www.sysattack.com

- A new car built by my company leaves somewhere traveling at 60 mph.
The rear differential locks up. The car crashes and burns with everyone trapped inside.
Now: should we initiate a recall? Take the number of vehicles in the field, A, multiply by the probable rate of failure,
B, multiply by the average out-of-court settlement, C. A times B times C equals X.
If X is less than the cost of a recall, we don't do one.
- Are there a lot of these kinds of accidents?
- You wouldn't believe.
- Which car company do you work for?
- A major one.
- "Fight Club"

При выборе ISP для хостинга любого сколько-нибудь серьезного сайта, важна (а иногда - критична) не только стоимость хостинга, ширина канала, удобство работы, но и реальная защищенность ISP. И не стоит в этом вопросе полностью полагаться на ISP - очень часто высокая безопасность хостинга декларируется, но не всегда она на самом деле такова. Часто для провайдера даже невыгодно делать хостинг безопасным. В этой статье я попытался дать информацию, которая бы позволила клиенту самостоятельно оценить, хотя бы очень приблизительно, защищенность хостинг-провайдера, чтобы выбрать себе оптимальный хостинг.

На что не стоит полагаться, если вы ищите безопасный хостинг:

Некоторые часто употребляемые в рекламных материалах выражения, звучат несколько громче, чем должны бы.

1. "Мы предлагаем надежное защищенное решение для вашего бизнеса"
Не исключено, что люди, говорящие о высокой защищенности сети, знают в этой области не больше вашего.

2. "Наш веб-сервер с поддержкой SSL сделает ваш бизнес безопасным"
SSL (упрощенно) - очень хорошее решение, надежно защищающее данные при передаче. Но оно никак не защищает ни клиентскую машину, ни сервер. Вы можете безопасно передать номер кредитной карточки от клиента в вашу базу данных, и никто не сможет перехватить эти данные в сети, но достаточно сломать веб-сервер, чтобы получить все номера кредиток что хранятся на сервере. Не важно, насколько надежно самое крепкое звено цепи, ведь порвется самое слабое. SSL - безусловный плюс, но это далеко не гарантия безопасности хостинга.

3. "Файрвол ABC надежно защищает сеть от атак хакеров"
В информационной безопасности очень мало универсальных решений, подходящих всем. Чтобы получать максимальную эффективность, от решения, нужно не только купить его, но и правильно настроить и использовать. Файрвол, если он плохо сконфигурирован под конкретную сеть, самим своим присутствием нисколько не повышает безопасность сети. Аналогично можно сказать про большинство составляющих безопасности - операционная система, сетевое оборудование и т.д. Пентаграмма или подкова над дверью сама по себе может быть и защищает от нечистой силы, но логотип производителя такой силой не обладает. Возможно, что файрвол вашего провайдера и на самом деле хорошо сконфигурирован и хорошо выполняет свои задачи (что, кстати, не является абсолютной защитой - безопасность не может быть обеспечена только лишь фильтрацией пакетов), но вышеприведенное утверждение может служить лишь основанием гипотезы об этом, но никак не доказательством.

4. "За 5 лет наша сеть не была взломана"
Хороший показатель (будем надеятся, что это правда). Но 5 лет назад были другие угрозы и другие методы защиты. Если сейчас используются те же 'зарекомендовавшие себя' методы защиты - не факт, что они будут так же полезны как и ранее.

На что следует обратить внимание:
1. Какие сервисы предоставляет провайдер и по какой схеме вы сможете обновлять сайт?

Пожалуй, самое больное место. Большинство простых и популярных протоколов: POP-3, Telnet, FTP и HTTP для авторизации используют нешифрованную передачу имен пользователей и паролей. Иногда тривиально, иногда сложнее, но все равно возможно перехватить передачу этой информации. Сейчас вы пошли скачать почту по pop-3 или посмотреть статистику через http, а через 30 минут хакер, поломавший как-то один из серверов на той же площадке может быть уже поменял вашу титульную страницу. Большинство провайдеров поддерживает обновление по FTP, что очень удобно для пользователей, но совершенно неприемлимо с точки зрения безопасности. Провайдеру невыгодно закрывать обновление по ftp, так как это может лишить его многих клиентов, следовательно, в большинстве случаев с этим придется мириться.

Не стоит полагаться на аргумент, что использование ftp другими клиентами провайдера не влияет на безопасность вашего сайта. Это верно в теории, когда все остальные механизмы защиты существуют и работают идеально, но на практике, после того взломщик узнал пароль одного из пользователей сервера, он обычно получает возможность атаковать локальные уязвимости сервера, а не только сетевые. Больше объектов для атаки - больше риск что один из них сломается.

