Web-сайти представляють собою потужний інструмент, що дозволяє комерційним, урядовим і громадським організаціям, а також громадянам обмінюватися інформацією та вести справи в мережі Інтернет. З цієї ж причини вони то і справа стають мішенню зловмисників…

Більшість організацій, малих або великих, приділяючи багато уваги оформленню своїх сайтів, деколи нехтують засадами їх безпечного існування. Недавні атаки на Web-сайти показали, що працездатність серверів може бути порушена навіть в результаті перевантаження одного або декількох сервісів.

У даній статті ми обговоримо найбільш загальні способи захисту, які організації можуть взяти на озброєння для запобігання атак на їх сервери або пом’якшення їх наслідків.

Створення плану захисту Web-сервера

Якщо більшість інцидентів викликають лише ваше роздратування чи незручність, це не означає, що хакер не зможе заподіяти компанії серйозного збитку. Тому кожна організація повинна вжити заходів щодо забезпечення безпеки своїх ресурсів, оцінивши при цьому рівень ризиків і матеріальних витрат. Іншими словами, кожна організація зобов’язана зіставити можливі втрати з тими перевагами, які надає можливість виходу в Інтернет. В умовах обмежених фінансових можливостей необхідно вкладати кошти в системи захисту найбільш вразливих місць мережі.

Можна виділити три рівня безпеки для сервера:

Рівень 1. Мінімальний рівень безпеки.

1. Модернізація наявного програмного забезпечення та встановлення >.
2. Використання єдиних установок (політик) для всіх серверів.
3. Видалення зайвих додатків.

Рівень 2. Опір вторгненню.

1. Установка зовнішнього міжмережевого екрану.
2. Віддалене адміністрування систем безпеки.
3. Обмеження на використання скриптів.
4. Захист Web-серверів, використовуючи фільтрацію пакетів.
5. Навчання персоналу і розмежування прав доступу.
6. Використання рішень, перелічених у рівні 1.

Рівень 3. Виявлення атак та послаблення їх впливу.

1. Поділ привілеїв.
2. Апаратні системи захисту.
3. Внутрішній міжмережевий екран.
4. Мережеві системи виявлення вторгнень.
5. Системи виявлення вторгнень, що розміщуються на серверах (хости).
6. Використання рішень, перелічених у рівні 2.

Варіанти забезпечення безпеки Web-серверів Можна виділити наступні, найбільш загальні способи захисту Web-серверів:

* видалення зайвого програмного забезпечення (програм);
* виявлення спроб порушення захисту Web-серверів;
* виправлення вад у встановленому програмному забезпеченні;
* зменшення наслідків атак на мережу;
* захист іншої частини мережі, у разі якщо Web-сервер був скомпрометований.

Модернізація програмного забезпечення/Установка >

Це один з найбільш простих, але разом з тим найбільш ефективних способів зменшення ризиків. Всі наявні Web-сервери повинні постійно (іноді щодня) перевірятися на предмет оновлення встановленого програмного забезпечення і встановлення >. (NIST спільно з іншими урядовими організаціями розробляє спеціальний інструментарій, призначений для оцінки необхідності оновлення та застосування >. Подробиці можна знайти на сторінці Департаменту комп’ютерної безпеки NIST за адресою http: //csrc. nist. gov.)

Вимога оновлення програмного забезпечення викликано тим, що будь-яке програмне забезпечення, встановлене на Web-сервері, може бути використано хакером для проникнення в систему. Це операційні системи, програмне забезпечення, яке працює з мережевими пакетами або використовується адміністраторами мережі і системи безпеки.

Перевірка програмного забезпечення повинна проводитися за таким алгоритмом:

* складіть перелік програмного забезпечення із зазначенням номерів версій;
* переконайтеся, що на вашому сервері встановлені останні версії програмних продуктів;
* знайдіть і встановіть > для відповідних версій програмного забезпечення, з урахуванням додається постачальником інструкції. Причому для забезпечення працездатності системи повинні бути встановлені в порядку зростання їх номеру;
* перевірте, що працюють нормально.

Використання вузькоспеціалізованих серверів

Забезпечення безпеки інформації вимагає виділення окремого ресурсу (комп’ютер) під кожну задачу. В іншому випадку помилка в системі безпеки може порушити роботу відразу декількох сервісів. Наприклад, не бажано розміщувати сервер електронної пошти, Web-сервер та сервер баз даних на одному і тому ж комп’ютері. Однак кожен новий сервер повинен бути оснащений системою захисту, інакше він може стати легкою мішенню для хакера.

Видалення зайвих додатків

Всі привілейоване програмне забезпечення, не обов’язкове для Web-сервера, повинне бути вилучене. Під привілейованим програмним забезпеченням в даному випадку розуміється ПЗ, що працює з мережевими пакетами або запускающееся з правами адміністратора. Деякі операційні системи запускають привілейовані програми за замовчуванням, а адміністратори часто просто не знають про їх існування. Між тим, кожна така програма може бути використана хакером для атаки на Web-сервер. У ряді випадків для підвищення рівня безпеки адміністратори видаляють все програмне забезпечення (а не тільки привілейоване), яке не використовується для забезпечення працездатності Web-сервера.

