Решение вопросов безопасности для web-сервера

Web-сайты представляют собой мощный инструмент, позволяющий коммерческим, правительственным и общественным организациям, а также гражданам обмениваться информацией и вести дела в сети Интернет. По этой же причине они то и дело становятся мишенью злоумышленников.

Методы защиты:

1. Модернизация программного обеспечения

Это один из наиболее простых, но вместе с тем наиболее эффективных способов уменьшения рисков.

2. Использование узкоспециализированных серверов

Выделение отдельного ресурса (компьютер) под каждую задачу. В противном случае ошибка в системе безопасности может нарушить работу сразу нескольких сервисов.

3. Удаление лишних приложений

4. Внешний Firewall

Установка межсетевого экрана между корпоративной (внутренней) сетью и Web-серверами общего доступа позволяет предотвратить проникновение "левых" пакетов в сеть организации.

5. Удаленное администрирование

Поскольку управлять сервером с физической консоли зачастую не слишком удобно, системные администраторы устанавливают на Web-серверы программное обеспечение, позволяющее осуществлять удаленное администрирование. В тех случаях, когда удаленное администрирование неизбежно, его необходимо сопровождать следующими действиями: шифровать трафик удаленного администрирования, использовать фильтрацию пакетов, поддерживать для этой конфигурации более высокий уровень безопасности, не использовать фильтрацию пакетов вместо шифрования.

6. Ограничение использования скриптов

Большинство сайтов содержат скрипты (маленькие программы), которые запускаются при переходе на особую страницу. Скрипты не должны запускать случайные команды или посторонние (опасные) программы, позволять пользователям выполнение определенных узкоспециализированных задач, а также ограничивать количество параметров входящего потока.

7. Маршрутизаторы с фильтрацией пакетов

Маршрутизаторы устанавливают для того, чтобы отделить Web-серверы от остальной части сети. Обычно маршрутизаторы удаляют все пакеты, которые не идут на Web-сервер или к портам, использующимся при удаленном администрировании. Для повышения степени безопасности можно составить перечень пакетов, подлежащих пропуску.

8. Разделение привилегий

Каждый пользователь может запускать только определенные программы. Поэтому хакер, проникнувший в сеть по скомпрометированным данным отдельного пользователя, сможет нанести системе лишь ограниченный вред. В целях повышения уровня безопасности для пользователей, обладающих правами записи, можно создать личные поддиректории.

9. Аппаратные решения

Одним из наиболее доступных способов защиты от этой угрозы является запрет режима записи на внешние жесткие диски, магнитооптические диски и т. д. Часто используется режим "только чтение".

10. Внутренние межсетевые экраны

Современные Web-серверы часто работают с распределенными системами, они могут взаимодействовать с другими хостами, получать или передавать данные. В этом случае существует большой соблазн разместить эти компьютеры за межсетевым экраном внутри сети организации, обеспечив тем самым безопасность хранимых на них данных. Необходимо отделить системы, общающиеся с Web-сервером, от остальной сети внутренним межсетевым экраном.

11. Сетевые системы обнаружения вторжений

Важно получать оперативную информацию о происшествиях, для минимизации последствий атаки или быстрого восстановления работоспособности сервиса. Для получения такой информации используют сетевые средства обнаружения вторжений. Они сканируют весь трафик сети и выявляют несанкционированную активность, нарушение защиты или блокирование сервера. Современные IDS создают отчет обо всех выявленных нарушениях, одновременно уведомляя о них администраторов путем вывода сообщений на пейджер, электронный почтовый ящик или монитор. Типовые автоматизированные отчеты включают в себя также сбои сетевых соединений и список блокированных IP-адресов.

12. Системы обнаружения вторжений, размещаемые на серверах (хостах)

Системы обнаружения вторжений, размещаемые на серверах, лучше справляются с задачей определения состояния сети, чем сетевые IDS. Обладают более высоким уровнем доступа к состоянию Web-сервера. Недостаток – если хакер проникнет на Web-сервер, он сможет отключить серверные IDS, блокировав тем самым получение сообщений об атаке администратором.

