Pokyny na úpravu príspevku

Ladislav Hudec

http://www.lnd.sk

The world wide web (www) is a system for exchanging information over the Internet. At the most basic level, the web can be divided into two principal components: web servers, which are applications that make information available over the internet (in essence publish information) and web browsers (clients), which are used to access and display the information stored on the web servers. This paper focuses on the security issues of web servers. Unfortunately, the web server is the most targeted and attacked host on most institutions’ network. As a result, it is essential to secure web servers and the network infrastructure that supports them.

Celosvetová pavučina (world wide web – www) je v súčasnosti pre inštitúcie najdôležitejší nástroj na publikovanie informácií, interakciu s internetovskými používateľmi a na zavedenie procesov elektronického podnikania a elektronického obchodu. Pokiaľ však inštitúcia nepostupuje striktne pri konfigurovaní a prevádzkovaní svojho web servera, tento web server môže byť zraniteľný rôznymi bezpečnostnými hrozbami. Aj keď bezpečnostné hrozby v kybernetickom priestore sú väčšinou tie isté ako v reálnom priestore (defraudácia, krádež, vandalizmus a terorizmus), hrozby v kybernetickom priestore sú ďaleko nebezpečnejšie. Vyplýva to z troch dôležitých zdokonalení kybernetického priestoru: zvýšená účinnosť, aktivity na diaľku a rýchle techniky šírenia.

Kompromitovaný web server často funguje ako vstupná brána na prieniky do vnútornej sieti inštitúcie. Inštitúcia na túto situáciu môže doplatiť finančnou stratou alebo porušením zákonnej povinnosti ochrany údajov v prípade, že útočník poruší dôvernosť jej chránených údajov. Útok odmietnutia služby (DoS) môže spôsobiť obtiažne, ak vôbec možné, pripojenie používateľov k web serveru inštitúcie. Tieto útoky môžu spôsobiť inštitúcii významnú finančnú stratu prípadne stratu času. Inštitúcia sa môže niekedy po útoku ocitnúť v nepríjemnej situácii, keď v dôsledku útoku bol zmenený obsah web stránok (počmáraný web server).

Špecifické bezpečnostné hrozby web serveru môžu byť vo všeobecnosti zaradené do jednej z týchto kategorií:

• 
  Škodlivé entity môžu využívať softvérové chyby web servera, jeho operačného systému alebo aktívneho obsahu web na získanie neautorizovaného prístupu na web server. Príkladom neoprávneného prístupu je získanie prístupu k súborom alebo adresárom, ktoré neboli určené na verejný prístup alebo vykonanie privilegovaných príkazov a/alebo inštalovanie softvéru na web serveri.
  
• 
  Na web server môžu byť smerované útoky odmietnutia služieb (DoS), ktoré spôsobia nedostupnosť web servera pre oprávnených používateľov počas trvania útoku.
  
• 
  Citlivé informácie z web servera môžu byť distribuované neoprávneným osobám.
  
• 
  Nešifrované citlivé informácie môžu byť odchytené neoprávnenou osobou pri prenose medzi web serverom a web klientom (browserom).
  
• 
  Informácie uložené na web serveri môžu byť modifikované s cieľom spôsobenia škody. Známym príkladom takejto hrozby je “počmáraný web server”.
  
• 
  Prostredníctvom úspešného útoku na web server môžu škodlivé entity získať neautorizovaný prístup k zdrojom umiestneným kdekoľvek na vnútornej počítačovej sieti inštitúcie.
  
• 
  Po úspešnom útoku na web server (kompromitácia web servera) inštitúcie môžu škodlivé entity útočiť z kompromitovaného web servera na ďalšie externé inštitúcie. Takto môže škodlivá entita skryť svoju identitu a môže spôsobiť inštitúcii vlastniacej kompromitovaný web server právnu zodpovednosť za škody spôsobené útokom externým inštitúciám, pretože útoky boli vedené z jej (kompromitovaného) servera.
  
• 
  Kompromitovaný web server inštitúcie môže byť zneužitý ako distribučné centrum pre nelegálne kopírovaný softvér, nástroje útokov alebo pornografiu s prípadnou hrozbou právnej zodpovednosti za spôsobené škody alebo protiprávne konanie.
  

Nižšie sú uvedené hlavné príčiny bezpečnostných problémov verejne dostupných web serverov.

• 
  Aktíva organizácie.
  
• 
  Konfigurácie servera alebo siete, ktoré budú využité v následnom útoku.
  
• 
  Informácie týkajúce sa používateľov alebo administrátora/ov web servera vrátane ich hesiel.
  

• 
  Počmáranie web servera alebo iné porušenie jeho informačnej integrity.
  