Зовнішній Firewall

Установка міжмережевого екрану між корпоративною (внутрішньої) мережею і Web-серверами загального доступу дозволяє запобігти проникненню > пакетів в мережу організації: якщо зловмисник проникає на зовнішній Web-сервер, то потрапити в корпоративну мережу організації через firewall йому буде важко. Якщо ж Web-сервер знаходиться всередині корпоративної мережі, то хакер, проникнувши на нього, може, використовуючи захоплений ресурс в якості плацдарму, порушити працездатність всієї мережі і отримати повний контроль над нею.

Віддалене адміністрування

Оскільки управляти сервером з фізичної консолі часто не дуже зручно, системні адміністратори встановлюють на Web-сервери, програмне забезпечення, що дозволяє здійснювати віддалене адміністрування. З точки зору забезпечення безпеки подібна практика може призвести до серйозних проблем.

У тих випадках, коли віддалене адміністрування неминуче, його необхідно супроводжувати наступними діями:

* шифрувати трафік віддаленого адміністрування (щоб зловмисник не зміг перехопити управління трафіком мережі, отримати паролі або впровадити > команди);
* використовувати фільтрацію пакетів (див. опис нижче) при віддаленому адмініструванні з призначеною для цього конфігурації хоста;
* підтримувати для цієї конфігурації більш високий рівень безпеки;
* не використовувати фільтрацію пакетів замість шифрування, так як хакери можуть сфабрикувати IP-адреси (посилати повідомлення, маскуючи свій IP-адресу іншим значенням).

Обмеження використання скриптів

Більшість сайтів містять скрипти (маленькі програми, які запускаються при переході на особливу сторінку. Хакер може використовувати ці скрипти (за допомогою виявлених вад у коді) для проникнення на сайт. Для виявлення таких дірок йому зовсім не обов’язково знати вихідний код, тому скрипти необхідно ретельно перевірити, перш ніж вони будуть викладені на сайт. Скрипти не повинні запускати випадкові команди або сторонні (небезпечні) програми, дозволяти користувачам виконання певних вузькоспеціалізованих завдань, а також обмежувати кількість параметрів вхідного потоку. Останнє необхідно для запобігання атак на переповнення буферу. (При атаках такого роду зловмисник намагається примусити систему до запуску програми арбітражу з метою отримання додаткової інформації.) Нарешті, скрипти не повинні володіти правами адміністратора.

Маршрутизатори з фільтрацією пакетів

Маршрутизатори встановлюють для того, щоб відокремити Web-сервери від іншої частини мережі. Цей крок допоможе запобігти багато атаки, не допускаючи проникнення > (не правильних) пакетів. Зазвичай маршрутизатори видаляють всі пакети, які не йдуть на Web-сервер (наприклад, на порт 80) або до портів, що використовуються при віддаленому адмініструванні. Для підвищення ступеня безпеки можна скласти перелік пакетів, що підлягають пропуску. Таким чином, хакеру залишиться ще менше можливостей для проникнення в мережу. Маршрутизатор з функцією фільтрації пакетів буде більш ефективний для запобігання атак за умови видалення з сервера всього непотрібного програмного забезпечення (зловмисник не зможе запросити нестандартний сервіс). Однак слід мати на увазі, що застосування пакетної фільтрації знижує пропускну здатність маршрутизатора і збільшує ризик втрати > пакетів.

Навчання персоналу

Часто хакери проникають в систему з-за того, що адміністратори мережі не володіють знаннями в області забезпечення безпеки або нехтують питаннями захисту. Тому що займає цю посаду працівникам слід постійно вдосконалюватися, вивчаючи системи безпеки мережі і використовуючи отримані знання на практиці. Кілька відмінних книг і навчальних семінарів допоможуть вашим адміністраторам.

Поділ привілеїв

Незалежно від серйозності заходів, вжитих для забезпечення безпеки Web-сервера, ймовірність проникнення проте повністю виключити не можна. Що ж, якщо це все-таки сталося, важливо мінімізувати наслідки атаки. Поділ привілеїв являє собою ефективний спосіб для досягнення цієї мети: кожен користувач може запускати тільки певні програми. Тому хакер, проникнув в мережу за скомпрометованим даними окремого користувача, зможе завдати системі лише обмежений шкоди. Наприклад, у користувача на сайті є свої сторінки, але інші сторінки йому недоступні. Отже, хакер, здобувши дані першого користувача, виявиться не в змозі вплинути на інші ресурси (сторінки). Так само йдуть справи і з програмним забезпеченням. В цілях підвищення рівня безпеки для користувачів, які володіють правами запису, можна створити особисті піддиректорії.

