Защитные средства с открытыми исходными текстами

Инструменты безопасности с открытым исходным
кодом

2-е издание, исправленное

Хаулет Т.

Национальный Открытый Университет “ИНТУИТ”
2016

2

УДК 004.49
ББК 15
Х26
Защитные средства с открытыми исходными текстами / Хаулет Т. - M.: Национальный Открытый
Университет “ИНТУИТ”, 2016 (Основы информационных технологий)
ISBN 978-5-94774-629-7

Программное обеспечение с открытыми исходными текстами составляет неотъемлемую часть
Интернет, так что можно смело утверждать, что Интернет в своем нынешнем виде не существовал бы
без него. Интернет не развивался бы столь быстро и динамично без таких программ с открытыми
исходными текстами, как BIND, которая управляет доменной системой имен, как Sendmail, которая
обеспечивает работу большинства серверов электронной почты, как INN, работающая на многих
серверах телеконференций, как Major Domo, которая обслуживает многие тысячи списков почтовой
рассылки в Интернет и, конечно, без популярного Web-сервера Apache.
Хотя программы с открытыми исходными текстами охватывают почти все области программного
обеспечения - от полнофункциональных операционных систем и игр до текстовых процессоров и
систем управления базами данных, - эта книга ориентирована в первую очередь на инструментарий
информационной безопасности. Существуют программные реализации всех возможных сервисов
безопасности. Имеются межсетевые экраны с открытыми исходными текстами, системы
обнаружения вторжений, сканеры уязвимостей, судебный инструментарий и самые современные
программы для таких областей, как беспроводные коммуникации.

(c) ООО “ИНТУИТ.РУ”, 2007-2016
(c) Хаулет Т., 2007-2016

3

Информационная безопасность и программное обеспечение с
открытыми исходными текстами

Когда Том Пауэрс устраивался на работу в качестве системного администратора в
энергетическую компанию среднего размера, он знал, что решающим фактором были
его навыки в области компьютерной безопасности. За последний год компания
несколько раз подвергалась атакам хакеров, а на ее домашнюю страницу помещали
непристойные изображения. Руководство хотело, чтобы, помимо обеспечения
повседневной работы компьютерной сети, он сделал информацию компании более
защищенной от цифровых атак.

После первого же дня работы он понял, что перед ним стоит сложная проблема. В
компании отсутствовала даже самая элементарная система безопасности. Соединение с
Интернетом, защищенное только обычным маршрутизатором поставщика Интернетуслуг, было широко открыто миру. Общедоступные серверы плохо поддерживались и
выглядели так, будто к ним не прикасались с момента установки. А бюджет для
исправления ситуации был практически нулевым.

Однако в течение четырех месяцев Том обеспечил устойчивость сети, остановил все
атаки, обезопасил точки общего доступа и очистил внутреннюю сеть, а также добавил
сервисы, которых раньше не было. Как он смог все это сделать с такими
ограниченными ресурсами? Он знал базовые принципы и концепции информационной
безопасности (ИБ) и нашел подходящее программное обеспечение (ПО) для
выполнения работы. Он разработал описанный далее план усовершенствования
системы безопасности компании и методично выполнил его с помощью подходящих
защитных инструментов.

Защита периметра

Прежде всего Том создал несколько базовых средств для защиты своей сети от
внешнего мира, чтобы затем спокойно заняться безопасностью серверов и внутренней
части сети. Он настроил межсетевой экран для соединений с Интернетом, используя
программу Turtle Firewall (рассмотренную в лекции 3). С помощью этой программы и
старого сервера, который больше ни для чего не использовался, он сконфигурировал
машину так, чтобы разрешить соединения с внешним миром только изнутри сети; все
входящие соединения, не запрошенные изнутри, блокировались. Правда, он сделал
несколько исключений для общедоступных серверов.

Затыкание дыр

Том знал, что ему необходимо проверить свою сеть на наличие дыр в системе
безопасности и определить места, через которые в нее проникают злоумышленники.
Хотя теперь межсетевой экран защищал внутренние рабочие станции от случайных
вторжений, общедоступные серверы, такие как web-серверы и серверы электронной
почты, все еще были уязвимы. Межсетевой экран также стал теперь потенциальной

4

целью нападений, поэтому требовался какой-то способ обеспечения его защиты. Том
установил на этом сервере программу Bastille Linux, чтобы проверить, что он
сконфигурирован безопасным образом (лекция 2). Затем он выполнил программу
Nmap, как извне, так и изнутри сети (лекция 4). Она сообщила, какие прикладные
порты были видимы извне по всем общедоступным IP-адресам. Внутреннее
сканирование позволило узнать, имеются ли какие-то необычные или ненужные
службы, выполняющиеся на внутренних машинах.

