Sieci > Bezpieczeństwo > Ściany ogniowe > Hosty bastionowe
Rodzaje hostów bastionowych Tworzenie hosta bastionowego
Hosty bastionowe są bardzo ważnymi i często stosowanymi elementami firewalli. Są to wyjątkowo dobrze zabezpieczone systemy komputerowe, które widoczne są w Internecie. Z tego względu to właśnie one są celem ataków i to dlatego na nich powinny skupić się działania defensywne. Ideę hostów bastionowych najlepiej oddają słowa Marcusa Ranuma, który sprawił, że termin ten stał się popularny w środowisku związanym z firewallami [23]:
Każdy host bastionowy powinien być jak najprostszy. Dzięki temu jest on łatwiejszy do zabezpieczenia. Należy również pamiętać o tym, aby host bastionowy nie robił więcej niż jest to niezbędne. Ma on udostępniać tylko wybrany zbiór usług z minimalnymi potrzebnymi przywilejami. Zawsze należy brać pod uwagę sytuację, w której host bastionowy padnie ofiarą ataku. Nie powinno to poważnie zagrozić całemu firewallowi i chronionej sieci.
Komputer taki ma przynajmniej dwa interfejsy sieciowe. Jego podstawową cechą jest to, że nie przesyła pakietów bezpośrednio pomiędzy siecią wewnętrzną a zewnętrzną. Dlatego należy sprawdzić, czy rzeczywiście wyłączone jest trasowanie pakietów. W niektórych konfiguracjach hosty dwusieciowe samodzielnie stanowią ścianę ogniową. W takich sytuacjach jego zabezpieczenie jest szczególnie istotne, ponieważ bezpieczeństwo całej chronionej sieci zależy od pojedynczego komputera.
Komputery tego typu przeznaczone są dla usług, które trudno zabezpieczyć lub dla usług nowych, których wpływ na bezpieczeństwo nie jest jeszcze znany. Komputery-ofiary nie powinny dysponować niczym atrakcyjnym dla napastnika. Podstawową cechą takiego komputera jest prowizoryczność [23]. W momencie, kiedy padnie on ofiarą ataku nie powinno mieć to żadnego wpływu na bezpieczeństwo firewalla i chronionej sieci.
Często zdarza się, że główny host bastionowy nawiązuje specjalne typy połączeń z wybranymi komputerami sieci wewnętrznej. Na przykład może to być przekazywanie poczty elektronicznej do wewnętrznego serwera pocztowego. Komputery takie stają się wewnętrznymi hostami bastionowymi i powinny być zabezpieczane tak jak hosty bastionowe.
Są to komputery, których zadaniem jest udostępnianie usług w Internecie. Może to być na przykład serwer WWW. Ze względu na pełnioną funkcję komputery takie powinny być więc starannie zabezpieczone. Podczas konfiguracji należy pamiętać, że wystarczy im zwykle minimalny dostęp do sieci wewnętrznej.
Komputer przeznaczony na host bastionowy nie powinien być zbyt wydajny, aby nie stanowił atrakcyjnego celu ataków. Inną zaletą jest to, że użytkownicy nie będą chcieli wykorzystać jego nadmiarowej mocy do innych celów. Wszelkie dodatkowe, niepotrzebne usługi uniemożliwiają bowiem prawidłowe zabezpieczenie takiego komputera. Wybór systemu operacyjnego jest sprawą indywidualną. Zaleca się, żeby był to dobrze znany system, dzięki temu popełni się mniej pomyłek przy jego zabezpieczaniu i konfiguracji. Najpopularniejszym stosowanym systemem operacyjnym jest Uniks, ale wykorzystuje się do tego celu również Windows NT i Windows 2000. Host bastionowy powinien być umieszczony w sieci, która nie przenosi żadnych kluczowych danych. Najlepszym rozwiązaniem jest umieszczenie go w specjalnej, wydzielonej podsieci. Zapobiega to podsłuchiwaniu poufnych informacji w przypadku zdobycia hosta bastionowego przez napastnika. Należy również zadbać o fizyczne bezpieczeństwo komputera. Niedopuszczalna jest sytuacja, w której napastnik ma fizyczny dostęp do hosta bastionowego. Dobrze jest więc umieścić hosty bastionowe w zamkniętym, klimatyzowanym pomieszczeniu. Warto też rozważyć zainstalowanie awaryjnego źródła zasilania.
