных. Схема Диффи Хеллмана данных. Эти изделия часто называют серверами удобна тем, что сам ключ по линиям связи не защиты.

передается, а подслушивать переговоры Помимо поддержки базы данных такая бесполезно, поскольку подслушанная информация система должна, как минимум, обеспечивать не может помочь в подборе ключа.

мониторинг и генерацию отчетов.

Заметим, что схема Диффи Хеллмана не Мониторинг в реальном времени позволяет предполагает идентификации пользователя. На администраторам сети выявлять все необычные противоположном конце линии может находиться запросы на доступ к сети и странности при работе кто угодно. При этом пользователь не должен с сетью. Некоторые программные продукты вводить никаких уникальных идентификационных обеспечивают подачу аварийных сигналов, что данных. Применение пароля и алгоритма позволяет более оперативно реагировать на идентификации пользователя повышает степень возможную угрозу со стороны.

защищенности в схеме Диффи Хеллмана.

Отчеты помогают сетевому администратору анализировать поведение пользователей с целью выявления странных или подозрительных 195 WWW сервер — защита и взлом Защищаем и атакуем Unix моментов. Эти программные средства важны тем, Часть седьмая что благодаря им несложно обнаружить попытки вторжения (удачные и неудачные) и принять Защищаем и атакуем Unix ответные меры.

В данной части были рассмотрены простейшие методы и технические средства обеспечения защиты данных при удаленном Глава 1: Безопасность в системе доступе по телефонным линиям. Мы надеемся, клиент/сервер что понимание принципов их работы поможет лучше оценить качество предлагаемых на рынке Администратор сети просто не в состоянии продуктов. Напомним два важнейших фактора для надежно контролировать всю сеть в архитектуре выбора конкретной системы, учитывающих клиент/сервер, что чревато несанкционированным интересы пользователя и администратора сети:

доступом. Непродуманные действия еще больше первый фактор — простота использования, усиливают эту опасность. Многие организации в второй — простота реализации и управления.

мире сегодняшнего бизнеса перестраивают свою Применение системы защиты удаленного деятельность в соответствии с моделью доступа по телефонным линиям можно сравнить с клиент/сервер, в том числе управление важной крепким замком для парадного входа. Не следует, научной, финансовой и юридической однако, забывать, что злоумышленник может информацией. Unix здесь — одна из основных проникнуть в помещение с черного хода и даже операционных систем. В прошлом через окно. Если обходные пути доступа к системе вычислительные мощности и данные (например связь с Internet или личные модемы на располагались на одной системе и ее закрытость рабочих станциях) не обеспечивают защиты была гарантией безопасности данных. Однако в данных, то и вышеописанные системы не смогут модели клиент/сервер и операционная система, и гарантировать безопасности.

приложения используют при работе сеть. В этих системах безопасность сетевых приложений напрямую связана с безопасностью сети и систем в этой сети.

197 Защищаем и атакуем Unix Защищаем и атакуем Unix использование одного из механизмов ограничения Глава 2: Заприте дверь на ключ доступа. Помните, что по статистике спецслужб Вход в систему и пароль — это первая 85% взломов производится сотрудниками.

линия обороны в системе Unix. В файле паролей перечислены все пользователи с правом доступа в Глава 3: Оставайтесь в команде систему. В большинстве систем зашифрованный пароль хранится в файле паролей, доступном для Команда finger в чужих руках способна чтения. Предполагается, что расшифровать пароль значительно облегчить взлом сети. У пользователя невозможно, но, тем не менее, открытость есть возможность выполнить данную команду без зашифрованного пароля делает систему уязвимой;

входа в систему и получить информацию о всех пользователь может задать пароль, зашифровать пользователях сети. Это небезопасно по многим его и сравнить зашифрованный результат с причинам. Например, получив с помощью содержимым новой строки файла паролей.

команды finger имена пользователей, номера Большинство последних версий комнат и номера телефонов, содержащиеся в операционных систем Unix предполагают файле паролей, взломщик может использовать их возможность использования скрытых файлов для регистрации под именем одного из паролей. В них зашифрованный пароль пользователей, а также для взлома защиты помещается из файла паролей в файл, который системы в целом.

доступен для чтения только для Сетевые системы Unix подвергаются суперпользователей. Такая мера весьма наибольшему риску из за использования эффективна.

удаленных команд (r команды), таких как rsh, rcp Одноразовый код доступа и механизм и rlogin. Эти команды дают пользователю пароль/отзыв помогают сделать пароль еще более возможность с правом доступа к нескольким неуязвимым, так как пароли в этом случае системам установить доверительные отношения действительны только на один сеанс. Если между этими системами. Причем пользователь взломщик каким либо образом узнал пароль, то получает доступ в систему без дальнейшей войти в систему он сможет только один раз. идентификации и аутентификации. Эти Примерами подобных механизмов служат Defender доверительные отношения определяются для компании Digital Pathways, SecurID компании пользователей в файлах.rhosts в домашних Security Dynamics и S/Key компании Bellcore. каталогах и для систем в конфигурационном файле удаленных команд /etc/host.equiv файл.