Затем он воспользовался программой Nessus для повторного сканирования сети извне
и изнутри (лекция 5). Это программа “копает” значительно глубже, чем Nmap, она
проверяет открытые порты для большого числа уязвимостей и позволяет выявлять
неправильно сконфигурированные машины внутри сети. Программа Nessus создала
отчеты, которые показали, где в системе безопасности на общедоступных серверах
имеются слабые места, и предоставила подробные инструкции по их устранению. Он
использовал эти отчеты для разрешения проблем, а затем еще раз выполнил программу
Nessus, чтобы убедиться, что уязвимости ликвидированы.

Создание системы раннего предупреждения

Том ликвидировал все известные прорехи, но он также хотел знать, нет ли какой-то
нетипичной активности в сети или на общедоступных серверах. Он воспользовался
сетевым анализатором Ethereal для получения контрольных данных о различных типах
активности в сети (лекция 6). Он также настроил на сервере сетевую систему
обнаружения вторжений, используя программный пакет Snort (лекция 7). Эта
программа круглосуточно следила за сетью, выявляя подозрительную активность,
которую Том определил специальным образом. Программа извещала его о новых
атаках и нетипичном поведении пользователей внутри сети.

Создание системы управления данными безопасности

Вначале Том был перегружен всевозможными данными этих систем. Однако он
настроил базу данных и использовал несколько программ для управления выводом
программ системы безопасности. Одна из них, ACID (Analysis Console for Intrusion
Database - Консоль анализа базы данных вторжений) помогла рассортировать и
интерпретировать данные сетевой системы обнаружения вторжений (лекция 8).
Программа “Командный центр Nessus” помещала результаты сканирования в базу
данных и создавала на их основе отчеты (лекция 8). Том использовал также программу
Swatch, которая отслеживала по файлам журналов различные аномалии (лекция 8). Эти
программы позволили ему за полчаса просматривать отчеты на web-странице, в
которой были объединены все его задания по мониторингу безопасности. Для Тома,
который воплощал в одном лице техническую поддержку, программиста и,
естественно, администратора системы безопасности, это было значительной экономией
времени.

5

Реализация защищенного беспроводного решения

Еще одним заданием для Тома было построение для компании беспроводной сети. Том
знал, что технология беспроводных сетей изобилует проблемами безопасности,
поэтому он использовал две программы - NetStumbler и WEPCrack - для контроля
защищенности и развернул беспроводную сеть с требуемыми параметрами
безопасности (лекция 10).

Защита важных файлов и коммуникаций

Одной из проблем, беспокоивших руководство компании, было использование
электронной почты для пересылки потенциально уязвимых документов. Том знал, что
пересылка информации через обычную электронную почту аналогична отправке ее
почтовой открыткой. Любой из посредников, обрабатывающих сообщение, мог его
прочитать. Том заменил эту практику системой, использующей программное средство
PGP, которое позволяет посылать файлы с конфиденциальной или уязвимой
информацией в зашифрованном виде и защищать важные внутренние файлы от
любопытных глаз неавторизованных пользователей (лекция 9).

Расследование вторжений

Наконец, когда сеть была защищена настолько, насколько это возможно, Том проверил
каждый сервер на наличие каких-либо следов прошлых вторжений, чтобы убедиться,
что не было оставлено ничего вредоносного, и, если было, попытаться выяснить, кто
это сделал. Используя утилиты системного уровня, такие как wtmp и lsof, и программу
The Coroner’s Toolkit, Том смог идентифицировать возможных нарушителей,
ответственных за прошлые вторжения (лекция 11). Хотя собранные доказательства
были недостаточно надежными, чтобы возбудить уголовное преследование, он
заблокировал IP-адреса злоумышленников в новом межсетевом экране, чтобы те не
смогли помешать работе. Он использовал также эту информацию, чтобы пожаловаться
на злоупотребления поставщику Интернет-услуг.

За несколько первых месяцев работы Том произвел впечатляющие преобразования. Но
что самое удивительное, он смог сделать все это при почти полном отсутствии
бюджета. Как ему это удалось? Его подготовка в области информационной
безопасности помогла разработать план действий и реализовать его. Он смог
воспользоваться этими знаниями для установки недорогих, но эффективных защитных
решений, используя ПО с открытыми исходными текстами для создания всех своих
систем. С помощью этих пакетов Том смог превратить плохо защищенную сеть в сеть,
безопасность которой могла бы соперничать со значительно более дорогими
аналогами. И он сделал это без дополнительного персонала и с минимальным
количеством средств.

