Инструменты пользователя

Инструменты сайта


обеспечение_безопасности_linux_решений

Содержание

Обеспечение безопасности Linux решений

Программа курса

Модуль 1. Развертывание сети и сервисов предприятия

Теория

Лабораторные работы

Сценарий: 192.168.X/24 - «белая» DMZ сеть, 192.168.100+X - «серая» LAN сеть

1.1 Настройка систем Gate и Сервер

gate

  • Адаптер 3 - Виртуальный адаптер хоста (eth2)
root@gate:~# sh net_gate.sh

root@gate:~# cat /etc/network/interfaces
...
auto eth2
iface eth2 inet static
        address 192.168.100+X.1
        netmask 255.255.255.0
root@gate:~# init 6

server

root@server:~# sh net_server.sh

root@server:~# init 6
  • Подключаемся putty к server и gate к адресам 192.168.X.Y

1.2 Настройка системы Lan

# cat /etc/hosts
127.0.0.1               localhost

192.168.100+X.10 lan.corpX.un lan
# cat /etc/resolv.conf
search corpX.un
nameserver 172.16.1.254
# cat /etc/hostname
lan.corpX.un
# cat /etc/network/interfaces
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
        address 192.168.100+X.10
        netmask 255.255.255.0
        gateway 192.168.100+X.1
# init 6

1.3 Подключение сети предприятия к Internet

lan# apt update

lan# pkg update -f

lan# pkg install pkg

1.4 План размещения сервисов в сети предприятия

Сервис DNS

Уже развернут у провайдера

Сервис EMAIL

Будет развернут на системе server

Сервис DHCP

Разворачиваем на системе gate в сети LAN (можно не разворачивать, назначив клиенту 101-й адрес статически)

Файловый сервис

Будет развернут на системе lan

Сервис WWW

Сценарий: внешний корпоративный сайт на server

Модуль 2. Анализ информационных систем предприятия с точки зрения безопасности

Теория

Лабораторные работы

2.1 Сканеры безопасности систем

Сценарий: сканирование портов сервисов системы server, находим web сервер

Сценарий: определяем «вручную» нет ли уязвимости directory traversal

gate.isp.un$ curl --path-as-is http://server.corpX.un/../../../etc/passwd

gate.isp.un$ fetch -o - http://server.corpX.un/../../../etc/passwd

gate.isp.un$ telnet server.corpX.un 80
GET /../../../etc/passwd HTTP/1.1

GET /../../../etc/shadow HTTP/1.1

GET /../../../etc/master.passwd HTTP/1.1

Сценарий: автоматизированный поиск уязвимостей

2.2 Сканеры безопасности сети

Сценарий: перехват учетных данных при обновлении пользователем user1 веб информации на server по протоколу ftp

2.3 Аудит систем

Проверка стойкости паролей

Проверка целостности системы

Сценарий: находим модифицированное ПО (можно изменить код web сервера)

Проверка системы на наличие закладок

Аудит системных событий

Сценарий: фиксируем обращения к файлам базы данных учетных записей со стороны процессов с EUID=user1. Можно тестировать из shell или запустить www сервер на server с правами user1

Модуль 3. Защита систем предприятия

Теория

Лабораторные работы

3.1 Обновление систем

3.2 Управление привилегиями сервисов

Система безопасности UNIX

Сценарий: Запуск www сервера с правами пользователя user1 не позволит получить через него доступ к /etc/shadow (linux) или /etc/master.passwd (freebsd)

POSIX ACL

Сценарий: с помощью POSIX ACL запрещаем пользователю user1 читать файл /etc/passwd

3.3 Изоляция сервисов

Модули Linux LSM и FreeBSD MAC

Сценарий: ограничения, накладываемые политиками на www сервер на server не позволят получить через него доступ к любым файлам, кроме разрешенных даже в случае запуска его с правами root

Изоляция сервисов в файловой системе

Сценарий: запуск www сервера на server в chroot позволит получить через него доступ только к файлам, которые мы скопировали в chroot окружение