Kolejnym zadaniem jest ustalenie funkcji jakie ma pełnić host bastionowy. Wybrane usługi należy pogrupować według ważności i stopnia bezpieczeństwa. W niektórych przypadkach może okazać się konieczna budowa kilku hostów bastionowych. Sama konfiguracja komputera pod kątem maksymalnej odporności na ataki nazywana jest hartowaniem systemu (ang. hardening). Kolejne etapy to:
- zabezpieczenie komputera,
- wyłączenie wszelkich niepotrzebnych usług,
- instalacja oraz modyfikacja usług, które mają być udostępnione,
- zmiana konfiguracji na użytkową,
- przeprowadzenie audytu bezpieczeństwa,
- podłączenie komputera do sieci.
Pracę należy rozpocząć od instalacji systemu operacyjnego. Ważne jest, aby instalować minimalną liczbę dodatkowych składników. Następnie trzeba usunąć wszelkie znane usterki systemu operacyjnego. W tym celu instaluje się poprawki oraz łaty bezpieczeństwa. Zaleca się skorzystać z kontrolnej listy bezpieczeństwa. Zagwarantuje to, że nic istotnego nie zostało przeoczone. Nie należy zapomnieć też o usunięciu zbędnych kont użytkowników. Duże znaczenie dla bezpieczeństwa mają dzienniki systemowe. Z tego powodu muszą one być odpowiednio zabezpieczone. Ważne jest, aby uniemożliwić modyfikowanie ich zawartości. Mogłoby to zostać bowiem wykorzystane przez napastnika do zacierania śladów. Dlatego warto zastosować urządzenie, które może dokonywać tylko jednokrotnego zapisu. Wybieranie rejestrowanych zdarzeń powinno być dobrze przemyślane. Duże ilości niepotrzebnych informacji utrudniają potem odnalezienie tych istotnych. Bardzo przydatna okazuje się również dokładna synchronizacja czasu.
Wszelkie niepotrzebne usługi powinny zostać wyłączone. Każda z nich może bowiem zawierać błędy programistyczne i powodować niepotrzebne zagrożenie bezpieczeństwa. Pozostawić należy tylko absolutnie niezbędne usługi. Etap ten najlepiej ilustrują słowa [23]:
Pewne wybrane usługi mogą nie wchodzić w skład systemu operacyjnego. Po ewentualnej instalacji należy je skonfigurować i zabezpieczyć. Sposób wykonywania tych operacji jest zróżnicowany i zależy od danej usługi. Należy jednak pamiętać, że ma to kluczowy wpływ na przyszłe bezpieczeństwo.
Podczas konfiguracji hosta bastionowego wykorzystywanych jest wiele różnych narzędzi. Całe to oprogramowanie ułatwiające pracę musi zostać usunięte. Sprawi to, że praca z hostem bastionowym stanie się bardzo trudna. Z tego względu warto zapisać usuwane narzędzia na zewnętrznym dysku. Podłączenie takiego dysku ułatwi później pracę w razie konieczności aktualizacji lub modyfikacji oprogramowania na hoście bastionowym. Po zakończeniu konfiguracji warto zamontować kluczowe systemy plików w trybie tylko do odczytu. Uniemożliwia to modyfikację konfiguracji komputera. Najlepszym wyjściem jest sprzętowe zabezpieczenie dysków przed zapisem.
Przeprowadzenie audytu bezpieczeństwa ma na celu wykrycie obecności dobrze znanych luk w zabezpieczeniach. Dodatkowo można również utworzyć bazę danych zawierającą sumy kontrolne wszystkich plików w systemie. Pozwala to zauważyć wszelkie nieautoryzowane zmiany plików. Przykładowe narzędzia to Tiger, SATAN (ang. Security Administrator Tool for Analyzing Networks) lub SAINT, który jest uaktualnieniem pakietu SATAN.