28. Технические решения по защите от нсд компьютерных ресурсов на уровне серверов и рабочих станций лвс

4.1. Технические решения для защиты компьютерных ресурсов серверов и арм

4.1.1. Общие организационно-технические решения по обеспечению безопасности

В качестве приоритетной организационной меры по предотвращению потенциальных угроз со стороны группы администраторов необходимо сначала разделить полномочия по обеспечению доступа к управлению компонентов ИС и непосредственному управлению этими компонентами. Кроме того, необходимо ограничить доступ к оборудованию путем оснащения помещений средствами демилитаризации доступа.

Для предотвращения несанкционированного дистанционного сетевого управления оборудованием необходимо использовать средства фильтрации сетевого трафика, позволяющие управлять оборудованием только из выделенного для этих целей АРМ, указанный AРМ должен быть оснащен средствами защиты от НСД, обеспечивая, в частности, невозможность изменения её сетевых настроек (например, СЗИ от НСД SecretNet)

Пользователи и администраторы всех компонентов ИС должны иметь в них уникальные идентификаторы. Использование чужих идентификаторов должно быть запрещено. Учетные записи администратора этих систем (например, root в HP-UX, SYS в СУБД Oracle) должны использоваться только в том случае, если требуемая операция не может быть выполнена технически с использованием учетной записи индивидуального администратора этой системы.

При настройке инструментов регистрации событий на другой уровень детализации перехваченных событий в серверной ОС, сетевом оборудовании ОС, ОС АРМ и СУБД должны быть выполнены следующие требования.

1. Полнота зарегистрированных событий должна быть достаточной, а не избыточной для доказательного анализа ситуации.

2. Данные аудита должны быть максимально независимыми от администратора контролируемой системы.

3. Необходимо обеспечить несанкционированное искажение журналов аудита, включая системных администраторов.

4. Мониторы безопасности должны использоваться для быстрого обнаружения возможных атак в режиме реального времени.

5. Журналы аудита должны храниться в сроки, определенные правилами компании.

Вне зависимости от типа операционной системы, подсистема аудита должна обеспечивать регистрацию:

1. Идентификационная информация, включая попытки пользователей ввести пароль.

2. Операции, отклоненные автоматизированными системами из-за отсутствия полномочий операторов.

3. Факт модификации конфигурационных файлов IE.

4. Тот факт, что администраторы изменили разрешения пользователей.

5. Система аудита отключена администраторами.

6. Факты IE начинаются и останавливаются.

4.1.2. Решения по ос hp-ux для обеспечения корпоративной безопасности

Для контроля за соблюдением принципов ИБ, описанных выше, для ОС HP-UX должен быть выполнен следующий набор работ.

1. Включить и настроить аудит ОС HP-UX:

1.1. Установить ОС HP-UX в режим Trusted HP-UX для расширенной аутентификации пользователей. Trusted HP-UX предоставляет следующие дополнительные функции управления учетными записями пользователей и паролями:

– зашифровывать файл паролей (shadowed passwd file);

– ограничить время пользователя, количество попыток входа в систему, пароль и срок действия учетной записи;

– требовать пароль от пользователя при входе в систему в одномодовом режиме (single-mode);

– настроить автоматическое отключение долгосрочных неиспользуемых учетных записей.

Для этого требуется войти в консоль сервера под именем root и использовать утилиту sam для выполнения необходимых действий. Затем необходимо перегрузить ОС путем ввода shutdown –r now с консоли.

