2.3.1. Неиспользуемые службы и открытые порты

В полную установку Red Hat Enterprise Linux входит больше 1000 пакетов приложений и библиотек. Однако многие администраторы не стремятся устанавливать все пакеты дистрибутива, они предпочитают устанавливать только основные пакеты, включающие несколько серверных приложений.

Также часто администраторы устанавливают операционную систему, не задумываясь о том, какие программы действительно при этом устанавливаются. Это может быть источником проблем, так как могут быть установлены, настроены с параметрами по умолчанию и, возможно, включены ненужные службы. В результате на компьютере без ведома администратора могут запускаться нежелательные службы (например, Telnet, DHCP или DNS), что в свою очередь, может создать ненужный трафик, или даже помочь взломщикам проникнуть в систему. За информацией о закрытии портов и отключении неиспользуемых служб обратитесь к главе 5 Безопасность сервера.

2.3.2. Не обновлённые службы

Большинство серверных приложений, входящих в инсталляцию — это надёжные, тщательно проверенные программы. Они работают в производственной среде уже много лет, их код был тщательно выверен и многие ошибки были найдены и исправлены.

Однако совершенного программного обеспечения не бывает, и всегда остаётся возможность для дальнейшего улучшения. Кроме этого, всё новое программное обеспечение не тестируется так, как хотелось бы, возможно, потому, что оно недавно попало в производственную среду, или потому, что оно не так популярно, как другое серверное программное обеспечение.

Разработчики и системные администраторы часто находят в серверных приложениях серьёзные ошибки и сообщают о них на веб-сайтах, отслеживающих ошибки или посвящённых безопасности, например, в списке рассылки Bugtraq (http://www.securityfocus.com) или на сайте центра реагирования на компьютерные инциденты (CERT) (http://www.cert.org). Хотя это эффективный способ уведомления общественности об уязвимостях, собственно исправление систем зависит от администраторов. Исправление систем приобретает особое значение, так как взломщики имеют доступ к тем же службам отслеживания уязвимостей и будут использовать эти сведения для взлома неисправленных систем везде, где возможно. Хороший системный администратор, поддерживающий защищённое компьютерное окружение, должен сохранять бдительность, постоянно отслеживать ошибки и обслуживать систему правильно.

За дополнительной информацией о поддержании системы в актуальном состоянии обратитесь к главе 3 Обновления системы безопасности.

2.3.3. Невнимательные администраторы

Одну из самых больших угроз серверной безопасности представляют администраторы, вовремя не исправляющие свои системы. По мнению Института системного, сетевого администрирования и безопасности (SANS), основной причиной уязвимостей системы компьютерной безопасности является то, что обеспечением безопасности занимается необученные люди, которым для выполнения этой работы не хватает ни времени, ни образования.[1] Это относится как к неопытным, так и к излишне самоуверенным или незаинтересованным администраторам.

Некоторые администраторы не обновляют свои сервера и рабочие станции, а другие не просматривают журнал событий ядра системы и сетевой трафик. Ещё одна распространённая ошибка — оставлять пароли служб, используемые по умолчанию. Например, в базах данных может быть задан определённый пароль администратора по умолчанию, при этом разработчики баз данных рассчитывают на то, что системный администратор сменит его сразу после установки. Если администратор базы данных не сменит этот пароль, даже неопытный взломщик может воспользоваться широко известным стандартным паролем и получить права администратора базы данных. Это только несколько примеров того, как невнимательность администратора может привести к компрометации серверов.

2.3.4. Службы, незащищённые по определению

Даже самая бдительная организация может оказаться уязвимой, если используемые в ней сетевые службы являются незащищёнными по определению. Например, при разработке многих служб предполагается, что они будут работать в закрытых доверенных сетях, но это предположение оказывается неверным, если предоставить доступ к этой службе из Интернета, доверять которому нельзя.

Одну категорию таких служб составляют сетевые службы, проверяющие подлинность без шифрования имён и паролей. Примерами таких служб являются Telnet и FTP. Если в сети работает программа перехвата пакетов, прослушивающая трафик между удалённым пользователем и такой службой, имена и пароли можно легко перехватить.

Такие службы также легко могут быть подвержены атаке, называемой в сфере безопасности атакой man-in-the-middle (человек посередине). Выполняя эту атаку, взломщик, завладев в сети сервером имён, перенаправляет сетевой трафик не к нужному серверу, а к своему компьютеру. Как только кто-то начинает удалённый сеанс на сервере, компьютер нападающего становится невидимым проводником, незаметно перехватывающим информацию между удалённой службой и ничего не подозревающим пользователем. Таким образом взломщик может собирать административные пароли и данные, в то время как ни сервер, ни клиент этого не осознают.

К другой категории незащищённых служб относятся сетевые файловые системы и информационные службы (например, NFS и NIS), которые разработаны исключительно для работы в локальных сетях, но, к сожалению, стали использоваться и в глобальных (для удалённых пользователей). В службе NFS по умолчанию не настроены механизмы проверки подлинности или обеспечения безопасности, препятствующие взломщику подключать общий ресурс NFS и получать доступ ко всему его содержимому. Служба NIS также содержит информацию, жизненно важную для всех компьютеров в сети, включая пароли и разрешения на файлы, в обычной текстовой ACSII или DBM (производной от ASCII) базе данных. Взломщик, получивший доступ к этой базе данных, сможет завладеть учётной записью любого пользователя сети, включая администратора.

По умолчанию в выпускаемой версии Red Hat Enterprise Linux все такие службы отключены. Однако, так как администраторы часто бывают вынуждены использовать эти службы, крайне важно создать безопасную конфигурацию. За дополнительной информацией о создании безопасной конфигурации служб обратитесь к главе 5 Безопасность сервера.