базовый иммунитет

ЕКАТЕРИНА ДЕРБЕНЦЕВА

Спецвыпуск: Хакер, номер #066, стр. 066-014-3

пример расчета

ОБЪЕМ БД — 10 ГБ (СРЕДНИЙ РАЗМЕР БД В КОРПОРАТИВНОЙ СЕТИ).

СКОРОСТЬ КАНАЛА «ИЗ СЕТИ» — 1,5 МБ.

СКОРОСТЬ ПЕРЕДАЧИ ИНФОРМАЦИИ ПО КАНАЛУ — ПРИМЕРНО 400 КБ/С.

ПРИМЕРНОЕ СНИЖЕНИЕ ПРОПУСКНОЙ СПОСОБНОСТИ КАНАЛА ИЗ-ЗА ЕГО ЗАГРУЗКИ ПЛЮС ВОЗМОЖНЫЕ РАБОТЫ И ПРОСТОИ — 50%.

ТАКИМ ОБРАЗОМ, КОНЕЧНАЯ СКОРОСТЬ, С КОТОРОЙ ДАННЫЕ БУДУТ КАЧАТЬСЯ ПО СЕТИ, СОСТАВЛЯЕТ ПРИМЕРНО 200 КБ/С. ВРЕМЯ, НЕОБХОДИМОЕ ДЛЯ ВЫКАЧИВАНИЯ ДАННЫХ ИЗ БАЗЫ, — ОКОЛО 15-ТИ ЧАСОВ.

ТРУДНО ПРЕДПОЛОЖИТЬ, ЧТО ЗА ЭТО ВРЕМЯ АДМИНИСТРАТОР НЕ ОБРАТИТ ВНИМАНИЯ НА ПОСТОЯННУЮ ВЫСОКУЮ ЗАГРУЖЕННОСТЬ КАНАЛА И НЕ ПРИМЕТ СООТВЕТСТВУЮЩИЕ МЕРЫ.

[уязвимости], которыми могут воспользоваться легальные пользователи в Сети:

— ошибки разграничения доступа;

— ошибки синтаксиса;

— пароли по умолчанию.

[пример] Злоумышленник (обиженный или просто любопытный пользователь) просканировал Сеть любым из доступных сетевых сканеров. Он обнаруживает сервер БД, пытается загрузить на него такую утилиту, как NetCat, при помощи техники SQL-инъекции (загрузка бинарного файла).

Далее NetCat используется для прослушивания входящих соединений на порту службы telnet. Если подключение прошло успешно, запускается cmd.exe.

После того как подключение по telnet будет реализовано, пользователь получит доступ к командной строке атакуемой машины и администраторские привилегии.

как защититься

ОПЯТЬ ЖЕ, ПРОВЕСТИ АУДИТ ПОДКЛЮЧЕНИЙ К СУБД — ПОДОБНАЯ АКТИВНОСТЬ БУДЕТ ВОВРЕМЯ ОБНАРУЖЕНА.

[неверно разграниченные права] доступа пользователей к таблицам базы породят самые разные злоупотребления — и случайные, и преднамеренные. К примеру, таблица с ролями пользователей и идентификаторами этих ролей оказывается доступна любому из пользователей базы. В худшем случае станет доступным еще и внесение изменений в нее. Таким образом, пользователь может заменить идентификатор для своего имени на соответствующий администраторскому и подключиться к базе данных уже с расширенными полномочиями.

[имя/пароль по умолчанию] Сейчас в критичных БД пары имя/пароль, оставленные по умолчанию, — почти атавизм. Однако в не критичных ресурсах (а иногда просто в оставленных без внимания) эти пары могут сослужить свою службу злоумышленнику: проникаешь во внутреннюю сеть, затем выбираешь как цель более привлекательный ресурс в Сети.

[по умолчанию любая СУБД], как правило, запускается как локальная система, обладающая системными правами. Запуск СУБД с правами локальной системы может также сработать как уязвимость. Если злоумышленник подключится к базе напрямую, через Enterprise Manager, SQLPlus или аналогичные средства, он получит в СУБД системные права.

как защититься

ТЩАТЕЛЬНО ПОДХОДИТЬ К ЭТАПУ ПРОЕКТИРОВАНИЯ СУБД И РАБОТАМ ПО РАЗГРАНИЧЕНИЮ ДОСТУПА. НЕ РАЗРЕШАТЬ ЗАПУСК СУБД С ПРАВАМИ ЛОКАЛЬНОЙ СИСТЕМЫ, РАЗРЕШИТЬ ЗАПУСК ТОЛЬКО ОТ ИМЕНИ СПЕЦИАЛЬНО СОЗДАННОЙ УЧЕТНОЙ ЗАПИСИ, С ОГРАНИЧЕННЫМИ ПРАВАМИ. НЕ ОСТАВЛЯТЬ ПАРОЛИ И УЧЕТНЫЕ ЗАПИСИ ПО УМОЛЧАНИЮ И Т.Д.