РЕШЕНИЯ
Парадигма open-source провоцирует сомнения в безопасности использования бесплатной операционной системы, но она же служит и лучшей защитой от хакеров
Прошлым летом многим приверженцам Linux пришлось объясняться с руководством своих компаний после того, как несколько сотен DNS-серверов (Domain Name System - служба имен доменов), работавших под управлением пятой версии операционной системы Red Hat Linux фирмы Red Hat, пали жертвой хакеров, применивших метод переполнения буфера. Воспользовавшись известной брешью в системе обеспечения безопасности этой ОС, злоумышленники обратили свои усилия против серверов, обслуживающих базы данных, в которых хранятся доменные имена и соответствующие им IP-адреса. Очень скоро выяснилось, что нападения не выдержали исключительно те серверы, где Linux вопреки настоятельным рекомендациям Red Hat была установлена с используемыми по умолчанию параметрами настройки. Тем не менее инцидент укрепил бытующее среди ИТ-менеджеров представление о том, что вследствие доступности исходных текстов Linux оказывается менее защищенной, чем конкурирующие системы с закрытым кодом.
Ключевым фактором обеспечения безопасности Linux
Бялковский из корпорации Cendant считает придирчивый
контроль со стороны многочисленных разработчиков
Хотя число инсталляций Linux на предприятиях растет, подобные опасения насчет уровня ее безопасности способны задержать распространение этой ОС как среды для исполнения наиболее ответственных приложений. Брешь в защите корпоративной сети может обернуться для компании потерей миллионов долларов и, что еще более важно, подрывом доверия со стороны клиентов и партнеров. Помимо свободного доступа хакеров к исходному тексту Linux многих ИТ-менеджеров (особенно тех, кто незнаком с этой операционной системой) беспокоит и необходимость искать квалифицированных специалистов по обеспечению ее защиты.
В то же время специалисты по информационной безопасности и разбирающиеся в вопросе ИТ-менеджеры утверждают, что несмотря на некоторые инциденты, подобные прошлогодней атаке на серверы DNS, Linux не более уязвима, чем любая другая коммерческая ОС. Более того, открытость Linux не снижает уровень ее защищенности, а, напротив, способствует его повышению благодаря придирчивому изучению исходных текстов широким кругом вполне “благонадежных” специалистов и оперативному выявлению ими недостатков во всех аспектах, включая безопасность. Обнаруженные дефекты можно оперативно устранить с помощью быстро появляющихся бесплатных “заплаток” (см. диаграмму).
Сравнительная устойчивость Linux к атакам хакеров
Означает ли доступность исходных текстов Linux, что ее дефекты обнаруживаются и устраняются более оперативно, чем в традиционных ОС с закрытым кодом? По-видимому, да. Проведенное в 1999 г. сравнение сроков устранения ошибок, обнаруженных в системах фирм Microsoft, Sun и Red Hat, показало, что дистрибьютор бесплатной операционной системы затратил на это почти на 5% меньше времени, чем Microsoft.
Источник: фирма SecurityPortal.
В дополнение ко всему, многие крупные независимые разработчики ПО уже начали переносить на платформу Linux свои коммерческие средства обеспечения безопасности. По мнению экспертов, это позволит ИТ-менеджерам, переходящим на Linux, принять стандартные меры противодействия угрозам безопасности, предусматривающие обучение персонала, использование “правильных” инструментов защиты, а также регулярное отслеживание рекомендаций экспертов и обновление версий ПО.
“Некоторые люди относятся к Linux, как к компромиссному решению, в котором есть свои достоинства и недостатки, - заметил аналитик из исследовательской фирмы Meta Security Group (Атланта, шт. Джорджия) Джимми Олдерсон. - Свободный доступ к исходным текстам упрощает поиск возможных точек для несанкционированного проникновения в систему. Но, с другой стороны, по той же самой причине легче устранить такие точки. Причем в решении подобной задачи можно опираться как на собственные силы, так и на опыт тысяч других программистов, готовых предложить свои варианты преодоления проблемы”.
Оперативное устранение дефектов
Вице-президент по компьютерному обеспечению франчайзинговой сети отелей корпорации Cendant (Парсиппани, шт. Нью-Джерси) Рон Бялковский не видит, однако, здесь никакого компромисса. Утверждение, будто Linux менее защищена в силу своей открытости, он находит просто смешным. “Ключ к безопасности Linux в том, чтобы закрывать дыры раньше, чем их отыщет злоумышленник, - считает Бялковский. - Доступность системы для специалистов, находящихся по нашу сторону баррикад, как раз и означает, что бреши в защите можно латать с необходимой оперативностью”.
