Những khả năng UNIX hữu Ých

Tìm hiểu về an toàn và bảo mật trên mạng



viên tạm thời trong một nhóm tới những người sử dụng (trong khi chạy

chương trình) mà không phải là những thành viên bình thường của nhóm đó.

chroot

Cơ chế chroot cho phép cho một chương trình có thể đảo ngược sự

thay đổi cảnh quan của nó của hệ thống file bằng việc thay đổi ý tưởng của

chương trình tại nơi gốc của hệ thống file. Mỗi lần một chương trình chroots

tới một phần đặc biệt của hệ thống, phần đó trở thành toàn bộ hệ thống file

cho đến khi chương trình được kết nối; phần còn lại của hệ thống file ngừng

tồn tại, từ điểm chương trình của cảnh quan.

Những thay đổi môi trường, nh những cái mà được tạo bởi

setuid/setgid và chroot, được thừa kế bởi bất kỳ những tiến trình phụ thuộc

nào mà một chương trình khởi động. Một phương thức chung của việc hạn

chế những chương trình trên một máy chủ pháo đài có thể sẽ chạy những

chương trình ở dưới các chương trình “gói”; các chương trình gói thực hiện

bất cứ cái gì mà setuid/ setgid, chroot, hoặc môi trường thay đổi công việc

khác là cần thiết, và khởi động chương trình thực tế.

3.2. Cần một máy tốc độ như thế nào

Máy chủ pháo đài không phải cần là một máy nhanh. Có một vài lý

do, không nói về giá cả, cần một máy chủ pháo đài mạnh để thực hiện công

việc của nó, thì quả thật không cần thiết. Các dịch vụ được yêu cầu trong

máy chủ pháo đài không cần nhiều tài nguyên nh vây.

Nhiều người sử dụng những máy 2 - 5 MIPS ( Cho ví dụ, hãy SUN3, MicroVax II, Hoặc 80386 ... dựa trên nền tản nền tảng UNIX) cho máy

chủ pháo đài của họ. Trung bình chỉ cần như vậy. Máy chủ pháo đài thật sự

không có nhiều công việc để làm. Cái hạn chế tốc độ của nó là sự có hạn bởi



Tìm hiểu về an toàn và bảo mật trên mạng



tốc độ của kết nối tới thế giới bên ngoài, không phải bởi tốc độ CPU của bản

thân máy chủ pháo đài. Nó không cần một bộ xử lý mạnh để điều khiển

mail, DNS, FTP, và dịch vụ uỷ nhiệm cho đường truyền 56 Kb / s hoặc thậm

chí T - 1 ( 1.544 Mb / s). Bạn có thể cần nhiều sức mạnh hơn nếu bạn đang

chạy những chương trình nén và giải nén (e.g., NNTP server) hoặc cho sự

tìm kiếm (e.g., WWW server), Hoặc nếu bạn đang cung cấp những dịch vụ

uỷ nhiệm cho đồng thời nhiều người dùng.

Bạn có thể cũng cần máy mạnh hơn để hỗ trợ những yêu cầu từ

Internet nếu site của bạn trở nên phổ biến ( E.g., nếu Bạn tạo ra cái gì đó mà

mọi người muốn truy nhập, như các trang Web lớn của Mỹ hoặc các site

FTP lơn phổ biến khác).[ 1 ]Trên quan điểm đó, Bạn có thể cũng muốn bắt

đầu sử dụng đa máy chủ pháo đài. Một công ty lớn với nhiều kết nối Internet

và những dịch vụ đại chúng có thể cần sử dụng nhiều máy chủ pháo đài lớn,

những máy mạnh.

Có mét số lỹ do:

•



Một máy chậm hơn thí có it mục đích hơn. Không thêm



uy tin hơn cho một kẻ khoác loác nói rằng. Tôi vừa phá vỡ một máy

Sun 3/60) hay một máy châm hơn (ít nhất trên quan điểm của những

kẻ tấn công).

Nếu được thỏa hiệp, một máy chậm hơn thì Ýt hữu Ých hơn để tấn

công hệ thống bên trong hoặc các site ngoài. Nó cần nhiều thời gian hơn đê

biên dịch code, nó không hưu dụng khi tấn công tìn password bằng từ điển

hay brute-force, và tương tự tất cả những nhân tố (này làm Ýt khẩn thiết hơn

máy cho những người công kích tiềm tàng, và đó là mục đích của bạn).