• 
  Vykonanie neautorizovaných príkazov alebo programov na operačnom systéme, vrátane programov inštalovaných útočníkom.
  
• 
  Získanie neautorizovaného prístupu k zdrojom umiestnených kdekoľvek na počítačovej sieti inštitúcie.
  
• 
  Spustenie útokov na externé web servery z kompromitovaného web servera inštitúcie. Skrytie útočníkovej identity a prípadná zodpovednosť inštitúcie za škody spôsobené externým inštitúciám.
  
• 
  Zneužitie kompromitovaného web servera na distribúciu nelegálnych kópií softvéru, nástrojov útoku alebo pornografie s prípadnou hrozbou právnej zodpovednosti za spôsobené škody alebo protiprávne konanie.
  

Na zaistenie bezpečnosti verejne dostupného web servera je potrebné vykonať niekoľko krokov. Tieto kroky je potrebné vykonať v súlade s bezpečnostnou politikou inštitúcie. Postupnosť jednotlivých krokov je takáto:

1. 
   Inštalovanie, konfigurovanie a bezpečnostné utesnenie operačného systému počítača, na ktorom bude prevádzkovaný web server.
   
2. 
   Inštalovanie, konfigurovanie a bezpečnostné utesnenie softvéru web servera.
   
3. 
   Použitie vhodných sieťových bezpečnostných machanizmov (bezpečnostná brána, smerovač s paketovým filtrom, proxy).
   
4. 
   Udržiavanie bezpečnej konfigurácie prostredníctvom aplikovania vhodných záplat a aktualizácií, bezpečnostného testovania, monitorovania záznamov, vytvárania záloh údajov a operačného systému.
   
5. 
   Používanie, publikovanie a ochrana informácií a údajov starostlivým a systematickým spôsobom.
   
6. 
   Používanie bezpečných procesov administrácie a údržby web servera.
   
7. 
   Vykonávanie iniciálneho a periodického skanovania zraniteľností web servera a jeho sieťovej podpornej infraštruktúry (bezpečnostná brána, smerovač, prepínač).
   

Uvedené kroky napomôžu znížiť bezpečnostné riziko, ktorému je vystavený verejne dostupný web server.

Na základe dlhoročných skúseností a dobrých praktík sa bezpečnosť web servera môže kontrolovať podľa tohto zoznamu.

Na splnenie tejto úlohy je potrebné preveriť tieto aspekty web servera:

1. 
   Funkcie web servera.
   
2. 
   Kategórie informácií, ktoré budú uložené, spracovávané a posielané prostredníctvom web servera.
   
3. 
   Bezpečnostné požiadavky na informácie.
   
4. 
   Spôsob publikovania informácií na web servere.
   
5. 
   Počítačový systém, na ktorom bude prevádzkovaný web server.
   
6. 
   Sieťové služby, ktoré budú poskytované a podporované web serverom.
   
7. 
   Používatelia a kategórií používateľov web servera a stanovenie privilégií každej kategórie používateľov.
   
8. 
   Metódy autentifikácie používateľa web servera.
   

Na splnenie tejto úlohy je potrebné preveriť tieto aspekty operačného systému počítača, na ktorom bude prevádzkovaný web server:

1. 
   Minimálny počet slabín.
   
2. 
   Schopnosť striktného obmedzenie administrátorských a rootovských aktivít iba pre autorizovaných používateľov.
   
3. 
   Schopnosť odmietnutia prístupu k informáciám na serveri iným než tým, ktorým je zamýšľané informácie sprístupniť.
   
4. 
   Schopnosť zablokovať nepotrebné sieťové služby, ktoré môžu byť vstavané do operačného systému alebo softvéru servera.
   
5. 
   Schopnosť riadenia prístupu k rôznym formám vykonateľných programov ako sú CGI (Computer Gateway Interface) skripty a pluginy servera v prípade web serverov.
   
6. 
   Dostupnosť vyškoleného personálu na inštaláciu, konfigurovanie, bezpečnostné utesnenie a obsluhu operačného systému.
   

Na splnenie tejto úlohy je potrebné preveriť tieto aspekty prevádzky operačného systému a aplikácií:

1. 
   Sledovanie a inštalovanie všetkých potrebných záplat a aktualizácií operačného systému.
   
2. 
   Sledovanie a inštalovanie všetkých potrebných záplat a aktualizácií aplikácií a služieb vrátane služieb operačného systému.
   

