|
N
|
UNIX-системы
|
Windows NT-системы
|
|
1.
|
Прочитайте, наконец, руководство по администрированию вашей системы, и вы наверняка найдете там полезные советы, которыми захотите воспользоваться.
|
|
2.
|
Поставьте последнюю версию ядра вашей ОС и наиболее часто используемых демонов (sendmail, ftpd, httpd).
|
В обязательном порядке поставьте последние пакеты обновления не только к ОС, но и к используемым серверам (IIS, Exchange), а также новые заплатки (hot fix).
|
|
3.
|
Запустите программу автоматизированного контроля вашего хоста типа Internet Scanner (см. далее в этой главе). Вполне вероятно, что они посоветуют вам много из того, что предлагается ниже.
|
|
|
Запустите утилиту C2Config из Windows NT Resource Kit 4.0. Приведите в соответствие с С2 то, что вы считаете необходимым, кроме пунктов Halt on Audit Failure и Networking. Не следует слишком полагаться на эту утилиту, но и вреда от нее не будет.
|
|
4.
|
Проверьте настройки вашего NFS сервиса, а также содержимое файлов /etc/hosts.equiv и .rhosts (или подобных) для каждого пользователя. Файлы .rhosts хорошо бы вообще запретить. У NFS не должно быть экспорта любых каталогов для everyone, а необходимость включения каждого доверенного хоста должна быть еще раз проверена.
|
Убедитесь в том, что пользователь Guest заблокирован, и что на компьютере нет разделяемых ресурсов без пароля. Удалите все разделяемые ресурсы по умолчанию (С$, ADMIN$ и т. п.). Выключите (настройками в реестре) передачу открытого пароля и LM-хэша, а также ограничьте права анонимного пользователя.
|
|
5.
|
Загляните на серверы CERT или CIAC (см. адреса в приложении) и внимательно прочитайте их бюллетени за последнее время, относящиеся к вашей ОС. Установите все рекомендуемые заплатки и сконфигурируйте систему так, как предлагается.
|
|
6.
|
Правильно настройте (или установите) ваш межсетевой экран. Из этого не следует, что вы должны запретить все и всем, сделайте это лишь для неиспользуемых портов и протоколов. В частности, если вам не нужен NetBIOS по IP, то можно вообще закрыть 139-й порт. Поставьте монитор всех входящих соединений (типа tcp_wrapper). Поставьте сетевой монитор безопасности, например RealSecure (см. далее в этой главе).
|
|
7.
|
Попробуйте представить себя хакером и запустите последний взломщик паролей. Здесь у вас большое преимущество перед хакерами - вам слишком просто получить хэшированные пароли. С теми пользователями, пароли которых были вскрыты автоматически, надо усилить разъяснительную работу. Установите правила периодической смены паролей.
|
|
8.
|
Не забудьте затенить ваш файл паролей.
|
Установите Passfilt.dll из Service Pack 3. Можно также применить утилиту SYSKEY оттуда же.
|
|
9.
|
Проверьте настройки ваших основных Internet служб (http, ftp). Помните, что они - самый лакомый кусок для кракера. Максимально используйте анонимный доступ, чтобы предотвратить передачу паролей по сети в открытом виде. При необходимости разграничения доступа используйте стойкие протоколы типа SSL.
|
|
10.
|
У остальных сетевых служб также по возможности используйте аутентификацию, не включающую передачу пароля открытым текстом.
|
|
Проверьте настройки служб, использующих доверие (типа NIS или X Window). Откажитесь от них или установите дополнительную защиту типа Kerberos или Secure RPC.
|
|
|
11.
|
Попросите разрешения у администраторов всех доверенных хостов, найденных вами на шаге 4, просканировать их хосты на предмет безопасности. Для этого можно воспользоваться Internet Scanner или SATAN, но в последнем случае вам нужно смотреть в первую очередь не на найденные им уязвимости (они вряд ли уже актуальны), а на список использованных сервисов и программ демонов, их поддерживающих. Это можно сделать, вручную проанализировав файл с результатами работы SATAN. Если вы найдете там уязвимую программу, попросите соседнего администратора обновить ее. Если он не зря занимает свое место, то с благодарностью это выполнит.
|
Проведите аналогичное тестирование компьютеров доверенного домена. И в собственном домене, и в доверенном откажитесь от использования любых OC фирмы Microsoft, кроме Windows NT, т.к. машина с Windows 95/98 - первая мишень для кракеров.
|