В сетях с высокой степенью секретности, например финансовых, весьма эффективно 199 Защищаем и атакуем Unix Защищаем и атакуем Unix К сожалению, многие производители между используемыми системами.

предпочитают выпускать дружественные для сети Согласованность обеспечивает NIS посредством разработки с целью увеличения легкости их централизованного копирования файлов использования. Один из способов — это включить конфигурации и паролей на сервер NIS. Это символ (+) в файл /etc/host.equiv, что позволит позволяет администратору изменять информацию любому человеку, работающему в локальной или непосредственно на NFS сервере, причем глобальной сети, получить доступ к системе в изменения становятся доступны клиентам NIS.

качестве любого пользователя, даже в качестве NFS внутренне уязвима, поскольку она суперпользователя (администратора).

базируется на выводах удаленных процедур.

Вообще, доверительные отношения между Удаленные вызовы процедур содержат сетями не рекомендуются. Однако многие идентифицирующую пользователя информацию организации используют их, чтобы упростить (UID), но не имеют механизма определения администрирование сети. А при таком положении наличия ограничений на использование ресурсов и дел важно, чтобы только небольшое подмножество того, что пользователь действительно является тем, систем находилось в доверительных отношениях за кого себя выдает.

друг с другом. Например, разрешить подобный Таким образом, заинтересованное лицо доступ только с сервера к клиенту, но не с может написать маскирующуюся под систему клиента к серверу и разрешить чтение файла rhosts программу с тем, чтобы монтировать файловые только его владельцу.

системы или создавать, читать, модифицировать Network File System (NFS) и Network или удалять файлы напрямую.

Information Service (NIS) позволяют упростить Для назначения систем, имеющих доступ к доступ к файлам и администрирование сети. (NIS файловым системам на сети, можно использовать носила раньше имя Yellow Pages, и многие команды exportfs и файл /etc/exports. Некоторые команды отражают этот факт в своих названиях:

производители выпускают системы с экспортом ypwhich, ypcat и т.п.). NFS реализует механизм, каталога /AND/USR во внешний мир. А стало благодаря которому доступ к файлам является быть, каждый пользователь этой сети может из прозрачным для пользователя вне зависимости от любой точки монтировать такие файловые их местоположения. Файлы могут располагаться системы. Вообще, никакие файловые системы не как на локальном диске, так и на файловом должны экспортироваться во внешний мир и, сервере локальной или глобальной сети. Для везде, где только возможно, они должны правильной работы NFS пользовательская и экспортироваться только для чтение. Безусловно, системная информация должны быть согласованы 201 Защищаем и атакуем Unix Защищаем и атакуем Unix Person:/u/vip:/bin/ksh рабочий каталог пользователя необходимо сделать доступным как для чтения, так и для записи. или cdc:encrypted passwd:23456: Команда exportfs без параметров выдает :fictitious information:/u/vip список экспортированных файлов. Команда :/bin/ksh showmount a показывает, какие из экспортированных файлов смонтированы Заметим, что идентификатор клиентами. пользователя/идентификатор группы (23456) и групповой ID (2002) в этих строках один и тот же;

именно он, а не входной идентификатор (VIP или Глава 4: Набор инструментов для CDC), контролирует доступ к файлам.

взломщика Локальный суперпользователь может затем войти как VIP или CDC и получить доступ ко Привилегии суперпользователя для клиента всем файлам на /U/VIP/ или может просто NIS должны жестко контролироваться. Когда зарегистрироваться как пользователь через пользователь входит в систему, NIS сначала команду SU CDC. У суперпользователя появляется проверяет локальный файл паролей и затем файл возможность создавать, читать, модифицировать паролей NIS. Взломщику ничего не стоит или удалять файлы. Этот тип нарушения доступа использовать эту возможность, чтобы выдать себя особенно трудно установить, поскольку локальный за легитимного пользователя внутри NIS.

суперпользователь контролирует файлы Локальный пользователь с привилегиями регистрации использования ресурсов и доступа к суперпользователя может добавить UID другого защищенным данным в системе. Замести все пользователя, чтобы получить его привилегии.

следы доступа — относительно простая задача.

