1. Trang chủ >
  2. Kỹ thuật >
  3. Điện - Điện tử - Viễn thông >

Việc lựa chọn máy (Choosing a Machine)

Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (613.59 KB, 124 trang )


Tìm hiểu về an toàn và bảo mật trên mạng



mà bạn sở hữu. (đây là một phần của vấn đề phần cứng, nhưng nó không

làm tốt cho bạn có thể cắm đĩa UNIX – formatted SCSI vào trong một máy

thuộc dòng Macintosh SCSI: giữa các phần cứng thì có giao diện, nhưng dữ

liệu không đọc được.

Bạn cần một máy đáng tin cậy trong phạm vi của những dịch vụ

Internet mà bạn muốn cung cấp cho những người sử dụng, với nhiều kết nối

tích cực đồng thời. Nếu site của bạn hoàn toàn được tạo ra bằng MS-DOS,

Windows, hoặc những hệ thống Macintosh, thì bạn có thể tìm thấy cho chính

bạn nền tảng cần khác (có thể là UNIX, có thể là Windows NT, có thể cái

khác) để sử dụng như máy chủ pháo đài của bạn. Bạn có thể không có khả

năng cung cấp hoặc truy nhập tất cả các dịch vụ mà bạn mong muốn, bởi vì

những công cụ thích đáng (các dịch vụ uỷ quyền, các hệ thống lọc gói tin,

hoặc những dịch vụ bình thường thậm chí cho những dịch vụ cơ bản như

SMTP và DNS) có thể không sẵn có trên đó.

UNIX là hệ điều hành phổ biến nhất trong việc đề nghị các dịch vụ

Internet, và các công cụ là có sẵn một cách phổ biến để tạo máy chủ pháo

đài trên các hệ thống UNIX. Nếu bạn đã có những máy UNIX, thì bạn cần

phải xem xét cẩn trọng UNIX cho máy chủ pháo đài của bạn. Nếu bạn

không có những nền tảng thích hợp cho một máy chủ pháo đài và cần phải

học một hệ điều hành mới theo cách nào đó, chúng tôi khuyến cáo bạn thử

với UNIX, vì ở đó bạn sẽ tìm thấy nhiều nhất các công cụ để xây dựng máy

chủ pháo đài.

Nếu tất cả người dùng của bạn, các máy IP- có khả năng là cái khác

với máy UNIX (chẳng hạn những hệ thống VMS), bạn có một quyết định

khó khăn để thực hiện. Bạn có thể có khả năng sử dụng một máy mà bạn đã

quen thuộc nh một máy chủ pháo đài và có những lợi thế của sự quen thuộc



Tìm hiểu về an toàn và bảo mật trên mạng



và tính có thể hoán đổi cho nhau được. Mặt khác, những công cụ mở rộng và

vững chắc cho việc xây dựng máy chủ pháo đài sẽ không sẵn sàng cho bạn

lựa chọn, và bạn sẽ phải ứng biến. Bạn có thể có được sự bảo mật nào đó

qua sự mập mờ (đừng tin tưởng vào nó; hệ điều hành của bạn có lẽ không

mập mờ như bạn nghĩ), trừ phi bạn có thể mất như nhiều hoặc nhiều hơn nếu

không có lược sử mà những máy chủ pháo đài dựa trên UNIX đề nghị. Với

UNIX, bạn có lợi thế của việc học qua những những lỗi của người khác cũng

nh của chính mình.

Hầu hết trong phần này giả thiết rằng bạn sẽ sử dụng một loại máy

UNIX nào đó như một máy chủ pháo đài. Đó là vì đa số các máy chủ pháo

đài là những máy UNIX, và một số chi tiết là phụ thuộc nhiều vào hệ điều

hành. Các nguyên lý cũng sẽ tương tự nếu bạn chọn sử dụng hệ điều hành

khác, nhưng các chi tiết sẽ thay đổi đáng kể.

Nếu bạn có một máy UNIX, phiên bản nào của UNIX mà bạn nên

chọn? Một lần nữa, bạn muốn cân bằng giữa cái mà bạn đã quen thuộc với

các công cụ có sẵn cho các phiên bản. Nếu site của bạn đã sử dụng một

phiên bản của UNIX, bạn có lẽ sẽ sử dụng phiên bản đó. Nếu site của bạn có

sự quen thuộc nào đó với vài phiên bản của UNIX, và những công cụ thích

hợp (được thảo luận trong chương này) là có sẵn cho tất cả chúng, hãy sử

dụng một phiên bản phổ biến Ýt nhất mà bạn vẫn thích. Làm cho bạn hài

lòng nhất và giảm đến hết cỡ khả năng xảy ra mà người tấn công có các

phương thức tiền biên dịch có thể việc tấn công vào máy chủ pháo đài của

bạn. Nếu bạn không quen thuộc với UNIX, hãy chọn bất kỳ phiên bản nào

bạn thích, miễn là nó sử dụng hợp lý rộng rãi. Như một quy tắc, nếu sự lựa

chọn của bạn là một phiên bản của UNIX có một nhóm người sử dụng liên

quan đến nó, thì nó đủ nổi tiếng để có thể tin cậy được.



