книги хакеры / журнал хакер / 178_Optimized

SYN/ACK

рительно заданных категорий. Это можно использовать в политиках безопасности. Также нельзя не упомянуть модуль идентификаторов IDID. По своему принципу он похож на поиск информации по шаблону, но за счет возможности ввода дополнительных условий позволяет существенно снизить количество ложных срабатываний. Еще один интересный инструмент — поиск документов или их частей по цифровым отпечаткам. Причем речь идет о текстовых, табличных и даже графических инструментах (с его помощью можно реализовать, к примеру, поиск печатей).

С контролем локальных каналов передачи данных у комплекса «Дозор-Джет» дела обстоят несколько хуже. Дело в том, что до последней версии в продукте не было собственного модуля для этого, была лишь возможность интеграции с решениями других разработчиков. В последней, пятой версии ситуация изменилась. В ней появился модуль контроля рабочих станций. Его основной задачей является теневое копирование файлов, записываемых на съемные накопители. Причем речь идет именно о накопителях, то есть контролировать порты и управлять доступом к разным устройствам с помощью данного решения не получится. Кроме того, в системе отсутствует возможность управления доступом в зависимости от содержимого файлов.

Агенты могут перехватывать зашифрованный трафик, передающийся по протоколу HTTPS, перехватывать и сохранять переписку и голосовые звонки, совершаемые с помощью Skype и Mail.Ru Agent, делать теневое копирование отправляемых на печать документов и файлов, помещаемых в облачные хранилища (например, Dropbox, Яндекс.Диск и тому подобное). Но и это еще не все. В данном модуле реализованы некоторые возможности для контроля пользователей. В частности, с его помощью можно осуществлять мониторинг копируемой в буфер обмена информации и автоматически создавать скриншоты рабочего стола. Это позволяет достоверно выяснить, чем занимаются сотрудники в рабочее время на своих компьютерах.

Еще один модуль, реализованный в комплексе «Дозор-Джет», предназначен для инспектирования локальных ресурсов организации с целью поиска на них конфиденциальной информации. Как мы уже говорили, это важный компонент системы защиты от утечек данных, поскольку позволяет обнаружить факты их несанкционированного хранения в тех местах, где с ними могут ознакомиться лица без нужного допуска. При поиске конфиденциальной информации могут использоваться все инструменты, применяемые для анализа сетевого трафика.

Управление всей системой осуществляется с помощью единой консоли, кстати, сильно переработанной в последней версии. Она стала значительно более удобной, а информацию можно просматривать в наглядной форме. В целом можно сказать, что «Дозор-Джет» показывает очень хорошие результаты по контролю сетевых каналов связи за счет широкого набора инструментов анализа и действительно высокой производительности, которая делает возможным его применение практически в любых по величине организациях.

Самая надежная противоугонка

ZECURION DLP

Контроль сетевых каналов Контроль локальных каналов Поиск конфиденциальной информации в сети

Zlock: настройка политики контроля файлов по типу

Zgate: настройка режима контроля веб-каналов

Zgate: выбор действия

SYN/ACK

Скатерть-самобранка

ВВЕДЕНИЕ

Как правило, на один-два компьютера Linux устанавливают вручную. Однако для большего числа компьютеров это неэффективно — слишком уж много времени уходит на развертывание и настройку необходимых параметров. Есть несколько способов, которые помогут эту процедуру упростить.

• Клонирование итоговой установки одного компьютера на несколько дисков с помощью dd/Clonezilla. Плюс у этого метода очевиден — он универсален и не надо заморачиваться с изучением дистроспецифичных методов развертывания. Минусы, тем не менее, тоже имеют место. Во-первых, конфигурация железа должна совпадать. Вовторых, при клонировании мы получаем абсолютно точную копию системы — копируются в том числе пароли/SSHключи. В случае компрометации одной системы будут скомпрометированы и все остальные.

•Клонирование по сети. Преимущество перед первым методом — не надо отключать и подключать к клонируемой системе жесткие диски или бегать с флешкой, содержащей клонируемый образ, что для большого числа компьютеров довольно монотонно и смысла не имеет. Минус же, помимо тех, что у предыдущего способа, — сеть может отвалиться, что приведет к простою в развертывании. Впрочем, время простоя всяко меньше, чем если бы устанавливали вручную.

•Наконец, дистроспецифичные методы. Плюсы — возможно установить по сети, в том числе используя PXE, возможность гибкой конфигурации (в случае разных классов компьютеров, например компы для офиса, компы разработчиков, сервер) — для этого необходимо указать другой файл конфигурации, различие данных, которые клонироваться не должны. Минусы — для каждого дистрибутива способ развертывания свой и синтаксис конфигурационных файлов, соответственно, разный.