Апаратні рішення

Апаратура, в плані поділу привілеїв, має більш високий рівень безпеки, так як на відміну від програмного забезпечення не так легко модифікується. Але через дірки в програмному забезпеченні хакер може отримати доступ і до апаратних засобів. Одним з найбільш доступних способів захисту від цієї загрози є заборона режиму запису на зовнішні жорсткі диски, магнітооптичні диски і т. д. Зазвичай для запобігання атак Web-сервер конфігурують на режим >.

Внутрішні міжмережеві екрани

Сучасні Web-сервери часто працюють з розподіленими системами, вони можуть взаємодіяти з іншими хостами, отримувати або передавати дані. В цьому випадку існує велика спокуса розмістити ці комп’ютери за міжмережевим екраном всередині мережі організації, забезпечивши тим самим безпеку зберігаються на них даних. Однак якщо зловмисникові вдасться скомпрометувати Web-сервер, він може бути використаний в якості стартового майданчика для атаки на ці системи. Для виключення такої ситуації необхідно відокремити системи, спілкуються з Web-сервером, від решти мережі внутрішнім міжмережевим екраном. Тоді проникнення на Web-сервер і звідти на спілкуються з ним системи не призведе до компрометації всієї корпоративної мережі.

Мережеві системи виявлення вторгнень

Незважаючи на всі спроби встановити > на Web-сервер і реалізувати безпечну конфігурацію, неможливо добитися гарантованого виключення всіх вразливостей. Тим більше, що Web-сервер, захищений від зовнішніх атак, може бути виведений з ладу порушенням роботи одного із сервісів. У цьому випадку важливо отримувати оперативну інформацію про такі події, для мінімізації наслідків атаки або швидкого відновлення працездатності сервісу. Для отримання такої інформації використовують мережеві засоби виявлення вторгнень.

Мережеві системи виявлення вторгнень (IDS) перевіряє весь трафік мережі і виявляють несанкціоновану активність, порушення захисту або блокування сервера. Сучасні IDS створюють звіт про всі виявлені порушення, одночасно повідомляючи про них адміністраторів шляхом виведення повідомлень на пейджер, електронну поштову скриньку або монітор. Типові автоматизовані звіти включають в себе також збої мережних з’єднань і список заблокованих IP-адрес.

Системи виявлення вторгнень, що розміщуються на серверах (хости)

Системи виявлення вторгнень, що розміщуються на серверах, краще справляються із завданням визначення стану мережі, ніж мережеві IDS. Володіючи всіма можливостями мережевих IDS, у багатьох випадках серверні IDS краще виявляють спроби порушення захисту, так як володіють більш високим рівнем доступу до Web-сервера. Однак і цей спосіб не позбавлений своїх недоліків. Якщо хакер проникне на Web-сервер, він зможе відключити серверні IDS, блокувавши тим самим отримання повідомлень про атаку адміністратором. Віддалені атаки на відмову сервісу (DoS атаки) також часто блокують IDS на час виходу з ладу сервера. А так як DoS-атаки дозволяють зловмисникам блокувати сервер без проникнення на нього, то IDS, розташований на сервері, повинен бути доповнений мережевий системою виявлення вторгнень.

Обмеження існуючих рішень та додаткові заходи

Всі фахівці з питань безпеки радять використовувати безпечне програмне забезпечення, але в деяких випадках встановити його неможливо із-за дорожнечі або брак часу. Мало того, безпечне програмне забезпечення через деякий час застаріває, і необхідно встановлювати нову версію. Тому використання застарілого та стандартних методів забезпечення безпеки не може служити гарантією захищеності серверів. Але стійкість Web-сервера до атак може бути досягнута за умови використання сформульованих рішень забезпечення безпеки спільно з надійним програмним забезпеченням, під яким, в даному випадку, ми розуміємо певне програмне забезпечення, що володіє певним рівнем безпеки. Рівень безпеки програмного забезпечення, що може бути оцінений, по-перше, шляхом аналізу раніше скоєних атак на сервери, на яких було встановлено таке ж (або подібне). Кількість атак показує наскільки устрій чиво до них. Причому надійність програмного забезпечення прямо залежить від його якості. Неякісне програмне забезпечення не враховує всіх вимог до системи безпеки і вже тому не надійно. По-друге, деякі компанії, що спеціалізуються на створенні систем безпеки схильні перебільшувати можливості своїх продуктів (в плані відсутності вразливостей), тому при проектуванні систем безпеки своїх серверів користувачі повинні враховувати цю обставину. По-третє, оцінити рівень безпеки програмного забезпечення можна шляхом тестування на наявність вразливостей. Існує безліч компаній-аудиторів, які займаються перевіркою захищеності серверів. Ці компанії мають у своєму арсеналі спеціалізоване програмне забезпечення, що дозволяє виявляти дірки в системах безпеки.