Основы безопасности WEB-серверов

Внешний Firewall

Установка межсетевого экрана между  корпоративной (внутренней) сетью и Web-серверами общего доступа позволяет  предотвратить проникновение "левых" пакетов в сеть организации: если злоумышленник проникает на внешний Web-сервер, то попасть в корпоративную  сеть организации через firewall ему  будет затруднительно. Если же Web-сервер находится внутри корпоративной  сети, то хакер, проникнув на него, может, используя захваченный ресурс в качестве плацдарма, нарушить работоспособность всей сети и получить полный контроль над ней.

Удаленное администрирование

Поскольку управлять сервером с  физической консоли зачастую не слишком  удобно, системные администраторы устанавливают  на Web-серверы программное обеспечение, позволяющее осуществлять удаленное  администрирование. С точки зрения обеспечения безопасности подобная практика может привести к серьезным  проблемам.

В тех случаях, когда удаленное администрирование неизбежно, его необходимо сопровождать следующими действиями:

* шифровать трафик удаленного  администрирования (чтобы злоумышленник  не смог перехватить управление  трафиком сети, получить пароли  или внедрить "вредные" команды);  
* использовать фильтрацию пакетов (см. описание ниже) при удаленном администрировании из предназначенной для этого конфигурации хоста;  
* поддерживать для этой конфигурации более высокий уровень безопасности;  
* не использовать фильтрацию пакетов вместо шифрования, так как хакеры могут сфабриковать IP-адреса (посылать сообщения, маскируя свой IP-адрес другим значением).

Ограничение использования скриптов

Большинство сайтов содержат скрипты (маленькие программы), которые запускаются  при переходе на особую страницу. Хакер  может использовать эти скрипты (при помощи обнаруженных изъянов  в коде) для проникновения на сайт. Для обнаружения таких дыр  ему вовсе не обязательно знать  исходный код, поэтому скрипты необходимо тщательно проверить, прежде чем они будут выложены на сайт. Скрипты не должны запускать случайные команды или посторонние (опасные) программы, позволять пользователям выполнение определенных узкоспециализированных задач, а также ограничивать количество параметров входящего потока. Последнее необходимо для предотвращения атак на переполнение буфера. (При атаках такого рода злоумышленник пытается принудить систему к запуску программы арбитража с целью получения дополнительной информации.) Наконец, скрипты не должны обладать правами администратора.

Маршрутизаторы с фильтрацией пакетов

Маршрутизаторы устанавливают  для того, чтобы отделить Web-серверы  от остальной части сети. Этот шаг  поможет предотвратить многие атаки, не допуская проникновения "чужих" (не правильных) пакетов. Обычно маршрутизаторы удаляют все пакеты, которые не идут на Web-сервер (например, на порт 80) или к портам, использующимся при  удаленном администрировании. Для  повышения степени безопасности можно составить перечень пакетов, подлежащих пропуску. Таким образом, хакеру останется еще меньше возможностей для проникновения в сеть. Маршрутизатор  с функцией фильтрации пакетов будет  более эффективен для предотвращения атак при условии удаления с сервера  всего ненужного программного обеспечения (злоумышленник не сможет запросить  нестандартный сервис). Однако следует  иметь в виду, что применение пакетной фильтрации снижает пропускную способность  маршрутизатора и увеличивает риск потери "правильных" пакетов.

Обучение персонала

Часто хакеры проникают в систему  из-за того, что администраторы сети не владеют знаниями в области  обеспечения безопасности или пренебрегают вопросами защиты. Поэтому занимающим эту должность сотрудникам следует постоянно совершенствоваться, изучая системы безопасности сети и используя полученные знания на практике. Несколько отличных книг и учебных семинаров также помогут вашим администраторам.

Разделение привилегий

Независимо от серьезности мер, предпринятых для обеспечения безопасности Web-сервера, вероятность проникновения  тем не менее полностью исключить  нельзя. Что ж, если это все-таки произошло, важно минимизировать последствия  атаки. Разделение привилегий являет собой  эффективный способ для достижения этой цели: каждый пользователь может  запускать только определенные программы. Поэтому хакер, проникнувший в сеть по скомпрометированным данным отдельного пользователя, сможет нанести системе  лишь ограниченный вред. Например, у  пользователя на сайте есть свои страницы, но другие страницы ему недоступны. Следовательно, хакер, добыв данные первого пользователя, окажется не в состоянии как-либо повлиять на прочие ресурсы (страницы). Так же обстоят  дела и с программным обеспечением. В целях повышения уровня безопасности для пользователей, обладающих правами  записи, можно создать личные поддиректории.

Аппаратные решения

Аппаратура, в плане разделения привилегий, имеет более высокий  уровень безопасности, так как  в отличие от программного обеспечения  не так легко модифицируется. Но через дыры в программном обеспечении  хакер может получить доступ и  к аппаратным средствам. Одним из наиболее доступных способов защиты от этой угрозы является запрет режима записи на внешние жесткие диски, магнитооптические диски и т. д. Обычно для предотвращения атак Web-сервер конфигурируют на режим "только чтение".