Бялковский и его специалисты по обеспечению безопасности работают в тесном взаимодействии с дистрибьютором Linux фирмой Caldera Systems (Орим, шт. Юта) и сообществом open-source в целом, предоставляя им информацию об обнаруженных дефектах и принимая участие в их устранении. Кроме того, они направляют фирме Caldera свои предложения по встраиванию в будущие версии ПО дополнительных элементов защиты.
“Множество людей придирчиво просматривает каждый предложенный вами фрагмент кода, и от его качества зависит ваш авторитет, - пояснил Олдерсон. - То, что дефекты обнаруживаются сравнительно легко, означает, что они не всплывут там или тут неожиданно. Когда вы публикуете какое-либо предложение, можете быть уверены, что несколько тысяч пар глаз проанализируют его самым внимательным образом”.
Одна голова хорошо, а две - лучше
“Суд равных” в мире open-source делает качество кода вопросом чести. Когда программист публикует исправление на каком-либо популярном среди Linux-разработчиков узле, например www.kernel.org корпорации Transmeta, его коллеги изучают предложение и нередко высказывают свои сомнения и возражения.
“То, что исходные тексты Linux распространяются открыто, только укрепляет наше доверие к этой ОС, - уверяет Деймон Кови, главный технический специалист проекта в Cendant. - В результате среда Linux практически свободна от вирусов, а код системы просматривает такой широкий круг специалистов, что можно не сомневаться - по защищенности Linux не уступит никакой фирменной ОС”.
Еще два года назад Cendant начала внедрять Linux в восьми гостиничных сетях, включая Ramada и Days Inn. Выбранная этим франчайзи система управления имуществом Front Clerk фирмы Hotel Software Systems работает на серверах с ОС OpenLinux Version 1.1 фирмы Caldera. Пользователи получают доступ к приложениям с обычных настольных машин, на которых установлены Windows 95 и программный эмулятор терминала. ПО управления гостиничным хозяйством интегрировано с центральной системой бронирования номеров на базе мэйнфрейма и автоматизирует все осуществляемые отелями операции.
Cendant не может допустить сбоя в работе центральной системы бронирования. Именно поэтому для Бялковского столь важна открытость Linux. Кови и старший менеджер проекта Джефф Даньелс выполнили настройку ядра ОС, убрав из него ряд ненужных им сетевых компонентов. По мнению Кови, это дополнительно повысило устойчивость системы к атакам извне.
Движущаяся мишень
Возможность изменения ядра Linux специалисты считают важным аргументом в пользу этой ОС в споре о том, какая система безопаснее. Модифицируя ядро ОС, специалисты по обеспечению безопасности могут значительно затруднить задачу тем, кто попытается атаковать их сети. Эксперты предупреждают о недопустимости исполнения ответственных приложений на системах, сконфигурированных стандартным образом без изменения предусмотренных по умолчанию настроек, которые выбираются главным образом для обеспечения простоты использования системы, а не ее защищенности.
“Прежде чем тиражировать операционную систему, нужно устранить в ней по крайней мере те дефекты, о которых уже известно, - считает аналитик из Meta Security Group Патрик Мак-Брайд. - А если вы можете продвинуться на шаг дальше, внеся изменение в ядро ОС, это, несомненно, станет дополнительным вкладом в обеспечение ее безопасности”.
Опытные пользователи Linux, вроде Криса Доса, администратора принадлежащего фирме KB Holdings (Denver, шт. Колорадо) узла KBkids.com, рекомендуют индивидуально конфигурировать серверы под каждую конкретную задачу. Если, например, компании требуется сервер DNS на платформе Linux, первым делом следует исключить из инсталляции компоненты Web-сервера и другие ненужные в этом случае части ПО. Тогда даже при наличии бреши в одном из этих компонентов хакер не сможет ею воспользоваться, атакуя ваш сервер DNS.
Другие специалисты идут еще дальше и переписывают отдельные компоненты ядра Linux. Мэттью Марш, президент фирмы Paktronix Systems (Омаха, шт. Небраска), специализирующейся на выпуске средств обеспечения безопасности для сетей на базе Linux, применяет собственную версию этой ОС с измененным для повышения защищенности ядром.
Важнейшую роль в обеспечении безопасности Linux играют также постоянный контроль и оценка ее состояния. Крис Дос контролирует работу Linux-серверов вместе с машинами, работающими под управлением закрытых ОС, не выделяя их в отдельную группу. Он считает, что хороший специалист по безопасности должен ко всем серверам применять идентичные меры предосторожности. Дос регулярно проводит сканирование портов каждой из используемых операционных систем и вносит в них последние рекомендованные исправления.
