Utwardzać system czy nie utwardzać?
Hardening wydaje się naturalnym i oczywistym sposobem poprawy bezpieczeństwa systemu. Roger Grimes, ekspert doradzający przez lata jak utwardzać systemy, twierdzi, że tkwił w błędzie.
Polecamy:Rewidując swoje wcześniejsze poglądy, pisze m.in., że generalnie, trudno znaleźć przykłady uzyskania znaczących korzyści z poprawiania Windows poza zaleceniami Microsoftu.
W czterech z ośmiu napisanych przez Grimesa książek poświęconych bezpieczeństwu systemu Windows, propagował on utwardzanie hosta i wyjaśniał czytelnikom, jak dobrze dostrajać własne komputery, zmieniając wyjściowe ustawienia domyślne, aby ograniczyć pole potencjalnego ataku. Jak przyznaje sam autor, prawdopodobnie jedna czwarta jego artykułów napisanych w ciągu ostatnich 10 lat spośród ponad setki, dotyczyła właśnie hardeningu.
Domyślne ustawienia wystarczające
Zdaniem Grimesa kilka czynników uległo zmianie. Na przykład niemal każdy dostawca OS obecnie oferuje bardzo rozsądne i względnie bezpieczne ustawienia domyślne.
To prawda, że niepotrzebne usługi pozostawione włączone, mogą zwiększać potencjalny obszar ataku, lecz dobre zabezpieczenie polega na właściwym zarządzaniu ryzykiem oraz odpowiednim wyważeniu współczynnika koszt/korzyści. Po co wyłączać usługę czy ograniczać pozwolenia, jeżeli nie one bezpośrednio decydują o próbach podejmowania ataków? Po co zużywać energię i zwiększać ryzyko operacyjne, skoro jest wiele innych zagrożeń, którymi trzeba się martwić?
Grimes podkreśla, że 90% swego czasu poświęca na pomaganie klientom w odpieraniu ataków hakerów. Niemal wszystkie one powstają po stronie klienta, mają postać Trojanów wprowadzonych przy użyciu technik inżynierii społecznej lub spreparowanych danych aplikacji (application data malformation).
Ekspert "Infoworlda" zaznacza, że de facto nigdy nie spotkał się z sytuacją, w której przeprowadzenie ataku stało się możliwe w rezultacie nie utwardzenia przez organizację własnego systemu zabezpieczeń, wykraczającego poza domyślne ustawienia i zalecenia dostawcy.
Przyczyny związane były zawsze z przypadkowym osłabieniem przez organizację niektórych domyślnych ustawień (których nie powinno się zmieniać), uruchomieniem przez użytkowników (skłonionych do tego socjotechnicznymi sztuczkami) Trojanów lub nie stosowaniem się do powszechnie promowanych od ponad 10 lat uniwersalnych zaleceń, takich jak: regularne łatanie dziur, silne hasła itp.
Wyłączanie usług - nie zawsze pożyteczne
Wielu praktyków zajmujących się ochroną sieci chce wyłączać niepotrzebne usługi, aby zmniejszyć ryzyko związane ze zdalnym przepełnieniem bufora (remote buffer overflows) i tym podobnymi. Jednak od marca 2003 r., odnotowano tylko kilka tego typu ataków w domyślnie ustawionych usługach Microsoft. Większość przypadków przepełnienia bufora, o których się czyta, można przeprowadzać tylko zdalnie, uzyskując dostęp do wewnętrznych zasobów z zewnątrz sieci, co wymaga oszukania użytkownika końcowego poprzez skłonienie go do kliknięcia na coś.
Większość ataków zdalnego przepełnienia bufora, szczególnie tych najbardziej spektakularnych, dotknęło usług, z których albo wszyscy muszą korzystać (takie jak RPC), albo musieli uruchomić ze względu na potrzebną funkcjonalność, jak np. serwer webowy, SQL itp. Pokazały to trzy najbardziej udane ataki w historii Microsoft Windows: Blaster w RPC, Code Red na IIS i robak SQL Slammer. Warto zauważyć, że te poważne eksploity wystąpiły dawno temu i we wszystkich trzech przypadkach łatki dostawcy były dostępne czasami nawet na kilka miesięcy przed uderzeniem zdalnego eksploita.
