Аудит и журналы безопасности

Установка политики Windows 2000 "Ошибка аудита при отключении". Рекомендуется осуществлять самоотключение сервера при заполнении файла журнала до отказа при работе с высокозащищенными веб-приложениями, так как лучше не выполнить приложение, чем выполнить его без аудита. Сервер будет отключаться, если в локальной политике безопасности включен параметр отключения, а параметр перезаписи файла журнала установлен на значение Do not overwrite (Не осуществлять перезапись). Данная опция по умолчанию отключена.

Для активизации политики отключения при ошибках аудита используется консоль MMC Local Security Policy (Локальная политика безопасности). Ниже приведена соответствующая процедура.

Откройте консоль MMC Local Security Policy (Локальная политика безопасности) в окне Administrative Tools (Администрирование).

Разверните список в элементе Local Policies (Локальные политики) в области слева, щелкните правой кнопкой мыши на папке Security Options (Параметры безопасности) и выберите команду Open (Открыть) (либо дважды щелкните на папке, чтобы открыть ее). В правом окне средства Local Security Settings отобразятся параметры политик безопасности (см. рисунок).

Щелкните правой кнопкой мыши на параметре Shut Down System Immediately If Unable To Log Security Audits (Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности) в правом окне консоли и в контекстном меню выберите Security (Безопасность), чтобы отобразить диалоговое окно Policy Setting (Настройка политики).

В диалоговом окне Policy Setting (Настройка политики) включите политику, нажав на кнопку Enable (Включен).

Изменение параметров файла журнала IIS. Параметры файла журнала IIS аналогичны параметрам файла журнала Windows 2000, но осуществляют управление несколько иным образом. Параметры файла журнала IIS можно установить глобально для всех веб-сайтов на сервере либо отдельно для каждого сайта. Ниже приведены действия по установке параметров файла журнала IIS.

Откройте консоль Internet Services Manager (Диспетчер служб интернета) в окне Administration Tools (Администрирование).

При глобальной настройке параметров для всех сайтов выберите в окне имя сервера. В противном случае укажите в области слева конкретный веб-сайт. Щелкните правой кнопкой на сервере или сайте, после чего в появившемся меню выберите команду Properties (Свойства).

В показанном ниже окне Properties откройте вкладку Web Site (Веб-сайт). Убедитесь, что на вкладке отмечена опция Enable Logging (Включить журнал).

Совет. На вкладке Web Site (Веб-сайт) можно изменить формат файла журнала: указать форматы W3C Extended Log File Format (Расширенный файл журнала W3C), ODBC Logging (журналы ODBC) и NCSA Common Log File Format (Общий формат файла журнала NCSA). Расширенный формат W3C Extended является стандартом, определенным в интернете Консорциумом World Wide Web. Журналы ODBC (Открытый интерфейс доступа к базам данных) позволяют записывать информацию в базу данных на другом сервере вместо файла журнала IIS. Организации с большим объемом трафика иногда прибегают к этому. Формат NCSA является альтернативным текстовым форматом файла, разработанным другой организацией, утверждающей стандарты. Этот формат используется серверами UNIX.

Щелкните на поле Properties в правом нижнем углу вкладки, чтобы открыть окно Extended Logging Properties (Расширенные параметры ведения журнала), показанное ниже.

В верхней части вкладки General Properties (Общие свойства) можно указать неограниченный размер файла журнала, его максимальный размер либо автоматическое закрытие файла журнала по прошествии определенного промежутка времени. В каждом случае IIS будет создавать новый файл журнала IIS по достижении текущим файлом установленного предела и присваивать ему имя согласно шаблону даты "ггммдд", если используется формат W3C. При использовании другого формата вид даты будет другим.

Отметьте опцию Use Local Time For File Naming And Rollover (Использовать местное время в имени файла), если нужно, чтобы день начинался в 12:00 по локальному времени вместо установленного по умолчанию в Windows 2000 времени по Гринвичу 12:00 A.M. (0:00).