Tìm hiểu về an toàn và bảo mật trên mạng



Mặc dầu các nhà cung cấp UNIX rất khác nhau trong việc mở rộng

của họ về các vấn đề bảo mật, sự khác nhau trong vấn đề bảo mật thực tế

giữa những phiên bản khác nhau của UNIX là Ýt hơn. Đừng giả thiết rằng

sự công khai được đưa ra cho các lỗ hổng bảo mật phản ánh số các lỗ hổng

bảo mật; nó là một phản ánh chính xác hơn tính phổ biến của hệ điều hành

và sự hài lòng của một nhà cung cấp để chấp nhận và đặt các vấn đề bảo

mật. Hài hước thay, những hệ điều hành với đa số các vấn đề tào lao gây rắc

rối có thể là cái an toàn nhất, vì chúng đã trở nên phù hợp.

Những khả năng UNIX hữu Ých

Mỗi hệ điều hành có những khả năng đặc biệt nhất định hoặc những

đặc tính mà có thể hữu Ých trong việc xây dựng một máy chủ pháo đài.

Chúng ta không thể mô tả tất cả những khả năng này cho tất cả các hệ thống,

nhưng chúng ta sẽ thông tin cho bạn một số Ýt đặc tính đặc biệt của UNIX

vì nó là một nền tảng máy chủ pháo đài chung.

setuid / setgid

Mỗi người dùng UNIX có một số xác định người sử dụng (uid) trong

việc bổ sung cho tên đăng nhập của anh ta hay cô ta, và thuộc về một hoặc

các nhóm nhiều những người sử dụng, cũng được xác định bằng các số

(gids). Hạt nhân UNIX sử dụng uid và các gids của một người sử dụng riêng

để xác định những file nào mà người sử dụng truy cập tới. Thông thường,

những chương trình UNIX chạy với các cho phép truy cập file của người sử

dụng, người thực hiện chương trình. Khả năng setuid cho phép cho một

chương trình sẽ được cài đặt để nó luôn luôn chạy với sự cho phép của

người chủ chương trình, kể cả khi có người sử dụng đang chạy chương trình.

Khả năng setgid cũng tương tự; nó cho phép chương trình cấp cho thành



Tìm hiểu về an toàn và bảo mật trên mạng



viên tạm thời trong một nhóm tới những người sử dụng (trong khi chạy

chương trình) mà không phải là những thành viên bình thường của nhóm đó.

chroot

Cơ chế chroot cho phép cho một chương trình có thể đảo ngược sự

thay đổi cảnh quan của nó của hệ thống file bằng việc thay đổi ý tưởng của

chương trình tại nơi gốc của hệ thống file. Mỗi lần một chương trình chroots

tới một phần đặc biệt của hệ thống, phần đó trở thành toàn bộ hệ thống file

cho đến khi chương trình được kết nối; phần còn lại của hệ thống file ngừng

tồn tại, từ điểm chương trình của cảnh quan.

Những thay đổi môi trường, nh những cái mà được tạo bởi

setuid/setgid và chroot, được thừa kế bởi bất kỳ những tiến trình phụ thuộc

nào mà một chương trình khởi động. Một phương thức chung của việc hạn

chế những chương trình trên một máy chủ pháo đài có thể sẽ chạy những

chương trình ở dưới các chương trình “gói”; các chương trình gói thực hiện

bất cứ cái gì mà setuid/ setgid, chroot, hoặc môi trường thay đổi công việc

khác là cần thiết, và khởi động chương trình thực tế.

3.2. Cần một máy tốc độ như thế nào

Máy chủ pháo đài không phải cần là một máy nhanh. Có một vài lý

do, không nói về giá cả, cần một máy chủ pháo đài mạnh để thực hiện công

việc của nó, thì quả thật không cần thiết. Các dịch vụ được yêu cầu trong

máy chủ pháo đài không cần nhiều tài nguyên nh vây.

