[ Страница назад | Страница вперед | Содержание | Индекс | Библиотека | Юридическая информация | Поиск ]

Руководство по управлению системой: Сети и средства связи


Защита в TCP/IP

Уровень защиты системы устанавливается администратором сети в зависимости от ряда факторов. Например, уровень защиты может определяться общей стратегией. Например, если система будет иметь доступ к правительственным системам, то для ее соединений должен быть установлен определенный уровень защиты. Стандарты защиты могут применяться для сети, операционной системы, прикладных программ и даже программ, написанных администратором системы.

В данном разделе описаны средства защиты, предусмотренные в Протоколе управления передачей/Протоколе Internet (TCP/IP) для открытых и защищенных систем. Кроме того, здесь приведены некоторые соглашения о защите, которые обычно применяются в сетях.

В данном разделе обсуждаются следующие вопросы:

Защита в операционной системе

Многие средства защиты TCP/IP основаны на механизмах защиты, встроенных в операционную систему. В следующих разделах описана защита данных в TCP/IP.

Управление доступом

Стратегия защиты для работы в сети представляет собой расширение стратегии защиты операционной системы и состоит из следующих компонентов:

Удаленный хост идентифицирует пользователя по имени и паролю точно так же, как и при входе пользователя в локальную систему. К защищенным командам TCP/IP, например, ftp, rexec и telnet, предъявляются те же требования, и они выполняют ту же проверку, что и защищенные команды операционной системы.

Средства идентификации соединений позволяют проверять подлинность IP-адресов и имен удаленных хостов, с которыми устанавливаются соединения. В результате один удаленный хост не может выдать себя за другой.

Средства защиты при импорте и экспорте данных позволяют ограничить передачу данных через определенные сетевые адаптеры, для которых установлена защита соответствующего уровня. Например, данные с максимальным уровнем защиты могут передаваться только между двумя адаптерами, для которых также задан максимальный уровень защиты.

Контроль

Контроль сети TCP/IP подсистемой audit включает наблюдение как за сетевыми функциями ядра, так и за прикладными программами. Под контролем понимается запись действий, влияющих на защиту системы, и имен пользователей, выполнивших эти действия.

Контролю подвергаются следующие типы событий:

События в ядре ОС

События в приложениях

Создание и удаление объектов контролируются операционной системой. Приложения отслеживают те записи, для которых контроль со стороны ядра ОС был приостановлен или прекращен. Это позволяет избежать выполнения лишних действий.

Сетевая защищенная компьютерная база (NTCB)

Сетевая защищенная компьютерная база - это совокупность аппаратного и программного обеспечения, обеспечивающего защиту информации в системе, подключенной к сети. Аппаратные функции защиты выполняют сетевые адаптеры, которые применяются для соединений TCP/IP. Программное обеспечение NTCB - это только защищенные процессы и связанные с ними файлы.

Защищенный путь, защищенная оболочка и ключ защиты (SAK)

Операционная система предоставляет защищенный путь для предотвращения несанкционированного чтения данных с терминала пользователя. Этот путь применяется тогда, когда с системой нужно установить защищенное соединение, например, при изменении пароля или входе в систему. В операционной системе также предусмотрена защищенная оболочка (tsh), в которой выполняются только защищенные программы, которые были специальным образом протестированы и проверены. TCP/IP поддерживает обе эти функции, а также ключ защиты (SAK), с помощью которого настраивается среда, необходимая для установления защищенных соединений. Локальный SAK доступен всегда при работе с TCP/IP. Удаленный SAK можно получить с помощью команды telnet.

Для telnet локальный SAK выполняет те же функции, что и для других приложений операционной системы: завершает процесс telnet и все остальные процессы, связанные с терминалом, на котором выполнялся процесс telnet. При работе с программой telnet вы можете отправить запрос о защищенном пути удаленной системы, запустив команду telnetsend sak (из командного приглашения telnet). Также можно определить единый ключ для инициализации запроса SAK с помощью команды telnetset sak.

Защита в TCP/IP

В TCP/IP предусмотрены некоторые специальные средства защиты. Эти средства (команды TCP/IP и защищенные процессы TCP/IP) в сочетании с описанными выше средствами защиты операционной системы, обеспечивают защиту данных в TCP/IP.