“От вас требуется лишь одно - следить, чтобы система обеспечения безопасности не отставала от жизни, - поделился своим опытом Дос. - В защите любой операционной системы - Windows NT, Linux, Solaris или NetWare - всегда будут обнаруживаться все новые и новые бреши. Лучшее, что можно сделать в этой ситуации, - вовремя вносить изменения”.
Дос покупает Linux-серверы для своей компании у фирмы Penguin Computing (Сан-Франциско, шт. Калифорния). Объясняя свой выбор, он, в частности, указал на готовность этого производителя настраивать свой продукт в соответствии с его требованиями к безопасности. Дос принимает участие в работе по повышению защищенности и надежности продуктов Penguin, предлагая те или иные усовершенствования ОС.
В своей компании Дос поддерживает 20 серверов производства Penguin на базе версии GNU/Linux. Однако номер версии или дистрибутива ОС он не назвал, как не стал рассказывать и о том, какие задачи она решает. Почему? Главным образом из соображений безопасности. “Если хакер идентифицирует вашу версию ОС, это позволит ему сузить круг поиска уязвимого места, - объяснил Дос. - На самом деле не имеет значения, дистрибутивом какого производителя я пользуюсь, поскольку большинство из них уделяет вопросам безопасности самое серьезное внимание. Важно только, чтобы версия ПО всегда была самая последняя”.
Мэттью Марш из Paktronix также придерживается мнения, что сохранение в тайне номера применяемой версии Linux является важным элементом защиты, поскольку каждый дистрибутив этой ОС пусть незначительно, но отличается от других. Электронные таблицы будут выглядеть совершенно идентично как в среде Linux фирмы SuSE, так и в среде OpenLinux фирмы Caldera, но вследствие различий в ядре этих версий ОС возможные пути для хакерской атаки будут разными.
По словам Марша, это существенно отличает Linux от коммерческих операционных систем, например Windows NT. Если хакер сможет пробить защиту интегрированного комплекта Office 2000, то под угрозой окажутся все компьютеры с этим ПО.
“Когда речь идет о безопасности, такая незначительная на первый взгляд деталь, как вариация кода ядра, может оказаться решающей в противодействии атаке хакера, - продолжил Марш. - Было бы, однако, мудро одинаковым образом защищать все свои операционные системы. Если администрирование системы, будь то NT- или Linux-сервер, поставлено на должном уровне, вирус не натворит больших бед”.
Конечно, какая бы ОС ни использовалась, воспрепятствовать проникновению целеустремленного взломщика в сеть предприятия непросто. По словам Марша, наиболее популярные приемы взлома Linux-систем - переполнение буфера, провокация отказа в обслуживании и поиск с помощью специальных устройств телефонных номеров удаленного доступа. Часто с помощью автоматических инструментов выполняется случайный перебор потенциальных уязвимых мест на множестве целевых систем. Марш не преминул отметить, что все те же способы числятся и в списках наиболее употребительных средств взлома фирменных операционных систем.
“Представление о том, что хакеры предпочитают атаковать Linux из-за доступности исходных текстов этой ОС, служит основным источником опасений и сомнений в ее безопасности, - продолжил он. - Но неужели вы думаете, что злоумышленника может остановить незнание исходного кода?”
Один из наиболее популярных хакерских инструментов - утилита “исследования географии сети” nmap - свободно распространяется по Интернету. Она сканирует порты и определяет вероятный тип установленной ОС. (Во врезке “Исходный код открыт...” приведены и другие хакерские приемы.) Для противодействия применяющим утилиту хакерам Дос из KBkids.com использует бесплатно распространяемые в исходных текстах средства защиты, препятствующие сканированию портов и фальсифицирующие информацию об операционной системе при получении подозрительных запросов.
Коммерческий инструментарий уже на конвейере
Производители коммерческих средств обеспечения безопасности также открывают для себя платформу Linux. По мнению Олдерсона, их интерес подстегивается ростом популярности этой ОС. Так, специалисты компании Survey.com (Маунтин-Вью, шт. Калифорния) пришли к выводу, что организации, применяющие в настоящее время то или иное бесплатно распространяемое в исходных текстах ПО, к 2002 г. переведут на Linux более 34% своих серверов. Вдохновленные столь блестящей перспективой, такие производители, как фирма Network Associates (Санта-Клара, шт. Калифорния), уже переносят на эту платформу свои сканеры дефектов защиты. А фирма Internet Security Systems (Атланта, шт. Джорджия), вышедшая на рынок средств обеспечения безопасности для Linux еще в 1994 г., не только перенесла в эту среду свой Internet Scanner, но и выпустила ряд других ориентированных на нее продуктов.