К примеру, ниже приведено содержимое Клиенты и серверы NFS не осуществляют NIS пароля:

проверку аутентичности друг друга.

vip: encrypted passwd: 23456:

Следовательно, клиент может стать сервером при 2002:Very Important Person:

помощи команды ypserve или создать клиента при /u/vip:/bin/ksh помощи команды ypbind. Клиенты NIS Локальный суперпользователь может связываются при включении с первым ответившим добавить ту же или аналогичную информацию в сервером. Ложный сервер обычно и отвечает локальный файл паролей:

первым. Сервер NFS позволяет любой системе vip:new encrypted passwd:

стать клиентом. Эти вопросы безопасности 23456:2002: Very Important разрешены в новой версии NIS, названной NIS+.

203 Защищаем и атакуем Unix Защищаем и атакуем Unix Однако функции безопасности NFS+ частично не мониторинга компьютерной безопасности и блокируются при взаимодействии с NIS. попыток преодоления защиты.

Тривиальный протокол передачи файлов Конфигурация ftp часто осуществляется (tftp) и протокол передачи файлов (ftp) некорректно. Никто не должен входить в систему применяются для перемещения файлов из одной как суперпользователь ftp.

системы в другую, а ftp — это фундаментальный Если поддерживается анонимный ftp, то все ресурс Internet. Tftp особенно уязвим, поскольку файлы в каталоге ftp, включая сам каталог, разрешает передачу файлов без контроля прав должны находиться в распоряжении доступа. Он наиболее часто используется с суперпользователя (root). Если сконфигурирован Bootstrap Protocol (BOOTP) для распространения анонимный ftp, то не создавайте каталог, конфигурационных файлов на бездисковые открытый для чтения и записи. Эти открытые на рабочие станции, X терминалы и элементы сети, запись каталоги часто используются для например, на маршрутизаторы. Tftp следует нелегального распространения программного дезактивировать, даже когда в этом нет явной обеспечения, а также для распространения необходимости. Чтобы ограничить область вирусов.

уязвимости, установите tftp в каталог chroot.

Simple Mail Transfer Protocol (SMTP) стал Chroot разрешает доступ только к файлам в этом притчей во языцех с точки зрения уязвимости.

каталоге и подкаталогам. Также ограничьте SMTP часто выполняется как root использование tftp локальной сетью.

(суперпользователь) или bin (другой Чтобы протестировать надежность защиты привилегированный пользователь), и во многих конфигурации tftp, выполните следующие организациях SMTP — единственная служба, к команды:

которой есть доступ из Internet. Это делает # tftp systemname sendmail весьма привлекательной для выявления tftp get /etc/passwd test уязвимых мест системы.

tftp quite Так, несанкционированный доступ к Проверьте, содержит ли файл test реальный системе можно получить при помощи команд wiz, файл паролей для системного имени. Если это так, debug и kill. Чтобы обнаружить черный ход, то tftp не защищен.

введите команды:

Группа Computer Emergency Response Team # telnet — name (CERT) обнаружила несколько уязвимых мест tftp.

wiz CERT была организована агентством DARPA для debug 205 Защищаем и атакуем Unix Защищаем и атакуем Unix kill дисплейной станции управляет команда xhost, в то exit время как доступом пользователя к дисплейной Если черного хода не существует, ответ на станции управляет xauthorities. Доступ позволяет каждый ввод будет: осуществлять отображение окон или приложений и мониторинг дисплейной станции. Имеющийся 500 Command unrecognized.

инструментарий позволяет отслеживать ввод в Еще одна проблема — возможность различные окна и осуществлять удаленный ввод замаскироваться с помощью агента передачи данных в открытые окна.

данных Unix sendmail под любого пользователя сети. Mail выглядит как законный пользователь. Когда активирована xauthorities, то Электронная почта по протоколу SMTP необходим ключ Data Encryption Standard (DES) посылается открытым текстом и может быть для того, чтобы пользователь мог выводить перехвачена или считана с сети. Поэтому не изображение на дисплейную станцию. Каждый раз включайте никакую информацию, которую нельзя при открытии сеанса генерируется новый ключ.

было бы написать на обычной почтовой карточке. Ключи хранятся в корневом каталоге пользователя в файле XAUTHORITY. Чтобы другой Широкое распространение получили ныне пользователь смог получить доступ к дисплейной некоторые системы электронной почты, станции, ключ должен быть извлечен из файла обеспечивающие секретность данных.

XAUTHORITY и добавлен к файлу XAUTHORITY Pretty Good Privacy (PGP) и Privacy другого пользователя. То же самое должно быть Enchanced Mail (PEM) — примеры безопасных проделано для того же пользователя в другой версий электронной почты. Эти системы системе. Например, если пользователь VIP обеспечивают секретность содержимого пользуется дисплейной станцией MAPLE и хочет сообщения на всем пути от отправителя до отобразить программы из системы OAK в MAPLE, адресата.

