| Автореферат | Электронная библиотека |
перевод статьи "An Architectural Overview of UNIX Network Security"
Robert B. Reinhardt
ARINC Research Corporation
1. Введение
Цель этой статьи состоит в том, чтобы представить мою концепцию архитектуры безопасности сети UNIX, основанной на интернет-модели возможности соединения и подходе брандмауэра к осуществлению безопасности. Эта статья определяет несколько слоев брандмауэра, которые изображают слои уязвимости. Эта статья также дает некоторые субъективные комментарии к некоторым из наиболее широко известных инструментов и методов, доступных, чтобы защитить сети UNIX сегодня, плюс краткое обсуждение угрозы и риска.
Список инструментов и методов, которые я представляю в этой статье, был выбран свободно на основе следующего:
(a) Моя попытка найти, по крайней мере, один, возможно несколько примеров инструмента или метода намеревались обращаться к части архитектурной модели (некоторое дублирование);Ничто в этой статье не должно быть рассмотрено как одобрение продукта. Прошу прощения заранее авторам этих инструментов и методов; так как я только представляю краткий обзор, я не могу всесторонне описывать их. Я также приношу извинения любым авторам, которых я мог не упомянуть в течение этого обсуждения; это не было намеренно. Читатель должен проверить информацию, которая сопровождает каждый инструмент, и получать дополнительную информацию предшествующую любыми планами или реализациям. Конечно, нет никакой гарантии, выраженной или подразумеваемой в этой статье.
(b) мое предпочтение - обсудить инструменты, которые являются известными и/или частью общественной информации (это не строгое правило, хотя я преднамеренно не искал коммерческие продукты);
(c) я надеялся найти инструменты, которые имели недавнюю документацию, написанную автором инструментов, для читателя, чтобы использовать её как детализированную ссылку вне возможностей этого документа.
2. Риск, Угроза, и Уязвимость
Эта секция представляет общий краткий обзор риска и угрозы безопасности вашей сети. Они - общие утверждения, которые актуальны почти для каждой сети. Полный анализ риска вашей сети, угрозы, и уязвимости должен быть сделан, чтобы оценить подробно требования вашей собственной сети.
2.1 Риск
Риск - возможность, что злоумышленник может получить доступ к вашей локальной сети через соединения глобальной сети. Есть много возможных последствий от такого события. Вообще, существует возможность для кого-то осуществить следующее:
ДОСТУП НА ЧТЕНИЕ. Чтение или копирование информации из вашей сети.
ДОСТУП НА ЗАПИСЬ. Запись или уничтожение данных в сети (включая установку троянского коня, вирусы, и back-doors).
ОТКАЗ В ОБСЛУЖИВАНИИ Отказ в нормальном использовании ресурсов сети при загрузки полосы пропускания, центрального процессора или памяти.
2.2 Угроза
Угроза - это действия любого, кто мотивированно пытается получить неправомочный доступ к вашей сети. Поэтому возможно, что угрозой может быть кто угодно. Ваша уязвимость к угрозе зависит от нескольких факторов, типа:
ПОБУЖДЕНИЕ. Кому выгодно получить доступ или уничтожить вашу сеть.
ДОВЕРИЕ. Насколько Вы можете доверять вашему разрешенному пользователю и/или как хорошо тренированы ваши пользователи, чтобы понимать, что является приемлемым использованием сети и что не приемлемое использование, включая последствия недопустимого использования.
2.3 Уязвимость
Уязвимость по существу - определение того, как хорошо защищена ваша сеть - от кого-то вне вашей сети, кто пытается получить доступ к ней; и как хорошо защищена ваша сеть - от кого-то в пределах вашей сети преднамеренно или случайно получив- шего доступ или иначе повредившего сеть.
Побуждение и Доверие (см. Угрозу, секция 2.2) - две части этого общего , что Вы должны будете оценить в вашей собственной внутренней ревизии требований безопасности и политики, позже я опишу некоторые ссылки, которые могут помочь Вам начать этот процесс.
