Взгляд со стороны взломщика

Только что мы рассмотрели ключевые файлы журналов UNIX и узнали, какая информация хранится в них. Помните, что основной задачей взломщика является сокрытие следов. Если такие файлы не будут изменены взломщиком после проникновения в систему, администратор получит отличную возможность засечь взлом. Таким образом, взломщику очень важно вычистить эти файлы и спрятать информацию о своих действиях. При работе с файлами в формате ASCII взломщик может напрямую обратится к файлам журналов, если он имеет доступ суперпользователя к системе. Файлы messages и secure могут изменяться или читываться только пользователем root, что усложняет задачу взломщика. Когда взломщик имеет дело с двоичными файлами, он не может напрямую обращаться к ним, однако всегда может удалить их, если его полномочий достаточно для этого. Из сказанного можно сделать вывод, что спрятать следы взлома крайне трудно. Однако, к сожалению, существуют отдельные программы, которые могут взломщику помочь "подчистить" файлы журналов. Большинство из этих программ доступны по адресу: ftp://ftp.technotronic.com/unix/log-tools. Ниже приведен список некоторых из них.

• Chusr.с — используется для удаления записей из файла utmp.

• Cloak.с —удаляет все следы присутствия пользователя в системе UNIX.

• Cloak2.c— новая версия программы cloak, которая лучше работает с файлами wtmp и utmp.

• Displant.с — чистит и удаляет все следы из файла utmp.

• Hide.с — чистит и удаляет все следы из файла utmp.

• Invisible.С — прячет все следы работы взломщика от имени пользователя root в системе.

• Lastlogin.с — удаляет все последние записи, которые касаются заданного пользо­ вателя.

• Logcloak.с — еще одна версия программы cloak.

• Logutmpeditor.с — редактирование записей в файле utmp.

• Logwedit.с — чистит и удаляет все следы из файла wtmp.

• Marry.с — удаляет записи и чистит файлы журналов.

• Remove.с —удаляет записи из файлов utmp, wtmp, и lastlog.

• Stealth.с - удаляет записи и чистит файлы utmp.

• Ucloak.c — еще одна версия программы cloak, позволяющая скрыть присутствие пользователя в системе^

• Utmp — удаляет записи из utmp по имени или номеру.

• Wtmped.с — позволяет заменить wtmp файлом, заданным вами.

• Zap.с — удаляет записи из файлов wtmp и utmp.

• Zap2.с — обновленная версия программы zap.

Как видите, существует много программ, позволяющих стереть следы присутствия взломщика из файлов журналов. Некоторые из этих программ существуют уже довольно долго и могут требовать изменений при запуске под некоторые ОС. Однако их наличие не означает поражение администратора в соревновании со взломщиком. Далее мы разберем несколько методов, которые сведут шансы взломщика получить доступ к файлам журналов к минимуму.

Защита файлов журналов в unix

Выше были описаны основные файлы журналов и действия, которые может предпринять взломщик для сокрытия следов. Теперь мы сконцентрируемся на том, что может сделать администратор для защиты файлов журналов. Помните, что если взломщику удастся изменить файлы журналов и скрыть следы своего присутствия, значит, он выиграл. Вы должны тщательно охранять свои файлы журналов, чтобы взломщик не мог изменить их. Тогда вы сможете обнаружить его, а значит, вы выиграли. Для всего, что касается безопасности, лозунг "главное не победа, а участие" не подходит. Все должно быть направлено на победу, т.е. выживание.

Для защиты ваших файлов журналов нужно выполнить ряд действий.

• Установить правильные права доступа к файлам журналов.

• Использовать отдельный сервер.

• Регулярно создавать резервные версии файлов журналов.

• Использовать одноразовые носители.

• Кодировать файлы журналов.

• Регулярно просматривать файлы журналов.

Права доступа к файлам журналов

Если взломщик не имеет прав чтения или перезаписи файла, ему будет крайне трудно удалить или изменить его. По возможности права чтения и записи должен иметь только пользователь root. В этом случае если взломщик не имеет прав суперапользователя, он вряд ли сможет изменить журналы. Если же взломщик получит права пользователя root, у вас действительно появятся большие проблемы, однако если вы выполните приведенные действия, вы сможете защититься даже в этом случае.

Использование отдельного сервера

Использование отдельного сервера для хранения файлов журналов является простым и эффективным способом защиты. Тогда если взломщик даже и проникнет в систему, он не сможет изменить файлы журнала, поскольку они находятся на другом компьютере. Для изменения файлов журнала он должен будет взломать еще одну систему, что значительно усложнит его задачу. Если вы скомбинируете этот метод с некоторыми другими из приведенных здесь, вы всегда будете иметь возможность отследить действия взломщика.

Многие компании используют прием под названием приманка. Приманка — это отдельная система, которая используется для заманивания взломщиков и наблюдения за их действиями. Такая система может также отвлечь взломщика от ключевых серверов компании. Я считаю, что любые действия, которые могут привлечь внимание взломщиков, являются опасными для компании, однако решение остается за вами.