В IIS можно настроить дополнительные параметры. Они контролируют детали фиксируемой журналом IIS информации. Откройте вкладку Extended Properties (Расширенные параметры), показанную ниже, чтобы отобразить доступные параметры. Указанные Microsoft настройки по умолчанию, настройки IIS Lockdown достаточно всесторонни, однако в зависимости от ситуации можно отследить дополнительную информацию.

В таблице 5.3 приведен полный перечень расширенных параметров ведения журнала.

ПРОБЛЕМА

Если вы умеете работать с журналами, то узнаете много о действиях, выполняемых пользователями, посещающие сайт. Несколько лет назад был пойман и осужден Кевин Мытник, в судебном процессе над которым главным вещественным доказательством был файл журнала. В нем содержались данные о том, какие действия выполнялись Мытником на взломанных системах.

Ниже приведен пример этих данных, состоящих из полей: Время, IP-адрес клиента, Метод, Ресурс URI, Состояние HTTP и Версия HTTP.

#Software: Microsoft Internet Information Services 5.0
#Version: 1.0
#Date: 1998-05-02 17:42:15
#Fields: time c-ip cs-method cs-uri-stem sc-status cs-version
17:42:15 172.16.255.255 GET /default.htm 200 HTTP/1.0

Строка #Software означает программное обеспечение сервера, строка #Version – журнал, использующий расширенный формат файла. Строка #Date содержит информацию о дате. Для правильного прочтения файлов журнала необходимо знать следующие параметры:

Руководствуясь приведенными данными, расшифруем две последние строки файла журнала.

В данном примере не показано, что при настройке параметров можно выбрать большее число полей для включения в журнал. Если в полях журнала нет данных, то вместо информации отображается прочерк (—).

Обеспечение безопасности журналов

Безопасность журналов важна так же, как аудит и анализ файлов журнала. К файлам журнала должны иметь доступ только уполномоченные пользователи с привилегированным доступом к системе. Файл с зафиксированными системными событиями должен быть недоступен посторонним пользователям. Файлы журнала нужно защищать от атак опытных хакеров, направленных на изменение информации для скрытия следов злоумышленных действий.

Данные журнала событий передаются службе Windows 2000 Event Log другими компонентами системы или приложениями, работающими в системе. В таблице приведены пути для каждого файла журнала.

*IIS автоматически присваивает имя файла с использованием даты вместо шаблона "yymmdd".

Для обеспечения безопасности используются две процедуры. Первая из них является жизненно необходимой и заключается в ограничении доступа к файлам журнала Windows 2000 всем группам и учетным записям, кроме группы Administrators (Администраторы) и учетной записи System (Система). Второй шаг является полезным, но не обязательным; он заключается в изменении расположения файлов журнала. Лучше всего разместить их в другом разделе (не в системном томе), в котором ничего не записано и имеется достаточный объем дискового пространства для хранения файлов больших размеров.

При перемещении файлов журнала в изолированное место легче управлять доступом для запрета просмотра и изменения их посторонними пользователями. Рассмотрим процедуру перемещения файлов журнала.

Изменение расположения файлов журнала. Изменить расположение файла журнала IIS достаточно легко. Изменить свойства сервера можно в консоли MMC Internet Services Manager (Диспетчер служб интернета) на той же вкладке, где устанавливались параметры файла журнала IIS.

Вернитесь к разделу "Настройка параметров файла журнала IIS" и выясните, какая консоль и какие окна использовались для изменения папки файла журнала.

Для изменения расположения файлов журнала Windows 2000 измените строку реестра, указывающую его текущее расположение. Для редактирования реестра используется утилита Regedit.

Выберите команду Start\Run (Пуск\Выполнить), чтобы открыть диалоговое окно Run.

Введите Regedit, после чего нажмите на OK. Откроется окно программы Regedit.