Остальная часть этой статьи - представление моего концепции архитектурной модели безопасности сети UNIX (центр этой статьи). Это приспособлено к возможности подсоединения к Интернету (или возможность соединения через Internet Protocol), используя БРАНДМАУЭР как метод сокращения уязвимости к рискам и угрозе.
3. Архитектура Безопасности Сети UNIX
Для каждого из слоев в Архитектуре Безопасности Сети UNIX (UNIX/NSA) описываемых ниже, есть подраздел, который дает краткое описание этого слоя и некоторых из наиболее широко используемых инструментов и методов для того, чтобы осуществить средства управления безопасности. Я использую стиль ISO/OSI модели, так как большинство людей в сообществе UNIX знакомо с этим. Эта архитектура определенно основана на возможности соединениях Интернета в UNIX, но вероятно достаточным будет общее обращение к полной безопасности любой методологии сети. Можно было утверждать, что эта модель обращается к возможности соединения сети вообще, с или без определенного центра безопасности сети UNIX.
Определенная цель этой модели состоит в том, чтобы иллюстрировать отношения между высокими и низкими функциями уровня, которые все вместе включают полную программу безопасности для возможности соединения в глобальной сети. Они разделены на слои таким образом, чтобы изобразить (a) БРАНДМАУЭР как метод для осуществления средств управления доступа, и (b) полный переходный эффект различных слоев на смежные слои, более низкие слои, и коллективную модель. Следующее - общее описание слоев и природы отношений между ними. После этого краткого обсуждения того, каков каждый слой, следующая секция статьи обсудит примеры общих методов и инструменты, используемые для осуществления некоторых из ваших вариантов на каждом уровне, или, по крайней мере, попробовать рассказать Вам, где узнать, как начать. Отметьте, что может быть некоторое наложение между определениями различных уровней, это наиболее вероятно между различными слоями БРАНДМАУЭРА непосредственно (слои 2 и 3).
Самый высокий слой [7 - ПОЛИТИКА] - зонтик, в котором определена полнота вашей программы безопасности. Именно эта функция определяет политику организации, включая определение высокого уровня приемлемого риска вниз к низкой директиве уровня что и как осуществить оборудование и процедуры в более низких слоях. Без полной, эффективной, и осуществленной политики, ваша программа безопасности не может быть полной.
Следующий слой [6 - ПЕРСОНАЛ] определяет еще одну завесу в пределах большего зонтика, охваченного слоем 7. Люди, которые устанавливают, управляют, поддерживают, используют, и могут иметь или действительно иначе иметь доступ к вашей сети (так или иначе) - вся часть этого слоя. Это может включить людей, которые не находятся в вашей организации, что Вы не можете иметь никакого административного контроля. Ваша политика относительно персонала должна отразить то, чем ваши ожидания являются из вашей полной программы безопасности. Как только все определено, это - ясно, что персонал обучается и иначе сообщается относительно вашей политики, включая, что является и не считается приемлемым использованием системы.
Слой локальной сети [5 - ЛВС] определяет оборудование и активы данных, которые ваша программа безопасности должна там защитить. Это также включает часть мониторинга, и процедуры контроля используемых, чтобы осуществлять часть вашей политики безопасности. Это - слой, в котором ваша программа безопасности начинает становиться автоматизированной с помощью электроники, в пределах активов ЛВС непосредственно.
Внутренний разграничивающий слой [4 - ВНУТРЕННЕЕ РАЗГРАНИЧЕНИЕ], определяет оборудование и точку, в которой Вы физически соединяете ЛВС с БРАНДМАУЭРОМ, который обеспечивает буферную зону между вашей локальной сетью - (ЛВС) и вашей глобальной сетью соединения. Это может принять много форм, типа концентратора сети, который объединяет и сетевой интерфейс для БРАНДМАУЭРА, и интерфейс сети для сегмента ЛВС. В этом случае, концентратор - внутренний пункт. Минимальное требование для этого слоя - то, что Вы имеете единственный пункт разъединения, если для Вас возникла потребность к спонтанному отделению вашей ЛВС от вашего WAN по какой-нибудь причине.