Защита команд TCP/IP

Некоторые команды TCP/IP выполняются в защищенной среде. Это такие команды, как ftp, rexec и telnet. Команда ftp обеспечивает защиту при передаче файлов. Команда rexec обеспечивает защищенную среду выполнения команд на внешнем хосте. Команда telnet (TELNET) обеспечивает защиту при входе в систему внешнего хоста.

Эти команды обеспечивают защиту только во время выполнения. Они не настраивают защищенную среду для выполнения других команд. Для этого предназначена команда securetcpip. Эта команда обеспечивает защиту системы, отключая непроверенные демоны и приложения, и давая возможность защитить протокол IP.

Команды ftp, rexec, securetcpip и telnet поддерживают следующие формы защиты системы и данных:

ftp Команда ftp обеспечивает защиту при передаче файлов. После установления соединения ftp с внешним хостом появляется приглашение для ввода ИД пользователя. При этом в соответствующем поле указан ИД пользователя по умолчанию, то есть текущий ИД пользователя на локальном хосте. После ввода ИД появляется приглашение для ввода пароля.

Процесс автоматического входа в систему передает удаленному хосту идентификатор и пароль пользователя из его файла $HOME/.netrc. Для обеспечения защиты права доступа к файлу $HOME/.netrc должны быть равны 600 (чтение и запись разрешены только владельцу). В противном случае автоматический вход в систему завершится неудачно.

Примечание: Пароли в файле .netrc хранятся в незашифрованном виде, поэтому функция автоматического входа в систему недоступна при работе с командой ftp, если система не была предварительно настроена с помощью команды securetcpip. Для подключения этой функции удалите команду ftp из раздела tcpip: файла /etc/security/config.

При передаче файлов команда ftp использует два соединения TCP/IP: одно для управления протоколом FTP, а другое для передачи данных. Соединение протокола считается основным. Оно защищено, так как устанавливается между двумя защищенными портами связи. Вспомогательное соединение необходимо для фактической передачи данных. Локальный и удаленный хосты проверяют, что это соединение установлено с тем же хостом, что и основное соединение. Если основное и вспомогательные соединения установлены с разными хостами, то команда ftp отправляет сообщение об ошибке, говорящее о том, что идентификация завершилась неудачно, а затем завершает работу. Такая проверка вспомогательного соединения позволяет предотвратить ситуацию, когда третий хост перехватывает данные, предназначенные другому хосту.

securetcpip Команда securetcpip включает средства защиты TCP/IP. После выполнения этой команды запуск непроверенных команд в системе будет запрещен. Командой securetcpip запрещается доступ к следующим командам:

Команда securetcpip используется для повышения уровня защиты системы. Если только вы не переустанавливали TCP/IP, то команду securetcpip повторно вызывать не требуется.

rexec Команда rexec обеспечивает защищенную среду выполнения команд на внешнем хосте. У пользователя запрашивается имя и пароль.

Если применяется автоматический вход в систему, то команда rexec ищет ИД пользователя и пароль для внешнего хоста в локальном файле $HOME/.netrc. Для обеспечения защиты права доступа к файлу $HOME/.netrc должны быть равны 600 (чтение и запись разрешены только владельцу). В противном случае автоматический вход в систему завершится неудачно.

Примечание: Пароли в файле .netrc хранятся в незашифрованном виде, поэтому функция автоматического входа в систему недоступна при выполнении команды rexec, если система работает в защищенном режиме. Для подключения этой функции удалите запись rexec из раздела tcpip: файла /etc/security/config.
telnet или tn Команда telnet (TELNET) обеспечивает защиту при входе в систему внешнего хоста. У пользователя запрашивается имя и пароль. При этом считается, что терминал пользователя непосредственно подключен к хосту, поэтому доступ к терминалу управляется с помощью бит прав доступа. У всех остальных пользователей и групп нет прав доступа на чтение данных с терминала, но если владелец разрешит запись, то они смогут выводить сообщения в окно терминала. Команда telnet с помощью ключа защиты (SAK) предоставляет доступ к защищенной оболочке в удаленной системе. Предназначенная для этого ключевая последовательность отличается от ключевой последовательности для вызова локального защищенного пути и ее можно определить в команде telnet.

