Этот документ пытается объяснить некоторые процедуры и используемое программное обеспечение, призванные помочь сделать Linux систему более безопасной. Очень важно сначала обсудить некоторые базовые концепции и создать некий фундамент безопасности.
В постоянно изменяющемся мире коммуникаций глобальных данных, недорогих Internet соединений и быстрой разработки программных продуктов, безопасность становится все более и более насущной. Безопасность сейчас является базовым требованием, поскольку глобальная компьютеризация в своей сути небезопасна. Например, когда ваши данные перемещаются из точки А в точку Б в Интернете, они на своем пути могут проходить через многие узлы, давая другим пользователям возможность перехвата и даже подмены ваших данных. Даже другие пользователи в вашей системе могут злонамеренно преобразовать ваши данные во что-то, чего вы не хотите. Неавторизованный доступ к вашей системе могут получить взломщики, также известны как "кракеры", которые затем могут использовать свои (продвинутые) знания для получения информации о вас, воровства ваших данных или, даже, запрещения вам доступа к вашим же ресурсам. Если вы все еще хотите узнать разницу между "хакером" и "кракером", посмотрите документ Eric Raymond's, "Как стать Хакером", доступным по адресу http://sagan.earthspace.net/~esr/faqs/hacker-howto.html.
Перво-наперво запомните, что не существует компьютерной системы, которая была бы "полностью безопасна". Все, что вы можете сделать, это существенно затруднить кое-кому нанести вред вашей системе. От среднего домашнего пользователя Linux немного требуется, чтобы сдержать случайного кракера. Для широко-профильных пользователей Linux (банки, телекоммуникационные компании и т.п.) потребуется намного больше работы.
Другим фактором, который нужно принять во внимание, является то, что чем более безопасна ваша система, тем более навязчивой становиться ваша система безопасности. Вы должны решить, где находится баланс между удобством использования системы и необходимым уровнем безопасности в вашей работе. Например, вы могли бы требовать от всех удаленных пользователей вашей системы использовать модемы с запросом на дозвон (call back modem), чтобы ваша система дозвонивалась к ним на их домашний телефон. Это более безопасно, но если кто-нибудь захочет войти в вашу систему не из дому, то ему будет довольно трудно зарегистрироваться. Вы также можете установить вашу Linux систему без сети или связи с Интернет, но это повлечет за собой невозможность Web серфинга.
Если у вас система средних или больших размеров, вам нужно установить "Политику Безопасности", которая определит, насколько сильной должна быть у вас система безопасности и какой должен быть аудит для ее проверки. Вы можете найти хорошо-известный пример "политики безопасности" по адресу http://ds.internic.net/rfc/rfc2196.txt. Узел был недавно обновлен и содержит великолепный план установления политики безопасности в вашей компании.
До того как вы начнете настраивать безопасность вашей системы, вы должны определить, какому уровню угрозы вы должны противостоять, какой уровень риска вы должны или не должны принимать, и насколько уязвима после этого будет ваша система. Вы должны проанализировать вашу систему, чтобы знать, что вы защищаете, почему вы это защищаете, какую это имеет ценность, и кто несет ответственность за ваши данные и другие ценности.
Кроме того, возникновение одного небезопасного счета в вашей системе может подвергнуть риску всю вашу сеть. Имея единичного пользователя, которому позволено регистрироваться в системе используя rhosts файл, или разрешено использовать небезопасный сервис, такой как tftp, вы рискуете, поскольку взломщик может использовать это, чтобы "открыть ногой вашу дверь". Как только взломщик заимел счет пользователя в вашей системе, или еще какой-либо системе, он может его использовать для получения доступа к другим системам и другим счетам.
Существует несколько типов взломщиков, поэтому полезно помнить отличающие их характеристики во время создания системы безопасности.
Что будет, если кто-то вломиться в вашу систему? Конечно, важность домашнего пользователя с динамическим РРР соединением отличаться от того, кто имеет выход в интернет или другую большую сеть через сеть своей компании.
Сколько времени необходимо на восстановление/воссоздание данных, которые были утеряны? Изначально потраченное время сейчас может сэкономить в десять раз больше времени потом, когда вам будет нужно воссоздать утерянные данные. Вы уже проверили вашу стратегию резервирования (backup strategy), а позже проверяли данные на целосность?
Создайте простую, общую политику для вашей системы, чтобы ваши пользователи могли быстро ее понять и следовать ей. Это должно сберечь данные, которые вы охраняете, а также конфиденциальность пользователей. Есть несколько вещей для дополнительного рассмотрения: кто должен иметь доступ к системе (Может ли мой друг использовать мой счет?), кому разрешено инсталировать программное обеспечение в системе, кто владеет данными, проводит восстановление, и соответственно использует систему.
