Безпека через приховання

Одним з типів безпеки, який необхідно розглянути, є "безпека через приховання". Це значить, що будь-які дії подібно зміни реєстраційного імені з 'root' на 'toor', наприклад, щоб спробувати запобігти входженню кого-небудь у вашу систему під 'root', є лише помилковим почуттям безпеки й можуть привести до небажаних наслідків. Багато хто впевнилися, що будь-яку атакуючу систему зломщик дуже швидко й легко пройде через такі порожні міри безпеки. Просто те, що у вас невелика мережа або відносно вузькопрофільний вузол, не означає, що зломщик не захоче подивитися, що ви маєте.

Безпека адміністратора

Найбільш вразливим аккаунтом на вашій машині є аккаунт суперкористувача - адміністратора (root). Цей аккаунт має доступ до всіх ресурсів машини, що також може включати доступ до інших машин у мережі. Необхідно використовувти аккаунт адміністратора тільки для дуже обмеженого набору певних завдань, а в більшості випадків необхідно реєструватися як звичайний користувач.

Sudo дозволяє користувачам використовувати їхні паролі для одержання доступу до обмеженого набору команд адміністратора. Це дозволить вам, наприклад, дозволити користувачам міняти й монтувати змінні диски у вашій системі, але не дасть інших привілеїв. Sudo також веде журнал всіх вдалих і невдалих запусків, дозволяючи вам відслідковувати хто й для чого використав цю команду. Тому sudo працює ефективно навіть у тих місцях, де кілька людей мають права адміністратора, - використовуючи можливості sudo, ви можете відстежити, які були зроблені зміни.

Хоча sudo може використовуватися для надання певним користувачам певних привілеїв для специфічних завдань, ця утиліта має кілька недоліків. Вона повинна використатися тільки для обмеженого набору завдань, подібних до перезавантаження сервера, або додавання нових користувачів. Будь-яка програма, що надає можливість виходу з shell, дає користувачеві права адміністратора. Наприклад, це властиво багатьом редакторам. Також такі необразливі програми як /bin/cat можуть використовуватися для перезапису файлів, які можуть дозволити експлуатувати аккаунт адміністратора.

Права доступу файлу

Важливо переконатися, що ваші системні файли закриті для випадкового редагування користувачами й групами, які не повинні виконувати таких дій.

UNIX розділяє контроль доступу до файлів і каталогів по трьох приналежностях: власник, група, всі інші. Існує завжди один власник, будь-яка кількість членів групи та всі інші.

Права доступу - Призначувані або перепризначувані в бітовому вираженні установки, які дозволяють деякий тип доступу до ресурсу. Права доступу до каталогів можуть мати значення, що відрізняються, від значень у файлів, що містяться в них.

Читання:

·                   Можливість перегляду вмісту файлу

·                   Можливість читання каталогу

Запис:

·                   Можливість додати або змінити файл

·                   Можливість видаляти або переміщати файли в каталозі

Виконання:

·                   Можливість запуску програми або скрипта оболонки (shell script)

·                   Можливість пошуку в каталозі, у комбінації із правом читання

Save Text Attribute: (Для каталогів)

sticky біт також має відмінне значення застосовне до каталогів. Якщо sticky біт установлений для каталогу, то користувач може видаляти тільки ті файли, власником яких він є, або до яких йому явно задані права запису, незважаючи на те, що йому дозволений запис у цей каталог.

SUID Attribute: (Для файлів)

Описує set-user-id права на файл. Якщо права доступу set-user-id установлені в "власник" і файл виконуваний, то процес, що запускає його, одержує доступ до системних ресурсів ґрунтуючись на правах користувача, що створив цей процес. У багатьох випадках це є причиною виникнення 'buffer overflow'.

SGID Attribute: (Для файлів)

Якщо встановлено в правах доступу "групи", цей біт контролює "set group id" статус файлу. При цьому він працює також як і SUID, тільки задіяна при цьому група, а не окремий користувач.

SGID Attribute: (Для каталогів)

Якщо ви встановите SGID біт для каталогу (командою "chmod g+s directory"), то файли, які містяться в цьому каталозі будуть мати установки групи такі, як у каталогу.

Системи збору статистики і попередження про атаку

Ще одним важливим компонентом брандмауера є система збору статистики і попередження про атаку. Інформація про всі події - відмови, вхідні з'єднання, що виходять, числі переданих байт, сервісах, що використалися, часу з'єднання і т.д. - накопичується у файлах статистики. Багато брандмауерів дозволяють гнучко визначати що підлягають протоколюванню події, описати дії брандмауера при атаках або спробах несанкціонованого доступу - це може бути повідомлення на консоль, поштове послання адміністраторові системи і т.д. Негайне виведення повідомлення про спробу злому на екран консолі або адміністратора може допомогти, якщо спроба виявилася успішною і той, що атакує вже проник в систему. До складу багатьох брандмауерів входять генератори звітів, статистики, що служать для обробки. Вони дозволяють зібрати статистику по використанню ресурсів конкретними користувачами, по використанню сервісів, відмовам, джерелам, з яких проводилися спроби несанкціонованого доступу і т.д.

Аутентифікація

Аутентифікація є одним з найважливіших компонентів брандмауерів. Перш ніж користувачеві буде надано право скористатися тим або іншим сервісом, необхідно переконатися, що він дійсно той, за кого він себе видає (передбачається, що цей сервіс для даного користувача дозволений: процес визначення, які сервіси дозволені називається авторизацією. Авторизація зазвичай розглядається в контексті аутентифікації - як тільки користувач аутентифицирован, для нього визначаються дозволені йому сервіси). При отриманні запиту на використання сервісу від імені якого-небудь користувача, брандмауер перевіряє, який спосіб аутентифікації визначений для даного користувача і передає управління серверу аутентифікації. Після отримання позитивної відповіді від сервера аутентифікації брандмауер утворює запрошуване користувачем з'єднання.

Як правило, використовується