ключ должен быть введен в файл XAUTHORITY в Стандартом Windows для Unix является X OAK. Использование и xhost, и xauthority Window. Обычно его называют просто X. необходимо для обеспечения секретности в X.

Секретность информации в X обеспечивается Пользователь должен быть довольно грамотен для конечным пользователем. Термины клиент и обеспечения сохранности информации в X.

сервер в X часто взаимозаменяемы, а монитор, отображающий X, назван дисплейной станцией.

Пользователь может не обеспечить достаточную защиту дисплейной станции. Доступом системы к 207 Защищаем и атакуем Unix Защищаем и атакуем Unix Глава 5: Сохранение мира Сеть под Unix может быть засекречена. When Первый шаг заключается в обеспечении жесткого Thu 03: контроля всего доступа в сеть и системы. Затем Sat 05: следует обеспечить все узлы сети посредством Sun 12: надежного конфигурирования протоколов и В этом примере представлена часть вывода приложений и использовать шифрование всех по выполнении команды finger (обратите внимание данных, проходящих через незащищенные сети, на информацию в поле имени). В ноябре какой является самая большая в мире открытая года Роберт Т. Моррис младший, в то время сеть Internet.

студент, изучающий компьютерные технологии в $ finger username@systemname Корнельском университете, создал Morris Worm, Login name: username (messages off) самокопирующуюся и самораспространяющуюся Directory:/u/username программу, которая буквально поразила Internet. В On since Jun 23 10:11:57 on ttyq1 программе использовалась именно команда finger.

No Plan.

In real life: Actual Name Глава 6: Неизбежные попутчики Shell:/bin/ksh 13 seconds Idle Time Firewall — это механизм, использующийся $ finger @ systemname для защиты сети по всему периметру. Его Login наиболее популярное применение — защита console корпоративных сетей от несанкционированного cdc доступа из Internet. Существуют два основных vip подхода, используемых в firewalls. Набор фильтров Name firewall, как следует из его названия, фильтрует root C. Cullen — group XXXXX или отсеивает ненужные пакеты, руководствуясь C. Cullen, 555 множеством правил, названным списком контроля very important person, guest of Cindy Cullen доступа (access control list).

TTY Firewall для сервера приложений или console посредника — это программа. Такой firewall p фильтрует или определяет направление p соединения для протоколов telnet, SMTP, ftp и Idle 209 Защищаем и атакуем Unix Защищаем и атакуем Unix World Wide Web. Пользователь должен иметь Соответствующий открытый ключ используется соответствующее программное обеспечение для определения подлинности документа.

клиента и быть авторизован в firewall. Это PGP распространяется бесплатно для позволяет контролировать доступ на уровне некоммерческого использования, хотя существуют пользователя и регистрировать трафик их сети в и коммерческие версии. Он доступен для сеть.

большинства систем под Unix, DOS, Windows, Серверы приложений и посредники OS/2 и Macintosh. Экспортные ограничения обеспечивают жесткий контроль входящих и распространяются на PGP. Однако совместимое с исходящих данных. Например, функции ftp могут PGP программное обеспечение доступно и за ограничиваться только puts или gets и каждая пределами Соединенных Штатов.

транзакция может быть зарегистрирована.

Privacy Enhanced Mail (PEM) — это стандарт шифрования электронной почты, разработанный группой инженерной поддержки Internet (IETF).

Глава 7: При плохой защите PEM можно использовать для подписывания и электронную почту может прочитать шифровки сообщений электронной почты.

каждый Поддержка PEM доступна для приложений на ПК в системах Unix и Macintosh. PEM тоже Pretty Good Privacy (PGP) может использует шифрование с открытыми ключами.

использоваться для шифрования файлов и электронной почты, а также для подписания документов с заверенной электронной подписью.

PGP использует технику шифрования открытым ключом и секретным ключом. При посылке зашифрованной электронной почты, сообщение необходимо зашифровать открытым ключом получателя, секретный же ключ должен быть послан получателям под защитой их открытых ключей. Таким образом, только легитимный получатель способен расшифровать сообщение при помощи своего личного ключа.

Личный ключ каждого пользователя может быть использован для подписи документа.

211 «Аварийные» сети «Аварийные» сети информационного потока по всей организации.

Часть восьмая Локальная сеть обеспечивает подключение «Аварийные» сети персональных компьютеров к файловым серверам и другим источникам данных, в том числе и к мейнфрейму;

она не является отдельной информационной службой, а органически вплетается в структуру организации. Этим и Глава 1: Дело ведут знатоки объясняется, почему обеспечение безопасности и навыки по восстановлению деятельности Сотни непредсказуемых событий могут предприятия неотделимы от аналогичных нарушить работу сети. Не дожидаясь этого, мероприятий для его (предприятия) локальной спланируйте свои действия по предупреждению сети.