Ограничение удаленного выполнения команд (/etc/hosts.equiv)

Пользователи хостов, перечисленных в файле /etc/hosts.equiv, могут выполнять некоторые команды в вашей системе без указания пароля.

Задачи удаленного выполнения команд
Процедура Команда быстрого доступа из SMIT Команда или имя файла Среда Web-администратора системы
Просмотреть список удаленных хостов, у которых есть права на выполнение команд smit lshostsequiv view /etc/hosts.equiv Программное обеспечение --> Сеть --> TCPIP (IPv4 и IPv6) --> Настройка протокола TCPIP --> TCP/IP --> Настроить TCP/IP --> Вручную --> Файл hosts --> Содержимое файла /etc/hosts.
Добавить удаленный хост к списку хостов, у которых есть права на выполнение smit mkhostsequiv *edit /etc/hosts.equiv Программное обеспечение --> Сеть --> TCPIP (IPv4 и IPv6) --> Настройка протокола TCPIP --> TCP/IP --> Настроить TCP/IP --> Вручную --> Файл hosts. В окне Добавить/изменить запись для хоста заполните следующие поля: IP-адрес, Имя хоста, Псевдонимы и Комментарий. Нажмите кнопку Добавить/изменить запись, затем кнопку OK.
Удалить хост из списка удаленных хостов, у которых есть права на выполнение smit rmhostsequiv *edit /etc/hosts.equiv Программное обеспечение --> Сеть --> TCPIP (IPv4 и IPv6) --> Настройка протокола TCPIP --> TCP/IP --> Настроить TCP/IP --> Вручную --> Файл hosts. Выберите хост в поле Содержимое файла /etc/host. Щелкните на Удалить запись --> OK.

Дополнительная информация о процедурах, имена которых начинаются со звездочки (*), приведена в разделе "hosts.equiv File Format for TCP/IP" в книге AIX 5L Version 5.1 Files Reference.

Ограничение доступа по протоколу FTP (/etc/ftpusers)

Пользователям, перечисленным в файле /etc/ftpusers, запрещен удаленный доступ через FTP. Предположим, что пользователь A вошел в удаленную систему, причем он знает пароль пользователя B в этой системе. Если в файле /etc/ftpusers есть запись о пользователе B, то A не сможет передать файлы по соединению FTP пользователю B или от него, даже зная его пароль.

Задачи удаленных пользователей FTP
Процедура Команда быстрого доступа из SMIT Команда или имя файла Среда Web-администратора системы
Просмотреть список пользователей, доступ к которым по FTP ограничен smit lsftpusers view /etc/ftpusers Программное обеспечение --> Пользователи --> Все пользователи.
Добавить пользователя, доступ к которому по FTP ограничен smit mkftpusers *edit /etc/ftpusers Программное обеспечение --> Пользователи --> Все пользователи --> Выбранное --> Добавить пользователя в группу. Выберите группу и нажмите OK.
Удалить пользователя, доступ к которому по FTP ограничен smit rmftpusers *edit /etc/ftpusers Программное обеспечение --> Пользователи --> Все пользователи --> Выбранное --> Удалить.

Дополнительная информация о процедурах, имена которых начинаются со звездочки (*), приведена в разделе "ftpusers File Format for TCP/IP" в книге AIX 5L Version 5.1 Files Reference.

Защищенные процессы

Защищенная программа или процесс - это сценарий оболочки, демон или программа, которые удовлетворяют определенным стандартам защиты. Стандарты защиты устанавливаются и поддерживаются Министерством обороны США, которое также сертифицирует некоторые защищенные программы.

Для разных программ могут быть установлены различные уровни защиты. Предусмотрены уровни защиты A1, B1, B2, B3, C1, C2 и D, где уровень A1 соответствует самому высокому уровню защиты. На каждом уровне защиты предъявляются определенные требования. Например, на уровне C2 применяются следующие стандарты:

целостность программы Означает, что процесс выполняет в точности то, что предполагается.
модульность Означает, что исходный код программы разбит на независимые модули.
принцип минимальных прав доступа Утверждает, что пользователю всегда предоставляются минимальные права доступа. То есть, если у пользователя должен быть доступ только на чтение какого-либо файла, то у него не должно оказаться прав на изменение этого файла.
ограничение повторного использования объектов Пользователю должна быть недоступна область памяти, в которой хранилась другая информация, но которая еще не была очищена и может содержать секретные данные.

