12.4.2. Утиліти безпеки

Безпеку системи UNIX можна суттєво підвищити завдяки використанню утиліт, спеціально розроблених для виконання певних завдань адміністрування безпеки або з метою заміни стандартних механізмів захисту системи іншими, більш дос­коналими [104]. Ми розглянемо лише ті програми, які не стосуються мережної безпеки, оскільки це питання буде докладно розглянуто в розділах 15-19.

Програми, що підвищують безпеку облікових записів

Далі наведено перелік програм, які дають змогу підвищити безпеку облікових записів.

• Crack — популярна програма вгадування паролів розробки Алекса Маффетта (Alex Muffett), яка, скануючи файл паролів, швидко виявляє нестійкі паролі.

• CrackLib — бібліотека функцій, які можна викликати з програм типу passwd для запобігання введенню користувачами нестійких паролів.

• John the Ripper — програма вгадування паролів, аналогічна Crack.

• anlpasswd — активний засіб перевірки паролів розробки Argonne National La­boratory, що не дає змоги користувачам обирати нестійкі паролі.

• epasswd — утиліта, розроблена Еріком Алленом Девісом (Eric Allen Davis) на зміну стандартній програмі passwd, дає змогу гнучко застосовувати вимоги до підвищення стійкості паролів (мінімальна і максимальна довжина пароля, мі­німальна кількість застосованих цифр, спеціальних символів, букв у нижньо­му і верхньому регістрах).

♦ npasswd — утиліта, створена Клайдом Гувером (Clyde Hoover) на зміну стандартній програмі passwd, тестує паролі па стійкість до їх вгадування.

• passwd+ — активний перевіряльник паролів, створений Меттом Бішопом (Matt Bishop). Використовує конфігураційний файл, що визначає, які типи паролів дозволені, а які — ні. Такий файл дає змогу використовувати регулярні вирази, порівняння паролів із вмістом файлів (наприклад, словників) і виклики зовнішніх програм для перевірки.

• ppgen — генератор випадкових паролів, створений Майклом Шілдсом (Michael Shields), використовують з програмами, які підтримують довгі паролі. Може діяти як окремий засіб або бути інтегрованим у passwd та інші програми.

♦ otp — програма, написана мовою С, яка генерує списки одноразових паролів.

Змодельована за системою, що використовують швейцарські банки, ця про­

грама генерує ключі та списки паролів для верифікації та захисту в різних форматах.

♦ S/Key — система одноразових паролів, розроблена Bell Communications Research (Bellcore). Система OpenBSD має вбудовану реалізацію S/Key.

♦ OPIE (One time Passwords In Everything) — система паролів (подальший роз виток S/Key) розроблена Дослідницькою лабораторією військово-морських сил США (US Naval Research Laboratory, US NRL). OPIE відповідає стандар­ту IETF One Time Passwords (OTP) згідно з RFC-1938, підтримує, крім ΜD4, алгоритм MD5 і має ще низку вдосконалень.

Програми, які відповідають за безпеку файлової системи

Нижче наведено програми, покликані забезпечувати безпеку файлової системи.

♦ Cryptographic File System (CFS) — програма, написана Меттом Блейзом (Matt Blaze), вбудовує криптографічні сервіси у файлову систему UNIX. Програма надає стандартний інтерфейс файлової системи UNIX для доступу до зашиф­рованих файлів.

• Transparent Cryptographic File System (TCFS) — програма, яка, подібно до програми CFS, пропонує сервіси прозорого шифрування-дешифрування під час роботи з файловою системою.

• Crypt Breakers Workbench (CBW) — інтегрований набір інструментальних засобів, які дають змогу криптоаналітикам читати файли, зашифровані ко­мандою crypt системи BSD 4.2. Програму було написано Робертом В. Болду- іпом (Robert W. Baldwin).

• libdes — цей набір, розроблений Еріком А. Янгом (Eric A. Young), утворює біб­ліотеку шифрування за стандартом DES і програму, яка здійснює таке шиф­рування. Набір містить також швидку реалізацію функції crypt ().

• Pretty Good Privacy (PGP) — популярна програма Філіпа Циммермана (Philip Zimmerman), яка здійснює шифрування електронної пошти і файлів.

♦ Filereaper — програма Цайго Блекселла (Zygo Blaxell), призначена для по­шуку і видалення тимчасових файлів. Стандартне рішення цього завдання

з використанням програми find є вразливим до деяких атак. Зазначена про­грама застосовує низку заходів для запобігання цим проблемам.

