Facultat d'Informàtica de BarcelonaUniv. Politècnica de Catalunya

Administració de Sistemes Operatius

Protecció i seguretat

������������ �������� �� �� ������������ �������

Temari

� 1. Introducció a l'Administració de Sistemes� 2. Instal·lació del Sistema Operatiu� 3. Gestió d'usuaris� 4. Gestió d'aplicacions� 5. Monitorització del sistema� 6. Manteniment del sistema de fitxers� 7. Serveis locals� 8. Serveis de xarxa� 9. Protecció i seguretat

Objectius

� Coneixements� Principals aspectes de seguretat d'un sistema

� Seguretat local� Seguretat en xarxa

� Aspectes de seguretat dels principals serveis de xarxa

� Eines d'auditoria de seguretat

� Habilitats

� Instal·lació, execució i anàlisi dels resultats de les eines d'auditoria de la seguretat

Què vol dir seguretat?

� Confidencialitat� Protecció contra accés no autoritzat a dades

� Integritat� Protecció contra destrucció, modificació, o pèrdua de

dades� Disponibilitat

� El sistema ha d'estar accessible i en funcionament� Consistència

� Evitar canvis en el funcionament del sistema� Aïllament

� Evitar l'accés de persones alienes al sistema (crackers)

Seguretat perfecte

� No hi ha sistemes segurs� Ni tant sols apagats!

� Amb recursos (temps, gent, diners, ... ) tots els sistemes “cauen”

� Catàstrofes naturals

� Objectiu: Aconseguir un sistema suficientment segur� que no es pugui entrar de manera automàtica ( script

kiddies )� que faci falta emprar recursos

� Poder recuperar-nos en cas d'un incident

Seguretat i usabilitat

� Acostumen a ser pocs amics, conceptes oposats

� A més seguretat, menor usabilitat� Accés restringit a serveis i aplicacions� Constants identificacions

� Incòmodes per l'usuari

� Lentes i farragoses

� A més usabilitat, menor seguretat

� Un excés de seguretat pot arribar a tenir l'efecte oposat

� Usuaris que apunten els N passwords en un paper

� Shell scripts que automatitzen l'accés als recursos

Components de la seguretat

� Seguretat física

� control d'accés

� integritat del hardware

� Seguretat local

� Seguretat de la xarxa

Seguretat física (I)

� Accés físic a la consola� Reboot amb un disc de sistema� Robatori de dades ( disc dur, backups )� Alteració del sistema� Robatori de l'ordinador

� Accés físic als cables de xarxa� Monitorització de totes les comunicacions� Denegació de servei

� Accés físic als despatxos� Cerca de passwords sota el teclat

� Accés als documents destruïts

Seguretat física (II)

� No cal un atac maliciós per destruir les vostres dades� Accidents

� Talls de corrent, foc, danys estructurals a l'edifici, ...

� Condicions ambientals� Temperatura, humitat, ...

� Catàstrofes naturals� Terratrèmols, inundacions, descàrregues elèctriques, ...

� Altres� Insectes, menjar, begudes, ...

� Sensors, materials especials, terra doble, SAIs, ...

Objectius atacs a màquines

� Obtenir informació

� Obtenció i destrucció de dades

� Denegació de servei

� Obtenir recursos

� Obtenir una màquina per un altre atac

Tipus d'atacs

� Esbrinar passwords

� Abús del sistema de fitxers

� Paràmetres inesperats

� Buffer overflows

� Condicions de carrera (race conditions)

� Abús de recursos

� Trojans

� Escaneig de ports

Més atacs

� Spoofing

� IP, DNS, ARP, ...

� Man-in-the-middle

� Sniffers

� Cucs, virus, ...

� Enginyeria social� i més...

Seguretat local

� Protegir-se d'atacs provinents d'usuaris del sistema

� L'atacant ja té un compte i un password no privilegiat� O fins i tot un password privilegiat!

� Protegir sempre el sistema abans de connectar-ho a la xarxa

Passwords

� Forçar una política de passwords� Llargs (8+ caràcters)� Barreja xifres, lletres i caràcters especials� És difícil d'endevinar� És fàcil de recordar� NO és una paraula de diccionari (o variació)

� Expiració de passwords

� Comprovar en cada canvi i/o periòdicament

� Protegir els passwords encriptats (/etc/shadow)

Permisos i proteccions

� Política d'accés mínim� Un usuari no ha de tenir accés a un fitxer si no és que

ho necessita

� Controlar els permisos de tots els fitxers� Afegir-los després a mida que facin falta� Afegir-los només a nivell de grup

� Ús d'una màscara de creació de fitxers adequada� umask 027 (rwx r-x ---), 022 (rwx r-x r-x)

