Обеспечение безопасности среды Novell NetWare 5

Много лет NetWare фирмы Novell пользовалась репутацией одной из самых надежных операционных систем из имеющихся на рынке. Пока другие выпускали сетевые ОС, для обеспечения, безопасности которых администратор должен обладать талантом настоящего волшебника, Novell всегда придерживалась той точки зрения, что сетевая операционная система надежной и безопасной должна быть изначально, а права доступа к системным ресурсам нужно предоставлять только по мере необходимости. Но является ли NetWare той самой "нирваной", о которой мы все мечтаем? В Novell хотят, чтобы мы так думали, однако для обеспечения безопасности среды NetWare приходится проделывать гораздо больше работы, чем многие могут себе представить.

В этой статье мы рассмотрим, как можно обезопасить среду NetWare. Обратите внимание на то, что мы остановимся только на ОС NetWare 5.х - прочие продукты фирмы Novell, такие, как BorderManager и GroupWise, имеют свои особенности и тоже нуждаются в принятии тех или иных мер по обеспечению безопасности перед их использованием.

Безопасность файлов и объектов NDS

Несмотря на то, что каждая конкретная реализация NDS обладает своими особенностями, администратор должен разбираться в правилах безопасности, применимых ко всем объектам NDS. Уяснив наши рекомендации и освоив несколько практических методов, он должен уметь обеспечить безопасность NDS, по крайней мере, в отношении объектов. Ниже приведены некоторые рекомендации по обеспечению такой безопасности объектов дерева NDS.

По умолчанию объекту Admin предоставлен полный доступ ко всем объектам дерева NDS, поэтому он всегда будет "лакомым куском" для атакующих. Чрезвычайно важно предпринять особые меры предосторожности по отношению к нему. В разных случаях предпринимаемые меры могут различаться, тем не менее существует несколько общих приемов:

Переименуйте объект Admin в соответствии со стандартным соглашением об именовании и поместите его в обычный пользовательский контейнер.

Предоставьте администраторам полномочия, достаточные для выполнения их задач, - и не более.

Используйте переименованную учетную запись администратора только в тех случаях, когда это абсолютно необходимо.

Создайте новый объект с именем Admin, заблокируйте его и ведите аудит данного объекта, регулярно проверяя журнал безопасности.

Все вышесказанное может показаться вам очевидным, но вы удивитесь, узнав, как редко эти рекомендации применяются на практике.

Убедитесь в том, что учетная запись guest удалена - она всегда является объектом для атаки. Обратите внимание на полномочия, наследуемые объектами. Если не используются фильтры наследуемых полномочий (Inheritance Rights Filters - IRF), последние передаются сверху вниз по дереву NDS и права доступа, предоставленные на одном уровне, могут действовать и там, где это не было предусмотрено. В особо запутанных случаях администратор всегда может просмотреть полномочия конкретного объекта, а затем блокировать нежелательные права посредством IRF или установкой явных ограничений. По умолчанию доступ к регистрационному справочнику с правом чтения разрешен всем пользователям, даже тем, кто не зарегистрирован в системе.

Используя предоставленные объекту Public по умолчанию права на просмотр дерева NDS и утилиту CX, атакующий вполне сумеет просканировать атрибуты структуры дерева, что в дальнейшем может быть использовано для получения более полного доступа к системе. ............