сбоев в локальных сетях и по их восстановлению.

Чтобы разработать эффективный план Многие считают, что подготовить действий на случай аварии, вам необходима локальную сеть на случай аварии — это значит помощь всей организации, особенно ее высшего создать резервные копии, чтобы иметь руководства. Имеются в виду не просто одобрение возможность восстановить диски с файловых и обещания, а готовность к сотрудничеству, серверов после краха. При всей своей важности готовность оказать финансовую и прочую, куда эти мероприятия не решают всех проблем и более реальную, нежели слова, помощь.

помогают лишь в определенных ситуациях.

Понадобится и поддержка пользователей.

Главная цель — добиться непрерывного Именно на их плечи ляжет основной груз по рабочего процесса на предприятиях или в других созданию, проверке и внедрению плана. Но для организациях, а в случае аварии — иметь того, чтобы иметь возможность обратиться за возможность как можно скорее восстановить их помощью к пользователям, надо сначала завоевать работу. Но, в отличие от традиционных их доверие.

информационных центров, основанных на мэйнфреймах, при планировании мер по ликвидации последствий аварий в локальных сетях Глава 2: Займемся планом приходится иметь дело не только с Предупреждение сбоев и восстановление компьютерными системами.

после сбоев — это не просто последовательность Компьютерная сеть стала частью структуры мероприятий, а образ мышления. Анализируя, корпорации, главной магистралью для движения например, систему, необходимо рассмотреть и 213 «Аварийные» сети «Аварийные» сети возможные нарушения ее функционирования, и доступ к данным, но и уменьшает риск случайного последствия этих нарушений. Как можно уничтожения файлов и распространения вирусов.

предотвратить сбои? Как справиться с их Какова бы ни была ваша стратегия последствиями? К кому обратиться за помощью в предотвращения последствий сбоев, есть этапы, чрезвычайных обстоятельствах? Есть ли этому без которых обойтись невозможно.

альтернатива? При определенном опыте такой Для успешного восстановления особенно образ мышления станет для вас второй натурой.

необходимо хорошее документирование систем и Эффективный план должен предусматривать процедур резервного копирования. Важную роль в решение трех основных задач: поддержание восстановлении может сыграть запасное системы в работоспособном состоянии — раз;

оборудование (хабы, кабели, сетевые плоты и обеспечение целостности, доступности и проч.), а также планы мероприятий по защищенности данных — два;

быстрое эксплуатации и ремонту оборудования и, конечно, восстановление системы после сбоя — три.

опытный обслуживающий персонал.

Для поддержания локальной сети в работоспособном состоянии требуется, чтобы она Глава 3: Невидимый враг была грамотно спланирована, спроектирована и установлена. Хорошо выполненный монтаж Беда может нагрянуть в разных обличьях. И физической сети (проводка, хабы, файл серверы, причины ее могут быть самые разные:

шлюзы и маршрутизаторы) может предотвратить отказы технических и программных средств, многие неприятности или, по крайней мере, например, крах диска, проблемы с облегчить поиск и диагностику неисправностей в проводкой, с операционной системой и с случае их возникновения. По тем же причинам приложениями;

необходимо и надлежащее проектирование ошибки оператора, случайное удаление логических структур, а именно: защиты, входных файла;

управляющих файлов, структур каталогов.

вредительство (внесение вирусов и Эти же три составляющие необходимы и вандализм);

для обеспечения целостности данных. Без целостности системы невозможна целостность стихийные бедствия: пожары, наводнения, данных. Первым шагом является создание землетрясения и ураганы;

эффективной логической структуры с надлежащей проблемы с электропитанием;

защитой и управлением доступом. Защита не только предотвращает несанкционированный 215 «Аварийные» сети «Аварийные» сети загрязнение окружающей среды, например, реагировать на изменение потребностей, но такая полихлорбифенилом;

гибкость имеет свою цену.

хищения. Исчерпывающими знаниями, необходимыми для осуществления эффективного Готовясь к аварийным работам, вы должны плана восстановления в случае аварии больших и не упустить из виду даже самые, как вам кажется, сложных локальных вычислительных сетей, не невероятные катастрофы. К примеру, для деловой обладают ни отдельные специалисты, ни группы.

части Чикаго наводнение — явление необычное, Вообще говоря, восстановление локальной сети но в 1992 году оно произошло. А поскольку после сбоев спланировать сверху донизу предусмотреть все возможные катаклизмы традиционными для информационных систем невозможно, следует быть готовым и к методами практически невозможно. Однако это не неожиданностям.

означает, что осуществить эффективный план Как и при страховании, ото всех проблем нельзя;

просто, быть может, придется выйти за восстановительные мероприятия не спасут, или же рамки общепринятых идей и методов.