Вэтой статье мы рассмотрим третий метод для RHEL/Fedora и Debian/Ubuntu — эти дистрибутивы, в общем-то, самые распространенные в корпоративной среде, и в них предусмотрены средства автоматизации развертывания.

РАЗВЕРТЫВАНИЕ FEDORA/RHEL С ПОМОЩЬЮ KICKSTART

Средство автоматической установки kickstart в Red Hat появилось очень давно — во всяком случае, в Red Hat Linux 6.2 (не Enterprise!) оно уже присутствовало. Существует три способа создания конфигурационного файла, и их можно комбинировать:

•использовать готовый файл, который создается по завершении каждой установки дистрибутивов, основанных на RHEL/Debian;

•использовать графический инструмент system-config- kickstart;

•наконец, написать ручками.

Самым правильным будет комбинирование всех трех способов, но далее я опишу только структуру и конфиг — не весь, конечно, а только наиболее важные его части.

Структура конфигурационного файла kickstart и пример

Условно можно выделить следующие части конфигурационного файла kickstart:

•тип инсталляции: установка или обновление;

•выбор языка и раскладки клавиатуры;

•аутентификация;

•конфигурация загрузчика;

•разбиение на разделы;

•наборы пакетов;

•постинсталляционные действия.

Пример конфига kickstart (anaconda-ks.cfg) с комментариями:

#Устанавливаем с CD/DVD install

cdrom

#Конфигурация языка и клавиатуры lang ru_RU.UTF-8

keyboard us

#Конфигурация сети — используется eth0, адрес

#IPv4 получаем по DHCP

network --onboot=yes --device=eth0 --ACTIVATE --bootproto=dhcp --noipv6

# Пароль root. В данном примере — 12345

rootpw --iscrypted $6$tl/40ovclGKvu.em$ozESAVNB RlVVT61DxUpnu72XMAHdDEFv1eOKg9ip9yvbA9a6GkRJi0Oi SlMhq8FBtRlF5oi1irV4EInTb7HLo1

#Брандмауэр. Разрешаем доступ к машине по SSH,

#все остальные входящие подключения запрещаем

firewall --service=ssh

#Пароли хранятся в файле /etc/shadow, алгоритм

#хеширования — SHA-512

authconfig --enableshadow --passalgo=sha512

#Временная зона timezone Asia/Omsk

#Конфигурация загрузчика. Ставим в MBR,

#а в качестве параметров ядра передаем строку

#через опцию --append

bootloader --location=mbr --driveorder=sda --append="crashkernel=auto rhgb quiet"

#Отключаем постинсталляционную настройку

firstboot --disable

#Разметка диска (исключительно для примера) clearpart --all --drives=disk/by-path/pci-0000: 00:10.0-scsi-0:0:0:0 --initlabel

part --ondisk=disk/by-path/pci-0000:00:10.0-scsi- 0:0:0:0 /boot --fstype=ext2 --label=boot --asprimary --size=128

Роман Ярыженко rommanio@yandex.ru

Графическая утилита для создания файлов kickstart

Хеширование пароля

SYN/ACK

Поскольку разбиение дисков довольно сложная тема, имеет смысл привести фрагмент файла kickstart, где описан вариант создания массива RAID 5 с одним запасным устройством, поверх которого создан LVM:

#Создаем массив RAID 5 с одним резервным диском,

#поверх которого будет создан физический том LVM raid pv.01 --device=md0 --level=5 --spares=1 raid.01 raid.02 raid.03 raid.04

#Создаем группу томов LVM и уже поверх нее

#создаем сами тома

volgroup sysvg pv.01

Запуск автоматической установки

Для того чтобы передать установщику, что процедура установки должна производиться с помощью kickstart, нужно указать местонахождение файла kickstart. Для этого используется опция ks=, передаваемая при загрузке с установочного носителя. Варианты местоположения могут быть следующими:

•Какой-либо накопитель. Указывается так: hd:<имя нако-

пителя>:/ks.cfg. Например, ks=hd:sda1:/ks.cfg. Также допустимо размещение на CD/DVD ks=cdrom:/ks.cfg, что, впрочем, имеет смысл только в случае самосборного образа.

•NFS. В данном случае указывается через nfs:<имя сервера>:/<путь к файлу ks.cfg>.

•HTTP/HTTPS. ks=http://192.168.0.1/ks.cfg.