Общепринятая политика безопасности начинается с фразы:
"То, что не разрешено, - запрещено"
Это значит, что до тех пор, пока вы не разрешите доступ пользователю к определенному сервису, этот пользователь не сможет использовать этот сервис. Убедитесь, что политика работает, зарегистрировавшись обычным пользователем, поскольку реплики типа "Ах, как я не люблю эти ограничения прав доступа, я просто сделаю все как администратор (root)" может привести к образованию очень очевидных "дыр" в системе безопасности, и даже таких, с которыми еще не известно как бороться.
Этот документ будет обсуждать различные способы, с помощью которых вы можете обезопасить активы, которые вы тяжело нарабатывали: ваш локальный компьютер, данные, пользователей, сеть, и даже ваша репутация. Что случиться с вашей репутацией, если взломщик удалит данные некоторых ваших пользователей? Или обезобразит ваш web узел? Или обнародует проект корпоративного плана вашей компании на следующий квартал? Если вы планируете структуру сети, существует очень много факторов, которые вы должны принять во внимание, прежде чем добавить какой-либо новый компьютер к вашей сети.
Даже если вы имеете один коммутируемый РРР счет, или просто маленький узел, это не значит что взломщик не заинтересуется вашей системой. Целью являются не только большие широкопрофильные сети, многие взломщики просто хотят исследовать как можно больше сетей, независимо от их размера. К тому же, они они могут использовать "дыры" в безопасности вашей сети для получения доступа к другим сетям или узлам, с которыми вы соеденены.
Взломщики имеют много времени для своих делишек, и могут, не раздумывая над тем как вы скрыли вашу систему, просто перепробовать все возможности в нее попасть. Существует также несколько причин, по которым взломщик может быть заинтересован в вашей системе - их мы обсудим позже.
Вероятно область безопасности, в которой сконцентрировано максимум усилий, - это безопасность сервера. Обычно это подразумевает постоянный контроль безопасности вашей собственной системы, и надежду, что все остальные в вашей сети делают то же. Выбор хороших паролей, поддержка безопасности сервисов локальной сети вашего сервера, поддержка хороших регистрационных записей, и обновление программ, в которых обнаружены "дыры" - вот некоторые из тех вещей, за выполнение которых отвечает локальных администратор безопасности. Хотя это абсолютно необходимо, это может стать пугающей задачей, когда ваша сеть становится больше.
Безопасность сети также необходима как и безопасность локального сервера. В вашей единичной системе, распределенной вычислительной сети, Интернете, существуют сотни, если не тысячи, компьютеров соединенные в одну сеть, и вы не можете быть уверены, что все они будут безопасны. Убедиться, что только авторизованным пользователям разрешено использовать ресурсы вашей сети, построение щитов (firewalls), использование надежной системы шифрования, отслеживание появления жульничающих или небезопасных машин в сети - все это часть обязанностей администратора сетевой безопасности.
Этот документ обсудит некоторые приемы, используемые для обеспечения безопасности вашей сети, и покажет вам некоторые способы, как не дать возможности взломщику получить доступ к тому, что вы пытаетесь защитить.
Одним из типов безопасности, который необходимо рассмотреть, является "безопасность через сокрытие". Это значит, что любые действия подобно изменению регистрационного имени из 'root' на 'toor', например, чтобы попытаться предотвратить вхождение кого-нибудь в вашу систему под 'root', являются лишь ложным чувством безопасности и могут привести к нежелательным последствиям. Многие удостоверились, что любой атакующий систему взломщик очень быстро и легко пройдет через такие пустые меры безопасности. Просто то, что у вас небольшая сеть или относительно узкопрофильный узел, не означает, что взломщик не захочет посмотреть, что вы имеете. Мы обсудим степень вашей защищенности в следующих разделах.
Этот документ разделен на несколько разделов. Они раскрывают некоторые общие вопросы касающиеся безопасности. Первый - "физическая безопасность" - рассматривает как вы должны физически защитить вашу машину от преступного использования. Второй описывает как защитить вашу систему от вредных намерений локальных пользователей. Третий - "безопасность файлов и файловой системы" - показывает вам как установить ваши файловые системы и права доступа к вашим файлам. Следующий - "безопасность паролей и шифрование" - обсуждает как использовать шифрование для лучшей безопасности вашей машины и сети. "Безопасность ядра" обсуждает какие опции ядра вы должны установить или знать для большей безопасности системы. "Безопасность сети" описывает как лучше обезопасить вашу Linux систему от атак с сети. "Подготовка безопасности" обсуждает как подготовить вашу машину(ны) к выходу в Интернет в on-line режиме. Следующий обсуждает, что делать, если вы обнаружили, что происходит прорыв в систему сейчас или был недавно совершен. Далее приводится список ссылок на другие ресурсы, касающиеся безопасности, и, наконец, некоторые вопросы и ответы и несколько заключительных слов.
Есть две важные вещи, которые нужно знать при чтении данного документа: