Technologie zapewniające bezpieczeństwo w systemach operacyjnych.

Audyt

Rola w bezpieczeństwie

• wykorzystywany przez administratorów systemu
• śledzenie zdarzeń związanych z bezpieczeństwem
• ostatnia linia obrony, pozwalająca wykryć niewłaściwe dostępy do systemu i jego zmiany.

Co można audytować

Istnieją trzy główne grupy:

• aplikacje,
• systemy plików,
• sieć.

Aplikacje to oprogramowanie uruchamiane przez użytkownika, albo w tle przez system. Czasami mają one własny mechanizm logowania, mniej, lub bardziej pożyteczny.

Audytowanie systemu plików oznacza zapisywanie informacji o dodawaniu, modyfikacji i usuwaniu plików. Interesujących obserwacji może dostarczyć na przykład przeglądanie logów dotyczących pliku /etc/passwd, czy /bin/login.

Audytowanie sieci może pokazać, jakie zdarzenia w sieci pozwoliły na włamanie do systemu, czy było to na przykład przepełnienie jakiegoś bufora, albo atak przez DOS'a. Poza tym można tam znaleŸć informacje o nieudanych próbach włamania.

Co można zobaczyć w logach

• ślady skanów: sprawdzenie, czy system nie był skanowany w poszukiwaniu jakiejś usługi (usługi "dziurawej", o znanych błędach). Na przykład:
  

  /var/log/secure
  Apr 10 13:43:48 mozart in.ftpd[6613]: connect from 192.168.11.200
  Apr 10 13:43:51 bach in.ftpd[6613]: connect from 192.168.11.200
  Apr 10 13:43:54 hadyen in.ftpd[6613]: connect from 192.168.11.200
  Apr 10 13:43:57 vivaldi in.ftpd[6613]: connect from 192.168.11.200
  Apr 10 13:43:58 brahms in.ftpd[6613]: connect from 192.168.11.200
  

  Widać, że ktos z adresu 192.168.11.200 skanował sieć w poszukiwaniu aktywnej uslugi FTP.
• jakich narzędzi używał intruz: narzędzia, na przykład sscan, czy nmap, pozostawiają za sobą ślady w logach
• czy włamanie się powiodło: większość włamań jest oparta na technice przepełniania bufora (buffer overflow). Technika ta polega na wysłaniu do procesu (serwisu sieciowego) większej ilości informacji niż się on spodziewa. Jeżeli proces nie sprawdza długości pobieranych danych, to można nadpisać kluczowe miejsca w pamięci, wykonać własny kod i uzyskać uprawnienia użytkownika procesu. Przykładowy log wygląda wówczas mniej więcej tak (podanie bardzo długiej nazwy montowanego zasobu):

  Apr 14 04:20:51 mozart mountd[6688]: Unauthorized access by NFS client 192.168.11.200.
  Apr 14 04:20:51 mozart syslogd: Cannot glue message parts together
  Apr 14 04:20:51 mozart mountd[6688]: Blocked attempt of 192.168.11.200 to mount
  ~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
  P~P~P3U3A°^[Í~@3O3A~KÚ°^FÍ~@?Âuô1A°^BÍ~@~EAubëb^VŹýt^F?At^Këo°0?E~HFyëi^°^B~
  I^F?E~IF^D°^F~IF^H°f1U?A~InÍ~@~I^F°^Bf~IF^L°*f~IF^N~MF^L~IF^D1A~IF^P°^P~IF^H°
  f?AÍ~@°^A~IF^D°f3^DÍ~@ë^DëLëR1A~IF^D~IF^H°f?AÍ~@~HA°?1ÉÍ~@°??ÁÍ~@°??ÁÍ~@¸.bin@~
  I^F¸.sh!@~IF^D1A~HF^G~Iv^H~IF^L°^K~Ió~MN^H~MV^LÍ~@1A°^A1UÍ~@eEyyyyýyPrivet
  ADMcrew~P(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(Apr 14 04:20:51
  mozart ^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^
  E^H(-^E^H-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E
  ^H(-^E^H-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^ H(-^E^H(-^E^H(-^E^H(-^E^H(-^E^H(-^E
  ^H(-^E^H(-^E
  

  O powodzeniu włamania świadczyć mogą nowe, nieznane konta systemowe, konta o dużych przywilejach systemowych.

Linux - rozwiązania wspomagające audytowanie

Syslog

Jest to standardowe rozwiązanie dla systemów unixowych i Linuxa. W dystrybucji Red Hat przechowuje pliki z logami w katalogu /var/log. Przy użyciu specjalnego programu logrotate co pewien, ustalony czas (na przykład tydzień) pobierany jest aktualny plik z logami (logfilename), jego nazwa jest zmieniana (na logfilename.1). Jeżeli istniał wcześniej plik o nazwie, na którą zmieniamy nazwę tego pliku, to jego nazwa jest też odpowiednio zmieniana. Liczba przetrzymywanych w ten sposób plików jest ustalona przez konfigurację Syslog.

Swatch/Logwatch

Pomagają w trzymaniu kontroli nad logami. Swatch przegląda log w trakcie zapisywania go do pliku i szuka w nim określonych wzorców. Jeżeli wzorzec występuje w logu, Swatch wykonuje akcję określoną przez konfigurację, która ma na celu zaalarmowanie administratora (na przykład wydanie sygnału, wykonanie jakiegoś programu).

Logwatch działa jako usługa typu cron, przegląda plik z logami, a następnię wysyła raport.

Tripwire/AIDE

Są używane do sprawdzania integralności plików w systemie. Dzięki nim możemy dowiedzieć się o usunięciu ważnych plików.

Snort/Tcpdump

Służą do audytowania wydarzeń w sieci.

Zapezpieczanie logów

Jeżeli logi nie są zabezpieczone, to nie są nic warte. Pierwszą rzeczą, jaką robi intruz po włamaniu się do systemu i uzyskaniu uprawnień administratora jest modyfikowanie logów. Tak więc pierwszym krokiem przed gromadzeniem logów powinno być zabezpieczenie podsystemu logowania.

zastosowanie zdalnego serwera logowania

• Dobrze by było, żeby serwer gromadzący logi był systemem dedykowanym tylko i wyłącznie do tego zadania i żeby gromadził dane ze wszystkich zródeł informacji (serwerów, urządzeń, itp.).
• Serwer logowania powinien być maksymalnie zabezpieczony, z wyłączonymi wszystkimi usługami z wyjątkiem usług niezbędnych do gromadzenia logów z innych systemów.
• System ten powinien być odseparowany od Internetu (np. przez wyfiltrowanie na firewallu lub umieszczenie w osobnej sieci fizycznej).