Искусство вторжения

Для одиночного разработчика (в отличие от группы разработчиков, где целый ряд людей должен иметь доступ к разрабатываемому коду) наиболее приемлемо шифрование самой ценной информации, такой как коды программы, при помощи программ PGP Disk или PGP Corporate Disk. Эти программы создают виртуальные зашифрованные диски и функционируют понятным для пользователя образом.

ЗАЩИТА АРХИВИРОВАННЫХ ФАЙЛОВ

Как стало ясно из рассказанных историй, сотрудники — даже те из них, кто серьезно думает о безопасности — часто упускают из виду необходимость обеспечения безопасности архивов, включая архивы электронной почты, от доступа посторонних людей. В процессе моей хакерской карьеры я не раз замечал, что многие системные администраторы оставляют сжатые архивы или директории важной информации незащищенными. Работая в ИТ-департаменте крупной больницы, я видел, что все защищенные базы данных архивируются обычным образом и хранятся потом безо всякой з а щ и т ы так, что любой сотрудник может получить к ним доступ.

Роберт использовал еще один аспект этого распространенного упущения, когда он обнаружил копии кодов программы коммерческого приложения в директории общего доступа на Интернет-сервере.

ЗАЩИТА ОТ АТАК MS SQL INJECTION

Роберт сознательно удалил все проверки входных команд из Интернет-приложений, которые должны были предотвращать атаки SQL-injection. Следующие шаги могут защитить вашу компанию от атаки, которую использовал Роберт:

• никогда не запускайте сервер Microsoft SQL в контексте работы системы — старайтесь запускать его иным способом;

• разрабатывая программы, создавайте коды так, чтобы не генерировать динамические SQL-запросы;

• используйте процедуры хранения, чтобы выполнять SQL-запро-сы, создайте аккаунт только для выполнения таких сохраненных процедур и определите систему защиты от проникновения в этот аккаунт.

ИСПОЛЬЗОВАНИЕ СЕРВИСОВ MICROSOFT VPN

В качестве средства авторизации Microsoft V P N применяет авторизацию Windows, что позволяет атакующему использовать недостаточно защищенные пароли для проникновения в VPN. В некоторых ситуациях можно потребовать для доступа к V P N авторизации при помощи смарт-карт. Иногда имеет смысл контролировать доступ к V P N при помощи проверки IP-адресов клиентов.

В атаке Роберта системный администратор должен был контролировать VPN-сервер на появление новых пользователей в группе VPN. Другие меры тоже очевидны, это: удаление «спящих» аккаунтов из системы (как уже не раз было отмечено), гарантированное удаление всех уволенных сотрудников, и ограничение времени доступа рабочими днями и рабочими часами.

УДАЛЕНИЕ УСТАНОВОЧНЫХ ФАЙЛОВ

Роберт смог получить список рассылки, который был ему интересен, не проникая в приложение для рассылки, а используя лазейку в изначальной установке приложения. После того, как приложение успешно установлено, установочные тексты должны быть удалены.

ПЕРЕИМЕНОВАНИЕ АККАУНТА АДМИНИСТРАТОРА

Любой человек, у кого есть доступ к Интернету, может запросить Google на предмет «листа паролей», чтобы найти сайты, где перечислены все начальные пароли, которые производители устанавливают на свои устройства. Именно поэтому надо по мере возможности переименовывать директории администратора и внешнего пользователя. Однако это не имеет смысла, когда имя аккаунта и пароль сохраняются где-нибудь в открытой форме, как это было в случае с атакой Эрика.

УЖЕСТОЧЕНИЕ УСТАНОВОК WINDOWS, ЧТОБЫ ПРЕДОТВРАТИТЬ СОХРАНЕНИЕ ОПРЕДЕЛЕННЫХ ДАННЫХ

Изначально установленная конфигурация Windows автоматически перемешивает «нарезку» паролей и сохраняет в виде текста те пароли, которые используются для входа в сеть через diap-up. После получения достаточных привилегий атакующий будет пытаться извлечь максимум информации, включая любые пароли, которые хранятся в регистре или других областях системы.

Сотрудник, пользующийся доверием своих коллег, может в принципе проникнуть в любое место домена, приложив минимальные усилия социальной инженерии, если его рабочая станция запоминает пароли. Один рассерженный сотрудник призвал к себе службу технической поддержки, жалуясь, что не может войти в свою рабочую станцию. Он потребовал от техников немедленно прийти к нему на помощь. Техник пришел, вошел в систему, используя свои привилегии. и устранил «проблему». Вскоре после этого упомянутый сотрудник извлек из директории техника все зашифрованные пароли и взломал их, получив такие же права в доступе к домену, как имел техник.

Такие программы, как Internet Explorer и Outlook хранят пароли в регистре. Чтобы узнать больше об отключении этих возможностей, используйте поиск Google по словам «disable password caching».

ГЛУБОКАЯ ЗАЩИТА