В TCP/IP предусмотрено несколько защищенных и множество незащищенных демонов. Защищенные демоны были специально протестированы, что позволило гарантировать, что они удовлетворяют определенным стандартам защиты.

Ниже перечислены некоторые защищенные демоны:

Ниже перечислены некоторые незащищенные демоны:

Система считается защищенной, если в ней используется защищенная компьютерная база. Для отдельного хоста это означает, что должен быть защищен только компьютер. Для сети это означает, что должны быть защищены все файловые серверы, шлюзы и другие хосты.

Сетевая защищенная компьютерная база (NTCB)

В сети предусмотрены как аппаратные, так и программные средства защиты. В данном разделе описаны компоненты Сетевой защищенной компьютерной базы, относящиеся к TCP/IP.

Аппаратные средства защиты сети обеспечиваются сетевыми адаптерами, которые применяются для соединений TCP/IP. Эти адаптеры должны получать только данные, предназначенные для локальной системы, и распространять путем оповещения те данные, которые должны быть получены всеми системами.

Программные средства, входящие в NTCB - это защищенные программы. В приведенной ниже таблице описаны каталоги, в которых хранятся программы защищенной системы и связанные с ними файлы.

Каталог /etc
Имя Владелец Группа Режим Права доступа
gated.conf root система 0664 rw-rw-r--
gateways root система 0664 rw-rw-r--
hosts root система 0664 rw-rw-r--
hosts.equiv root система 0664 rw-rw-r--
inetd.conf root система 0644 rw-r--r--
named.conf root система 0644 rw-r--r--
named.data root система 0664 rw-rw-r--
networks root система 0664 rw-rw-r--
protocols root система 0644 rw-r--r--
rc.tcpip root система 0774 rwxrwxr--
resolv.conf root система 0644 rw-rw-r--
services root система 0644 rw-r--r--
3270.keys root система 0664 rw-rw-r--
3270keys.rt root система 0664 rw-rw-r--


Каталог /usr/bin
Имя Владелец Группа Режим Права доступа
host root система 4555 r-sr-xr-x
hostid bin bin 0555 r-xr-xr-x
hostname bin bin 0555 r-xr-xr-x
finger root система 0755 rwxr-xr-x
ftp root система 4555 r-sr-xr-x
netstat root bin 4555 r-sr-xr-x
rexec root bin 4555 r-sr-xr-x
ruptime root система 4555 r-sr-xr-x
rwho root система 4555 r-sr-xr-x
talk bin bin 0555 r-xr-xr-x
telnet root система 4555 r-sr-xr-x


Каталог /usr/sbin
Имя Владелец Группа Режим Права доступа
arp root система 4555 r-sr-xr-x
fingerd root система 0554 r-xr-xr--
ftpd root система 4554 r-sr-xr--
gated root система 4554 r-sr-xr--
ifconfig bin bin 0555 r-xr-xr-x
inetd root система 4554 r-sr-xr--
named root система 4554 r-sr-x--
ping root система 4555 r-sr-xr-x
rexecd root система 4554 r-sr-xr--
route root система 4554 r-sr-xr--
routed root система 0554 r-xr-x---
rwhod root система 4554 r-sr-xr--
securetcpip root система 0554 r-xr-xr--
setclock root система 4555 r-sr-xr-x
syslogd root система 0554 r-xr-xr--
talkd root система 4554 r-sr-xr--
telnetd root система 4554 r-sr-xr--


Каталог /usr/ucb
Имя Владелец Группа Режим Права доступа
tn root система 4555 r-sr-xr-x


Каталог /var/spool/rwho
Имя Владелец Группа Режим Права доступа
rwho (каталог) root система 0755 drwxr-xr-x

Защита данных и информации

В средствах защиты TCP/IP не предусмотрено шифрование при передаче пользовательских данных. Поэтому предполагается, что пользователи самостоятельно оценивают риск, связанный с передачей пароля и другой уязвимой информации по сети, и предпринимают соответствующие меры.

Для использования этого продукта в сетях Министерства обороны США (DOD) защита соединений должна удовлетворять стандартам DOD 5200.5 и NCSD-11.


[ Страница назад | Страница вперед | Содержание | Индекс | Библиотека | Юридическая информация | Поиск ]