Методы и средства защиты компьютерной информации (стр. 15 )

Подсистема аудита в операционных системах семейства UNIX позволяет эффективно отслеживать действия пользователей в системе. В большинстве операционных систем семейства Unix используется централизованная система регистрации системных сообщений Syslog. Данная система позволяет администратору вести полный контроль за сообщениями как самой системы и системных процессов, так и прикладных процессов. Она обладает очень большой гибкостью и позволяет сортировать сообщения как по источникам, так и по степени важности и направлять их в различные пункты назначения: в журнальные файлы, на терминалы пользователей и даже на другие машины в сети. Таким образом, администратор может организовать централизованную процедуру регистрации системных сообщений во всей сети.

Система Syslog состоит из трех компонентов:

- демона syslogd, который осуществляет регистрацию событий;

- библиотечных функций openlog(),syslog(),closelog(), которые передают сообщения демону syslogd;

- команды logger, которая принимает сообщения от интерпретатора команд.

Демон syslogd запускается во время начальной загрузки системы и работает непрерывно. Процессы и демоны взаимодействуют с этим демоном через библиотечные функции syslog, openlog, closelog, которые описаны в /usr/include/sys/syslog.h. Файл /etc/syslog.conf является конфигурационным файлом демона syslogd. Для того что бы демон перечитал файл конфигурации, ему необходимо послать сигнал HUP.

Сам файл конфигурации состоит из строк вида

селектор <Tab> действие

Пустые строки и строки, начинающиеся с символа ‘#’, игнорируются. Допускается наличие нескольких символов табуляции между селектором и действием, однако использование пробелов в качестве разделителей не допускается. Это может приводить к скрытым ошибкам при использовании различных редакторов, поэтому администратор должен быть очень внимательным при редактировании данного файла.

Формат селектора следующий:

средство. уровень

где средство указывает источник сообщений, а уровень определяет уровень серьезности сообщения. И имена средств, и уровни имеют стандартный набор значений, администратор не может использовать произвольные значения для них. Допускается также использование символов ‘*’ и none в качестве значений средства и уровня. Эти символы обозначают «все» и «ничего» соответственно. Допускается указание нескольких селекторов, разделенных символом ';' или ',' в одной строке. Например

средство1.уровень1;средство2.*;*.уровень3 <Tab> действие

В этом случае селекторы объединяются по схеме «ИЛИ», т. е. действие будет выполнено для сообщения, соответствующего любому из селекторов. Базовый набор средств и уровней приведен в таблицах 6.1 и 6.2 соответственно [13].

Таблица 6.1

Средства системы syslog.

Средство	Программы и сообщения, которые его используют
Kern	Ядро системы
User	Пользовательские процессы (по умолчанию, если не указано иное )
Mail	Система sendmail и другие почтовые программы
Daemon	Системные демоны
Auth	Команды, связанные с безопасностью и авторизацией
Lpr	Система буферизации печати
News	Система телеконференций usenet
Cron	Демон cron
Mark	Метки времени, генерируемые через определенные промежутки времени

Таблица 6.2

Уровни серьезности системы syslog

Уровень	Значение
Emerg	Экстренные ситуации
Alert	Срочные ситуации
Crit	Критические состояния
Err	Ошибочные состояния
Warning	Предупреждающие сообщения
Notice	Необычные события, заслуживающие внимания
Info	Информационные сообщения
Debug	Отладочные сообщения

Уровень сообщения определяет его важность. В таблице 6.2 уровни приведены в порядке убывания важности. По умолчанию в файле syslog.conf указывается минимальная важность, которую должно иметь сообщение, чтобы быть зарегистрированным. Другими словами, если указано

mail. warning <tab> действие1

то «действие1» будет выполнено для всех сообщений от почтовой подсистемы с уровнями warning, а также с уровнями err,crit,alert и emerg. В BSD системах допускается также дополнительные возможности указания уровня. Например, mail.>=warning – аналогично использованию mail.warning; mail.=warning – для регистрации сообщений только уровня warning; mail.<=warning - для регистрации сообщений уровня warning и ниже; mail.<warning - для регистрации сообщений ниже уровня warning; mail.>warning - для регистрации сообщений выше уровня warning.

Действие определяет, что нужно делать с сообщением. Возможны следующие варианты: имя_файла – записать сообщение в указанный файл (необходимо использовать абсолютный путь к файлу); @имя_машины – переслать сообщение демону syslogd на машину с указанным именем; @ip_адрес – переслать сообщение демону syslogd на машину с указанным IP адресом; пользователь1, пользователь2 – вывести сообщение на терминалы указанных пользователей; * - вывести сообщение на терминалы всех пользователей.

По умолчанию демон syslogd работает на 514 UDP порту, можно использовать флаг ss при запуске демона, для запрета работы по сети. Кроме того, в BSD системах допускается регистрация сообщений от прикладных процессов, которые не соответствуют ни одному стандартному средству. Для этого используется следующий синтаксис.

!myprog

*.error /var/log/myprog_error. log

*.* /var/log/myprog. log

В этом случае после строчки !myprog в качестве средства подразумевается процесс myprog, вплоть до следующей строчки со знаком ‘!’.