Na splnenie tejto úlohy je potrebné preveriť tieto aspekty prevádzky operačného systému a aplikácií:

1. 
   Blokovanie alebo odstránenie nepotrebné služby alebo aplikácie.
   

Na splnenie tejto úlohy je potrebné preveriť tieto aspekty prevádzky operačného systému:

1. 
   Odstránenie alebo blokovanie nepotrebných prednastavených kont alebo skupín.
   
2. 
   Blokovanie neinteraktívnych kont.
   
3. 
   Vytvorenie používateľských skupín pre konkrétny počítačový systém.
   
4. 
   Vytvorenie používateľských kont pre konkrétny počítačový systém.
   
5. 
   Preskúmanie politiky tvorby hesiel inštitúcie a nastavenie hesiel kont primerane tejto politike (napríklad dĺžka a zložitosť hesla).
   
6. 
   Konfigurovanie počítačového systému tak, aby odmietol pripojiť používateľa po istom počte neúspešných pokusov.
   
7. 
   Inštalovanie a konfigurovanie ďalších bezpečnostných mechanizmov na posilnenie autentifikácie (napríklad dodatočné autentifikovanie pomocou grid karty, jednorázové heslá pomocou autentifikačného tokenu).
   

Na splnenie tejto úlohy je potrebné preveriť tieto aspekty prevádzky operačného systému:

1. 
   Testovanie operačného systému po iniciálnej inštalácii s cieľom zistenia jeho slabín.
   
2. 
   Časté testovanie operačného systému s cieľom zistenia jeho nových slabín.
   

Okrem všeobecného kontrolného zoznamu, ktorý je uvedený vyššie, sa odporúča pri návrhu a prevádzke bezpečného web servera preskúmať ďalšie oblasti a v nich sa podrobnejšie venovať špecifikovaným postupom a vlastnostiam takto:

• 
  Bezpečné inštalovanie web servera
  
• 
  Konfigurovanie riadenia prístupu v operačnom systéme počítača, ktorý bude prevádzkovať web server
  
• 
  Konfigurovanie bezpečných adresárov s obsahom web
  
• 
  Použitie kontrolórov integrity súborov
  

Oblasť zabezpečenia obsahu web

• 
  Zaistenie, že na web serveri alebo prostredníctvom neho nie sú dostupné chránené informácie (informácie, ktoré nie je možné zverejniť podľa zákona alebo vnútorných predpisov inštitúcie)
  
• 
  Zriadenie formálnej politiky inštitúcie a smernice na schválenie obsahu verejného web
  
• 
  Stanovisko k privátnosti používateľov web
  
• 
  Stanovisko k bezpečnosti aktívneho obsahu na strane klienta
  
• 
  Stanovisko k bezpečnosti aktívneho obsahu na strane servera
  

Oblasť používania autentifikácie web a šifrovacích technológií

• 
  Autentifikácia web a šifrovacie technológie
  
• 
  Konfigurovanie SSL/TLS
  

Oblasť používania sieťovej infraštruktúry na zabezpečenie web serverov

• 
  Umiestnenie siete
  
• 
  Konfigurovanie bezpečnostných brán
  
• 
  Nástroje IDS
  
• 
  Konfigurovanie prepínačov
  

Oblasť bezpečnej administrácie web servera

• 
  Záznamy
  
• 
  Zálohy web servera
  
• 
  Zotavenie po kompromitácii
  
• 
  Testovanie bezpečnosti
  
• 
  Vzdialené administrovanie a aktualizácia obsahu
  

Oblasť bezpečnostného utesnenia Apache

• 
  Inštalovanie a bezpečnostné utesnenie operačného systému počítača
  
• 
  Inštalovanie softvéru Apache web server
  
• 
  Nastavenie oprávnení pre adresáre a súbory web servera
  
• 
  Odstránenie všetkých nepotrebných skriptov, vykonateľných modulov a služieb
  
• 
  Iniciálna konfigurácia
  
• 
  Udržiavanie bezpečnej konfigurácii Apache
  

V príspevku sú opísané základné bezpečnostné problémy verejných web serverov. Podrobnejšie sú opísané bezpečnostné hrozby, ich príčiny a kroky na zaistenie bezpečnosti. Na ilustráciu komplexnosti problému sú opísané oblasti kontrolných zoznamov a kontrolný zoznam pre bezpečný web server je opísaný podrobnejšie.

1. 
   WACK, J. et al: Guideline on Network Security Testing. NIST Special Publication 800-42, February 2002
   
2. 
   SAMBRAY, J., WOND, D., SHEMA, M.: Hacking Exposed Web Applications. Osborne McGraw-Hill, 2002
   
3. 
   STEIN, L. D.: Web Security: A Step-by Step Reference Guide. Addison-Wesley Publications Co., 1998
   
4. 
   GARFINKEL, S., SPAFFORD, G.: Web Security, Privacy and Commerce (Second Edition). O’Reilly and Associates, 2002.