Инфраструктура для развертывания виртуальных машин

Kickstart можно использовать и для развертывания ВМ. Далее я опишу их развертывание на примере VirtualBox и Scientific Linux.

Создаем VM из командной строки:

Скатерть-самобранка

$ VM="SciLinux6"

$ VBoxManage createvm --name "${VM}" --ostype

"RedHat" --register

Создаем диски:

$ VBoxManage createhd --filename

"VirtualBox/${VM}/${VM}.vdi" --size 32768

$ VBoxManage storagectl "${VM}" --name "SATA

Controller" --add sata --controller IntelAHCI

$ VBoxManage storageattach "${VM}" --storagectl

"SATA Controller" --port 0 --device 0 --type

hdd --medium "VirtualBox/${VM}/${VM}.vdi"

512 Мб — минимальный объем памяти, необходимый для установки Scientific Linux:

$ VBoxManage modifyvm "${VM}" --memory 512

Изменяем тип сетевого адаптера — тот адаптер, который стоит по умолчанию, не поддерживает загрузку по сети:

$ VBoxManage modifyvm "${VM}" --nictype1 Am79C973

Установим порядок загрузки:

$ VBoxManage modifyvm "${VM}" --boot1 disk

--boot2 net --boot3 none --boot4 none

Не станем рассматривать процесс конфигурирования TFTP. Конфиг pxelinux.cfg/default будет выглядеть следующим образом:

LABEL sl64

KERNEL /sl64/vmlinuz

APPEND initrd=/sl64/initrd.img

ks=http://10.0.2.2/ks-vm.cfg

Изменения в файле ks-vm.cfg минимальны:

install

url --url=http://10.0.2.2/sl64

PRESEED В UBUNTU

В системах на основе Debian есть свое средство автоматизации установки под названием preseed. Существует три способа загрузки файла с заданными параметрами установки:

•файл в initrd (наиболее сложный способ);

•файл на самосборном CD или флешке;

•по сети.

Впоследнем случае необходимо указать как файл, так и его MD5-сумму. Опишем кратко, как грузить файл по сети, а затем

создадим самосборный CD со своим файлом preseed. Для загрузки файла по сети в параметрах загрузчика необходимо указать параметр preseed/url=, который можно сократить до url=. Файл рекомендую размещать на внутреннем веб-сервере. Конечный набор параметров будет выглядеть примерно так:

###unpack.sh — скрипт для распаковки образа

#!/bin/bash

BUILD=iso IMAGE=$1

TMPDIR="$(mktemp -d)" rm -rf $BUILD/

mkdir $BUILD/

# Монтируем образ и копируем файлы sudo mount -o loop $IMAGE $TMPDIR/ rsync -av $TMPDIR/ $BUILD/

chmod -R u+w $BUILD/

# Подчищаем

sudo umount $TMPDIR rmdir $TMPDIR

###pack.sh — скрипт для упаковки образа

#!/bin/bash IMAGE=$1 BUILD=iso

# Вычисляем контрольные суммы rm $BUILD/md5sum.txt

(cd $BUILD/ && find . -type f -print0 | xargs -0 md5sum | grep -v "boot.cat" | grep -v "md5sum.txt" > md5sum.txt)

# Запаковываем содержимое iso/ в образ mkisofs -r -V "Ubuntu OEM install" -cache-inodes -J -l -b isolinux/isolinux.bin -c isolinux/boot.cat -no-emul-boot -boot-load-size 4 -boot-info-table -o $IMAGE $BUILD/

Ну а теперь самое время перейти к описанию файла preseed.cfg.

SYN/ACK

preseed.cfg — структура и пример

d-i passwd/user-password-crypted password

$6$JZPLyQ9Qx/1$JE9Vk25Ttm4cNiz1/huQ..2xARrB4RrFiF WTXIkk1ojW5dDN5fIisHXUx9Zl.ewceLUQ1Ebw4WPUZvtIVct

Ud1

d-i user-setup/allow-password-weak boolean true

d-i user-setup/encrypt-home boolean false

#Разбиение диска. Выбираем автоматическое d-i partman-auto/disk string /dev/sda

d-i partman-auto/method string regular partman-auto partman-auto/init_automatically_ partition select Guided - use entire disk

partman-auto partman-auto/automatically_partition select

d-i partman-auto/purge_lvm_from_device boolean true d-i partman/confirm_write_new_label boolean true d-i partman/choose_partition select finish