Следует также особо отметить, что демон syslogd не создает файлы, указанные в поле «действие», и для его корректной работы файлы должны уже существовать. Для создания файлов можно использовать команду touch или использовать специальную утилиту newsyslog, которая будет рассмотрена далее. Администратор должен быть особенно осторожным при задании прав доступа для журнальных файлов, поскольку в этих файлах может оказаться некоторая важная информация и даже в некоторых случаях пароли пользователей.

В процессе работы системы объем журнальных файлов может значительно увеличиться. Работать с большими файлами не очень удобно, кроме того, если не предпринимать никаких действий, эти файлы могут заполнить все свободное пространство на жестком диске. Кроме того, администратору вряд ли будет полезна информация с очень большим сроком давности. Поэтому периодически необходимо архивировать старые журнальные файлы. В большинстве систем для этого применяется утилита newsyslog. Данная утилита использует принцип ротации журнальных файлов. Это означает, что хранится несколько заархивированных версий файлов, и при необходимости текущий журнальный файл архивируется, все версии переименовываются, а самая старая версия удаляется. По умолчанию утилита newsyslog запускается демоном cron каждый час и проверяет необходимость архивации тех или иных файлов. Файл /etc/newsyslog.conf является файлом конфигурации этой утилиты. Использование утилиты newsyslog позволяет администратору очень гибко и эффективно настроить процедуру архивации журнальных файлов. Кроме того, утилита newsyslog после архивации файла создает пустой файл с указанными правами доступа, что облегчает использование системы syslog.

Файл newsyslog.conf состоит из текстовых строк, содержащих следующие поля: logfilename – имя журнального файла, owner.group – имя пользователя и группа, которые будут использованы в качестве владельцев для нового журнального файла; mode – режим доступа для нового журнального файла; count – количество архивных копий файла, которые необходимо хранить; size – выполнять архивацию и ротацию журнального файла, заданного в поле logfilename, если его размер превысил указанное количество килобайт; time - выполнять архивацию и ротацию журнального файла, если с момента последней архивации прошло указанное количество часов; ZB – поле флагов, если присутствует флаг Z, то файлы должны архивироваться при ротации, если присутствует флаг B, то файл считается двоичным и newsyslog не будет добавлять в этот файл никакой своей информации (по умолчанию newsyslog добавляет в новый созданный файл текстовую строку); в последних двух полях задается файл, в котором хранится идентификатор процесса и номер сигнала. Если эти поля не пустые, то после создания нового файла указанный сигнал будет послан указанному процессу. Таким образом процесс будет проинформирован о замене журнального файла. Обычно заполняется либо поле size, либо поле time, символ '*’ в этих полях обозначают любое значение. Если заполнены оба поля, то архивация будет произведена при выполнении хотя бы одного из двух условий.

Таким образом, можно сделать вывод, что в операционных системах семейства Unix система аудита реализована очень эффективно и позволяет администратору организовать централизованную политику учета сообщений для всей сети с возможностью своевременного архивирования журнальных файлов.

6.3. Вывод

Современные операционные системы располагают встроенными средствами обеспечения безопасности, которые позволяют обеспечить эффективные аутентификацию, авторизацию и аудит действий пользователей. Эти средства могут стать основой реализации политики безопасности. Однако, одних только встроенных средств операционных систем недостаточно для решения всех вопросов защиты, их необходимо дополнить специализированным программным обеспечением (антивирусное ПО, межсетевые экраны и т. п.).

Список литературы

1. Анин компьютерной информации. – СПб.: "BHV-Санкт-Петербург" - 2000, 384 стр

2. Баричев без секретов. –М.: Наука, 1998. –120 с.

3. Галатенко безопасность. –М.: Финансы и статистика, 1997. –158 с.

4. Герасименко информации в автоматизированных системах обработки данных кн. 1.-М.: Энергоатомиздат, 1994.-400с.

5. Гостехкомиссия России. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. Москва, 1992.

6. , Беляев безопасность предприятия.-СПб.: БХВ-Петербург, 200с.:ил.

7. , , Погожин в защиту информации в автоматизированных системах. - М.: Горячая линия - Телеком, 2001.- 48с.:ил.

8. Практическое применение межсетевых экранов: Пер. с англ.-М.: ДМК Пресс, 200с.:ил.

9. Сетевые операционные системы/ , . – СПб.: Питер, 2002. – 544с.: ил.

10. , Степанюк от компьютерного терроризма. Справочное пособие. - СПб.: БХВ - Петербург, Арлит, 200с.:ил.

11. Чмора прикладная криптография. 2-е изд. - М.:Гелиос АРВ, 2002.-256с.:ил.

12. Прикладная криптография.- М. : Триумф, 2002. – 816с.

13. Эви Немет, Гарт Снайдер, Скотт Сибасс, Хейн. Unix, руководство системного администратора./Пер с англ. – СПб.: Питер: K.Издательская группа BHV,2002. – 928 c.: ил.

Дмитрий Николаевич Лясин

Сергей Геннадьевич Саньков

МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ.

Учебное пособие

Редактор

План заказных изданий 2005г. поз. N6 (магнитоноситель)

Лицензия ИД N04790 от 18.05.01

Подписано в печать _________ . Формат 60 х 84

Бумага газетная. Печать офсетная. Усл. печ. л. ____ .

Уч. -изд. л. ___ . Тираж _____ . Заказ _____ .

Волгоградский государственный технический университет.

400131 Волгоград, пр. Ленина, 28.

РПК "Политехник" Волгоградского государственного технического

университета.

400131 Волгоград, ул. Советская, 35.