Red Hat Enterprise Linux 3: Guide de sécurité | ||
---|---|---|
Précédent | Chapitre 4. Sécurité du poste de travail | Suivant |
Alors que l'accès des utilisateurs aux contrôles administratifs est un point important pour les administrateurs système au sein d'une société, savoir quels services réseau sont actifs, a une importance vitale pour les personnes installant ou utilisant un système Linux.
De nombreux services sous Red Hat Enterprise Linux se comportent comme des serveurs réseau. Si un service réseau est exécuté sur un ordinateur, une application serveur nommée daemon est en attente de connexions sur un ou plusieurs ports réseau. Chacun de ces serveurs devrait être considéré comme une source potentielle d'agression.
Les services réseau peuvent poser de nombreux risques pour les systèmes Linux. Ci-dessous figure une liste de certains problèmes importants :
Attaques liées au dépassement de la capacité de la mémoire tampon — Les services reliés aux ports allant de 0 à 1023 doivent être exécutés en tant qu'un utilisateur administratif. Si l'application a un débordement de tampon exploitable, un agresseur pourrait s'octroyer l'accès au système en tant qu'utilisateur exécutant le démon. Parce que les débordements de capacité de la mémoire tampon existent, les craqueurs utiliseront des outils automatisés pour identifier les systèmes montrant une certaine vulnérabilité et, une fois l'accès obtenu, utiliseront des rootkits automatisés pour maintenir leur accès au système.
Agression par déni de service (DoS) — En submergeant un service de requêtes, une agression par déni de service peut entraîner un arrêt du système dans la mesure où ce dernier essaie d'enregistrer et de répondre à chaque requête.
Attaques de vulnérabilité de script — Si un serveur utilise des scripts pour exécuter des actions côté serveur, comme le font généralement les serveurs Web, un craqueur peut organiser une attaque en utilisant les faiblesses de scripts mal rédigés. Ces agressions basées sur les vulnérabilités de scripts pourraient entraîner une situation de dépassement de la capacité de la mémoire tampon ou permettre à un agresseur de modifier des fichiers sur le système.
Afin de limiter les possibilités d'attaques sur le réseau, tout service non-utilisé devrait être désactivé.
Afin d'accroître la sécurité, la plupart des services réseau installés avec Red Hat Enterprise Linux sont désactivés par défaut. Il existe néanmoins des exceptions notables :
cupsd — Le serveur d'impression par défaut de Red Hat Enterprise Linux.
lpd — Un autre serveur d'impression.
portmap — Un élément nécessaire de NFS, NIS et autres protocoles RPC.
xinetd — Un super-serveur contrôlant les connexions à un ensemble de sous-serveurs, comme vsftpd, telnet et sgi-fam (qui est nécessaire pour le gestionnaire de fichiers Nautilus).
sendmail — L'agent de transport de courrier de Sendmail est activé par défaut, mais n'est attentif qu'aux connexions venant de localhost.
sshd — Le serveur OpenSSH , qui est un remplaçant sécurisé de Telnet.
Lors de la décision relative à la désactivation ou non de ces services, il est préférable d'utiliser le bon sens et un certain degré de précaution. Par exemple, si vous ne possédez pas d'imprimante, ne laissez pas cupsd en cours d'exécution. Il en est de même pour portmap. Si vous ne montez pas de volumes NFS ou utilisez NIS (le service ypbind), portmap devrait être désactivé.
Red Hat Enterprise Linux est vendu avec trois programmes conçus pour activer et désactiver des services, à savoir l'Outil de configuration des services (redhat-config-services), ntsysv et chkconfig. Pour de plus amples informations sur l'utilisation de ces outils, consultez le chapitre intitulé Contrôle de l'accès aux services du Guide d'administration système de Red Hat Enterprise Linux.
Si vous n'êtes pas certain du but d'un certain service, l'Outil de configuration des services illustré dans la Figure 4-3 peut être utile, car il dispose d'un champ de description.
Néanmoins, il n'est pas suffisant de vérifier et identifier quels services réseau sont disponibles et prêts à être lancés au démarrage. De bons administrateurs système devraient également vérifier quels ports sont ouverts et en attente de requêtes. Consultez la Section 5.8 pour obtenir de plus amples informations sur le sujet.
Tout service réseau est potentiellement vulnérable au niveau sécurité. Telle est la raison pour laquelle la désactivation de services non-utilisés est une mesure de protection importante. Les différentes exploitations de services sont identifiées et corrigées régulièrement . Il est donc important de mettre à jour régulièrement les paquetages associés à tout service réseau. Consultez le Chapitre 3 pour obtenir de plus amples informations sur le sujet.
Certains protocoles réseau sont par nature plus vulnérables au niveau sécurité que d'autres. Dans cette situation figurent également tous les services effectuant les opérations suivantes :
Transmission non-cryptée de noms d'utilisateur et de mots de passe à travers un réseau — De nombreux protocoles relativement anciens, tels que Telnet et FTP, ne cryptent pas la session d'authentification et leur utilisation devraient donc être évitée autant que possible.
Transmission non-cryptée de données confidentielles à travers un réseau — De nombreux protocoles transmettent des données de façon non cryptée sur un réseau. Ceux-ci incluent Telnet, HTTP et SMTP. De nombreux systèmes de fichiers, tels que NFS et SMB, transmettent également des informations sur le réseau sans les crypter. Lors de l'utilisation de ces protocoles, il incombe à l'utilisateur de limiter le type de données transmis.
En outre, les services de vidage de mémoire à distance, comme netdump, transmettent sur le réseau de manière non-cryptée le contenu de la mémoire. Les vidages de mémoire peuvent contenir des mots de passe ou, pire encore, des entrées de bases de données et toutes autres informations confidentielles.
D'autres services tels que finger et rwhod fournissent des informations sur les utilisateurs du système.
Parmi les services non-sécurisés par nature figurent :
rlogin
rsh
telnet
vsftpd
Il est recommandé d'éviter tous les programmes de connexion à distance et de shell (rlogin, rsh et telnet) au profit de SSH (consultez la Section 4.7 pour obtenir de plus amples informations sur sshd).
FTP, en tant que shells distants, n'est pas par nature dangereux au niveau de la sécurité du système, mais les serveurs FTP doivent être méticuleusement configurés et surveillés afin d'éviter tout problème. Consultez la Section 5.6 pour obtenir de plus amples informations sur la sécurisation de serveurs FTP.
Parmi les services devant être implémentés avec précaution et devant se trouver derrière un pare-feu figurent :
finger
identd
netdump
netdump-server
nfs
portmap
rwhod
sendmail
smb (Samba)
yppasswdd
ypserv
ypxfrd
Le Chapitre 5 contient de plus amples informations sur la sécurisation de services réseau.
La section suivante examine les outils disponibles pour mettre en place un pare-feu élémentaire..
Précédent | Sommaire | Suivant |
Contrôles administratifs | Niveau supérieur | Pare-feu personnels |