d-i partman/confirm boolean true

d-i partman/confirm_nooverwrite boolean true

#Загрузчик

d-i grub-installer/only_debian boolean true

d-i grub-installer/with_other_os boolean true

# Настройка репозиториев

d-i apt-setup/restricted boolean true

d-i apt-setup/universe boolean true

#<...>

#Перезагрузка

d-i finish-install/reboot_in_progress note

Для проверки соответствия формату можно использовать команду

$ debconf-set-selections -c preseed.cfg

Чтобы установка была полностью автоматической, необходимо также задать некоторые параметры загрузки — поскольку не все параметры debconf могут быть прочтены установщиком из preseed-файла на ранних стадиях загрузки. Параметры могут дублировать аналогичные строки в файле preseed. Для этого необходимо в распакованном ISO-образе отредактировать файл isolinux/txt.cfg, добавив в него новый пункт меню. У меня получилось примерно следующее:

label oem-install

menu label ^OEM install

kernel /install/vmlinuz

append file=/cdrom/preseed/oem.seed debian-

installer/locale=ru_RU.UTF-8 keyboard-

configuration/modelcode=SKIP keyboard- configuration/layout=Russian keyboard-configuration/ variant=Russian console-setup/toggle=Ctrl+Shift

initrd=/install/initrd.gz quiet --

В случае если тебе нужна полностью автоматическая загрузка, измени default install на default oem-install.

СОЗДАНИЕ ХЕШЕЙ ПАРОЛЕЙ

Для хеширования паролей можно использовать несколько методов. Наиболее универсальный из них — применение следующего скрипта-одно- строчника:

$ perl -e 'print crypt("password",

q($6$salt$)), "\n";'

Вместо password необходимо задать свой пароль, а вместо salt — случайный набор символов. Результатом будет хеш по алгоритму SHA-512, о чем говорит цифра 6 между знаками доллара (если хочется использовать SHA-256 — используй 5, если MD5 — 1).

UDPCAST — РАССЫЛАЕМ ФАЙЛЫ ПО СЕТИ

Утилита UDPCast предназначена для одновременной рассылки файлов в локальной сети, для чего используется multicast-рассылка. Эта утилита может быть использована для клонирования систем. Вкратце опишу основные шаги для клонирования:

•На один компьютер устанавливаем ОС, которая затем будет клонирована.

•Подготавливаем флешку с UDPCast (bit.ly/17CLgdK).

•Все компьютеры — и клонируемый, и чистые — подключаем к сети. Рекомендуется использовать DHCP.

•Загружаем клонируемый компьютер с флешки. При этом выбираем клонируемое устройство, а UDPCast переводим в режим передатчика (sender).

•С этой же флешки загружаются все остальные машины, но вместо режима передатчика нужно выбрать режим приемника (receiver) — при этом на экране машины-передатчика видно, как к ней подключаются приемники.

•После загрузки всех приемников для запуска процесса клонирования нужно нажать пробел на передатчике.

Скатерть-самобранка

Запаковываем образ и, по необходимости записав его на диск, загружаемся с него.

Обновление Debian до новой версии с помощью preseed

Существует возможность обновить свежеустановленный дистрибутив со старой ветки до новой, используя firstboot-скрипт. Для этого необходимо иметь, во-первых, в локальной сети вебсервер, с которого скрипты будут загружаться, а во-вторых, сами скрипты и немного подправленный файл preseed. В последнем необходима примерно такая строка:

d-i preseed/late_command string chroot /target

sh -c "/usr/bin/curl -o /tmp/postinstall http://

webserver/postinstall && /bin/sh -x /tmp/postinstall"

Скрипт же postinstall содержит следующее:

#!/bin/sh

# Скачиваем firstboot-скрипт

/usr/bin/curl -o /root/firstboot http://webserver/

firstboot

chmod +x /root/firstboot

#Создаем init-скрипт, который выполняет firstboot-

#скрипт. Разумеется, это будет работать только

#при классическом /sbin/init, но никак

#не при новых системах инициализации

#Required-Start: $networking

#Required-Stop: $networking

#Default-Start: 2 3 4 5

# Default-Stop: 0 1 6

#Short-Description: A script that runs once

#Description: A script that runs once

### END INIT INFO

cd /root ; /usr/bin/nohup sh -x /root/firstboot &

EOF

chmod +x /etc/init.d/firstboot

update-rc.d firstboot defaults

echo "finished postinst"

А вот собственно и сам скрипт firstboot — в него можно записать что угодно, но ниже будет рассмотрен только скрипт обновления до Wheezy.

#!/bin/sh

#Задержка необходима, поскольку это первый

#запуск — некоторые службы еще не инициализированы

#как следует

sleep 30

# Добавляем новый репозиторий apt-get