Tìm hiểu về an toàn và bảo mật trên mạng



Một máy chậm hơn Ýt lôi cuốn hơn cho những người bên trong thỏa

hiệp. Một máy nhanh thì tiêu phí hầu hết thời gian để đợi một kết nối mạng

chậm thì hiệu quả rất thấp, và người dùng sử dụng sức mạng đó cho mục

đích khác. Bạn không thể bảo bảo đảm sự an toàn cho máy chủ pháo đài

trong khi sử dụng nó cho những mục đích khác. Thêm khả năng trên máychu

pháo đài là thêm xác suất xảy ra sự cố

3.3. Cấu hình phần cứng nào?

Bạn muốn một cấu hình phần cứng đáng tin cậy, vì vậy bạn cần phải

lựa chọn một máy và thiết bị ngoại vi cơ sở mà không phải là thứ mới nhất

trên thị trờng. Bạn cũng muốn cấu hình có thể được cung cấp, vì vậy không

chọn cái gì đó sao cho cũ mà bạn không thể tìn thấy phụ tùng thay thế cho

nã.

Trong khi bạn không cần CPU quá mạnh, bạn cần một máy mà theo

dõi một số kết nối đồng thời. Đây là bộ nhớ cường độ cao, vì vậy bạn sẽ

muốn một số lượng lớn bộ nhớ và có lẽ cần nhiều không gian swap nữa.

Những uỷ nhiệm caching cũng cần rất nhiều không gian đĩa tự do để sử

dụng cho bộ đệm.

Đây là một vài gợi ý về đĩa cần dùng :

•



Máy chủ pháo đài không thể có lý do nào để sử dụng đĩa



của máy chủ khác cho việc sao lưu, chúng ta sẽ bàn luận ở phần sau

chương này, vì vậy nó cần đĩa của chính mình với một chính một kích

thước thích hợp để sao lưu.

•



Một ổ CD-ROM cần thiết cho việc xây dựng hệ điều



hành, nhưng sau đó thì chỉ cần mượn ổ của những máy khác cũng đủ.



Tìm hiểu về an toàn và bảo mật trên mạng



Bạn nên dễ dàng thêm nhưng ổ tạm thời khác để tiện trong công việc

bảo trì sau này.

•



Đĩa khởi động nên dễ dàng loại bỏ và gắn vào các máy



khác để tiện cho việc bảo trì.

Cả hai loại đĩa đã được đề cập trên đây cho thấy một máy chủ pháo

đài nên có cả hai loại đĩa giống nh trên các máy khác.

Máy chủ pháo đài không cần có tiện Ých đồ hoạ và cúng không nên

có chúng. Đó là một máy chủ cung cập các dịch vụ mạng ; không ai cần nhìn

nó. Đầu cuối gắn vào có thể là bản điều khiển (consoler). Việc có đồ hoạ

trên máy chủ chỉ thu hút những người dùng sử dụng máy cho những mục

đích khác nh xây dựng những phầm mền không bảo đảm an toàn.



4.



Định vị máy chủ pháo đài trên mạng



Máy chủ pháo đài cần được định vị trên một mạng để không tạo sự

chuyển động kín, tốt nhất là một mạng cụ thể của chính nó.

Mọi giao diện Ethernet và token ring có thể điều hành trong “phương

thức pha tạp”. Trong phương thức này, chúng có thể giành được tất cả các

gói trên mạng mà các giao diện được kết nối đến, hơn là các gói này được

định vị tới từng máy riêng mà giao diện là một bộ phận của nó. Các kiểu

giao diện mạng khác, chẳng hạn FDDL, có thể không lấy hết được tất cả các

gói, nhưng tuỳ thuộc vào kiến trúc của mạng, chúng có thể thường thu được

Ýt nhất một số gói mà không định vị đặc biệt tới chúng.

Khả năng này có một mục đích hữu hiệu: cho việc phân tích mạng,

kiệm định, và gỡ lỗi, chẳng hạn bằng các chương trình như etherfind và

tcpdump. Không may, nó cũng có thể được sử dụng bởi người xâm nhập để

dò tìm trên các lưu thông trên một đoạn mạng. Tuyến giao thông này có thể



Tìm hiểu về an toàn và bảo mật trên mạng



bao gồm Telnet, FTP, hay các phiên rlogin (ở đó các đăng nhập và các mà

khoá có thể bị gom lại), thư mật, các truy cập NFS của các tệp nhạy cảm, ....

Bạn cần giả sử điều tệ hại nhất: máy chủ pháo đài có thể bị làm tổn hại. Nếu

nó bị làm tổn hại, bạn không muốn máy chủ pháo đài dò tìm trên tuyến giao

thông này.

