Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Mitarbeiter an der Arbeit hindert. Einen Patch für die aktuellen SAMBA Dämonen findet
man auf http://www.reac.com/samba/samba-audit.html. Geschrieben hat diesen Andy
Bakun. LINUX erfüllt mit diesem Patch einige Punkte der C2 Zertifizierung (Auditing). In
der Praxis bedeutet dies, daß man ebenso wie unter NOVELL und NT, mit LINUX alle
File-Zugriffe auf den Server mit protokollieren kann. Hier ein Beispiel:
Sep 21 18:47:42 jupiter: uranus rollout jwall(514) sysadmin(233) jwall(192.168.1.50)
SHAREOPEN
Sep 21 18:48:01 jupiter: jupiter home jwall(514) jwall(514) jwall(192.168.1.50)
FILEDELETE file="jwall/New Text Document.txt"
Sep 21 18:49:08 jupiter: uranus rollout abakun(500) sysadmin(233)
abakun(192.168.1.20) SHAREOPEN
Sep 21 18:49:52 jupiter: jupiter - - - jwall(192.168.1.50) LOGON interactive logon
attempt for kdart
Sep 21 18:49:52 jupiter: jupiter - - - jwall(192.168.1.50) LOGONFAIL wrong password
for kdart
Sep 21 18:49:55 jupiter: jupiter - - - jwall(192.168.1.50) LOGON interactive logon
attempt for kdart
Sep 21 18:49:55 jupiter: jupiter - - - jwall(192.168.1.50) LOGON successful logon for
kdart
Sep 21 18:49:59 jupiter: jupiter - - - jwall(192.168.1.50) LOGOFF user 100(100)
Sep 21 18:51:44 jupiter: uranus rollout jwall(514) sysadmin(233) jwall(192.168.1.50)
SHARECLOSE
Sep 21 18:59:18 jupiter: uranus rollout abakun(500) sysadmin(233)
abakun(192.168.1.20) SHARECLOSE
Sep 21 20:38:55 jupiter: jupiter home abakun(500) abakun(500) abakun(192.168.1.20)
FILEDELETE file="abakun/NTprofile/Recent/Jungle Maximize.WAV.lnk"
Sicherstellung der Authentizität von Log-Dateien
In obigem Beispiel ist aufgeführt, wie man LINUX dazu bringt, Events aufzuzeichnen.
Wichtig ist es immer, daß man sich auf Logdateien verlassen kann. Sie sind die einzigen
Hinweise auf mögliche Verletzungen der Security Policy. Leider können Angreifer, die z.B.
über einen Buffer overflow in ein System eindringen, die Logdateien verändern. Hierzu
verwenden diese den I-Node-echten VI. Hierzu sollten mit Hilfe der Kernel Security
Mechanismen dafür gesorgt werden, daß einzelne Log-Dateien mit dem Flag "append
only" versehen werden, damit auch ein User mit Administrator-Rechten diese nicht mehr
verändern kann (ROOT hingegen sehr wohl noch). Diese Mechanismen werden von
einigen LINUX Derivaten (Abhandlung folgt) bereitgestellt und sind auch im Kernel 2.2 zu
großen Teilen enthalten.
Bestimmung, welche Dienste unbedingt notwendig sind
Bevor man sich an die Arbeit begibt, sollte man sich gut überlegen, welche Daten es zu
schützen gilt, und welche Dienste / Dämonen dementsprechend notwendig sind. Alle
anderen Dienste sollten unbedingt auf weitere Server ausgelagert werden.
Entfernen aller nicht benötigten Dienste
Notwendige Aufgabe ist die Entfernung dieser Programme aus dem System / Netzwerk.
Es muß sichergestellt sein, daß ein Angreifer diese keinesfalls reaktivieren kann (durch
buffer overflows, z.B.). Es muß mit Bedienungs oder Konfigurationsfehler seitens des
Systemadministrator s oder Setup-Programmes stets gerechnet werden. Das beinhaltet
die physikalische Entfernung aller nicht benötigten Dienstprogramme aus dem System.
Anschließend müssen sämtliche nachladbaren Treiber, Kernelmodule oder Dämonen
gelöscht werden. Programme, die Dämonen eigenständig starten können (inetd) sind so
zu konfigurieren, daß diese ohne Fehlermeldungen arbeiten. Darüber hinaus ist es
sinnvoll, nicht benötigte Funktionen aus dem Kernel zu entfernen. Es schränkt zwar die
Auswahl des Betriebssystems ein, ist aber unumgänglich.
Erstellt von Doc Gonzo - http://kickme.to/plugins