Вложенный слой шлюза UNIX [3 - Gateway] определяют всю платформу, которая объединяет, а интерфейс сети, прибывающий от вашего внутреннего, разграничивают в слое 4 и интерфейсе сети, идущем в ваш пакет, фильтрующий маршрутизатор (или другое оборудование связи) в слое 3. Пункт встроенного шлюза UNIX должен обеспечить услуги БРАНДМАУЭРА (столь же прозрачный пользователю или приложению насколько возможно) для всех WAN услуг. То, чем это действительно является, должно быть определено в вашей политике (обратитесь к слою 1), и иллюстрирует, как верхние слои затемняют или переходят к слоям ниже. Это предназначено, что шлюз UNIX (или сервер) в этом слое будут посвящены этой роли и иначе не будут использоваться, чтобы обеспечить общие ресурсы сети (кроме услуг БРАНДМАУЭРА, типа FTP по доверенности, и т.д.). Это также используется, чтобы осуществить мониторинг и функции управления, которые обеспечивают поддержку БРАНДМАУЭРА функциям, которые определены четырьмя верхними слоями ISO/OSI (1 заявление, 2 представления, 3-Сессий, 4 транспорта). В зависимости от того, как это и устройство в слое 2 осуществлены, часть этого могла бы быть просто проходом - к следующему уровню. Конфигурация слоев 3 и 2 должна все вместе обеспечить достаточный охват всех 7 из функций, определенных моделью ISO/OSI. Это не означает, что ваш БРАНДМАУЭР должен быть способным к поддержке всего возможного, что соответствует модели OSI. То, что это действительно означает, - то, что ваш БРАНДМАУЭР должен быть способным к поддержке всех функций модели OSI, которую Вы осуществили на вашей возможности соединения ЛВС / WAN возможности соединения.
Пакет, фильтрующий слой [2 - ФИЛЬТР] определяет платформу, которую интерфейс сети, прибывающий от ваших ворот в слой 3 и сеть соединяют или другое устройство, типа синхронной или асинхронной последовательной коммуникации между вашим БРАНДМАУЭРОМ и WAN возможностью соединения в слое 1. Этот слой должен обеспечить и вашу физическую возможность соединения к слою 1 и способность фильтровать прибывающие и датаграммы сети за границу (пакеты), основанные на своего рода критериях (что это, которым критерии должны быть, определено в вашей политике). Это типично делается сегодня коммерческим интеллектуальный маршрутизатор, который имеет эти способности, но есть другие способы осуществить это. Очевидно, есть деятельность уровня связи OSI, продолжающаяся в нескольких слоях в этой модели, не исключительно этот слой. Но, дело в том, что функционально, ваша политика{полис} безопасности осуществлена на этом уровне, чтобы защитить полную связь - доступ уровня к вашей ЛВС (или заявлена более широко; отделить вашу ЛВС от вашей WAN возможности соединения).
Внешний разграничивающий [1] определяет точку, в которой Вы соединяетесь с устройством, телефонным сетью, или носителем, что Вы не имеете прямого контроля в пределах вашей организации. Ваша политика должна обратиться к этому по многим причинам, типа природы и качества линии или обслуживания непосредственно и уязвимости к неправомочному доступу. В этом пункте (или как часть слоя 2) Вы можете даже развернуть еще одно устройство, чтобы выполнить точку, чтобы указать шифрование канала связи. Это вряд ли улучшит качество линии, но конечно может уменьшить вашу уязвимость до неправомочного доступа. Вы также должны быть заинтересованы о распространении вещей на этом уровне, которые часто считают разным, типа идентификаторами сети или телефонных номеров. Иллюстрация Модели UNIX/NSA
------------------------------------------------------------------ ПОЛИТИКА ------------------------------------------------------------------ | | --------------------------------------------------- | ПЕРСОНАЛ | --------------------------------------------------- | | --------------------------------- | ЛВС | --------------------------------- Enet | Enet | ----------------- | INTERNAL-D | ----------------- Enet | Enet | -----------------Сервер UNIX с двумя Ethernet интерфейсами соединяет и | СЕРВЕР ШЛЮЗА | индивидуальное программное обеспечение и конфигурацию, чтобы осуществить -политику безопасности (услуги по доверенности, ревизия). Enet | Enet | ----------------- | ФИЛЬТР ПАКЕТА | cisco маршрутизатор IGS со списками доступа ----------------- X.25 | | ----------------- | EXTERNAL-D | арендованная DID линия к WAN службе ----------------- | | + Открытый доступ +
3.1 ОБЩЕСТВЕННАЯ или НЕЧАСТНАЯ ВОЗМОЖНОСТЬ СОЕДИНЕНИЯ
Этот слой модели характеризует всю внешнюю физическую возможность соединения к вашей сети. Это обычно включает оборудование и телефонные линии, которыми Вы не владеете или не контролируете. Точка иллюстрирования этого должна показать эту часть возможности соединения как часть полной модели. В некоторый момент в этом слое, оборудование, которое Вы действительно имеете или имеете контроль , соединится с внешней или общественной сетью. Ваша собственная политика и выполнение должны принять во внимание динамику этой возможности соединения.