Вы также можете использовать открытое ПО для защиты своей организации. Эта книга

6

познакомит вас с десятками программных пакетов, которые помогут это сделать, а
также обучит правильным политикам и процедурам, обеспечивающим
информационную безопасность. Как неоднократно подчеркивается в этой книге,
программно-технические средства - прекрасное подспорье, но это лишь половина дела.
Хорошо организованная программа информационной безопасности состоит также из
политик и процедур, позволяющих в максимальной степени использовать возможности
программного обеспечения. Поэтому, прежде чем переходить к установке ПО, давайте
обсудим основы ИБ и происхождение ПО с открытыми исходными текстами.

Практика информационной безопасности

Наука информационной безопасности включает множество различных аспектов,
однако имеются три области, которые являются основанием ИБ: конфиденциальность,
целостность и доступность. Для их обозначения часто используется акроним КЦД. Эта
триада представляет цели информационной безопасности (рис. 1.1). Каждая из них
требует различных инструментов и методов и защищает определенный элемент или
тип информации.

Рис. 1.1.  Принципы информационной безопасности

Конфиденциальность

Элемент конфиденциальности информационной безопасности защищает данные от
просмотра неавторизованными лицами. Это может быть информация, которая является
внутренней для вашей организации, такая как инженерные планы, исходные тексты
программ, секретные рецепты, финансовая информация или маркетинговые планы. Это
может быть информация о заказчиках или сверхсекретные правительственные данные.
Конфиденциальность относится также к необходимости сокрытия информации от
любопытных глаз внутри организации. Разумеется, нежелательно, чтобы все служащие
могли читать электронную почту высшего руководства или просматривать платежные
ведомости.

7

Существует много способов защиты приватных данных от просмотра. Один из них
состоит в запрещении доступа к данным. Но иногда это невозможно, как в случае
данных, передаваемых через Интернет. В подобных случаях необходимо использовать
другие средства, такие как шифрование, чтобы скрыть и утаить данные во время их
передачи.

Целостность

Элемент целостности помогает гарантировать, что неавторизованные лица не могут
модифицировать данные. Он означает также, что авторизованные лица не вносят
изменений без соответствующего разрешения. Следует различать два момента. Если
кассир банка втайне дебетует чей-то счет и кредитует другой, то это проблема
целостности. Он авторизован делать изменения счетов, но только после получения
указания на внесение изменений. Целостность данных означает также, что данные
соответствующим образом синхронизированы во всех системах.

Доступность

От защищенных данных нет никакой пользы, если к ним нельзя обратиться. По мере
того, как атаки типа “отказ в обслуживании” становятся все более
распространенными, одной из основных задач системы информационной безопасности
становится не только защита данных от доступа злоумышленников, но и обеспечение
доступности данных для тех, кому они предназначены. Многие компьютерные
преступники будут в равной степени удовлетворены как разрушением данных, так и
прерыванием работы web-сайта. Элемент доступности включает также подготовку к
аварийной ситуации и возможность безопасного восстановления после ее ликвидации.

Том понимал, что должен применить все эти принципы, чтобы полностью защитить
сеть компании. Он нашел программные средства, которые поддерживали все элементы.
Важно было использовать все доступные возможности. Из новостей и
профессиональных статей он знал ужасающую статистику.

Состояние компьютерной преступности

Компьютерные преступления стали эпидемией, которая затрагивает всех
пользователей - от руководителя компании из списка Fortune 500 до домохозяйки.
Согласно ежегодному исследованию ФБР по компьютерным преступлениям,
проведенному совместно с Институтом Компьютерной Безопасности (CSI), более 90%
компаний в США стали жертвами какой-либо формы компьютерного преступления.
Восемьдесят процентов опрошенных понесли в связи с этими атаками определенные
финансовые потери. Если в 2000 г. потери составили 337 миллионов долларов, то в
2001 г. они составили уже 445. И можно с уверенностью утверждать, что большинство
атак не фиксируется. Многие компании не хотят признавать, что их компьютерные
системы были взломаны или скомпрометированы, и избегают обращаться к
официальным лицам, так как боятся, что дурная слава может повлиять на цены акций

8

или бизнес, особенно в таких отраслях как банковское дело, которые опираются на
доверие общественности.