♦ Hobgoblin — програма використовує шаблон з описанням файлів і каталогів, що мають відповідати еталону. Програма сканує файли і каталоги та звітує про будь-які їхні відмінності.

♦ Tripwire — програма перевірки цілісності файлової системи, призначена для виявлення будь-яких несанкціонованих змін. Особливо корисна для виявлен­ня порушників, які могли змінити файли з метою полегшення майбутнього несанкціонованого доступу, видалити чи змінити системні журнали реєстра­ції, залишити в системі віруси, хробаки, логічні бомби та інші руйнівні засоби.

Програми, що дають змогу здійснювати аудит системи

Наведемо приклади програм, які застосовують для реєстрації користувачів і про­ведення аналізу їхніх дій.

• chklastlog — це програма, що перевіряє файл /var/adm/lastlog на наявність у ньому вилучених записів шляхом порівняння із файлом /var/adm/wtmp.

• chkwtmp — маленька утиліта, яка перевіряє файл /var/adm/wtmp на наяв­ність перезаписано! інформації. Якщо програма знаходить запис, перезаписаний нулями, то роздруковує мітки часу попереднього і наступного записів, де­монструючи вікно часу, протягом якого було здійснено видалення.

• Logcheck — програма, створена Крейгом Роуландом (Craig Rowland), призна­чена для пошуку порушень безпеки і незвичайної активності у файлах реє­страції та для відправлення сигналів тривоги електронною поштою. Програ­му можна настроїти так, щоб вона повідомляла про все, що було явно задано за допомогою ключових слів, або, навпаки, не повідомляла. Таким чином можна виявляти певні сигнатури атак та будь-які незвичайні повідомлення.

♦ loginlog — невеличка програма, яка відстежує файл wtmp і реєструє повідом­лення про входження в систему за допомогою syslogd.

• Swatch (Simple WATCHer) — потужна програма, яка здійснює моніторинг файлів реєстрації. Її основне призначення — активний моніторинг повідом­лень під час їх записування у файли реєстрації утилітою syslog. Програму можна використовувати для аудита, тобто для одноразового перегляду та пе­ревірки файлу реєстрації.

• syslog-ng (Next Generation SYSLOGd) — програма-демон, розроблена на зміну стандартній syslogd, що постачається з Solaris, BSD, Linux та іншими UNIX- системами. Головною особливістю syslog-ng є те, що ця програма захищає файли реєстрації цифровими підписами. Таким чином достовірність інфор­мації з файлів реєстрації може бути доведена, що має велике значення для розслідування інцидентів із комп'ютерними системами.

• tklogger — програма, написана Даугом Хьюзом (Doug Hughes), здійснює мо­ніторинг файлів реєстрації, створених syslog та іншими програмами. Програ­ма tklogger працює з будь-якими визначеними текстовими файлами і відслід­ковує їх модифікації.

♦ Watcher — дуже потужна та гнучка програма моніторингу системи, написана Кеннетом Інгамом (Kenneth Ingham), яка фіксує ряд заданих користувачем команд, аналізує потік виведення, перевіряє значущі моменти і повідомник про них адміністратора.

• Zap — зручна утиліта, яка вилучає інформацію про входження в систему вказаного користувача. Це дає змогу адміністратору стежити за порушником непомітно, оскільки його присутність у системі жодним чином не демонструється. Більшість програм, які використовують для тестування вразливостей, орієнтовано на роботу з мережею. У цьому розділі буде згадано лише ті з них, що призначені для локальних перевірок або можуть їх здійснювати. (Мережні сканери вразливостей буде розглянуто в розділі 18.)

♦ chkacct — програма, яка перевіряє облікові записи користувачів щодо їх без печного використання. Зокрема, вона перевіряє права доступу до файлів і може їх коригувати, шукає файли, відкриті для записування всім користувачам, перевіряє приховані файли.

• Tiger — програма перевірки системи, розроблена в Техаському університеті (Texas А&М University), яка, зокрема, перевіряє:

♦ систему на наявність небезпечних дозволів доступу до важливих систем­

них файлів і каталогів;

• систему на наявність файлових систем, доступних для читання і записування всім користувачам;

• усі файли зі встановленим атрибутом SUID;

♦ файл із хеш-образами паролів на наявність записів із порожніми паролями;

♦ файл /etc/group;

♦ паролі користувачів щодо легкості їх добирання;

♦ команди в /etc/rc*, файл crontab і деякі файли користувачів, щоб жодний

із них не був доступним для модифікації сторонніми користувачами;

♦ домашні каталоги користувачів для гарантування того, що жоден із них не є доступним для модифікації сторонніми користувачами.