3.2 МАРШРУТИЗАТОР (БРАНДМАУЭР ФИЗИЧЕСКИЙ СЛОЙ)
Этот слой модели изображает точку, в которой ваша физическая возможность соединения и ваш поток данных становятся едины. Не входя в истерику о том, чем маршрутизатор является и что делает; дело в том, что в этом слое, ваша электрическое соединение, которая содержит инкапсулированные данные в некоторой форме, становится информацией. Ваш маршрутизатор расшифрует электрические сигналы от физического соединения и превратит это в пакеты инкапсулированных данных для любого из различных сетевых протоколов. В пределах этого пакета информации содержится исходный адрес, адрес предназначения, удостоверение личности протокола, датаграмма непосредственно, и т.д.
Много маршрутизаторов, доступных сегодня включают способность создать списки контроля доступа (ACL) или для одного или оба из коммуникабельных и поступающих наступающих интерфейсов данных [1] [5]. Это обычно включает способность отфильтровать или позволять в пакетах, основанных на исходном адресе, адресе предназначения, протокол (, типа TCP, UDP, ICMP, и т.д.) и определенных чисел{номеров} порта (TCP и UDP). Это обеспечивает Вам гибкость, чтобы проектировать вашу собственную политику{полис} контроля{управления} доступа сети, предписанную в маршрутизаторе, прежде чем доступ к вашим внутренним ресурсам сети требуется или предоставлен. Таким образом, маршрутизаторы одни часто используются, чтобы обеспечить функциональные возможности брандмауэра.
В то время как маршрутизатор, который способность ACL предлагает большому преимуществу, это не должна быть ваша единственная защита, потому что, в основном маршрутизатор только обеспечивает защиту на первых трех уровнях модели OSI.
стальная часть слоев этой модели брандмауэра обсуждает способы обратиться к функциональной безопасности других четырех слоев OSI.
Наличие: я только имею личный опыт с маршрутизаторами CISCO, однако мне сказали, что Wellfleet и маршрутизаторы Proteon также имеют эту особенность. Могут быть другие продавцы также, но они вероятно все представляют это немного по-другому.
3.3 ДВОЙНОЙ GATEWAY-СЕРВЕР UNIX (БРАНДМАУЭР ЛОГИЧЕСКИЙ СЛОЙ)
Этот слой модели иллюстрировал точку, в которой ваши различные IP пакеты (к и от маршрутизатора) используются сетью операционная система (, типа TCP/IP под UNIX), чтобы обеспечить услуги, идентифицированные{опознанные} в верхних четырех слоях модели OSI. Конечно, этот сервер UNIX фактически делает работу над основанием три слоя OSI также, чтобы общаться с: (a) маршрутизатор на одной стороне сервера, и (b) локальная сеть с другой стороны сервера.