В окне Regedit убедитесь, что текущим местом работы является локальный компьютер. Щелкните на папке с именем HKEY_LOCAL_MACHINE, чтобы открыть ее и отобразить находящиеся в ней файлы.

Откройте папку System\CurrentControlSet\Services\EventLog\. В ней находятся журналы событий Application, Security и System, как показано на рисунке.

Выберите журнал Security Log. В правой области отобразится информация о значениях в файле журнала безопасности.

Дважды щелкните на значении File, чтобы открыть диалоговое окно String Editor (Изменение строкового параметра), показанное на рисунке ниже. Укажите символ нового устройства, путь к новой папке, но имя файла оставьте прежним – \SecEvent.Evt. После этого нажмите на OK.

Повторите эти шаги для других файлов журналов. Затем выйдите из программы и перезагрузите компьютер.

Удаление группы Everyone (Все пользователи). Обеспечив хранение файлов журналов в отдельном месте, измените разрешения доступа к разделу, удалив всех пользователей из списка контроля доступа (ACL) раздела, кроме группы Administrators (Администраторы) и учетной записи System (Система). Если файлы журнала не размещены в отдельном разделе, измените список контроля доступа ACL для папки с этими файлами. Эта процедура заключается в выполнении следующих шагов.

В окне Administration Tools\Computer Management (Администрирование\Управление компьютером) найдите диски компьютера в дереве ресурсов. Либо откройте окно My Computer (Мой компьютер) на рабочем столе и найдите нужные диски там. Щелкните правой кнопкой мыши на диске и выберите команду Properties (Свойства). Появится окно Local Disk Properties (Свойства локального диска).

Откройте вкладку Security (Безопасность), показанную на рисунке. Удалите группу Everyone (Все пользователи), если она присутствуетв списке ACL, выделив ее и выбрав команду Remove (Удалить). Если жесткие диски сервера содержат в списках ACL другие группы или учетные записи, помимо Everyone (Все пользователи), удалите эти группы и учетные записи.

Нажмите на кнопку Apply (Применить), чтобы система сохранила изменения.

Предоставьте привилегии полного контроля пользователям группы System и аудиторам. После удаления ненужных групп из списков ACL добавьте нужные группы и учетные записи, а также установите права и разрешения. По умолчанию имеется группа System (Система) и содержит права и разрешения полного доступа.

После успешного добавления групп и учетных записей присвойте разделу или папке файла журнала права и разрешения. Пользователю System и группе аудита предоставьте права полного доступа и настройте для них наследование разрешений при создании новых подкаталогов в этой папке (разделе).

Архивация журналов

Файлы журналов могут достигать довольно больших размеров. Процедуры архивирования перемещают файлы на резервный носитель, сохраняя их для будущих нужд и освобождая место для новой информации. Следует регулярно архивировать файлы журналов.

Архивирование файла журнала Windows 2000. Для архивации файла журнала Windows 2000 выполните следующие действия.

Архивация файла журнала IIS. Архивация файлов журнала IIS может производиться автоматически в зависимости от настройки параметров IIS Extended Logging (Расширенные параметры ведения журнала). Свойства файла журнала IIS можно настроить таким образом, чтобы новый файл журнала с новым именем создавался согласно одной из следующих временных схем:

через каждый час;

в конце каждого дня;

в конце каждой недели;

в конце каждого месяца;

по достижении файлом определенного размера;

никогда (т.е. неограниченный размер файла журнала).

При указанных настройках, за исключением опции Unlimited File Size (Неограниченный размер файла), старый файл журнала будет сохраняться, а взамен него по истечении периода действия будет автоматически создаваться новый файл журнала.

Ниже приведены шаги по архивации файлов журнала IIS.