Лучшим с точки зрения безопасности является доступ для обновления через SSH (и SCP) или SFTP. Существует достаточно бесплатных и удобных реализаций соответствующих клиентских программ под все популярные ОС, так что Вам осталось только выбрать провайдера, позволяющего такой доступ. Для почты желательно настроить форвардинг, чтобы Вам не приходилось забирать ее с далекого сервера (открывая свои пароли всем кто посмотрит), а она сама приходила на ближайший к вам почтовый сервер (например, внутри корпоративной сети или у Вашего dialup провайдера). В этом случае для хакера существует меньше возможности подслушать трафик. Еще одно отличие - Вы можете использовать разные пароли для доступа в хостинговому серверу и к почтовому. Это защитит сайт даже если пароль от почтового сервера станет известным взломщику.

2. Допускается ли использование собственных CGI и PHP программ, и с какими User ID они испольняются?

Если вы используете сервер совместно с другими пользователями, важно, какие полномочия имеют их программы. Если активные компоненты сайта и ваши и других пользователей работают от имени одного и того же пользователя (www-сервера) то системные операции, которые выполняют ваши cgi-шки, могут быть выполнены и вашими 'соседями'. В этом случае тоже не нужно быть супер-хакером чтобы изменить ваши файлы (изменить титульную страничку, дописать в файл продаж, что розовый кадиллак, которыми вы торгуете, нужно доставить по такому-то адресу), достаточно просто купить услугу хостинга у того же ISP или поломать (угадать, прослушать из сети) пароль одного из Ваших "соседей по несчастью".

3. Маршрут исходящей почты и отношение ISP к спаму
Часто от веб-сервера требуется еще и функция отправки исходящей почты. В этом случае имеет смысл узнать у провайдера через какие сервера она уходит из его сети и затем проверить прошлое этих серверов. Если клиенты этого провайдера (или он сам, что тоже порой случается) занимаются рассылкой спама, то велика вероятность того, что после очередной такой рассылки сервер окажется в 'черных списках' и многие почтовые сервера будут автоматически отвергать всю почту идущую с него. Существуют несколько служб поддерживающих реалтайм списки таких спамерских узлов. Имеет смысл посмотреть, числится (числился) ли сервер провайдера в них. Если так - то велик риск что инцидент повторится и потери от него понесете и Вы.

4. Правильно расставленные права доступа к файлам.
Если ваши html странички доступны на запись для всех пользователей сервера, любой из них может совершить deface вашего сайта намеренно или даже случайно. Если внутри файла данных или скрипта хранится какая-то секретная информация (пароль доступа, номер кредитки, ...), следует обратить внимание, чтобы эти файлы были недоступны на чтение другим пользователям сервера и их скриптам (см выше). Кроме того, не забывайте, даже если на одном сервере с вами хостятся только очень хорошие честные люди, это не значит, что поломавший их вломщик будет таким же хорошим по отношению к вам.

В большинстве случаев расставление прав доступа к файлам зависит от самого пользователя, но настройка сервера ISP определяет права доступа по умолчанию.

5. Настройка файрвола
В идеале - не должно быть разрешено ничего, кроме того, что нужно именно вам. Для доступа из мира к www достаточно, чтобы у провайдера были разрешены входящие соединения на 80ый порт сервера. все исходящие запрещены. Если вы обновляете сайт через ssh/scp, нужен еще и открытый 22 порт. Если провайдер предоставляет еще и доступ к сайту через FTP, но вам это не нужно - это больше минус чем плюс - пароль другого пользователя будет рано или поздно (или уже) перехвачен, и взломщик получит привилегии этого пользователя. Это значительно облегчит его задачу по атаке вашего сайта.

6. Контроль за сложностью паролей
Взлом может быть технически очень сложной задачей, а может быть и тривиальной - например угадывание пароля. Существует множество инструментов для взлома 'слабых' паролей, но так же существуют средства позволяющие провайдеру эффективно определять пользователей, с легкоугадываемыми паролями и извещать их об этом, или же просто не позволять выставить слабый пароль.

Ответы на эти достаточно простые вопросы можно узнать самостоятельно или просить у потенциального провайдера, и это будет уже какой-то характеристикой его защищенности. Безусловно, это не все. Например, использование провайдером уязвимого ПО предоставляет очень серьезный риск для всех его клиентов - получивший администраторские права на сервере взомщик может легко 'работать' со всеми сайтами, хостящимися на сервере. Использование провайдером хорошей и правильно настроенной IDS (системы обнаружения вторжений) или систем с mandatory access control значительно повышает защищенность сети, но самостоятельно оценить провайдера в этой области - задача технически гораздо более сложная и для большинства клиентов ISP невыполнимая. Поэтому, если вам нужно один раз выбрать достаточно надежного провайдера - лучше все же найти независимого и технически грамотного специалиста, который бы помог вам в этом.

Ссылки по теме
1.The 7 Top Management Errors that Lead to Computer Security Vulnerabilities
2.Apache suEXEC Support
3.Insecure,ru - nmap - хороший сканер портов (используйте только с согласия админа сканируемой машины)
4.John the Ripper - взломщик слабых паролей
5.Spamcop.net - Spam blocking list