� Fitxers problematics

� amb SUID

� amb dades de la configuració del sistema

Abús de recursos

� Consum excessiu de recursos per part d'un usuari

� CPU, processos

� Memòria

� Disc

� Establir límits i quotes en l'ús de recursos

� /etc/security/limits.conf

� ulimit

� disk quota

Integritat del Sistema de Fitxers

� Sovint el sistema de fitxers es modifica per amagar un atac

� Modificació dels logs

� Rootkits

� Eines de detecció de canvis al sistema de fitxers

� Mitjançant signatures digitals dels fitxers

� Particions/dispositius read-only

Logs del sistema

� Contenen la informació sobre els atacs

� Permeten saber si un sistema ha estat compromès

� Fer un anàlisis post-mortem

� Si es guarden al mateix servidor poden ser compromesos

� A un servidor remot

� Imprimir-los

En grup

� Quins problemes poden haver-hi si un atacant modifica les variables d'entorn d'un usuari? (p.ex. PATH)

Seguretat en xarxa

� Protecció contra atacs provinents de l'exterior

� Dirigits contra � els diferents serveis que oferim� la xarxa mateixa

Seguretat en Xarxa

� Firewalls

� DMZ (Demilitarized Zone)

Internet

Firewall

Firewall

Serveis públics(web, correu)

Xarxa privada

DMZ

Serveis oferts

� Una màquina serà més vulnerable segons els serveis oferts

� Informació del sistema i els seus usuaris� finger, rdate, rusers...

� Connexió remota� telnet, ftp, rlogin, rsh...

� Compartició de dades� NFS, Samba, WWW, NIS...

� Correu electrònic

Serveis oferts (II)� Política d'accés mínim

� Desactivar tots els serveis� Per no dir ... desinstal·lar tots els serveis

� Activar sols els serveis que facin falta� Limitar l'accés només als usuaris del servei

� Verificar la configuració de tots els serveis instal·lats

� Tant si estan actius com si no� Podrien activar-se quan siguin necessaris

� Verificar l'activitat dels serveis instal·lats

� nmap, SARA

Limitar l'accés als serveis

� Controlar qui té accés a quins serveis

� Com verificar la identitat dels clients?

� A nivell d'adreces IP� perillós! IP Spoofing

� DNS invers� perillós també! DNS Spoofing

� A nivell d'usuaris� Forwarding de serveis

� ssh, a través de firewalls

� Kerberos

Kerberos

� Protocol de xarxa per autenticació

� Basat en criptografia de clau secreta (password)

� El client usa Kerberos per provar la seva identitat� El client contacta amb el Key Distribution Center per

obtenir un ticket� El KDC encripta un ticket amb el password donat pel client

� El client desxifra el ticket amb el seu password

� El ticket li permet al client accedir a serveis especifics� ftp, telnet, su, rlogin, rcp...

� de forma transparent (comandes UNIX modificades)

� Transparent per l'usuari

IDS

� Intrusion Detection Systems

� Basats en la xarxa� Analitzen el tràfic de la xarxa en busca d'atacs

� Basats en el host� Analitzen l'activitat del sistema en busca d'atacs

� logs, sistema de fitxers, ...

� Basats en detecció d'anomalies

� Basats en detecció usos indeguts

Security through obscurity

� Mala política de seguretat

� Dona una falsa sensació de seguretat

� Es pot fer servir un cop el sistema està protegit

Pla de contingència

� Protocol d'actuació en cas de fallada d'algun component del sistema

� Que s'ha de fer?

� A qui s'ha de notificar? Amb quina informació?

� Definit per cada possible fallada� Caiguda d'un servei, fallada hardware d'una màquina,

destrucció del centre de dades

� Fer simulacres per verificar-ho

� D'acord amb la política d'empresa

Aplicacions de seguretat

� Local system configuration� Titan http://www.trouble.org/titan/TITAN_documentation.html

� Tiger http://savannah.nongnu.org/projects/tiger� Network system configuration

� Security Auditor's Research Assistant (SARA)� http://www-arc.com/sara

� Nmap� http://www.insecure.org/nmap/

� Nessus� http://www.nessus.org/

Aplicacions de seguretat (II)

� Intrusion detection

� Tripwire� http://www.tripwire.com/products/technology/index.cfm

� Snort� http://www.snort.org/

� Logcheck� http://logcheck.alioth.debian.org

Consells

� No fiar-se mai

� Sempre hi ha algú més llest

� Ser una mica paranoics

� Estar preparats per el pitjor

� Backups!!!

� Atacar els propis sistemes

� Estar al dia

� mon molt canviant

� llistes de correu, butlletins de seguretat