спасение обойдется слишком дорого. В вашу задачу входит обеспечение достаточного набора Глава 4: Планирование мер защиты от простоя и потери информации, дающих к тому же уверенность в возможности Разработка эффективного плана на случай своевременного восстановления предприятия в аварии в локальной вычислительной сети случае аварии. Стремясь максимально сократить включает оценку возможного риска и сбор время простоя, помните, что каждый информации о системе, о ее функциях и дополнительный шаг в этом направлении будет пользователях. План надо подготовить в намного дороже предыдущего и куда менее удачен.

письменном виде, ознакомить каждого Поэтому в каждой конкретной ситуации следует включенного в план с его ролью, а затем тщательно оценить соотношение стоимости и проверить план. План следует периодически эффективности предпринимаемых мер.

пересматривать.

По природе своей локальные На первый взгляд этот процесс кажется вычислительные сети неуправляемы и простым, но это не совсем так. Большинство непредсказуемы. Зачастую они разрастаются и разработчиков подходят к плану на случай сбоя в изменяются самым неожиданным образом. Этим локальной сети так же, как к аварийному плану же объясняется их способность быстро для мэйнфрейма, но между этими планами существует масса различий.

217 «Аварийные» сети «Аварийные» сети Традиционный информационный центр изменение в одной зоне может повлиять на всю характеризуется четкой структурой с жестким систему.

управлением доступом, прикладными Ненадежность проводки, например, может программами и порядком пользования. Он оставаться незамеченной до тех пор, пока функционирует в организации обособленно, что добавление всего одной рабочей станции не позволяет управлять им как самостоятельной вызовет крах системы. Откачка (своппинг) единицей. Новые приложения обычно внедряются драйвера для сетевого адаптера на одной станции только после тщательного рассмотрения, а все может создать проблемы для всех остальных, если изменения системы планируются задолго до этот драйвер несовместим с другими в сети. Из внесения.

этого следует: подготовиться к каждой Локальные вычислительные сети непредвиденной ситуации невозможно, значит объединяют множество разнотипных устройств и надо быть готовыми к неожиданностям.

поддерживают зачастую сотни приложений. Они Динамическая природа локальных подключают пользователей к источникам вычислительных сетей объясняет тот факт, что информации, размещенным по всей организации, написать на случай аварии исчерпывающий план, а иногда и за ее пределами.

который учитывал бы каждый элемент сети и Управление и контроль часто каждую поджидающую его неприятность, как осуществляются многими руководителями на правило, невозможно. Такой план может устареть, различных уровнях, в разных подразделениях или еще не будучи завершенным.

рабочих группах. Эти люди могут иметь разные Есть ли шанс избежать данных проблем?

взгляды и цели. Новые приложения часто Везде, кроме самых маленьких организаций, это добавляются на серверы рабочих групп (или на невозможно. А следовательно, надо заняться рабочие станции пользователей) сразу же после разработкой набора меньших планов. Для сетей уведомления, а многие составляющие системы:

подразделений это означает, что каждый отдел файловые серверы, рабочие станции и должен разработать свой план. Если принтеры — добавляются или меняются без информационная служба имеет централизованную ведома центра.

структуру, то она будет осуществлять Из за наличия такого большого количества планирование всех управляемых ею элементов и взаимодействующих элементов локальные сети выступать в роли помощника, координатора и часто бывают очень чувствительны к воздействию дирижера для всей организации.

самых незначительных факторов. Малейшее 219 «Аварийные» сети «Аварийные» сети списки поставщиков.

Глава 5: Документация для защиты Важнейшей проблемой является поддержка Для эффективного предотвращения аварий документации. Многие компании тратят тысячи и восстановления очень важна хорошая долларов на создание документации только для документация. Она способствует предотвращению того, чтобы потом обнаружить, что у них нет ошибок и гладкому течению процесса эффективного механизма ее поддержки и восстановления. Руководства по эксплуатации обновления. При разработке документации программных и аппаратных средств хороши для займитесь этим вопросом вплотную.

предполагаемых пользователей, но они не Документация должна быть ясной, краткой содержат сведений о стратегии, организации и и по теме, например, две или три страницы конфигурации в конкретно вашей организации.

основных сведений о процедурах резервного Так, какого же рода документация вам копирования и восстановления будут более нужна? Ответы для разных организаций различны, эффективны, чем чрезмерно подробный трактат на но существует ряд общих положений:

эту тему.

основные принципы стратегии и организации При написании документации не системы;

увлекайтесь чересчур техническим языком, конфигурация программных и аппаратных расшифровывайте все акронимы и жаргонные средств;

термины. Для опытного пользователя сети жаргон не составит проблемы, но что, если в аварийной основные сведения о пользователях;

ситуации эту работу придется выполнять менее основные сведения об администраторе;

опытному работнику? А представим, вам самим диагностика и способы устранения придется воспользоваться этой документацией неисправностей;

года через два, когда может подзабыться многое из того, что сегодня вы знаете назубок?