Komentarze (5)
~@ormek: O bezpieczeństwie także wspomniałem (na 1 miejscu!). Artykuł po prostu jest słaby merytorycznie. Robi wodę z mózgu młodym adminom i managerom IT (doswiadczeni go zignorują!). Odpowiedz czy robić hardening wg mnie jest jasna [TAK]. Pytanie tylko jak głęboko, w praktyce zalezy to od: 1. Nadrzędnej polityki bezpieczeństwa. a) W dużych sieciach firewalle i topologia sieci bierze na siebie częśc zagrożeń. W takich sytuachach minimum to automat na patchowanie + usuwanie zbędnych usług. b) W małych większy ciężar nosi końcowy serwer. Niezależnie od tego firewalle często także są niedokładnie skonfigurowane (czytaj utwardzone ;-) i/lub nie posiadają aktywnej ochrony IPS . 2. Mądrosci admina. dmin bez kilkuletniej praktyki i czytający takie artykuły będzie raczej głubszy niż mądrzejszy... 3. Czasem jakim dysponuje admin. Często czas decyduje o głębokości...
Jaś: wszystko się zgadza, ale tematem artykułu jest jednak wpływ hardeningu na bezpieczeństwo, a nie wydajność systemu. Sim: choć uważam podobnie jak Ty, że wszelkie odstępstwa od normy przynoszą częściej skutki pozytywne, niżeli negatywne, to jednak jest sporo racji w tym artykule. Jeżeli wiesz co robisz to nie ma problemu. Możliwe nawet, iż wtedy większość ustawień standardowych pozostawisz bez zmian, jeżeli uznasz, że te co są, są po prostu ok. Gorzej, jeżeli wzorujesz się na wiedzy bez podstaw. Bazowanie na doświadczeniu połowicznym, bądź (o zgrozo!) przeprowadzanie pierwszych doświadczeń na "otwartym sercu" (pracujących zasobach firmowych) może (a to już wielce prawdopodobne) przynieść zgoła odmienne skutki, niż zakładało się to na początku. Własnie takie przypadki są opisywane w artykule, tzn. jeżeli policzysz prawdopodobieństwo ataku spowodowane standardowymi ustawieniami w stosunku do zaawansowania większości osób obsługujących dane procesy, to (widać tak jest) wyjdzie Ci, że lepiej zostawić tak jak jest, niż kopać sobie dołki pod nogami (dotyczy osób, które swoją wiedzę bazują jedynie na manualach "tu i teraz").
Po co utwardzać lepiej zmienić na bezpieczniejszy. Na serwerach już istnieją i się sprawdzają. tylko niektórym nie nabijają kabzy.
Dodatkowe zabezpieczenie, szczególnie nietypowe jest zawsze dobrym elementem zwiększającym bezpieczeństwo. Szczególnie jeśli nie wymaga czasu do obsługi...
>"Wielu praktyków zajmujących się ochroną sieci chce >wyłączać niepotrzebne usługi, aby zmniejszyć ryzyko >związane ze zdalnym przepełnieniem bufora" Byc może ekspert albo redaktor artukułu nie zauważył iż wyłączać niepotrzebne usługi należy także z innych powodów np: - Dziury w systemach to nie tylko StackOverflow (bezpieczeństwo)!!! - Mniejsze obciązenie systemu (wydajność) - Zmniejszamy zapotrzebowanie na zasoby ( np: RAM ) - Prostrza funkcjonalność ( łatwiejsza diagnoza działania ) Być może ekspert coś miał na mysli. Niestety z tez w artykule to chyba nie wynika.
- Prawo Moore’a zagrożone?
- Bezpieczeństwo WiFi - bezprzewodowe testy penetracyjne
- Wirtualizacja: obsługa SMB na czterech U
- Prawdziwe powody powstania Microsoft Open Technologies
- Open source: zmierzch ery GPL? Nie do końca...
- ROVER - prosty sposób na słabość BGP?
- Zaawansowane stacje Wi-Fi Ruckus Wireless
- Rozstanie z Javą nie będzie proste
- Google Drive uwypukla słabe strony publicznych chmur obliczeniowych
- Serwery "zombie" w centrum danych
Reklama
Huawei celuje w rynek biznesowy
Huawei nieustannie rozwija się jako dostawca infrastruktury dla branży telekomunikacyjnej. W tym roku chiński koncern zamierza umocnić swoją pozycję również na rynku rozwiązań Enterprise.
Polecane
Koniec Windows XP początkiem problemów?
Microsoft oficjalnie potwierdził, że za dwa lata definitywnie zakończy się era Windows XP - systemu operacyjnego,...
Spokój i luz administratora
Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...