1 Глава: Теоретическая часть

Введения
При создании защищенного сервера большинство опытных администраторов советуют удалять все ненужные приложения. Они также рекомендуют, чтобы серверы были выделены для одной функции, чтобы не оставлять систему открытой для нескольких типов атак. В некоторых случаях экономические соображения требуют объединения серверных функций, но это компромисс, который необходимо оценивать в зависимости от индивидуальных обстоятельств организации, развертывающей сервер.
При создании нового сервера администраторы обычно начинают с коммерческого дистрибутива. Проблема в том, что большинство продуктов Unix 1 и Linux 2 общего назначения поставляются с гораздо большим количеством приложений, чем требуется для выделенного сервера. Например, дистрибутив RedHat 9 Linux устанавливает минимум 115 пакетов. В эту конфигурацию необходимо добавить конкретное серверное приложение и другие пакеты поддержки. В этой статье показано, как создать сервер Linux полностью из исходного кода — с нуля. Этот подход имеет несколько преимуществ. Во-первых, он обеспечивает отличный контроль над тем, какие именно пакеты установлены в системе. Администратор решает каждый аспект системы, включая исполняемые файлы, файлы конфигурации и сценарии. Во-вторых, произведенная система является очень компактной системой. В этом примере создается полноценный безопасный сервер размером менее 250 мегабайт без оптимизации размера. И, наконец, и это, наверное, самое главное, создание всего из исходного кода обеспечивает безопасность. Администратор имеет полностью проверяемую систему. «Особых» модификаций дистрибутива нет. Исправления можно применять немедленно, не дожидаясь, пока поставщик интегрирует исправление в свою систему, создаст двоичный файл и объявит о доступности.


1 Глава: Теоретическая часть


1.1 Чистый лист
Единственное наиболее эффективное правило для безопасности при хакерстве можно выразить в пяти словах: “Каждый раз начинай с нуля”. Под словами “с нуля” я имею ввиду новый компьютер, новый хот-спот, новый IP-адрес и новые сервера для каждого нового взлома. Следователи будут искать типовые паттерны между атаками. Они будут пытаться сложить мелкие улики воедино для составления более объемной и ясной картины: “Встречали ли мы этот IP-адрес в других атаках? Какой браузер использовался этим IP в других атаках? Кк акому аккаунту Gmail/Yahoo/Microsoft/Facebook был получен доступ в прошлых атаках?” Не думайте, что правоохранительные структуры во время проведения расследований работают обособленно. У них есть доступ к пулу информации, начиная от записей вашего локального интернет-провайдера и заканчивая сайтами социальных сетей. Чтобы понять, как работают проекты по массовой слежке под управлением правительств (США, Франция, Канада, Великобритания и так далее), ознакомьтесь с историей Эдварда Сноуден и приготовьтесь удивиться. Старт с нуля каждый раз помогает сохранять завесу анонимности вокруг артефактов, собираемых следователями, и помешает им соединить элементы для отслеживания вашей реальной личности.
Сетевая анонимность
Первый закон принципа чистого листа - никогда не использовать IP-адрес вашего дома/университета/работы. Никогда. Даже с двумя уровнями анонимности поверх них. Всегда допускайте, что на определенном этапе вследствие небольшого сбоя в системе может каким-либо образом произойти утечка вашего реального IP-адреса и это попадет к следователю: крошечная деталь, которую вы упустили, ограничения какой-либо технологии или супермощные системы сбора и анализа информации АНБ. Небольшая зацепка к реальному миру - это все, что необходимо, чтобы смотивировать представителя правоохранительных органов копнуть глубже, выписать ордер и надавить на вас, чтобы вы признали себя виновным. Мы не хотим этого.
Угрозы
Сервер, который мы создаем, представляет собой сервер системы доменных имен (DNS), предназначенный для подключения к Интернету. Этот сервер является важной частью общей сети, предоставляющей сетевые услуги отделу образовательного учреждения. Сеть обеспечивает электронную почту и доступ в Интернет для студентов, преподавателей и сотрудников. Веб-доступ включает в себя ресурсы дистанционного обучения для всего отдела. Сеть также обеспечивает внутренний доступ к системам, предоставляющим услуги файлов и печати, веб-разработку, разработку баз данных и общую поддержку приложений для студентов и преподавателей.
При оценке этой среды мы видим, что потенциальные проблемы безопасности могут возникать из-за внешних или внутренних угроз со стороны разных классов пользователей. Самой враждебной угрозой является Интернет, где различные изощренные элементы стремятся взломать системы по многим причинам. С другой стороны, внутреннюю угрозу со стороны студентов не следует преуменьшать. Области обучения включают различные навыки, связанные с компьютерным программированием и администрированием, включая навыки сетевой безопасности. Эти развивающиеся навыки и знания учащихся об используемых системах могут сделать локальные системы привлекательной мишенью. Факторы, смягчающие угрозы, также существуют. В этой сети нет финансовых записей или транзакций. Нет ни постоянных записей о студентах, ни данных о преподавателях или персонале. Анализ Общая угроза для этой сети умеренная. Нет экономического стимула для взлома этих систем, но, поскольку системы имеют доступное хранилище и пропускную способность, они могут иметь ценность для взломщика как промежуточное место для хранения файлов или запуска других атак. Кроме того, студенты, пытающиеся поставить в неловкое положение учебное заведение или отдельных преподавателей, вызывают озабоченность. С учетом этих соображений вероятность того, что высококвалифицированные специалисты попытаются проникнуть в эти системы, высока. С другой стороны, природа данных не является особенно изменчивой или конфиденциальной, и восстановление после компрометации может быть выполнено с помощью регулярной процедуры резервного копирования. Это делает вероятность долговременного повреждения относительно низкой. В ответ на это решение мы настроим наш DNS-сервер таким образом, чтобы он использовал преимущества многих средств защиты, доступных сегодня, но не будем использовать некоторые из более экзотических методов, таких как использование Security-Enhanced Linux [Secu] для обеспечения обязательного контроля доступа к данные доступа. В этой ситуации обычные разрешения Unix в сочетании с другими доступными механизмами безопасности обеспечивают достаточную защиту. Несмотря на приведенные выше комментарии, нам все же необходимо предусмотреть глубокую защиту. Для этого мы обеспечим физическую безопасность, системную безопасность и сетевую безопасность. Физическая безопасность будет обеспечена, как было указано ранее, путем размещения системы в помещении с контролируемым доступом, что предотвращает несанкционированный физический доступ к системе, включая доступ к электричеству и сети. Безопасность сети будет обеспечена за счет размещения системы в логически разделенной подсети, защищенной брандмауэром. Эту подсеть обычно называют «демилитаризованной зоной» или DMZ. Доступ к серверу будет проходить через брандмауэр для всех служб, как показано на рисунке 1. Как вы можете видеть, серверы в демилитаризованной зоне имеют прямой контакт через брандмауэр с группами высокой угрозы, указанными выше. Наша система DNS будет предоставлять услуги имен всем пользователям. Р
исунок 3-1. Размещение DNS-сервера в демилитаризованной зоне. Безопасность системы обеспечивается выбором и конфигурацией приложений в системе. Это тема оставшейся части статьи.