процедуры резервного копирования и восстановления;

По возможности именно те, кто работает с системой или процедурой должны создавать и мероприятия по ремонту;

поддерживать документацию.

информация о гарантии и обслуживании;

Это дает основания надеяться, что план восстановления деятельности работники будут разбираться в том, что делают, и предприятия;

вероятность непонимания, которое может списки адресов и телефонов служащих;

возникнуть при привлечении независимых 221 «Аварийные» сети «Аварийные» сети разработчиков, практически исчезнет. Обучите Каждая организация должна разработать пишущих документацию пользоваться свою схему восстановлению деятельности.

описываемым инструментарием и обеспечьте его Имеется пять основных подходов к доступность. Просмотрите и проверьте восстановления деятельности в другом месте:

документацию с привлечением независимых иметь про запас оборудованные рабочие специалистов, не имеющих глубоких знаний места;

системы или процесса — это единственный способ использовать для восстановления другой офис выявить упущения и выбросить неточные и компании;

некорректно изложенные сведения.

заключить с другой компанией соглашение о Документация должна быть доступна взаимной помощи, чтобы в случае аварии любому, кто в ней нуждается. На случай аварии обеспечить друг друга оборудованием;

копии документации следует хранить и в другом помещении.

использовать чужие рабочие места на коммерческой основе;

Глава 6: Возвращение к использовать арендованную площадь, а оборудование приобретать по мере деятельности необходимости.

Так как для предотвращения большинства Итого пять пунктов, каждый из которых аварий сделать можно немного, надо основательно имеет свои за и против. Постоянное помещение подготовиться на случай их возникновения. Но дорого стоит, а делить помещение с другой предусмотреть, например, обстрел «Белого дома» в компанией или даже с другим отделением вашей Москве просто невозможно. Да и ни к чему.

же компании, как правило, можно лишь Достаточно представить, что в результате непродолжительное время.

какого то неординарного события, рабочее место Многие компании, предоставляющие станет на некоторое время недоступным.

рабочие места на время восстановления Так как системы на базе локальных мэйнфреймов, теперь предлагают рабочие места на вычислительных сетей становятся все более время восстановления локальных вычислительных критически важными, актуальной становится сетей. Персонал этих компаний выполнит все проблема восстановления их в другом месте. Но необходимые работы по обслуживанию системы, не пытайтесь разрешить эту проблему одним но стоимость их услуг относительно высока, да и махом.

223 «Аварийные» сети «Аварийные» сети пригодны такие места обычно лишь на первое Глава 8: Рецепт восстановления время.

Здесь дается ряд советов по составлению Еще один подход предполагает плана восстановительных работ.

планирование аренды площади и приобретения Убедитесь, что ваш план позволит произвести оборудования по мере необходимости. Это может восстановительные работы в указанный срок;

быть рискованно, но при правильном отношении к делу зачастую весьма эффективно. Такой подход, Стремитесь к более тесному сотрудничеству, плюс ко всему прочему, обеспечивает свободу к максимально возможной действий большую, чем остальные, здесь скоординированности действий со всеми обсуждаемые.

заинтересованными сторонами, в том числе с пользователями, с руководителями подразделений и с высшим руководством;

Глава 7: Обновление плана В большинстве случаев в организациях План восстановления устаревает в должны иметься письменные планы, дабы некоторых пунктах уже в момент написания. Его персонал не пропустил обязательные этапы следует рассматривать как совокупность работы. В больших организациях могут рекомендаций, а не как непреложные указания. В понадобиться отдельные планы для состав команды по восстановлению должны различных групп и отделов. Центральная входить специалисты, обладающие достаточными группа информационных систем может знаниями, способностями и независимостью, выступать в роли помощника и координатора, чтобы суметь реализовать план в критической отслеживая правильность составления планов.

ситуации. Однако постоянное поддержание плана В случае аварии информационная служба при в максимально соответствующем текущему необходимости может оказать помощь;

положению дел состоянии сведет к минимуму Очень важна периодическая проверка плана, число обращений за разъяснениями.

а также проверка всех процедур, Разработка плана на случай аварии не программных и технических средств, которые избавляет от необходимости ежедневного могут выйти из строя. Это бывает нелегко для выполнения рабочих процедур и тех, кто не имеет запасных рабочих мест на документирования. Но при надлежащем случай аварии, но все же следует проверить выполнении всего вышеописанного повышается как можно больше пунктов плана;

вероятность сохранения после аварии наиболее ценных активов неповрежденными.