Изоляция сервисов в выделенном окружении

Сценарий: переносим www хостинг в контейнер

3.4 Усиление системы с помощью специальных средств

Модуль 4. Защита сервисов предприятия

Теория

Лабораторные работы

4.1 Ограничения учетных записей пользователей сервисов

Сценарий: разворачиваем на server, MTA для домена server.corpX.un, IMAP без SSL. Учетные записи почтовых пользователей не должны иметь shell, предоставляющий командную строку

4.2 Скрытие баннеров сервисов

Сценарий: заменяем банеры сервисов SMTP, IMAP, FTP, HTTP, CIFS, SSH

gate# curl -I http://www.corpX.un/

4.3 Замена устаревших сервисов

Сценарий: для хостинга на www используем SFTP вместо FTP

Сценарий: защита web сервера от DoS атак (демонстрирует преподаватель на CentOS вместе с SElinux)

4.4 Шифрование трафика

Подготовка стенда

Использование самоподписанных цифровых сертификатов

Сценарий: замена сервиса HTTP на HTTPS на server (демонстрирует преподаватель)

Использование PKI

Сценарий:

  1. развертывание корпоративного CA (на lan)
  2. замена HTTP на HTTPS (на www)
  3. замена IMAP на IMAPS (на server)
  4. в client-ах добавляем сертификат CA в корневые центры сертификации

4.5 Аутентификация и Авторизация доступа к сервису

Задание: создание пользовательских сертификатов

lan# cp user* /disk2/

lan# chown -R games /disk2

Сценарий: использование пользовательских сертификатов на server и для электронной подписи

  • Thunderbird (подделку писем удобнее показать в старой версии)

Сценарий: использование пользовательских сертификатов для доступа по https на www

Сценарий: использование пользовательских сертификатов для доступа по imaps на server

4.6 Ограничение доступа к сетевым сервисам

Статичное, с использованием специальных средств

Сценарий: разрешаем подключение к gate только из DMZ

Статичное, с использованием средств встроенных в сервис

Адаптивное, с использование специальных средств

Сценарий: препятствуем попыткам сканирования системы server

Сценарий: блокируем атаки на сервис SSH на server

4.7 Шифрование контента

Сценарий: размещаем данные пользователей на шифрованном разделе для сервера SAMBA

4.8 Специальные решения

Модуль 5. Защита сети предприятия

Теория

Лабораторные работы

5.1 Пакетные фильтры

Сценарий: защита сервиса ssh на server от bruteforce

5.2 Системы IDS и IPS

Сценарий: фиксируем атаки на server из WAN, проверять с gate.isp.un

Сценарий: блокируем атаки на server из WAN, проверять с client1, переместив его в WAN (демонстрирует преподаватель на FreeBSD)

Модуль 6. Использование VPN для соединения сетей филиалов предприятия и удаленных пользователей

Теория

Лабораторные работы

6.1 Использование сервиса SSH

SSH вместо VPN (привязка к порту клиента)

Сценарий: Отключаем на host системе VirtualBox Host-Only Network адаптер и, используя доступность LAN с server, осуществляем доступ по HTTP в систему LAN через учетную запись user1 системы server

SSH вместо VPN (привязка к порту сервера)

Сценарий: отключаем доступность LAN с server (и других систем, имеющих туда маршрут), осуществляем доступ по RDP в сеть LAN через учетную запись user1 системы server с использованием ssh соединения между lan и server

6.2 Пакет OpenVPN

Сценарий: требуется предоставить авторизованный доступ внешних пользователей к любым LAN сервисам компании, например - CIFS

lan# scp /etc/ssl/openssl.cnf gate:/etc/ssl/

lan# scp /var/www/html/ca.crt gate:

lan# scp /var/www/html/ca.crl gate:

Сценарий: требуется объединить сети филиалов

Дополнительные материалы

обеспечение_безопасности_linux_решений.txt · Последние изменения: 2019/04/17 15:57 — val