Благодаря активному развитию в последнее время индустрии услуг для пользователей Linux-продуктов начинает меняться и представление о том, будто большинство администраторов, отвечающих за безопасность Linux-систем, - самоучки (в то время как Microsoft, Sun Microsystems и Novell предлагают своим клиентам основательные курсы по защите фирменных ОС и программы сертификации), да и тех не хватает.
Сегодня квалификация специалиста по Linux может быть подтверждена сертификатом - их выдает фирма Linux Professional Institute (Брамптон, пров. Онтарио, Канада). Подготовкой кадров занимаются многие производители - Cendant, например, посылает своих ИТ-специалистов осваивать науку обеспечения защищенности Linux-систем в фирму Caldera. Компания Red Hat в рамках своей программы Red Hat Certified Engineer Program также предлагает курсы по безопасности платформы Linux.
К настоящему времени почти 50% системных администраторов Cendant прошли профессиональную подготовку по средствам защиты Linux. Несомненно, затраты компании на их обучение не пропадут даром. В ее франчайзинговой сети на бесплатную ОС вскоре, вероятно, возложат более ответственные задачи. По словам Бялковского, корпоративные специалисты по контролю и безопасности изучают некое решение для построения виртуальной частной сети (virtual private network) на платформе Linux с использованием протокола Point-to-Point Tunneling Protocol.
Приведенных выше воодушевляющих примеров, однако, не всегда достаточно, чтобы убедить избегающих риска директоров ИТ-служб сделать крупную ставку на Linux. Правда, у их подчиненных, заинтересованных в этой операционной системе, всегда остается еще один аргумент: образцовый порядок в собственной сети на базе Linux, позволяющий избежать напастей типа прошлогодней атаки на серверы DNS. Как уверяют некоторые поклонники бесплатной ОС, сложного в этом ничего нет.
“В своей стратегии мы исходим из того, что основные принципы защиты одинаковы как для Linux, так и для любых других используемых нами ОС, - сказал Бялковский. - Бдительность - лучшее оружие администратора, отвечающего за безопасность Linux-систем”.
Исходный код открыт, но посторонним вход запрещен
Обеспечение безопасности Linux, как и любой другой операционной системы, требует приложения определенных усилий. Ниже описаны некоторые распространенные хакерские приемы, известные уязвимые места Linux и способы защиты.
- Провокация отказа в обслуживании. Атакуемая система выводится за рамки штатных режимов работы отправкой некорректных IP-пакетов или организацией слишком интенсивного потока пакетов. Что делать: всегда используйте последнюю версию брандмауэра и следите за рекомендациями специалистов.
- Посредник. Хакер пытается внедриться в механизм осуществления транзакций, чтобы завладеть идентификационными данными ее участников для последующего перехвата электронной почты, номеров кредитных карточек или иной конфиденциальной информации. Что делать: механизм SSH (Secure Shell) позволяет выполнять на сервере аутентификацию доступа с помощью алгоритма RSA, благодаря чему подобные атаки практически не имеют шанса на успех.
- Фальсификация IP-адресов. Использование посторонними внутреннего или внешнего IP-адреса для обхода систем защиты. Что делать: большинство брандмауэров способны обнаруживать и предотвращать фальсификацию IP-адресов. Установите брандмауэр и маршрутизатор с функцией фильтрации пакетов, а где возможно, внедрите более строгие механизмы аутентификации. Команды дистанционного управления, такие, как Rlogin и Rexec, имеют сравнительно слабые инструменты аутентификации сетевых адресов и являются излюбленным средством проведения атак данного типа. Эти команды лучше отключить. Кроме того, можно применить дополнительные методы авторизации доступа зарегистрированных пользователей, например механизм SSH.
- Прослушивание сети. Хакер может воспользоваться анализатором сетевых протоколов или иным подобным средством для перехвата сетевого трафика и извлечения из него конфиденциальных данных. Что делать: виртуальная частная сеть (VPN) способна служить зашифрованным каналом передачи данных. Организовать на платформе Linux виртуальную частную сеть с шифрованием по стандарту IPSec позволяет бесплатное ПО Free S/WAN.