Nhiều người sử dụng những máy 2 - 5 MIPS ( Cho ví dụ, hãy SUN3, MicroVax II, Hoặc 80386 ... dựa trên nền tản nền tảng UNIX) cho máy

chủ pháo đài của họ. Trung bình chỉ cần như vậy. Máy chủ pháo đài thật sự

không có nhiều công việc để làm. Cái hạn chế tốc độ của nó là sự có hạn bởi



Tìm hiểu về an toàn và bảo mật trên mạng



tốc độ của kết nối tới thế giới bên ngoài, không phải bởi tốc độ CPU của bản

thân máy chủ pháo đài. Nó không cần một bộ xử lý mạnh để điều khiển

mail, DNS, FTP, và dịch vụ uỷ nhiệm cho đường truyền 56 Kb / s hoặc thậm

chí T - 1 ( 1.544 Mb / s). Bạn có thể cần nhiều sức mạnh hơn nếu bạn đang

chạy những chương trình nén và giải nén (e.g., NNTP server) hoặc cho sự

tìm kiếm (e.g., WWW server), Hoặc nếu bạn đang cung cấp những dịch vụ

uỷ nhiệm cho đồng thời nhiều người dùng.

Bạn có thể cũng cần máy mạnh hơn để hỗ trợ những yêu cầu từ

Internet nếu site của bạn trở nên phổ biến ( E.g., nếu Bạn tạo ra cái gì đó mà

mọi người muốn truy nhập, như các trang Web lớn của Mỹ hoặc các site

FTP lơn phổ biến khác).[ 1 ]Trên quan điểm đó, Bạn có thể cũng muốn bắt

đầu sử dụng đa máy chủ pháo đài. Một công ty lớn với nhiều kết nối Internet

và những dịch vụ đại chúng có thể cần sử dụng nhiều máy chủ pháo đài lớn,

những máy mạnh.

Có mét số lỹ do:





Một máy chậm hơn thí có it mục đích hơn. Không thêm



uy tin hơn cho một kẻ khoác loác nói rằng. Tôi vừa phá vỡ một máy

Sun 3/60) hay một máy châm hơn (ít nhất trên quan điểm của những

kẻ tấn công).

Nếu được thỏa hiệp, một máy chậm hơn thì Ýt hữu Ých hơn để tấn

công hệ thống bên trong hoặc các site ngoài. Nó cần nhiều thời gian hơn đê

biên dịch code, nó không hưu dụng khi tấn công tìn password bằng từ điển

hay brute-force, và tương tự tất cả những nhân tố (này làm Ýt khẩn thiết hơn

máy cho những người công kích tiềm tàng, và đó là mục đích của bạn).



Tìm hiểu về an toàn và bảo mật trên mạng



Một máy chậm hơn Ýt lôi cuốn hơn cho những người bên trong thỏa

hiệp. Một máy nhanh thì tiêu phí hầu hết thời gian để đợi một kết nối mạng

chậm thì hiệu quả rất thấp, và người dùng sử dụng sức mạng đó cho mục

đích khác. Bạn không thể bảo bảo đảm sự an toàn cho máy chủ pháo đài

trong khi sử dụng nó cho những mục đích khác. Thêm khả năng trên máychu

pháo đài là thêm xác suất xảy ra sự cố

3.3. Cấu hình phần cứng nào?

Bạn muốn một cấu hình phần cứng đáng tin cậy, vì vậy bạn cần phải

lựa chọn một máy và thiết bị ngoại vi cơ sở mà không phải là thứ mới nhất

trên thị trờng. Bạn cũng muốn cấu hình có thể được cung cấp, vì vậy không

chọn cái gì đó sao cho cũ mà bạn không thể tìn thấy phụ tùng thay thế cho

nã.

Trong khi bạn không cần CPU quá mạnh, bạn cần một máy mà theo

dõi một số kết nối đồng thời. Đây là bộ nhớ cường độ cao, vì vậy bạn sẽ

muốn một số lượng lớn bộ nhớ và có lẽ cần nhiều không gian swap nữa.

Những uỷ nhiệm caching cũng cần rất nhiều không gian đĩa tự do để sử

dụng cho bộ đệm.

Đây là một vài gợi ý về đĩa cần dùng :





Máy chủ pháo đài không thể có lý do nào để sử dụng đĩa



của máy chủ khác cho việc sao lưu, chúng ta sẽ bàn luận ở phần sau

chương này, vì vậy nó cần đĩa của chính mình với một chính một kích

thước thích hợp để sao lưu.





Một ổ CD-ROM cần thiết cho việc xây dựng hệ điều



hành, nhưng sau đó thì chỉ cần mượn ổ của những máy khác cũng đủ.



Tìm hiểu về an toàn và bảo mật trên mạng



Bạn nên dễ dàng thêm nhưng ổ tạm thời khác để tiện trong công việc

bảo trì sau này.