Một cách thức để tiếp cận vấn đề là không đặt máy chủ pháo đài trên

một mạng nội bộ; thay vào đó, đặt nó trên một mạng vành đai. Nh chóng ta

đã thảo luận trong chương trước, một mạng vành đai là một lớp thêm vào

của tổ chức bảo mật giữa mạng nội bộ của bạn và mạng Internet. Mạng vành

đai được tách rời khỏi mạng nội bộ bằng một router hay bridge. Giao thông

nội bộ lưu lại trên mạng nội bộ và không thấy được trên mạng vành đai. Tất

cả các máy chủ pháo đài trên mạng vành đai có thể nhìn thấy các gói tin đến

nó hoặc từ chính nó, hay đến mạng Internet hoặc từ mạng này. Mặc dù tuyến

giao thông này vẫn có những nơi nào đó nhạy cảm, nó có vẻ Ýt nhậy cảm

hơn giao thông đặc trưng trên mạng nội bộ của bạn, và ở đây có các vị trí

khác (ví dụ, nhà cung cấp dịch vụ Internet của bạn) có thể biết nhiều về nó.

Nếu bạn không thể đặt máy chủ pháo đài trên một mạng vành đai, bạn

có thể xem xét việc đặt nó trên một mạng không dễ bị dòm ngó. Chẳng hạn,

bạn có thể đặt nó trên một hub thông minh 10baseT, mét switch ethenet, hay

một mạng ATM. Nếu bạn chỉ làm thế, bạn cần cẩn thận hơn để chắc chắn

rằng không có gì uỷ thác cho máy chủ pháo đài, vì không có thêm lớp bảo vệ

nào giữa nó và mạng nội bộ. Sử dụng một kỹ thuật mạng như vậy cho mạng

vành đai của bạn là hiệu quả nhất cho cả hai trường hợp: máy chủ pháo đài

bị cô lập với các hệ thống nội bộ (như là với một mạng vành đai thêm vào)

nhưng không thể dò tìm trên giao tuyến trên mạng vành đai.



Tìm hiểu về an toàn và bảo mật trên mạng



5.



Lựa chọn phục vụ cung cấp bởi máy chủ pháo



đài

Máy chủ pháo đài cung cấp một số dịch vụ mà vị trí của bạn cần truy

cập Internet, hoặc muốn đề nghị các dịch vụ Internet mà bạn không cảm thấy

được cung cấp một cách trực tiếp và an toàn qua đường lọc gói tin. (Hình 51 biểu diễn một tập đặc trưng). Bạn không nên đặt bất cứ dịch vụ nào trên

máy chủ pháo đài mà không định sử dụng các dịch vụ này từ hay tới mạng

Internet. Chẳng hạn, nó không cần cung cấp các dịch vụ khởi động cho các

máy chủ nội bộ (trừ khi, với một số lý do, bạn định cung cấp các dịch vụ

khởi động cho các máy chủ trên Internet). Bạn cần giả sử rằng máy chủ pháo

đài sẽ bị làm tổn hại, và tất cả các dịch vụ đều có sẵn trên Internet.



Hình 1: Vị trí của máy chủ pháo đài trên mạng.

Bạn có thể chia các dịch vụ thành bốn lớp:



Tìm hiểu về an toàn và bảo mật trên mạng



Các dịch vụ bảo mật:

Các dịch vụ trong loại này có thể được cung cấp thông qua lọc gói tin,

nếu bạn đang sử dụng cách tiếp cận này. (trong một bức tường lửa uỷ quyền

thuần tuý, mọi thứ cần được cung cấp trên máy chủ pháo đài hoặc không

được cung cấp gì cả).

Các dịch vụ không bảo mật nh các cung cấp chuẩn, nhưng có thể

được bảo mật

Các dịch vụ loại này có thể được cung cấp trên máy chủ pháo đài.

Các dịch vụ không bảo mật nh các cung cấp chuẩn, nhưng không thể

được bảo mật

Các dịch vụ này sẽ cần được vô hiệu hoá và cung cấp trên một máy

chủ nạn nhân (thảo luận ở trên) nếu bạn thực sự cần chúng.

Các dịch vụ bạn không sử dụng, hoặc bạn không sử dụng trong cấu

hình với Internet

Bạn cần vô hiệu hoá các dịch vụ loại này.

Thư tín điện tử (SMTP) là nền tảng cơ bản nhất mà các máy chủ pháo

đài thường cung cấp. Bạn có thể cũng muốn truy cập hay cung cấp các dịch

vụ thông tin nh:

FTP – truyền file

Gopher – phục hồi thông tin nền tảng trình đơn

WAIS – phục hồi thông tin tìm kiếm từ khoá

HTTP – WWW

NNTP_ tin tức trên mạng