- Использование идентификационных данных зарегистрированного пользователя. Хакер, заполучивший каким-либо образом IP-адрес и пароль, открывающие доступ в систему, может выдать себя за зарегистрированного пользователя. Что делать: распространите цифровые сертификаты на уровне приложений. Один из возможных вариантов - применение защищенного Web-сервера Apache-SSL, основанного на спецификации SSLeay/OpenSSL. Он поддерживает цифровые сертификаты, эмитированные самыми разными источниками.
Источник: фирма SecurityPortal.
Производители средств обеспечения безопасности обратили внимание на Linux
С тех пор как открытой операционной средой заинтересовались корпоративные пользователи, над Linux повеял ветер перемен. В результате на рынке стали появляться ориентированные на эту ОС коммерческие средства обеспечения безопасности. Те самые компании, что еще в прошлом году шарахались от Linux, как от чумы, теперь всерьез борются за свою долю рынка ПО для этой платформы.
“Было время, когда компании, специализирующиеся на средствах обеспечения безопасности, затягивали выпуск Linux-версий, как только могли, - вспоминает аналитик из фирмы Meta Security Group (Атланта, шт. Джорджия) Джимми Олдерсон. - Тогда среди пользователей этой ОС не было спроса на подобные продукты и никто не хотел тратить ресурсы на разработки, которые, возможно, никогда не принесут прибыли. Теперь все переменилось”.
По мере распространения Linux среди компаний, занимающихся электронной торговлей, проблемы обеспечения безопасности систем приобретают все больший вес. Чтобы не упустить открывающихся в связи с этим возможностей, некоторые производители средств защиты разработали Linux-версии своих программ, исходные тексты которых, правда, держат пока в тайне. Остается вопрос - захотят ли члены ИТ-сообщества платить за такие продукты?
Сторонники Linux уже сейчас имеют в своем распоряжении широкий ассортимент средств обеспечения безопасности, бесплатно распространяемых в исходных текстах через такие узлы Интернета, как Freshmeat.net, Securityportal.com и Securityfocus.com. Коммерческие производители, однако, рассчитывают на свою репутацию у лиц, принимающих решения в корпоративном мире. В конце концов, по словам Олдерсона, высшее руководство всегда склонно предпочесть готовый коммерческий продукт, рассматривая подобный вариант как более оправданный юридически и даже технически.
“Приверженцы идеи open-source, склонные использовать основанные на той же парадигме утилиты, обычно не принимают таких решений самостоятельно, - продолжил он. - Руководители же, в чью компетенцию входят подобные вопросы, даже при том, что распространяемые в исходных текстах инструменты справляются со своими задачами ничуть не хуже коммерческих, часто предпочитают вариант, при котором в случае чего есть кому предъявить претензии”.
Учитывая это обстоятельство, фирмы, предлагающие средства обеспечения безопасности, спешат не упустить своего шанса. В декабре прошлого года производитель инструментального ПО фирма Network Associates (Санта-Клара, шт. Калифорния) выпустила Linux-версию комплекта для встраивания антивирусных средств в программы. Продукт называется McAfee’s Virus Interface for Protective Early Response for Linux и позволяет независимым разработчикам ПО и поставщикам услуг встраивать антивирусный механизм NAI в устройства Internet-доступа, администрируемые службы и приложения для ведения бизнеса в электронной среде собственной разработки. Кроме того, Network Associates реализовала поддержку Linux в продуктах WebShield и CyberCop.
Фирма Internet Security Systems (Атланта, шт. Джорджия) также перевела под Linux свои продукты Internet Scanner и System Scanner. А специализирующаяся на построении экстрасетей корпорация Aventail (Сиэтл, шт. Вашингтон) выпустила в июле прошлого года Linux-версию ПО ExtraNet Center.
Все эти производители рассчитывают, что ИТ-профессионалы предпочтут заплатить за продукт, если доверяют его разработчику. Президент фирмы Paktronix Systems (Омаха, шт. Небраска) Мэттью Марш указывает на то, что средства обеспечения безопасности, бесплатно распространяемые в исходных текстах, существуют для всех платформ, включая Windows NT 4.0. Но это не подрывает популярности коммерческих продуктов.
“Я пользуюсь некоторыми бесплатными сканерами, и они вполне удовлетворительно справляются со своими функциями, - пояснил Марш. - Однако производители коммерческих средств защиты, вероятно, будут иметь успех и в стане Linux по той же причине, по какой он сопутствует им на иных рынках”.
Причина этого заключается в том, что в случае неполадок у пользователя есть к кому обратиться за помощью или на кого возложить ответственность. Таким образом, тяга клиентов к работе с коммерческими средствами обеспечения безопасности Linux в обозримом будущем вряд ли исчезнет.