Đĩa khởi động nên dễ dàng loại bỏ và gắn vào các máy



khác để tiện cho việc bảo trì.

Cả hai loại đĩa đã được đề cập trên đây cho thấy một máy chủ pháo

đài nên có cả hai loại đĩa giống nh trên các máy khác.

Máy chủ pháo đài không cần có tiện Ých đồ hoạ và cúng không nên

có chúng. Đó là một máy chủ cung cập các dịch vụ mạng ; không ai cần nhìn

nó. Đầu cuối gắn vào có thể là bản điều khiển (consoler). Việc có đồ hoạ

trên máy chủ chỉ thu hút những người dùng sử dụng máy cho những mục

đích khác nh xây dựng những phầm mền không bảo đảm an toàn.



4.



Định vị máy chủ pháo đài trên mạng



Máy chủ pháo đài cần được định vị trên một mạng để không tạo sự

chuyển động kín, tốt nhất là một mạng cụ thể của chính nó.

Mọi giao diện Ethernet và token ring có thể điều hành trong “phương

thức pha tạp”. Trong phương thức này, chúng có thể giành được tất cả các

gói trên mạng mà các giao diện được kết nối đến, hơn là các gói này được

định vị tới từng máy riêng mà giao diện là một bộ phận của nó. Các kiểu

giao diện mạng khác, chẳng hạn FDDL, có thể không lấy hết được tất cả các

gói, nhưng tuỳ thuộc vào kiến trúc của mạng, chúng có thể thường thu được

Ýt nhất một số gói mà không định vị đặc biệt tới chúng.

Khả năng này có một mục đích hữu hiệu: cho việc phân tích mạng,

kiệm định, và gỡ lỗi, chẳng hạn bằng các chương trình như etherfind và

tcpdump. Không may, nó cũng có thể được sử dụng bởi người xâm nhập để

dò tìm trên các lưu thông trên một đoạn mạng. Tuyến giao thông này có thể



Tìm hiểu về an toàn và bảo mật trên mạng



bao gồm Telnet, FTP, hay các phiên rlogin (ở đó các đăng nhập và các mà

khoá có thể bị gom lại), thư mật, các truy cập NFS của các tệp nhạy cảm, ....

Bạn cần giả sử điều tệ hại nhất: máy chủ pháo đài có thể bị làm tổn hại. Nếu

nó bị làm tổn hại, bạn không muốn máy chủ pháo đài dò tìm trên tuyến giao

thông này.

Một cách thức để tiếp cận vấn đề là không đặt máy chủ pháo đài trên

một mạng nội bộ; thay vào đó, đặt nó trên một mạng vành đai. Nh chóng ta

đã thảo luận trong chương trước, một mạng vành đai là một lớp thêm vào

của tổ chức bảo mật giữa mạng nội bộ của bạn và mạng Internet. Mạng vành

đai được tách rời khỏi mạng nội bộ bằng một router hay bridge. Giao thông

nội bộ lưu lại trên mạng nội bộ và không thấy được trên mạng vành đai. Tất

cả các máy chủ pháo đài trên mạng vành đai có thể nhìn thấy các gói tin đến

nó hoặc từ chính nó, hay đến mạng Internet hoặc từ mạng này. Mặc dù tuyến

giao thông này vẫn có những nơi nào đó nhạy cảm, nó có vẻ Ýt nhậy cảm

hơn giao thông đặc trưng trên mạng nội bộ của bạn, và ở đây có các vị trí

khác (ví dụ, nhà cung cấp dịch vụ Internet của bạn) có thể biết nhiều về nó.

Nếu bạn không thể đặt máy chủ pháo đài trên một mạng vành đai, bạn

có thể xem xét việc đặt nó trên một mạng không dễ bị dòm ngó. Chẳng hạn,

bạn có thể đặt nó trên một hub thông minh 10baseT, mét switch ethenet, hay

một mạng ATM. Nếu bạn chỉ làm thế, bạn cần cẩn thận hơn để chắc chắn

rằng không có gì uỷ thác cho máy chủ pháo đài, vì không có thêm lớp bảo vệ

nào giữa nó và mạng nội bộ. Sử dụng một kỹ thuật mạng như vậy cho mạng

vành đai của bạn là hiệu quả nhất cho cả hai trường hợp: máy chủ pháo đài

bị cô lập với các hệ thống nội bộ (như là với một mạng vành đai thêm vào)

nhưng không thể dò tìm trên giao tuyến trên mạng vành đai.



Xem Thêm
Tải bản đầy đủ (.doc) (124 trang)

×