В этом точке маршрутизатор уже осуществляет вашу политику безопасности для основания три слоя OSI, теперь это - до вашего двойного [10] сервера UNIX (действующий как шлюз), чтобы осуществить вашу политику безопасности, касающуюся функций сети для верхних четырех слоев OSI. Это может означать много вещей. В зависимости от того, что ваша политика безопасности говорит, что Вы должны предписать, что Вы делаете в этом пункте, изменяется. Следующие инструменты и методы - пример некоторых из инструментов и методов (функциональные возможности), доступные сегодня:
3.3.1 TCP Wrapper
Инструмент TCP Wrapper [2] обеспечивает контроль и контроль услуг сети. По существу, что случается - то, что Вы формируете inetd на вашем двойном- шлюзе, чтобы управлять программным обеспечением упаковщика TCP всякий раз, когда определенные услуги (порты) связаны . В зависимости от того, как Вы формируете упаковщик TCP, это будет тогда РЕГИСТРИРОВАТЬ информацию о связи и затем фактически запускать намеченную программу СЕРВЕРА, для которой связь была предназначена. Так как Вы имеете источник на инструмент, Вы можете изменить это, чтобы сделать больше в зависимости от того, каковы ваши потребности. Например, Вы можете хотеть, чтобы упаковщик TCP соединила пользователя с службой по доверенности вместо фактической программы, затем иметь ваш идентификатор программного обеспечения прокси по доверенности сделка любым способом ваше требование безопасности.
Наличие: Это доступно из нескольких источников, но гарантировать, что Вы получаете новую копию, которую СВИДЕТЕЛЬСТВО проверило{подтвердило}, Вы должны использовать анонимную FTP, чтобы скопировать это от cert.org в ~/pub/tools/tcp_wrappers/tcp_wrappers.*.
3.3.2 Библиотеки SOCKS и sockd
Библиотеки SOCKS и sockd [3] обеспечивают другой способ осуществить " Упаковщик TCP." Это не предназначено, чтобы сделать систему, это продолжается безопасное, а скорее централизовать все внешние интернет-услуги. Процесс sockd запускается inetd всякий раз, когда связь требуют определенных услуг, и затем только позволяет подключение связи одобренных пользователей (перечисленный{внесенный в список} в файле конфигурации). sockd также будет РЕГИСТРИРОВАТЬ информацию о связи. Вы можете использовать Библиотеку SOCKS, чтобы изменить программное обеспечение клиента, чтобы непосредственно использовать sockd для отбывающих{коммуникабельных} связей также, но это описано как очень утомительное и конечно требует, чтобы Вы имели источник к тем программам клиента.
Наличие: пакет SOCKS, который в дополнение к включению и демон и библиотека, имеет предизмененного клиента FTP и клиента finger; это доступно через анонимную FTP от s1.gov в ~ / паб как socks.tar. Z. Свяжитесь с авторами за дополнительной информацией. Дэвид Коблас (koblas@netcom.com) или Michelle R. Koblas (mkoblas@nas.nasa.gov).
3.3.3 Kernel_Wrap для SunOS RPC через Разделенные Библиотеки
По существу это - упаковщик для демонов SunOS, которые используют RPC [4], типа portmap, ypserv, ypbind, ypupdated, mountd, pwdauthd, и т.д. Чтобы использовать это, Вы должны иметь SunOS 4.1 или выше и должны иметь способность восстановить ваши разделенные библиотеки (но, Вы не нуждаетесь в источнике к вашей всей системе). По существу, что случается - то, что Вы изменяете запросы функции, которые ядерные использования, чтобы установить связи RPC, типа принимают (), recvfrom () и recvmsg (). Так как эти запросы поддержаны{обслужены} в разделенных библиотеках, Вы имеете доступ, чтобы изменить их, не переписывая ядро.
Наличие: обеспеченный{защищенный} пакет библиотеки C, чтобы осуществить это доступен через анонимную FTP от eecs.nwu.edu в ~/pub/securelib.
3.3.4 Swatch
Простой Swatch [6] - действительно две вещи, это - программа, используемая, чтобы разобрать через несметное число данных LOG , произведенных в соответствии с различными программами безопасности, в особенности "syslog". Но, это - больше чем это. Это полностью конфигурируемо со спусковыми механизмами (действия), так, чтобы, в то время как это непрерывно контролирует LOG в "реальном времени", это могло предпринять действия, основанные на определенных первоочередных событиях, за которыми Вы говорите этому наблюдать. Чтобы получить полное использование этого, Вы будете должны изменить ваших демонов обслуживания{службы} сети, типа ftpd и telnetd так, чтобы расширенная заготовка логов была добавлена к syslog, кормить Swatch.
