Bảo mật trong hệ thống GNU / Linux, nó phụ thuộc vào hệ thống hay người quản trị?

Trong những ngày trôi qua, họ đã chạy qua mạng báo cáo về các cuộc tấn công Họ khai thác một lỗ hổng trong PHP, cho phép một số trang web hợp pháp phục vụ các trang web và quảng cáo gian lận, khiến khách truy cập thấy cài đặt phần mềm độc hại trên máy tính của họ. Những cuộc tấn công này tận dụng lợi thế của một lỗ hổng PHP cực kỳ nghiêm trọng được công khai cách đây 22 tháng và các bản cập nhật tương ứng đã được phát hành.

Một số người đã bắt đầu khăng khăng chỉ ra rằng một phần tốt của các máy chủ bị xâm nhập trong các cuộc tấn công này đang chạy phiên bản GNU / Linux, giả vờ đặt câu hỏi về tính bảo mật của Hệ điều hành này, nhưng không đi sâu vào chi tiết về bản chất của lỗ hổng hoặc lý do tại sao điều này đã xảy ra.

Hệ thống bị nhiễm GNU / Linux, trong mọi trường hợp, họ đang chạy Phiên bản hạt nhân Linux 2.6, phát hành vào năm 2007 hoặc sớm hơn. Không có trường hợp nào nó được đề cập đến việc lây nhiễm các hệ thống chạy hạt nhân cao cấp hoặc đã được cập nhật hợp lệ; Nhưng tất nhiên, vẫn có những quản trị viên nghĩ rằng "... nếu nó không bị hỏng, nó không cần sửa chữa" và sau đó những điều này xảy ra.

Hơn nữa, một nghiên cứu gần đây của công ty bảo mật ESET, chi tiết cuộc gọi "Chiến dịch Windigo", trong đó thông qua một số bộ công cụ tấn công, bao gồm một bộ được gọi là dorked được thiết kế đặc biệt cho Apache và các máy chủ web nguồn mở phổ biến khác, cũng như một máy chủ khác được gọi là SSH, đã được hơn 26,000 hệ thống GNU / Linux bị xâm phạm kể từ tháng XNUMX năm ngoái, điều này có nghĩa là GNU / Linux không còn an toàn nữa?

Trước hết, hãy đặt mọi thứ trong bối cảnh, nếu chúng ta so sánh các con số trước đó với gần 2 triệu máy tính Windows bị xâm nhập bởi bootnet không truy cập Trước khi bị đóng cửa vào tháng 2013 năm XNUMX, có thể dễ dàng kết luận rằng, về mặt bảo mật, Hệ thống GNU / Linux vẫn an toàn hơn so với những hệ điều hành sử dụng Hệ điều hành Microsoft, nhưng có phải lỗi của GNU / Linux khi 26,000 hệ thống với Hệ điều hành đó đã bị xâm phạm không?

Như trong trường hợp lỗ hổng PHP nghiêm trọng được thảo luận ở trên, ảnh hưởng đến các hệ thống không có bản cập nhật hạt nhân, các cuộc tấn công khác này liên quan đến các hệ thống trong đó tên người dùng và / hoặc mật khẩu mặc định không được thay đổi và giữ nguyên cổng 23 và 80 mở không cần thiết; Vậy nó có thực sự là lỗi của GNU / Linux không?

Rõ ràng, câu trả lời là KHÔNG, vấn đề không nằm ở hệ điều hành được sử dụng mà là sự vô trách nhiệm và lơ là của quản trị viên của những hệ thống không hiểu rõ tối đa mà chuyên gia bảo mật đã nêu. Bruce Schneier điều đó nên được đốt cháy trong não của chúng ta: An toàn LÀ một quá trình KHÔNG PHẢI là một sản phẩm.

Sẽ là vô ích nếu chúng tôi cài đặt một hệ thống đã được chứng minh là an toàn nếu sau đó chúng tôi bỏ mặc nó và không cài đặt các bản cập nhật tương ứng ngay khi chúng được phát hành. Tương tự, việc cập nhật hệ thống của chúng tôi là vô ích nếu thông tin xác thực xuất hiện theo mặc định trong quá trình cài đặt tiếp tục được sử dụng. Trong cả hai trường hợp, nó là thủ tục an ninh cơ bản, điều đó không lặp lại, được áp dụng đúng cách.

Nếu bạn đang quan tâm đến hệ thống GNU / Linux với Apache hoặc một máy chủ web mã nguồn mở khác và bạn muốn kiểm tra xem nó có bị xâm phạm hay không, quy trình rất đơn giản. Trong trường hợp chôn, bạn phải mở một thiết bị đầu cuối và nhập lệnh sau:

ssh -G

Nếu câu trả lời khác với:

ssh: illegal option – G

và sau đó là danh sách các tùy chọn chính xác cho lệnh đó, khi đó hệ thống của bạn đã bị xâm phạm.

Trong trường hợp dorked, thủ tục phức tạp hơn một chút. Bạn phải mở một thiết bị đầu cuối và viết:

curl -i http://myserver/favicon.iso | grep "Location:"

Nếu hệ thống của bạn bị xâm phạm, thì dorked nó sẽ chuyển hướng yêu cầu và cung cấp cho bạn kết quả sau:

Location: http://google.com

Nếu không, nó sẽ không trả về bất cứ thứ gì hoặc một vị trí khác.

Hình thức khử trùng có vẻ thô sơ, nhưng nó là hình thức duy nhất được chứng minh là hiệu quả: xóa toàn bộ hệ thống, cài đặt lại từ đầu và đặt lại tất cả thông tin đăng nhập người dùng và quản trị viên từ một thiết bị đầu cuối không được cam kết. Nếu bạn cảm thấy khó khăn, hãy cân nhắc rằng, nếu bạn đã thay đổi thông tin đăng nhập kịp thời, bạn sẽ không làm tổn hại hệ thống.

Để có phân tích chi tiết hơn về cách thức hoạt động của các bệnh lây nhiễm này, cũng như các cách cụ thể được sử dụng để lây lan chúng và các biện pháp tương ứng sẽ được thực hiện, chúng tôi khuyên bạn nên tải xuống và đọc bản phân tích đầy đủ của "Chiến dịch Windigo" có sẵn tại liên kết sau:

Hoạt động Windigo

Cuối cùng, một kết luận cơ bản: Không có hệ điều hành nào được đảm bảo chống lại các quản trị viên vô trách nhiệm hoặc bất cẩn; Đối với vấn đề bảo mật, luôn luôn có một cái gì đó để làm, bởi vì sai lầm đầu tiên và nghiêm trọng nhất là nghĩ rằng chúng tôi đã đạt được nó, hoặc bạn không nghĩ như vậy?