Кевин Митник - Искусство вторжения

Многие вторжения являются прямым результатом неправильной конфигурации системы, например, лишних открытых портов, слабой системы защиты доступа к файлам и неправильно сконфигурированным Интернет-серверам. После того, как хакер проник в систему на уровне пользователя, его следующим шагом становится повышение своих привилегий через использование неизвестных или незакрытых лазеек и плохо сконфигурированных разрешений. Не забывайте, что многие атакующие совершают целый ряд осторожных шагов на пути к полному проникновению в систему.

Администратор базы данных, которая поддерживает Microsoft SQL-сервер, должен рассматривать возможность отключения определенных команд (таких как x pcmdshell , x pmakewebtask и xp regread), которые могут быть использованы для получения дальнейшего доступа к системе.

СКАНИРОВАНИЕ ПОРТОВ

В то время, как вы читаете эти строки, вполне возможно, что ваш соединенный с Интернетом компьютер сканируется другим компьютером в поисках «низко висящего яблока». Подобное сканирование портов вполне законно в США (и большинстве других стран), неприязнь к хакерам имеет свои ограничения. Самое важное — отличить серьезную атаку от тысяч любительских попыток «пробить» список адресов вашей компании.

Есть несколько продуктов, включая межсетевые экраны и системы обнаружения вторжения, которые определяют заранее оговоренные типы сканирования портов и могут сигнализировать нужным людям о неавторизованной активности. Вы можете настроить большинство межсетевых экранов так, чтобы выявлять сканирование портов и душить подобные соединения. В некоторых коммерческих межсетевых экранах есть возможность предотвратить быстрое сканирование портов. Есть и средства с открытым кодом, которые могут выявлять сканирование портов и отбрасывать пакеты в течение определенного периода времени.

ЗНАЙТЕ СВОЮ СИСТЕМУ

Есть целый ряд правил по управлению системой, которые вы должны выполнять: • проверять список процессов на наличие необычных и неизвестных процессов;

• проверять список программ на неавторизованные добавления или изменения;

• проверять всю файловую систему в поисках новых или модифицированных файлов, текстов или приложений;

• обращать внимание на необычное уменьшение свободного пространства на диске;

• постоянно убеждаться в том, что все системы и пользователи работают и убирать «спящие» или неизвестные директории;

• проверять, что все специальные аккаунты сконфигурированы так, чтобы не допускать интерактивного входа в них со стороны сети;

• проверять, что все директории системы и файлы имеют соответствующие разрешения на допуск к файлам;

• проверять все записи об активности системы на предмет наличия в них необычной активности (например, удаленного доступа неизвестного происхождения или в необычное время, то есть, в нерабочие часы или в выходные дни);

• проверять все записи об активности Интернет-сервера, чтобы идентифицировать все запросы неавторизованного доступа к файлам; атакующие, как продемонстрировано в этой главе, будут копировать файлы в директорию Интернет-сервера, и перегружать файлы через Интернет (HTTP);

• постоянно убеждаться в том, что на Интернет-сервере, FrontPage или WebDav установлены соответствующие разрешения для предотвращения неавторизованного проникновения с файлов доступа.

РЕАКЦИЯ НА ВТОРЖЕНИЕ ИЛИ ПОДАЧА СИГНАЛА ТРЕВОГИ

Своевременное осознание того, что произошел прорыв в систему, может помочь предотвратить существенные потери. Надо осуществлять постоянный аудит операционной системы, чтобы идентифицировать возможные прорехи в системе безопасности. Выработайте способ подачи автоматического сигнала тревоги сетевому администратору, когда происходит какое-то необычное событие. При этом имейте в виду, что если атакующий уже получил высокие привилегии и осведомлен о контроле, он может отключить эту систему подачи сигнала тревоги.

ВЫЯВЛЕНИЕ НЕАВТОРИЗОВАННЫХ ИЗМЕНЕНИЙ В ПРИЛОЖЕНИЯХ

Роберт мог заменить приложение helpdesk.exe, используя неправильную конфигурацию FrontPage. После того, как он достиг своей цели, и получил коды главного продукта компании, он оставил «взломанную» версию приложения helpdesk, чтобы иметь возможность вернуться сюда через какое-то время. Загруженный сетевой администратор может так никогда и не понять, что хакер скрытно изменил существующую программу, особенно, если он не делает никаких проверок на целостность системы. В качестве альтернативы ручным проверкам можно посоветовать лицензированную программу tripware, которая автоматизирует процесс выявления неавторизованных изменений.