[ Pobierz całość w formacie PDF ]
cyjnych działania administratorów obejmują także obowiązek przeglądania tych zda-
rzeń w poszukiwaniu działań, które w jakiś sposób naruszają zasady bezpieczeństwa.
Kiedy już ta konieczność zostaÅ‚a okreÅ›lona, wróćmy na chwil¹ do rzeczywistoÅ›ci.
Niemal niemożliwe jest r¹ czne przeglÄ…danie tak wielkiej iloÅ›ci danych. Po pierwsze
dlatego, że zapisy zdarzeń są strasznie nudne i monotonne, a po drugie dlatego, że
wszystkie urządzenia sieciowe mogą dostarczyć ogromną ilość informacji tak wiel-
kÄ…, że niemożliwÄ… do ogarni¹ cia i przeczytania przez zwykÅ‚ego czÅ‚owieka (szczególnie
jeÅ›li mamy do czynienia z oÅ›rodkiem o dużym nat¹ żeniu ruchu). Czy jest na to rada?
Istnieje oczywiście specjalne oprogramowanie, którego głównym zadaniem jest po-
szukiwanie przypadków, które mogą oznaczać naruszenie zasad bezpieczeństwa. Aplika-
cje zwracajÄ… uwag¹ na przykÅ‚ad na kilkukrotne nieudane próby logowania si¹ do sys-
temu (może to oznaczać próby odgadywania hasła) lub połączenia sekwencyjne, tj.
dokonywane z pewnÄ… staÅ‚Ä… cz¹ stotliwoÅ›ciÄ…, co może oznaczać, że ktoÅ› dokonuje tzw.
omiatania systemu (ang. sweeping), próbujÄ…c ustalić jego topologi¹ .
Z pewnoÅ›ciÄ… zauważyÅ‚eÅ›, że ważne jest zachowanie równowagi pomi¹ dzy pożądanÄ…
ilością informacji o użytkownikach zalogowanych, wielkością danych, które chcesz
Rozdział 2. f& Tworzenie bezpiecznej infrastruktury sieciowej 53
przechowywać, i niezb¹ dnÄ… wydajnoÅ›ciÄ… pracy systemu. Zbieranie informacji o użyt-
kownikach zabiera cykle pracy procesora (czy jednostki centralnej w systemach wie-
loprocesorowych) i wpÅ‚ywa na czas dost¹ pu do dysku. Z tego też powodu aplikacje
bazujące na serwerach zwykle zbierają minimalną ilość tego typu informacji. Inny
sprz¹ t sieciowy taki jak rutery i przeÅ‚Ä…czniki wymagajÄ… specjalnego urzÄ…dzenia zbie-
rającego dane pochodzące z ich dzienników (np. serwer syslog), gdzie wysyłane są
dane o użytkownikach logujÄ…cych si¹ do sieci.
Ponieważ obecność takiego serwera nie jest niezb¹ dna do pracy pozostaÅ‚ych urzÄ…dzeÅ„
sieciowych, wiele firm nigdy ich nie instaluje. Dla tych, którzy si¹ zdecydowali na
umieszczenie go w sieci, połączone informacje dotyczące logowania mogą być zbyt
obszerne i troch¹ tajemnicze. Zapora sieciowa, którÄ… skonfigurowano tak, by zapisy-
wała za dużo informacji dotyczących zalogowanych użytkowników, może stracić na
wydajnoÅ›ci do tego stopnia, że nie poradzi sobie z ruchem o Å›rednim nat¹ żeniu. Wy-
magania dotyczące konieczności zapisu informacji o użytkownikach zależą od usta-
leÅ„, które znalazÅ‚y si¹ w zdefiniowanej polityce bezpieczeÅ„stwa ustalonej w danej
firmie. Jeżeli w polityce znajdÄ… si¹ stwierdzenia mówiÄ…ce o koniecznoÅ›ci zapisu in-
formacji o wszystkich zewn¹ trznych i wewn¹ trznych poÅ‚Ä…czeniach i przechowywaniu
tych danych przez 6 miesi¹ cy, to takich zaÅ‚ożeÅ„ b¹ dziesz musiaÅ‚ si¹ trzymać i starać
si¹ je wypeÅ‚nić. Takie zaÅ‚ożenia b¹ dÄ… oczywiÅ›cie niosÅ‚y ze sobÄ… specjalne wymagania
co do wyboru sprz¹ tu i jego oprogramowania podczas fazy planowania struktury sieci
i mogą być usprawiedliwieniem dla zakupu jakiegoś niezwykle wydajnego analizato-
ra skÅ‚adniowego, który zajmowaÅ‚ si¹ b¹ dzie tylko dziennikami zdarzeÅ„ systemowych.
Jeżeli b¹ dÄ… tego wymagaÅ‚y zaÅ‚ożenia polityki, być może trzeba b¹ dzie dokonać spe-
cjalnych analiz możliwości i wydajności systemów raportowania.
Za podstawowÄ… zasad¹ uznaje si¹ konieczność tworzenia raportów dotyczÄ…cych zda-
rzeń takich, jak odmowa połączenia, nieudane logowania i próby nieautoryzowanego
dost¹ pu do plików. UdanÄ… penetracj¹ sieci zawsze poprzedza kilka nieudanych prób
i to one mogą wskazać napastnika.
Systemy wykrywania włamań (IDS)
Przeglądanie dzienników zdarzeń systemowych jest przydatne, ale ma swoje wady.
Przede wszystkim przeglÄ…d dotyczy zdarzeÅ„, które już si¹ dokonaÅ‚y wi¹ c o przy-
padku jakiegoÅ› nadużycia w twojej sieci dowiesz si¹ już po fakcie. Po drugie, na proces
analizy dzienników zużywa si¹ cz¹ Å›ci mocy obliczeniowej, na której strat¹ czasami
nie możesz sobie pozwolić. I wreszcie po trzecie, w sieci znajduje si¹ tak wiele urzÄ…-
dzeń, że przeglądanie dziennika każdego z nich nie zawsze jest wykonalne, a w nie-
których przypadkach niemożliwe jest wykorzystanie analizatora składniowego auto-
matycznie dokonującego analizy (gdyż takiego po prostu nie ma). Pierwszy powód
[ Pobierz całość w formacie PDF ]