Пригодность: источник Swatch и документация доступны через анонимный FTP от sierra.stanford.edu в ~/pub/sources.
3.3.5 Управляемая точка доступа (CAP)
Это - больше метод или определения протокола чем определенный продукт. CAP [7] обеспечивает, механизм сети намеревался уменьшить риск: предположение пароля, исследующее за известные счета с паролями по умолчанию, доверяло хозяину rlogin, и захвату пароля шпионящей сетью. Это - действительно проект для изменения{разновидности} или повышения к общему подходу брандмауэра к соединению двух или больше сетей. В статье, описывающей это есть пример двух местных сетей, один безопасная доля с опознавательным обслуживанием, и другим небезопасная доля. Оба общаются друг с другом через CAP, в то время как есть маршрутизатор для коммуникации к общественным сетям, связанным на небезопасной стороне CAP. CAP- по существу маршрутизатор с дополнительными функциональными возможностями, чтобы обнаружить поступающие запросы связи, перехватить пользовательский опознавательный процесс, и призвать опознавательный сервер.
Наличие: Неизвестный. Свяжитесь с авторами за дополнительной информацией. Д. Дэвид Томпсон (thompsond@orvb.saic.com) и Кейт Арндт (karndt@mitre.org).
3.3.6 Mail Gateway
Это - больше процедуры чем пакет программ (хотя есть пакеты, предназначенные только, чтобы сделать это). Я включал это, чтобы поддержать{ непрерывность с тем, что я пробую иллюстрировать в этой статье. Это действительно должно быть применено ко всем услугам сети, которые требуют внешней возможности соединения (значение любой коммуникации по нечастным или нережимным каналам). В самом простом выполнении этого, Вы формируете ваш маршрутизатор, чтобы фильтровать пакеты так, чтобы всему движению почты (протокол SMTP например) только позволили и от одного хозяина, "Mail Gateway." Аналогично, ваш DNS и программное обеспечение MTA будут должны формироваться для этого также.
3.3.7 Упаковщик Tty
Это - одна из моих любимых идей. Я не видел кое-что как это вокруг, и я никогда не буду вероятно иметь времени, чтобы развить это. Но, по существу это походило бы "на упаковщик TCP," только это разработано определенно для последовательных коммуникаций. После этого, мы будем нуждаться в "упаковщике Pseudo-Tty," что-то большее чем только отфильтровывание telnet порта), но это - в течение другого дня.
3.3.8 HSC-Gatekeeper
HSC-Gatekeeper от Herve' Schauer Consultants [8], является полным решением обоих слоев 1 и 2 из этой модели брандмауэра. Это состоит из полной методологии брандмауэра и опознавательного сервера, обеспечивая проход - через FTP и услуги TELNET. Автор (Herve Schauer) отметил, что HSC-Gatekeeper является одним, чтобы быть в состоянии предложить полностью прозрачное установление подлинности для этих услуг. Я не имел личного опыта с продуктами HSC, таким образом я не могу сделать заключительное утверждение об этом кроме прокомментировать, что описание этого в статье HSC "Internet-Gatekeeper" (доступный в Слушаниях USENIX) изображает это (IMHO) как очень всестороннее решение.
Наличие: За дополнительной информацией, свяжитесь с Herve Schauer через электронную почту в Herve.Schauer@hsc-sec.fr.
3.3.9 AT&T Inet
Так как я обсуждал решение для брандмауэра HSC, я думал, что это только ярмарка упомянуло AT&T Ворота INET. Для полного описания AT&T внутреннее решение, Вы должны прочитать статью Билла Чесвика [9] "Проект Безопасного интернет-шлюза." Для дополнительной информации, свяжитесь с автором через электронную почту в ches@research.att.com. Я не полагаю, что AT&T находится в бизнесе продажи этого решения любого, но статья описывает в хороших деталях, как это было сделано. Это должно обеспечить поклоннику firewall возможными решениями интернет-подхода брандмауэра.
