Hack-FAQ

SideX (hack-faq@real.xakep.ru)

Хакер, номер #087, стр. 087-062-3

Q: Может ли rootkit быть записан в BIOS?

A: Все помнят вирус Чернобыль (CIH) 1998 года? Кто помнит, тот вопроса не задаст, так как перепрограммированием биоса можно творить чудеса. Для управления Advanced Configuration and Power Interface используется свой высокоуровневый язык, на котором можно написать тот же самый руткит. В дальнейшем программка будет храниться в памяти BIOS’a. Пока готовых образцов я не видел, но security-эксперты сходятся во мнении, что это лишь вопрос времен, причем недалекого. Самые современные мамки поддерживают работу с ACPI Machine Language (AML) и ACPI Source Language (ASL), которые раскрывают еще большие горизонты для написания софта, управляющего железом системы. Серьезным тормозом для распространения темы остаются jumper’ы, которые нужно физически двигать перед перепрошивкой. Сам по себе руткит не причинит большого вреда, если он, конечно, не взаимодействует с операционкой, а именно туда ему надо будет передать дальнейшие команды. Передача же может быть осуществлена без особых проблем на самые разные системы – руткит будет легко портироваться под любую Ось.

Q: Какие базовые шаги я могу предпринять по обеспечению безопасности своего FTP-серванта под Виндой?

A: Не ставить этот сервер под Win :). Если же альтернативные решения оказываются недоступны, то могу предложить последующие простые, но эффективные меры. Не вводи FTP в домен, оставь его в рабочей группе. Не стоит поднимать FTP на машине, где уже крутится контроллер домена или Exchange. Запрети анонимный доступ; причины вполне очевидны. Корень сервера направь на партицию диска, отличную от той, где стоит ОС. Проверь, включена ли политика блокировки аккаунтов (Lockout policy). Так ты предотвратишь атаку грубой силой, когда какер будет пытаться подобрать пароль; после тройки неудачных попыток логин будет заблокирован на некоторое время. Постарайся оставить доступ только с надежных хостов, которыми пользуются лишь законные юзеры; в том поможет TCP wrappers. Не стоит логиниться на свой сервер с непроверенных машин и сетей, так как тамошняя клава может мониториться, а трафик снифаться... После подобных «внебрачных связей» со своим FTP обязательно меняй пароли. Тему надежных паролей даже не стану обсуждать.

Q: Нас попалили при похищении БД с американского сервера. Тамошние админы пугают судом по американским законам. Чего нам там пришить могут?

A: Стоит помнить, что американские законы не распространяются на судебные разбирательства в Отечестве. Они могут быть использованы как идея, подсказка о возможном решении, но не более того. Другое дело, если очень захочется покататься на горках Диснейленда или сфотографироваться у Статуи Свободы. Тогда после пересечения границы можно отправиться в места, по американским меркам, неотдаленные. Законов по ИТ там тьма-тьмущая, в отличие от неуклюжего российского УК. Однако львиная доля подобных дел решается с Computer Misuse Act 1990 c.18 (Акт компьютерных преступлений/злоупотреблений, глава 18), который описывает 1)неправомерный доступ к компьютерным материалам, 2)неправомерный доступ с намерением нанесения дальнейшего ущерба, 3)подмена и модификация материалов.