Аудит

Обеспечив правильную настройку и безопасность файлов журнала, вы теперь имеете необходимую инфраструктуру с высокой степенью доверия, которая позволит осуществлять аудит веб-сайта. Аудит в Windows 2000 и IIS обеспечивает информацией журналы, чтобы впоследствии можно было восстановить цепь событий, источник атаки, цели злоумышленника, а такжепоследовательность выполненных хакером действий. Иными словами, аудит выполняет отслеживание информации, в результате которого создается контрольный след (контрольный журнал). В зависимости от настройки политики аудита контрольный след показывает, кто осуществил действия, кто пытался выполнить запрещенные действия и т.д.

Настройка политики аудита

Политики аудита определяют, какие категории сообщений о событиях отслеживаются и сохраняются в журналах Windows 2000 и IIS. Параметры событий аудита подчиняются стандартным правилам применения групповой политики. Политики аудита в Windows 2000 организованы в следующую иерархию.

Иногда достаточно применить локальную политику на отдельном сервере. Однако если веб-сервер находится в домене интранет-сети, и имеется политика более высокого уровня иерархии, эта политика будет игнорировать локальные настройки. Следовательно, при работе учитывайте контекст сервера. Если сервер является частью Active Directory, то понадобится настройка политики на уровне группы, а не на локальном уровне.

Политики аудита устанавливаются локально с помощью консоли MMC Local Security Policy (Локальная политика безопасности). Просматривать и изменять политику аудита в системе можно следующим образом.

Таблица 5.4 содержит параметры конфигурации политики аудита, используемые при выполнении программы IIS Lockdown или шаблона High Security Template (hisecweb.inf) (см. лекции 3, 4).

Аудит объектов и ресурсов Windows 2000

Аудит в Windows 2000 осуществляет сбор информации об использовании ресурсов файловой системы, учетных записей пользователей, ключей реестра, системных ресурсов. Аудит объектов по умолчанию не включен, его нужно активировать и настроить в окне Properties (Свойства) ресурса, аудит которого выполняется.

Аудит осуществляется отдельно для каждого объекта. Нужно указать, какие объекты и действия подлежат аудиту. Аудит объектов полезен при идентификации несанкционированных попыток использования файлов. Имейте в виду, что Microsoft рекомендует отключить политику аудита успешного доступа к объектам (см. табл. 5.4) для сервера с IIS 5. В общем случае следуйте данной рекомендации, поскольку аудит IIS и так достаточно детализирован. Тем не менее, иногда необходимо отслеживать доступ администраторов к системной папке загрузочного системного диска с помощью основных утилит операционной системы. В обычной ситуации таких данных окажется немного, поэтому журнал не будет перегружен информацией, кроме того, эта информация покажет, осуществлялся ли доступ в эту папку другими авторизованными (или неавторизованными) администраторами.

Имеет смысл осуществлять аудит доступа администраторов к системным папкам по умолчанию, а также при настройке параметров аудита объектов файловой системы, если полномочиями администратора обладают несколько пользователей. Эти параметры настраиваются средствами локального управления сервером. Удобно применять шаблон безопасности при повторении настройки параметров безопасности для нескольких серверов (параметры на всех серверах будут одинаковы).

Ниже приведена процедура настройки аудита системной папки Windows 2000 с помощью локальных средств управления.

Аудит IIS

Аудит IIS дополняет аудит Windows 2000 широким спектром возможностей, гибких опций и высоким уровнем детализации. Аудит IIS можно настроить глобально для всех сайтов сервера, можно включить и выключить для каждого веб-сайта по отдельности. Можно указать, аудит каких событий необходимо осуществлять для каждого сайта, каталога, виртуального каталога или файла. Если ведение журнала включено для всего сайта, его можно отключить для отдельных объектов.

Журнал и аудит IIS фиксируют события, связанные с IIS и относящиеся к входящему и исходящему трафику HTTP (или FTP и NNTP), а также информацию об IP-адресах, которая не фиксируется в журналах и аудитом Windows 2000. По этой причине аудит IIS отслеживает действия посетителей сайта и идентифицирует их по IP-адресу. Можно фиксировать данные о попытках доступа посетителей к веб-страницам или к другой части сервера, а также записывать выполняемые ими действия.