3.4 КОМПЬЮТЕРЫ В ЛОКАЛЬНОЙ СЕТИ
Этот слой модели изображает место, где Вы - потенциально при самом большом риске. Предыдущие слои обсуждали способы защитить доступ к этому слою сети. Этот слой включает всех Вас локальная сеть, автоматизированные рабочие места, серверы файла, базы данных, и другие ресурсы сети. Это - также точка, в котором ваше пользовательское сообщество сидит за их столами и использованием сети.
Есть несколько вещей, которые будут заинтересованы о здесь, доступ к этому слою во-первых несмотря на это. Только, потому что Вы думаете, что Вы защитили и можете контролировать доступ к этому слою в пределах предыдущих слоев, не означает, что использование компьютеров и других ресурсов в пределах вашей локальной сети должно стать свободным для всех. Снова, это зависит от того, что Вы солидаризируетесь в вашей собственной специфической политике безопасности, но, в этом слое Вы должны сделать некоторую обычную проверку возможные нарушения вашего брандмауэра, который оставил бы его марку в этом слое и обратил бы близкое внимание на эффективную обработку пароля, и т.д. Это - также слой этой модели, в которой Вы хотите интересоваться обучением ваших пользователей, в конце концов это - то, где они могут потенциально сделать их ошибки (и вредить вашей сети).
3.4.1 Computer Oracle and Password System (COPS)
COPS - контролёр статуса безопасности UNIX. По существу то, что это делает, - проверка различных файлов и конфигурации программного обеспечения, чтобы видеть, были ли они поставлены под угрозу (отредактированный, чтобы привить{ троянскую коня или back door ), и проверки, чтобы видеть, что файлы имеют соответствующие способы, и набор разрешений, чтобы поддержать целостность вашего уровня безопасности (удостоверьтесь, что ваши разрешения файла не оставляют себя широко открытыми, чтобы напасть/получить доступ).
Много продавцов UNIX теперь связывают контролёр статуса безопасности обычно под спецификацией "C2" или "доверенная система." Вы можете все еще находить, что этот пакет имеет больше особенностей чем ваш консервированный пакет. Сравните их.
Дополнительные Комментарии: текущая версия COPS (1.04) делает ограниченную попытку обнаружить ошибки, которые объявлены в СВИДЕТЕЛЬСТВЕ advisories. Кроме того, это имеет выбор произвести ограниченный подлинник, который может исправить различные проблемы безопасности, которые обнаружены. Дэн также предлагает быстрый намек, который должен легко получить Вас, начал использовать COPS. После того, как Вы не архивировали пакет COPS, выполните следующие шаги: './reconfig,'' сделайте', и './cops-v-s. - b bit_bucket'. - есть много включенной документации README, если Вы нуждаетесь в большем количестве помощи.
Наличие: COPS могут быть получены через анонимный FTP от cert.org в ~/pub/tools/cops.
3.4.2 Chkacct
Chkacct [11] - COPS для обычного пользователя. Этот инструмент сделан доступный для запуска пользователям, или этим управляют для них однажды в день. Это сделает проверку целостности на статусе файлов в их собственном счете и затем отправит им по почте результаты ( типа "Дорогого пользователя: Ваш .rhosts файл опасен"). Этот пакет может помочь делать ваших пользователей больше знающий о средствах управления безопасности и поднимать их уровень участия в программе.
Пригодность: Chkacct распределен с пакетом COPS (> =, COPS 1.04), для дополнительного информационного контакта shabby@mentor.cs.purdue.edu.
3.4.3 Crack
Crack помогает администратору безопасности солидаризироваться слабые пароли, проверяя для различных слабостей и пытаясь расшифровать их. Если Crack может выяснить ваш пароль, то Вы должны выбрать лучший пароль. Вероятно, что решительный злоумышленник будет в состоянии получить пароль также (использующий подобные методы, или программу непосредственно, так как это публично доступно).
Наличие: Crack доступна через анонимный FTP от cert.org в ~/pub/tools/crack/crack_4.1-tar. Z.