По прогнозам Центра Защиты Национальной Инфраструктуры (NIPC), компьютерные
атаки в 2002 г. участятся и станут более сложными, часто с использованием
нескольких методов нападения, как в случае с “червем” Code Red в 2001 г.
Предполагается, что хакеры сконцентрируются на маршрутизаторах, межсетевых
экранах и других некомпьютерных устройствах, так как они менее заметны и
обеспечивают при незаконном использовании более полный доступ к корпоративной
сети. Предсказывается также, что время между обнародованием новой уязвимости и
появлением средств, которые ее используют, будет сокращаться, предоставляя меньше
времени для ответа на потенциальную угрозу. Действительно, среднее время между
сообщением об уязвимости и публикацией программы ее использования сократилось с
месяцев до недель. Например, “червь” Blaster появился всего лишь через шесть недель
после обнаружения в начале 2003 г. уязвимости в механизме удаленного вызова
процедур от Мicrosoft.

Группа реагирования на нарушения информационной безопасности (CERT), которая
действует совместно с Университетом Карнеги Меллон и федеральным
правительством, отслеживает возникающие угрозы и старается предупредить
компании о вновь обнаруженных уязвимостях и пробелах безопасности. Выяснилось,
что количество отчетов об инцидентах, связанных с компьютерной безопасностью
более чем удвоилось в 2001 г. по сравнению с предыдущим годом, с 21756 до 52658.
Отмечен рост числа атак более чем на 100% каждый год, начиная с 1998 г. В 2003 г.
число инцидентов выросло на 70%, хотя общее число новых уязвимостей,
определяемых как слабые места в аппаратном или программном обеспечении, которые
позволяют получить несанкционированный доступ, упало (рис. 1.2). Это связано с
появлением “червей“, которые быстро распространяются в Интернете, заражая
множество систем.

Рис. 1.2.  График уязвимостей и инцидентов (источник - CERT).

Экспоненциальный рост как числа атак, так и методов их осуществления, является

9

тревожной тенденцией, поскольку все больше организаций подключаются к
Интернету. К сожалению, многие из них предпочитают оставаться в неведении и
игнорируют информацию о проблемах безопасности. Обычное объяснение
недостаточной защищенности компьютерной сети: “Зачем хакеру наша организация?
У нас нет ничего такого, что им нужно”. В прошлые годы такая позиция могла быть
оправданной. Хакеры старой школы, как правило, охотились на крупные организации,
которые имели ценные данные.

Однако радикальные изменения в информационных технологиях сделало
потенциальной целью хакеров все организации, даже представителей малого бизнеса.
Фактически организации малого и среднего размера теперь являются целями более
50% атак, о которых сообщает ФБР. Это изменение было вызвано несколькими
факторами, которые описаны в следующих разделах.

Появление Интернет

Когда в Интернете были соединены всего несколько сетей, организациям в основном
приходилось беспокоиться о риске того, что кто-то получит доступ к консоли
компьютера, или о вирусе, который будет занесен через дискету. Защитой от
физических угроз такого вида компании занимались годами. Дверные замки, системы
сигнализации и даже вооруженная охрана могли защитить компьютеры и системы от
физического доступа. Единственными программно-техническими средствами защиты
до наступления эры Всемирной Паутины были антивирусное ПО и пароли.

С распространением сети Интернет хакеры получили возможность осуществлять
нападения, находясь на удалении в тысячи миль, и похищать критически важные
активы компании, обходя все физические барьеры. Им на руку анонимность, которую
предоставляет Интернет. Они могут находиться в иностранных государствах, не
имеющих соглашения об экстрадиции преступников. Они оставляют мало информации
о том, кто они такие и что они сделали. Когда вы подключаетесь к Интернету, то
оказываетесь буквально в нескольких нажатиях клавиш от любого хакера, взломщика и
просто бездельника. Защиты паролем и антивирусным ПО уже недостаточно, чтобы
удержать незваного гостя от проникновения в ваш виртуальный офис.

Повсеместно распространенная, недорогая широкополосная сеть

Относительно недавно подключение к Интернету по выделенным линиям было
привилегией крупных организаций. Теперь можно получить доступ через цифровую
абонентскую линию или кабельный модем для компании или домашнего
использования менее чем за $100 в месяц. Организации становятся доступными в
Интернете тысячами, и это в целом хорошо для бизнеса. Однако наличие выделенного
соединения подвергает их большему риску, чем используемые ранее коммутируемые
соединения через телефонную линию. Прежде всего, широкополосная сеть совершенно
отлична от простого соединения через модем с точки зрения сети. Обычно при
использовании коммутируемого доступа вы подключены, только пока вы работаете.

10