Безпека www-серверів

Національна академія наук України

Інститут програмних систем НАН України

ЗАТВЕРДЖЕНО

05540149.90000.043.И3-01-АЗ

Програма інформатизації НАН України

Проект «Розробка та впровадження типових рішень

Щодо комплексної системи захисту інформації в АІС НАНУ»

Шифр –КСЗІ АІС НАНУ

Технічні рішення щодо захисту web-серверів

05540149.90000.043.И3-04

2008

ЗМІСТ

Вступ.. 3

1. БЕЗПЕКА WWW-СЕРВЕРІВ.. 5

1.1. Короткий опис проблеми.. 5

1.2. Принципи безпеки веб-серверів. 7

1.3. Причини уразливості web-сервера. 12

1.4. Планування розгортання web-сервера. 13

2. БЕЗПЕКА ОС, ЩО ЛЕЖИТЬ В ОСНОВІ WEB-СЕРВЕРА.. 14

2.1. Безпечна інсталяція і конфігурація ОС.. 14

2.2. Видалення або заборона непотрібних сервісів і програм.. 15

2.3. Конфігурація аутентифікації користувача в ОС.. 17

2.4. Управління ресурсами на рівні ОС.. 21

2.5. Trusted ОС.. 21

2.6. Використання Appliances для web-сервера. 22

2.7. Спеціально посилені (pre-hardened) ОС і web-сервери.. 24

2.7.1. Тестування безпеки операційної системи. 25

2.7.2. Список дій для забезпечення безпеки ОС, на якій виконується web-сервер. 25

2.7.3. Застосування patch-ів і upgrade-ів ОС.. 26

2.7.4. Видалення або заборона непотрібних сервісів і програм, конфігурація аутентифікації користувачів в ОС. 26

2.7.5. Тестування безпеки ОС.. 27

3. БЕЗПЕЧНА ІНСТАЛЯЦІЯ І КОНФІГУРАЦІЯ WEB-СЕРВЕРА.. 27

3.1. Безпечна інсталяція web-сервера. 27

3.2. Конфігурація управління доступом.. 28

3.3. Розмежування доступу для ПО web-сервера. 29

3.4. Управління доступом до директорії вмісту web-сервера. 32

3.5. Конфігурація безпечної директорії web-вмісту. 39

3.6. Використання програм перевірки цілісності 40

4. БЕЗПЕКА ПРОГРАМНОГО СЕРЕДОВИЩА.. 41

5. ВИКОРИСТАННЯ КРИПТОГРАФІЇ В ЗАХИСТІ WWW-СЕРВЕРІВ.. 44

5.1. Асиметрична криптографія. 44

5.2. Симетрична криптографія. 45

5.3. Дайджести повідомлень. 45

5.4. Цифрові підписи.. 46

5.5. Сертифікати.. 46

5.6. Забезпечення цілісності даних і призначеної для користувача аутентифікації за допомогою підписів XML 47

5.7. Формування цифрового підпису XML: основні чотири кроки.. 49

5.8. Перевірка цифрового підпису XML. 57

5.9. Шифрування XML. 59

5.9.1. Шифрування цілого XML-файла. 59

5.9.2. Шифрування окремого елементу. 61

5.9.3. Шифрування змісту елементу. 62

5.9.4. Обробка шифрування XML. 63

5.10. Введення в безпеку Web-сервісів. 63

6. ЗАХИСТ WEB-ПОРТАЛА ВІД ІНФОРМАЦІЙНИХ АТАК.. 67

6.1. Підсистема розмежування доступу. 70

6.2. Підсистема антивірусного захисту. 73

6.3. Підсистема контролю цілісності 74

6.4. Підсистема виявлення вторгнень. 75

6.5. Підсистема аналізу захищеності 77

6.6. Підсистема криптографічного захисту. 78

6.7. Підсистема управління засобами захисту Web-портала. 79

Висновок.. 80

ВСТУП

У документі розглядаються проблеми безпеки, пов'язані з web-серверами. Обговорюються проблеми, пов'язані з безпекою ОС, на якій виконується ПО web-сервера. Вивчаються альтернативні платформи для web-сервера. Приводиться спосіб безпечної інсталяції ПО web-сервера. Досліджується управління доступом на рівні ОС для застосування web-сервера.

У найзагальнішому виді web можна розділити на два основні компоненти: web-сервери — вони є серверами, які формують інформацію, доступну по протоколу НТТР, і web-браузери (клієнти), — вони використовуються для доступу і показу інформації, що зберігається на web-серверах. В основному будуть розглянуті проблеми безпеки, що стосуються web-серверів.

На жаль, web-сервери часто є цілями атак. Внаслідок цього важливо гарантувати безпеку web-серверів, а також мережевої інфраструктури, яка їх підтримує. Загрози безпеки, специфічні для web-серверов в загальному випадку можна розділити на наступні категорії:

• Вороже настроєні користувачі Інтернету можуть використовувати помилки ПО в ОС, що лежить в основі web-серверів або в програмах, що створюють динамічні web-сторінки, для отримання неавторизованого доступу до web-серверу.

- Результатом цього може бути отримання доступу до файлів або каталогів, які не призначені для відкритого доступу, або виконання привілейованих команд і/або установка ПО на web-сервер.

- Інформація на web-сервері може бути навмисно змінена з ворожими цілями. Найбільш загальним прикладом такої загрози є підміна вмісту web-сайта.

• Denial of service (DOS) атаки можуть бути направлені на web-сервер, що приведе до відмови в доступі законним користувачам.
• Інформація, що передається у відкритому вигляді між web-сервером і браузером, може бути перехоплена.
• Користувачі можуть дістати неавторизований доступ до ресурсів, розташованих в локальній мережі організації, використовуючи успішну атаку на web-сервер.
• Можливе здійснення атаки на інші мережі і сервери, причому буде використаний скомпрометований web-сервер, прихована справжня ідентифікація і, іноді, відповідальність за наслідки покладена на адміністратора web-сервера, з якого виконується атака.
• Сервер може бути використаний як незаконна точка розповсюдження ПО, інструментальних засобів атаки, при цьому на адміністратора сервера може бути покладена відповідальність за наслідки атаки.

Основні питання, пов'язані з безпекою при інсталяції, конфігурації і супроводі web-серверів:

· Безпечна інсталяція і конфігурація ОС, що лежить в основі web-сервера;

· Безпечна інсталяція і конфігурація ПО web-сервера.

· Розгортання відповідних мережевих механізмів захисту:

- Firewall;

- Intrusion detection systems (IDS);

- DNS.

· Підтримка безпечної конфігурації, зі своєчасним застосуванням відповідних patches і upgrades, тестуванням безпеки, прогляданням логів і виконання backup-ів як даних, так і ОС.

· Забезпечення захисту інформації, виходячи з її семантики.

БЕЗПЕКА WWW-СЕРВЕРІВ