225 «Аварийные» сети «Аварийные» сети Запасные рабочие места должны находиться конкретных элементов в категорию на приличном расстоянии от основных, первоочередных. Так как относительная чтобы исключить возможность значимость различных сетевых ресурсов одновременного поражения обеих площадей, может постоянно меняться, план в этой части на случай если бедствие охватит целый не должен быть директивой, исключающей район;

доступ к ресурсам, не вошедшим в список;

При написании плана учтите возможность При составлении плана действий персонала отсутствия системных специалистов в момент на случай аварии расписывайте рабочие аварии. Все инструкции по восстановлению функции каждого сотрудника с учетом его должны быть написаны так, чтобы их могли индивидуальных возможностей. Вполне понять люди, далекие от техники. возможно, что в критической ситуации Вы не Описывайте даже самые элементарные сможете отыскать конкретного служащего, действия, такие, например, как вставить поэтому необходимо изучать смежные ленту;

специальности, дабы добиться легкой взаимозаменяемости работников;

Если у Вас имеется запасная площадь, запланируйте наличие удаленных каналов и Постоянно возвращайтесь к плану, привлекая проводите их регулярное тестирование. Если всех имеющих к нему отношение вы оборудуете площадь специально на случай сотрудников;

аварии, то необходимо принять в расчет Следите за тем, чтобы у каждого члена самые последние тенденции в отрасли связи восстановительной команды, на каждой и режимы работы аварийных линий. Тем площадке для восстановления и в удаленном самым вы сможете получить новые сервисы, месте хранения копий имелись свежие версии ускорить инсталляцию или добиться большей важных документов, а именно руководства по гибкости.

восстановлению, списки адресов и телефонов Приложите все усилия для определения служащих.

наиболее важных в критической ситуации факторов, к которым относятся:

первоочередные действия, число и типы пользователей, необходимые файлы, приложения и линии связи. Следует четко оценить необходимость включения 227 Деньги и хакинг Деньги и хакинг своих информационных систем. Что еще хуже, Часть девятая многие компании даже не знают толком, где Деньги и хакинг находятся эти самые информационные окна и двери. Те, кто пренебрегает безопасностью своих информационных систем, попросту играют в русскую рулетку на все свои сделки, все свое имущество, на имидж компании, наконец, на Глава 1: Как защитить свое конфиденциальную информацию.

электронное достояние Хороший администратор сети знает все тайные пороки своего подопечного — например, Преступление неотступно следует за ему известны все случаи нарушения защиты, о деньгами. Деньги перемещаются в которых так никогда и не узнало руководство.

киберпространство. Наверное, деньги нельзя Знает он и неприятные секреты корпоративной считать главным корнем зла, но, бесспорно, информационной системы — допустим то, что алчность — один из семи смертных грехов. Тот, банк модемов не имеет никакой защиты вообще, и кто завел привычку раскладывать на столах своего все потому, что руководство не дает денег на офиса пачки наличных, скорее всего, рано или приобретение охранной системы для удаленного поздно заработает серьезные неприятности. Нельзя доступа. Конечно, администратор сети мог бы подвергать человека соблазну, кто бы он ни справиться с этими проблемами, но у него не был — рассыльный на велосипеде или бухгалтер, хватает времени, персонала, инструментальных нанятый для составления квартального отчета.

средств, и наконец — что хуже всего — он просто Если не принять необходимых мер не уполномочен руководством на такие действия.

предосторожности, ровно такая же опасность Вместо этого его заставляют гнаться за все может быть связана и с электронными ускоряющим ход поездом технического прогресса.

коммерческими операциями. В каком то смысле Сети клиент сервер, мобильные компьютеры, можно даже сказать, что сваливать груды глобальные сети, беспроводные технологии, зелененьких на офисных столах — вещь куда более электронная почта на Internet, World Wide безопасная. В офисах есть и надежные запоры, и Web — эти достижения следуют одно за другим, совершенные охранные системы, и даже огромными волнами накатываясь на вооруженные ночные сторожа. Однако слишком корпоративные сети. И вот появилась новая часто приходится видеть, как организации фишка — электронная коммерция. Тех, до кого тщательно охраняют свои помещения, но при это новшество еще не докатилось, остается все этом оставляют раскрытыми настежь окна и двери 229 Деньги и хакинг Деньги и хакинг меньше и меньше. Администратора сети вызывают продажа товаров и услуг через Internet обязательно к руководству компании: «Мы собираемся привлечет внимание подозрительных субъектов, продавать наши товары и услуги через Internet. притаившихся в темных углах киберпространства.

Позаботься о том, чтобы все было в порядке».

Посмотрим на результаты последних Разумеется, крики администратора о том, исследований.

Pages:     | 1 || 3 | 4 |



© 2011 www.dissers.ru - «Бесплатная электронная библиотека»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.