3.4.4 Shadow
Shadow-теневой набор пароля программ [12] заменяет нормальные механизмы контроля пароля на вашей системе, чтобы удалить зашифрованный пароль из публично удобочитаемого файла /etc/passwd и скрывает их в месте, которое только эта программа имеет разрешение прочитать. Это состоит из дополнительных, конфигурируемых компонентов, обеспечивает пароль, стареющий, чтобы вынудить пользователей изменять их пароли однажды в некоторое время, добавляет увеличенный syslog заготовка леса, и может позволить пользователям устанавливать пароли до длины шестнадцати характеров{знаков}. Много продавцов UNIX теперь связывают теневой набор пароля ОС, обычно под спецификацией "C2" или "доверенная система." Вы можете все еще находить, что этот пакет имеет больше особенностей чем ваш консервированный пакет. Сравните их.
Наличие: Shadow доступна от архивов USENET, которые хранят comp.sources.misc телеконференцию. Распространение разрешается в некоммерческих целях. За дополнительной информацией свяжитесь с автором, John F. Haugh III (jfh@rpp386.cactus.org).
3.4.5 Passwd +
Passwd + - превентивный контролёр пароля [13], который заменяет /bin/passwd на вашей системе. Это на основе правила и легко конфигурируемо. Это препятствует пользователям выбирать слабый пароль так, чтобы программы как "Crack" не могли предположить это, и это обеспечивает увеличенный syslog заготовка леса. Много продавцов UNIX теперь связывают превентивную контролёр пароля ОС, обычно под спецификацией "C2" или "доверенная система." Вы можете все еще находить, что этот пакет имеет больше особенностей чем ваш консервированный пакет. Сравните их. Наличие: Passwd + (разработанный Matt Bishop) доступен через анонимную FTP от dartmouth.edu в ~/pub/passwd+tar. Z.
3.4.6 Audit
Audit - управляемая политикой контролёр безопасности для гетерогенной окружающей среды [14]. Полностью конфигурируемо так, чтобы Вы могли настроить Audit, чтобы точно соответствовать политике безопасности вашего сайта. Эта программа функционально делает, каких COPS предназначен, чтобы сделать, но не делает твердый код ваши решения политики{полиса} для Вас путь, который COPS делает.
Много продавцов UNIX теперь связывают подсистему ревизии ОС}, обычно под спецификацией "C2" или "доверенная система." Вы можете все еще находить, что этот пакет имеет больше особенностей чем ваш консервированный{зафиксированный} пакет. Сравните их. Одна конкретная тема, чтобы отметить - то, что большинство продавцов (IMHO), ревизующих подсистемы только собирает и извергает тонны сырых данных, без руководства и помощи для того, чтобы использовать ту информацию. Они оставляют это до Вас. Инструменты Audit и/или образчика вероятно лучше.
Наличие: заключительная версия Audit будет в конечном счете объявлена{отправлена по почте} к USENET. Однако, бета - версия будет только сделана доступный на ограниченном основании, к большим, гетерогенным {сайтам}. Если ваш заинтересованный участием в эксплуатационном испытании, пошлите электронную почту Bjorn Satdeva (bjorn@sysadmin.com).
3.4.7 Miro
Miro [14] - набор инструментов для того, чтобы определить и проверять безопасность contraints (как COPS и Audit), включая языки программирования пары. Общее, потому что это не привязано ни к какому специфическому ОС, и гибко, потому что администраторы безопасности выражают политику{полисы} сайта через формальный язык спецификации. Легко расширить{продлить} или изменять политикуполис, просто увеличиваясь или изменяя спецификацию текущей политики полиса.
Наличие: Miro - продукт большой научно-исследовательской работы, и понимать это Вы нуждаетесь в больше чем параграф, который я написал выше. За дополнительной информацией о Miro проект посылает электронную почту (miro@cs.cmu.edu), есть даже доступное видео. Тезис докторов философии , так же как источники для инструментов Miro, является доступным через анонимный FTP от ftp.cs.cmu.edu. Когда Вы соединяетесь там, напечатайте "cd/afs/cs/project/miro/ftp", и "get ftp-instructions"; это объяснит, как получить тезис и/или программное обеспечение.