Кевин Митник - Искусство вторжения

ПРЕДОТВРАЩЕНИЕ РАСКРЫТИЯ DNS

Роберт использовал программу для отгадывания DNS, чтобы определить имена узлов в зоне публичного доступа домена. Предотвратить раскрытие этих имен можно с помощью хорошо известного метода горизонтального расщепления DNS, что относится, как к внешнему, так и внутреннему серверу имен. Только общедоступные узлы перечислены в файловой зоне внешнего сервера имен. Внутренний сервер имен гораздо лучше защищен от атак, он должен отличать внутренние DNS-запросы для корпоративной сети.

ЗАЩИТА MICROSOFT SQL -СЕРВЕРА

Эрик обнаружил, что резервный сервер электронной почты и Интернет-сервер используют Microsoft SQL-сервер, на котором имя пользователя и пароль записаны так же, как и в файлах директории «include». SQL-сервер не должен подключаться к Интернету без серьезной бизнес-необходимости. Даже если аккаунт «SA» был переименован, атакующий может идентифицировать новое имя аккаунта и пароль в незащищенном файле кодов. Оптимальным решением для этого будет блокирование порта 1433 (Microsoft SQL Server) до тех пор, пока он действительно не понадобится.

ЗАЩИТА ВАЖНОЙ ИНФОРМАЦИИ

Описанные в этой главе атаки оканчиваются успехом, потому что коды программ хранятся на серверах, которые не защищены так, как это должно быть сделано. Для такой важнейшей информации, как результаты групповых исследовательских разработок, должны применяться специальные методы безопасности на основе технологий шифрования.

Для одиночного разработчика (в отличие от группы разработчиков, где целый ряд людей должен иметь доступ к разрабатываемому коду) наиболее приемлемо шифрование самой ценной информации, такой как коды программы, при помощи программ PGP Disk или PGP Corporate Disk. Эти программы создают виртуальные зашифрованные диски и функционируют понятным для пользователя образом.

ЗАЩИТА АРХИВИРОВАННЫХ ФАЙЛОВ

Как стало ясно из рассказанных историй, сотрудники — даже те из них, кто серьезно думает о безопасности — часто упускают из виду необходимость обеспечения безопасности архивов, включая архивы электронной почты, от доступа посторонних людей. В процессе моей хакерской карьеры я не раз замечал, что многие системные администраторы оставляют сжатые архивы или директории важной информации незащищенными. Работая в ИТ-департаменте крупной больницы, я видел, что все защищенные базы данных архивируются обычным образом и хранятся потом безо всякой з а щ и т ы так, что любой сотрудник может получить к ним доступ.

Роберт использовал еще один аспект этого распространенного упущения, когда он обнаружил копии кодов программы коммерческого приложения в директории общего доступа на Интернет-сервере.

ЗАЩИТА ОТ АТАК MS S QL I N JEC T I ON

Роберт сознательно удалил все проверки входных команд из Интернет-приложений, которые должны были предотвращать атаки SQL-injection. Следующие шаги могут защитить вашу компанию от атаки, которую использовал Роберт:

• никогда не запускайте сервер Microsoft SQL в контексте работы системы — старайтесь запускать его иным способом;

• разрабатывая программы, создавайте коды так, чтобы не генерировать динамические SQL-запросы;

• используйте процедуры хранения, чтобы выполнять SQL-запро-сы, создайте аккаунт только для выполнения таких сохраненных процедур и определите систему защиты от проникновения в этот аккаунт.

ИСПОЛЬЗОВАНИЕ С Е Р В И С О В MICROSOFT VPN

В качестве средства авторизации Microsoft V P N применяет авторизацию Windows, что позволяет атакующему использовать недостаточно защищенные пароли для проникновения в VPN. В некоторых ситуациях можно потребовать для доступа к V P N авторизации при помощи смарт-карт. Иногда имеет смысл контролировать доступ к V P N при помощи проверки IP-адресов клиентов.

В атаке Роберта системный администратор должен был контролировать VPN-сервер на появление новых пользователей в группе VPN. Другие меры тоже очевидны, это: удаление «спящих» аккаунтов из системы (как уже не раз было отмечено), гарантированное удаление всех уволенных сотрудников, и ограничение времени доступа рабочими днями и рабочими часами.

УДАЛЕНИЕ УСТАНОВОЧНЫХ ФАЙЛОВ