Внутренние межсетевые экраны

Современные Web-серверы часто работают с распределенными системами, они  могут взаимодействовать с другими  хостами, получать или передавать данные. В этом случае существует большой  соблазн разместить эти компьютеры за межсетевым экраном внутри сети организации, обеспечив тем самым  безопасность хранимых на них данных. Однако если злоумышленнику удастся  скомпрометировать Web-сервер, он может  быть использован в качестве стартовой  площадки для атаки на эти системы. Для исключения такой ситуации необходимо отделить системы, общающиеся с Web-сервером, от остальной сети внутренним межсетевым экраном. Тогда проникновение на Web-сервер и оттуда на общающиеся с  ним системы не приведет к компрометации  всей корпоративной сети.

Сетевые системы обнаружения вторжений

Несмотря на все попытки установить "заплатки" на Web-сервер и реализовать  безопасную конфигурацию, невозможно добиться гарантированного исключения всех уязвимостей. Тем более что Web-сервер, защищенный от внешних атак, может быть выведен из строя нарушением работы одного из сервисов. В этом случае важно получать оперативную информацию о подобных происшествиях, для минимизации  последствий атаки или быстрого восстановления работоспособности  сервиса. Для получения такой  информации используют сетевые средства обнаружения вторжений. Сетевые  системы обнаружения вторжений (IDS) сканируют весь трафик сети и выявляют несанкционированную активность, нарушение  защиты или блокирование сервера. Современные IDS создают отчет обо всех выявленных нарушениях, одновременно уведомляя  о них администраторов путем вывода сообщений на пейджер, электронный почтовый ящик или монитор. Типовые автоматизированные отчеты включают в себя также сбои сетевых соединений и список блокированных IP-адресов.

Системы обнаружения вторжений, размещаемые на серверах (хостах)

Системы обнаружения вторжений, размещаемые  на серверах, лучше справляются с  задачей определения состояния  сети, чем сетевые IDS. Обладая всеми  возможностями сетевых IDS, во многих случаях серверные IDS лучше выявляют попытки нарушения защиты, так  как обладают более высоким уровнем  доступа к состоянию Web-сервера.

Однако и этот способ не лишен  своих недостатков. Если хакер проникнет  на Web-сервер, он сможет отключить серверные IDS, блокировав тем самым получение  сообщений об атаке администратором. Удаленные атаки на отказ сервиса (DoS атаки) также часто блокируют IDS на время выхода из строя сервера. А так как DoS-атаки позволяют  злоумышленникам блокировать сервер без проникновения на него, то IDS, расположенный на сервере, должен быть дополнен сетевой системой обнаружения  вторжений.

Ограничения существующих решений и дополнительные меры

Все специалисты по безопасности советуют использовать защищенное программное  обеспечение, но в некоторых случаях  установить его невозможно из-за дороговизны  или нехватки времени. Мало того, безопасное программное обеспечение через  некоторое время устаревает, и  необходимо устанавливать новую  версию. Поэтому использование устаревшего  ПО и стандартных методов обеспечения  безопасности не может служить гарантией  защищенности серверов. Но устойчивость Web-сервера к атакам может быть достигнута при условии использования  сформулированных решений обеспечения  безопасности совместно с надежным программным обеспечением, под которым, в данном случае, мы понимаем некоторое  программное обеспечение, обладающее определенным уровнем безопасности.

Уровень безопасности программного обеспечения, может быть оценен, во-первых, путем  анализа ранее совершенных атак на серверы, на которых было установлено  такое же (или подобное) ПО. Количество атак показывает насколько устойчиво  к ним ПО. Причем надежность программного обеспечения прямо зависит от его качества. Некачественное программное  обеспечение не учитывает всех требований к системе безопасности и уже  поэтому не надежно. Во-вторых, некоторые  компании, специализирующиеся на создании систем безопасности склонны преувеличивать возможности своих продуктов (в  плане отсутствия уязвимостей), поэтому  при проектировании систем безопасности своих серверов пользователи должны учитывать это обстоятельство. В-третьих, оценить уровень безопасности программного обеспечения можно путем тестирования его на наличие уязвимостей. Существует множество компаний-аудиторов, занимающихся проверкой защищенности серверов. Эти  компании имеют в своем арсенале специализированное программное обеспечение, позволяющее выявлять дыры в системах безопасности.

 

 

 

 

 

 

5.Заключение

В заключении выделим основные правила  которые системный администратор  и владельцы WEB-сервера должны придерживаться.

1.Использовать наиболее передовые  средства поддерживания информационной  системы.

2.Быть всегда в курсе тенденций  информационной сферы.

3.Как можно часто проводить  собеседования с персоналом.

4.Ограничить как можно сильнее  доступ к управлению системы.

5.Периодически изменять структуру  аутентификации пользователей.

6.Использовать резервное копирование  данных.

Данные меры предотвратят или смягчат  возможные последствия взлома системы.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

6.Литература

1.Защита веб-сервера Apache // URL: http://habrahabr.ru/post/145215/ (дата обращения: 17.04.2013).

2. Безопасность WEB-серверов // URL: http://book.itep.ru/6/web_68.htm (дата обращения: 17.04.2013).

3.  Обеспечение безопасности web-серверов // URL: http://www.intuit.ru/studies/courses/20/20/lecture/328 (дата обращения: 18.04.2013).

4. КАК ЗАЩИТИТЬ ВЕБ-СЕРВЕР // URL: http://www.xakep.ru/magazine/xs/075/038/1.asp (дата обращения: 18.04.2013).