Sicherheit in GNU / Linux-Systemen, hängt es vom System oder vom Administrator ab?

In früheren Zeiten liefen sie durch das Netz Berichte über Angriffe Sie nutzen eine Sicherheitslücke in PHP aus, die es einigen legitimen Websites ermöglicht, betrügerische Webseiten und Werbung zu schalten und Besucher der Installation von Malware auf ihren Computern auszusetzen. Diese Angriffe nutzen a extrem kritische PHP-Schwachstelle vor 22 Monaten öffentlich bekannt gemacht und für die die entsprechenden Updates veröffentlicht wurden.

Einige haben beharrlich darauf hingewiesen, dass auf einem Großteil der bei diesen Angriffen gefährdeten Server Versionen von GNU / Linux ausgeführt werden, die vorgeben, die Sicherheit dieses Betriebssystems in Frage zu stellen, ohne jedoch auf die Art der Sicherheitsanfälligkeit oder die Gründe einzugehen warum was ist das passiert.

Systeme mit infiziertem GNU / LinuxIn allen Fällen führen sie die Linux-Kernel Version 2.6, veröffentlicht im Jahr 2007 oder früher. In keinem Fall wird die Infektion von Systemen erwähnt, auf denen überlegene Kernel ausgeführt werden oder die ordnungsgemäß aktualisiert wurden. Aber natürlich gibt es immer noch Administratoren, die denken "... wenn es nicht kaputt ist, muss es nicht repariert werden" und dann passieren diese Dinge.

Außerdem eine aktuelle Studie der Sicherheitsfirma ESET, macht den Anruf im Detail sichtbar "Operation Windigo", in denen durch mehrere Angriffskits, darunter eines aufgerufen Cdorked speziell für Apache und andere beliebte Open-Source-Webserver sowie für andere namens SSH, Sie haben Mehr als 26,000 GNU / Linux-Systeme sind kompromittiert Bedeutet dies seit Mai letzten Jahres, dass GNU / Linux nicht mehr sicher ist?

Zunächst einmal, wenn wir die vorherigen Zahlen mit den fast 2 Millionen Windows-Computern vergleichen, die vom Bootnetz kompromittiert wurden ZeroAccess Vor der Schließung im Dezember 2013 lässt sich leicht der Schluss ziehen, dass in Bezug auf die Sicherheit GNU / Linux-Systeme sind noch sicherer als diejenigen, die das Microsoft-Betriebssystem verwenden, aber ist es die Schuld von GNU / Linux, dass 26,000 Systeme mit diesem Betriebssystem kompromittiert wurden?

Wie im Fall der oben diskutierten kritischen PHP-Sicherheitsanfälligkeit, die Systeme ohne Kernel-Updates betrifft, handelt es sich bei diesen anderen Angriffen um Systeme, bei denen der Standardbenutzername und / oder das Standardkennwort nicht geändert wurden und die beibehalten wurden Die Ports 23 und 80 öffnen sich unnötig;; Ist es also wirklich die Schuld von GNU / Linux?

Die Antwort lautet natürlich NEIN. Das Problem ist nicht das verwendete Betriebssystem, sondern die Verantwortungslosigkeit und Vernachlässigung der Administratoren der Systeme, die das vom Sicherheitsexperten angegebene Maximum nicht ganz verstehen Bruce Schneier das sollte in unser Gehirn eingebrannt werden: Sicherheit ist ein Prozess, kein Produkt.

Es ist nutzlos, wenn wir ein bewährtes sicheres System installieren, wenn wir es dann verlassen und die entsprechenden Updates nicht installieren, sobald sie veröffentlicht werden. Ebenso ist es sinnlos, unser System auf dem neuesten Stand zu halten, wenn die Authentifizierungsdaten, die standardmäßig während der Installation angezeigt werden, weiterhin verwendet werden. In beiden Fällen ist es elementare Sicherheitsverfahren, die nicht wiederholt werden, werden richtig angewendet.

Wenn Sie ein GNU / Linux-System mit Apache oder einem anderen Open Source-Webserver unter Ihrer Obhut haben und prüfen möchten, ob es kompromittiert wurde, ist das Verfahren einfach. Im Falle von begrabenmüssen Sie ein Terminal öffnen und den folgenden Befehl eingeben:

ssh -G

Wenn die Antwort anders ist als:

ssh: illegal option – G

und dann die Liste der richtigen Optionen für diesen Befehl, dann ist Ihr System gefährdet.

Im Falle von Cdorkedist das Verfahren etwas komplizierter. Sie müssen ein Terminal öffnen und schreiben:

curl -i http://myserver/favicon.iso | grep "Location:"

Wenn Ihr System kompromittiert wurde, dann Cdorked Es wird die Anfrage umleiten und Ihnen die folgende Ausgabe geben:

Location: http://google.com

Andernfalls wird nichts oder ein anderer Speicherort zurückgegeben.

Die Form der Desinfektion mag grob erscheinen, ist aber die einzige, die sich als wirksam erwiesen hat: Volles System löschen, Neuinstallation von Grund auf neu und Alle Anmeldeinformationen zurücksetzen Benutzer und Administrator von einem nicht festgeschriebenen Terminal. Wenn Sie Schwierigkeiten haben, denken Sie daran, dass Sie das System nicht gefährdet hätten, wenn Sie die Anmeldeinformationen umgehend geändert hätten.

Für eine viel detailliertere Analyse der Funktionsweise dieser Infektionen sowie der spezifischen Methoden zu ihrer Verbreitung und der entsprechenden Maßnahmen empfehlen wir, die vollständige Analyse der Infektionen herunterzuladen und zu lesen "Operation Windigo" verfügbar unter folgendem Link:

Operation Windigo

Schließlich a grundlegende Schlussfolgerung: Es gibt kein Betriebssystem, das gegen verantwortungslose oder nachlässige Administratoren garantiert ist. In Bezug auf die Sicherheit gibt es immer etwas zu tun, denn der erste und schwerwiegendste Fehler besteht darin, zu glauben, dass wir es bereits erreicht haben, oder glauben Sie das nicht?