Аудит IIS выявит действия посетителей, которые, как правило, являются признаками вторжения или попытки атаки:

большое количество неудавшихся попыток входа с одного и того же IP-адреса;

неудавшиеся попытки доступа или изменение файлов .bat или .cmd, запуск исполняемых файлов или сценариев;

несанкционированные попытки доступа к защищенным каталогам или отгрузка файлов в папку с исполняемыми файлами.

Настройка параметров аудита IIS

Терминология IIS расплывчато описывает различие между ведением журнала и осуществлением аудита, и это обстоятельство вводит в некоторое заблуждение. Разобраться в терминах и разработать шаги по обеспечению аудита проще всего посредством включения журнала. Аудит IIS настраивается через параметры веб-сайта. Настройки аудита IIS дополняют параметры аудита Windows 2000. Параметры аудита IIS отвечают за отслеживание следующих объектов.

Настройка параметров объектов IIS. Для настройки параметров ведения журнала и аудита этих объектов используйте консоль Internet Services Manager (Диспетчер служб интернета). В общем случае можно настроить параметры для всех веб-сайтов на сервере либо отдельно для каждого из имеющихся серверов. Исключением являются серверные расширения разработки, так как они настраиваются только для всего сервера в целом.

Аудит событий, фиксируемых посредством настроек в расширенных параметрах ведения журнала. Расширенные параметры ведения журнала вкратце описаны в разделе "Настройка параметров файла журнала IIS" при обсуждении настройки журнала на веб-сайте IIS. Расширенные параметры настраиваются на вкладке Web Site (Веб-сайт) окна свойств сервера Properties (Свойства).

Список, приведенный ниже, содержит рекомендации Национальной службы безопасности США (NSA) по настройке дополнительных параметров для аудита веб-сервера.

Аудит резервных копий

Право на выполнение резервного копирования является очень весомой привилегией. Резервирование и восстановление прав игнорирует ограничения Windows NTFS на файлы, что позволяет операторам резервного копирования считывать и записывать данные в любой файл системы при их копировании на резервные носители или восстановлении.

Поэтому необходимо осуществлять аудит действий по резервированию файлов. Аудит резервирования, заключающийся в аудите действий группы пользователей под названием Backup Operators (Операторы резервного копирования), позволяет администраторам безопасности выявлять необычные действия. При запуске IIS Lockdown включается аудит резервирования файлов.

Для включения или проверки данного параметра используется средство MMC Local Security Policy (Локальная политика безопасности). Выполните следующие процедуры.

Откройте консоль MMC Local Security Policy (Локальная политика безопасности) в окне Start\Administration Tools (Пуск\Администрирование). Или откройте в окне My Computer (Мой компьютер) папку Control Panel (Панель управления) и дважды щелкните на значке Local Security Policy (Локальная политика безопасности).

Разверните перечень под элементом Local Policies (Локальные политики) в левой области консоли, щелкните правой кнопкой мыши на папке Security Options (Параметры безопасности) и выберите в появившемся меню команду Open (Открыть) (либо просто дважды щелкните на папке). В правой области отобразятся опции политик безопасности, как показано на рисунке.

Щелкните правой кнопкой мыши на политике Audit Use Of Backup And Restore Privilege (Вести аудит использования привилегии резервного копирования и восстановления) в правой области консоли и в появившемся меню выберите Security (Безопасность).

Отобразится диалоговое окно, в котором можно включить и отключить аудит резервного копирования посредством соответствующей опции. Убедитесь, что включена политика аудита резервного копирования и восстановления.

С помощью аудита, помимо усиления мер безопасности резервирования (см. лекцию 6), можно контролировать и отслеживать процесс резервного копирования, выполнение которого требует высокого уровня безопасности.

Сводный перечень действий, относящихся к ведению журналов и выполнению аудита