Jar-файлы

Jar-файлы представляют собой файлы архивов java-файлов. На практике, как правило, аплет состоит из нескольких файлов-классов, файлов-картинок и файлов-инфоресурсов, необходимых ему для работы. В случае использования тэга Applet, в который подгружается файл байт-кода класса аплета, файлы передаются по сети в несжатом виде с помощью отдельного запроса. В Ява 1.1 появляется возможность использования jar-файлов, которые передаются по сети на машину клиента намного быстрее, а метод доступа к любому из файлов этого архива аналогичен для всех аплетов, его использующих.

Для создания jar-файла используется утилита jar в следующем синтаксисе:

%jar of xxx.jar //xxx – имя архива jar, в который надо поместить// 1.class 2.gif //файлы, которые надо поместить в архив

Данная команда создаёт новый файл jar-архива, включающий в себя все файлы класса из текущего каталога и все файлы, перечисленные в данной команде. Утилиту jar также можно использовать для получения списка файлов и для извлечения файлов из jar-архивов.

Чтобы использовать jar-архив следует указать его в качестве значения атрибута тэга archive. Пример:

<APPLET archive=xxx.jar code=xx.class>

</APPLET>

Атрибут archive указывает, где искать необходимые файлы для работы аплета, а атрибут code сообщает браузеру, в каком из файлов архива содержится файл аплета, запускаемого на исполнение.

Атрибут archive может содержать список jar-файлов через «,». Веб-браузер или программы просмотра аплетов ищут в архивах все файлы, необходимые для функционирования аплета. В случае, если не удаётся найти файл в архиве, то браузер переходит в прежний режим работы и пытается загрузить требуемые файлы с веб-сервера.

Формат jar-файлов обеспечивает следующие преимущества:

1) безопасность. В Ява 1.1 появляется возможность снабжать содержимое jar-файлов цифровой подписью. Пользователи, которые распознают цифровую подпись jar-файла, могут выборочно предоставлять запускаемому программному обеспечению права доступа, в которых оно может работать на машине клиента;

2) уменьшение времени загрузки. Если аплет собран в jar-файл, то файлы класса аплета и связанные с ними ресурсы могут быть загружены в браузер клиента одной транзакцией протокола http без необходимости открывать новое соединение для каждого файла;

3) экономия памяти. Директива jar контролирует загрузку файлов аплета из архива, используя при этом утилиты и методы экономии памяти. Сюда входит выгрузка объектов, которые аплету больше не нужны, уничтожение экземпляров классов, которые были созданы аплетом и больше для его работы не требуются, а также переупаковка уже использованных объектов;

4) пакетирование для расширений (имеются ввиду расширения java, используемые в jdk 1.2). Каркас расширений представляет способ, при помощи которого можно добавить функциональность к базовой платформе Java и формат jar-файла определяет пакетирование для данных расширений. Например, если Java работает с 3d-объектами, и файлы, их обрабатывающие, помещаются в jar-архив, то jar-архив имеет расширение j3d. Если аплет использует утилиту JavaMail для своей работы и данные файлы также помещаются в архив, то архив имеет расширение jml;

5) запечатывание пакетов. Данная возможность также появилась в jdk 1.2. Пакеты, записанные в jar-файлы, можно выборочно запечатать, чтобы усилить проверку целостности версии в пакете. Запечатывание пакета в jar-файл означает, что все классы, определённые в пакете, должны находиться в этом же jar-файле;

6) управление версиями в пакете. При создании jar-файла в него помещаются данные о файлах, которые архивируются, а также информация о платформе, производителе и версии;

7) переносимость, т.е. механизм работы с jar-файлами является стандартной частью базового api платформы Java.