1.2. Обеспечить невозможность неконтролируемого администрирования системы аудита ОС администратором ОС, для чего:

– запретить пользователю root работу в нормальном режиме, так как действия пользователя root не регистрируются в ОС. Это можно сделать, разделив пароль входа для root, ограничив доступ к файлу пароля ОС. После установки ОС разделите пароль root на две части, одна из которых передается в административную группу ИС, а другая – в группу безопасности. Первоначальное разделение паролей и их изменение осуществляется их совместным набором администратором ИС и AИБ в соответствии с принятой политикой защиты паролей;

– создать учетные записи AИБ и, в дополнение к пользователю root, создать администратора ОС. Разделите свои разрешения, чтобы запретить АИБ настраивать ОС и администратору ОС доступ к журналам аудита. Обеспечить, чтобы администратор ОС и АИБ обладали необходимыми и достаточными полномочиями для выполнения своих функциональных обязанностей, запретив при этом АИБ вносить какие-либо изменения в настройки ОС, а администратору ОС – искажать журналы аудита для чего реализовать их перенос на сервер аудита безопасности в режиме реального времени;

– включить аудит всех команд, выполняемых администратором ОС HP-UX, а также аудит операций удаления/записи в файлы конфигурации системы HP-UX OC и СУБД Oracle.

– с помощью штатных средств HP-UX запретить администратору ОС управление журналами аудита ОС, а именно: запретить ему доступ к командам audsys, audusr, audevent audisp, audomon, а также запись в каталог аудита. Администратор безопасности не должен изменять настройки HP-UX при сохранении возможности управления аудитом (права на выполнение команд для чтения и записи в файлы аудита).

1.3. Обеспечить оперативный контроль за аудиторской информацией, для чего:

– настройте параметры syslogd и аудита таким образом, чтобы информация аудита дублировалась на сервере аудита безопасности;

– включите аудит всех команд, выполняемых администратором HPUX, а также операций удаления/записи в файлы конфигурации системных настроек, например, OC HP-UX и СУБД Oracle;

– поскольку система HP-UX не обеспечивает аудит пользователя root, используйте этот идентификатор только в том случае, если идентификатор администратора HP-UX не может быть использован.

1.4. Обеспечить оперативный анализ и периодическое архивирование аудиторской информации, а также порядок взаимодействия отделов по результатам анализа аудиторской информации.

Каталог для размещения файлов аудита необходимо поместить в отдельную файловую систему размером не менее 512 МБ, чтобы избежать переполнения диска в корневой файловой системе и отключения ОС. После этого ОС считается готовой к включению подсистемы аудита.

2. Оптимизировать набор сервисов и системного ПО на серверах, для чего:

2.1. Ограничьте набор услуг, загружаемых в ОС HP-UX, услугами, необходимыми для работы и администрирования ИС и систем резервного копирования. Также необходимо ограничить набор установленного системного ПО только программными пакетами, необходимыми для работы ИС, в частности, не устанавливать компиляторы. Чтобы минимизировать риск безопасности серверов HP-UX, необходимо ограничить набор сервисов HP-UX, загружаемых ОС, только необходимыми для работы (табл. 4.1).

Таблица 4.1.

Минимальный набор сервисов необходимых для работы ОС HP-UX

Номер сервиса	Вид сервиса	Название сервиса
23	Tcp	telnet
53	Tcp	Domain
111	Tcp	Sunrpc
113	Tcp	authentication
135	Tcp/Udp	Unknown
177	Udp	Unknown
382	Tcp	Pvserver
512	Udp	Syslog
515	Tcp	Printer
543	Tcp	Klogin
544	Tcp	Kshell
806	Udp	Unknown
808	Tcp	Unknown
812	Tcp	Unknown
816	Tcp/Udp	Unknown
821	Tcp	Unknown
824	Tcp	Unknown
825	Tcp	Unknown
826	Udp	Unknown
827	Udp	Unknown
891	Udp	Unknown
1023	Udp	Unknown
2049	Udp	nfs
6112	Tcp	Dtsps

3. Обеспечить контроль целостности программных компонент и конфигурационных файлов ОС, а именно:

– файлов системных настроек (каталог /etc);

– всех исполняемых файлов и библиотек ОС;

– ядра операционной системы;

– файлов драйверов устройств (каталог /dev).

4. Обеспечить своевременное получение обновлений ОС (patches) от поставщиков ОС. О недостатках безопасности ОС HP-UX АИБ следует сообщать администратору ОС.

5. Обеспечить своевременное установления обновлений ОС.

6. Обеспечить периодическое тестирование ОС с помощью сканеров безопасности (например, ISS System Scanner).