Використання програм перевірки цілісності файлів

Програма перевірки цілісності файлу є програмним забезпеченням, яке обчислює і зберігає криптографічну контрольну суму кожного файлу, що захищається, і підтримує базу даних контрольних сум файлів. Це дозволяє системному адміністраторові легко розпізнати зміни, зокрема, неавторизовані, зроблені в критичних файлах. Контрольні суми повинні переобчислюватися регулярно для порівняння поточного значення із значенням, що зберігається, що дозволить визначити будь-які модифікації файлу. Можливість перевірки цілісності файлів часто включається в системи виявлення проникнень для хоста, але така перевірка може бути доступна і у вигляді окремої програми.

Хоча програма перевірки цілісності і є корисним інструментальним засобом, який не вимагає великої участі людини, для гарантії ефективності вона повинна використовуватися продумано.

1. При створенні першого варіанту бази даних файлом перевірки цілісності потрібна гарантія, що система знаходиться в безпечному стані. Інакше можуть бути створені криптографічні хеші скомпрометованої системи, і тим самим створиться помилкове відчуття безпеки у того, що тестує.

2. База даних контрольних сум повинна зберігатися off-line, щоб той, що атакує не міг скомпрометувати систему і модифікувати базу даних заховати сліди атаки.

3. Програма перевірки цілісності файлів може також створювати помилкові позитивні попередження. Кожна зміна файлу і кожен системний patch змінює файл і, отже, потрібно змінити базу даних контрольних сум. Таким чином, тримати базу даних актуальною може бути непросто.

Проте навіть якщо програма перевірки цілісності виконується тільки один раз (при першій інсталяції системи), вона може бути корисна для визначення того, які файли були модифіковані у разі передбачуваної компрометації. Нарешті, той, що атакує може так модифікувати файл, що використання 32-бітової циклічної контрольної суми (Cyclic Redundancy Check – CRC) не визначить модифікацію. Отже, рекомендуються сильніші алгоритми підрахунку контрольних сум для гарантування цілісності даних.

Програми перевірки цілісності повинні виконуватися вночі для перевірки деякої файлової системи, яка могла бути скомпрометована. Якщо програма перевірки цілісності визначить неавторизовані модифікації системних файлів, повинна бути розглянута можливість інциденту, пов'язаного з безпекою, і здійснені відповідні процедури, згідно встановленої політики безпеки.

Список дій для безпечної інсталяції і конфігурації web-сервера

Безпечна інсталяція web-сервера:

• Інсталювати ПО сервера на виділений хост;

• Інсталювати мінімально необхідні сервіси Інтернету;

• Застосувати всі patches і upgrades для усунення відомих уязвимостей;

• Створити виділений фізичний диск або логічний розділ (окремо від ОС і сервера) для web-вмісту;

• Видалити або заборонити всі сервіси, інстальовані програмою web-сервера, але в даному випадку не потрібні (наприклад, gopher, FTP і віддалене адміністрування);

• Видалити всі приклади сторінок, скриптів і виконувані коди;

• Видалити з сервера всю документацію виробника;

• Протестувати сервер, застосувавши різні зразки безпеки або скрипти злому;

• Переконфігурувати банер НТТР-сервіса (і банери інших сервісів, якщо потрібно), щоб він не повідомляв про тип і версію web-сервера і ОС.

Конфігурація управління доступом web-сервера з боку ОС:

• Конфігурувати доступ до файлів з боку ОС так, щоб процеси web-сервера могли тільки читати файли web-вмісту, але не могли записувати в них;

• Конфігурувати доступ до файлів з боку ОС так, щоб процеси web-сервера не могли записувати в директорії, в яких розташований вміст web;

• Конфігурувати доступ до файлів з боку ОС так, щоб тільки процеси, авторизовані для адміністрування web-сервера, могли записувати у файли вмісту web;

• Конфігурувати доступ до файлів з боку ОС так, щоб web-забезпечення могло писати в лог-файли web-сервера, але лог-файли не могли бути читані забезпеченням web-сервера;

• Конфігурувати доступ до файлів з боку ОС так, щоб тимчасові файли, що створюються забезпеченням web-сервера, були розташовані тільки у вказаній і відповідним чином захищеній піддиректорії;

• Конфігурувати доступ до файлів з боку ОС так, щоб доступ до будь-яких тимчасових файлів, створеним забезпеченням web-сервера, був обмежений тільки процесами, які створили ці файли;

• Інсталювати web-вміст на окремому жорсткому диску або логічному розділі, відмінному від ОС і web-забезпечення;

• Конфігурувати доступ до файлів з боку ОС так, що якщо допустиме завантаження на web-сервер, то повинне існувати обмеження на простір жорсткого диска або логічного розділу, який виділений для цих цілей;

• Конфігурувати доступ до файлів з боку ОС так, щоб лог-файли мали відповідний максимальний розмір.