Diferència entre revisions de la pàgina «UF1-NF1. Control d'accés»

De Wiki IES Marianao. Departament Informàtica
Dreceres ràpides: navegació, cerca
(→‎Registres (Log))
(→‎Exemple Autenticació. Contrasenyes)
 
(Hi ha 42 revisions intermèdies del mateix usuari que no es mostren)
Línia 27: Línia 27:
  
 
En certs casos els permisos es poden associar a ubicacions (localització) físiques (davant un cert terminal només) o lògiques (IP o xarxa concreta), o també a horaris.
 
En certs casos els permisos es poden associar a ubicacions (localització) físiques (davant un cert terminal només) o lògiques (IP o xarxa concreta), o també a horaris.
 +
 +
===  Exemple Autenticació. Contrasenyes ===
 +
 +
 +
Les contrasenyes són un dels principals mecanismes per evitar accessos no autoritzats. Es tracta d'un conjunt de caràcters coneguts només per l'usuari (secrets).
 +
 +
Les contrasenyes d'un sistema es regulen a través de la '''política de contrasenyes''' que especifica normes respecte:
 +
*El contingut i el format
 +
*La protecció
 +
*La freqüència de renovació
 +
*El procediment per a canviar-la
 +
 +
 +
Contrasenyes febles:
 +
* Curtes (menys de 8 caràcters).
 +
* Dades personals.
 +
* Patrons (1234).
 +
* És una paraula de diccionari.
 +
 +
Contrasenyes robustes
 +
* No és feble i
 +
* Conté majúscules i minúscules.
 +
* Barreja números i lletres
 +
 +
 +
Les normes bàsiques de protecció de les contrasenyes són:
 +
* No escriure mai la contrasenya en un correu electrònic.
 +
* No dir la contrasenya per telèfon a ningú.
 +
* No dir la contrasenya als companys d’empresa ni que siguin superiors directes.
 +
* No parlar sobre les contrasenyes davant d’altres persones.
 +
* No posar pistes de la contrasenya per fer-la més fàcil de recordar i alhora d’esbrinar.
 +
* No escriure mai la contrasenya en formularis ni que siguin formularis del departament de seguretat.
 +
* No dir la contrasenya a amics ni familiars.
 +
* No dir a ningú la contrasenya quan es marxa de vacances.
 +
* No escriure en cap paper la contrasenya per si de cas s’oblida.
 +
* Canviar la contrasenya cada sis mesos com a mínim.
  
  
−
===  Exemple Autenticació. Contrasenyes ===
+
Comprovació fortalesa contrasenyes: http://www.passwordmeter.com/
 +
 
 +
 
 +
Les contrasenyes poden ser atacades de múltiples maneres per exemple
 +
* Tècniques d'enginyeria social en els fraus informàtics com el Phishing on el propi usuari la revela.
 +
* Programari de força bruta, per exemple '''john de ripper''' (http://www.openwall.com/john/).
 +
* Programari que permet modificar-la, per exemple
 +
** System rescue http://www.sysresccd.org/SystemRescueCd_Homepage
 +
** '''CiaCommander''' [[Media: CiaCommander.iso]]
 +
 
 +
 
 +
Estimació temporal: https://www.grc.com/haystack.htm
 +
 
 +
=== Gestió usuaris i grups a Unix ===
 +
 
 +
Fitxer que conté informació dels usuaris
 +
/etc/passwd
 +
 
 +
Fitxer que conté les claus (codificades) dels usuaris
 +
/etc/shadow
 +
 
 +
Fitxer amb informació dels grups. Per defecte és obligatori un grup principal.
 +
/etc/group
 +
 
 +
 
 +
Comandes de gestió d'usuaris i grups
 +
 
 +
deluser, delgroup  vs  userdel, groupdel
 +
 
 +
adduser, addgroup  vs  useradd, groupadd and usermod
 +
 
 +
 
 +
Per exemple
 +
'''adduser, addgroup''' : 5 modes, afegir usuari normal (uid > 1000), de sistema (uid < 1000, apps., serveis, dimonis), afegir grup normal o de sistema, afegir usuari existent a un grup existent
 +
 
 +
 
 +
Altres comandes
 +
 
 +
$password usuari
 +
 
 +
$id usuari
 +
 
 +
$groups usuari
 +
 
 +
$finger usuari
 +
 
 +
=== Tipus de Control d'accés ===
  
−
Establiment de polítiques de contrasenyes
 
  
−
Les contrasenyes són el mètode més estès per impedir accessos no autoritzats
+
DAC - Discretionary access control. Permet establir els permisos a objectes del sistema a usuaris o grups, i els aquests en certes circumstàncies poden transferir els permisos a altres. Estableix un nivell de seguretat a molt baix nivell. S'implementa amb ACL's, llistes de control d'accés. Exemples són l'estructura de permisos de fitxers dels Sistemes Operatius.
−
vers sistemes o continguts dins un sistema
 
  
 +
http://en.wikipedia.org/wiki/DACL
  
−
Una contrasenya no és més que un conjunt de caràcters secrets que
+
MAC - Mandatory access control. És un control més sofisticat que el DAC, funciona a un nivell més alt (operacions), la validació és centralitzada i pot funcionar amb múltiples nivells i establir diferents polítiques en funció del context (nivell). En principi permet a l'administrador definir polítiques globals del Sistema (no concretes com a DAC) que els usuaris no poden modificar. Es pot pensar per exemple en la gestió de polítiques de seguretat dels Sistemes Windows però aplicat a l'accés a objectes.
−
s’utilitzen com a procés d’autenticació.
 
  
−
Una política de contrasenyes és un document que regula quines són
 
−
les normes de creació de les contrasenyes, les normes de protecció
 
−
de les contrasenyes i la freqüència de renovació de les contrasenyes.
 
  
 +
http://en.wikipedia.org/wiki/Mandatory_access_control
  
−
Les contrasenyes es consideren febles si compleixen alguna d’aquestes característiques:
 
−
• Tenen menys de 10 caràcters.
 
−
• La contrasenya és una paraula que apareix en algun diccionari (sigui de
 
−
l’idioma que sigui).
 
−
• La contrasenya és el nom d’algun familiar, amic, company de treball,
 
−
mascota, personatge famós...
 
−
• La contrasenya és alguna dada personal com la data de naixement,
 
−
adreça postal on es viu...
 
−
• La contrasenya segueix algun patró numèric o alfanumèric com
 
−
aaabbb, 1234, qwerty...
 
−
Per tal que una contrasenya es consideri robusta ha de complir les característiques
 
−
següents:
 
−
• Contenir tant majúscules com minúscules.
 
−
• Tenir text, valors numèrics i alfanumèrics.
 
−
• Tenir com a mínim 10 caràcters de longitud.
 
−
• No ha d’aparèixer a cap diccionari.
 
−
• No s’ha de basar en informació personal.
 
  
 +
RBAC - Role-based access control
  
−
La política de contrasenyes ha d’establir de quina manera els usuaris han
 
−
de protegir les contrasenyes i aplicar les regles. Les normes bàsiques de
 
−
protecció de les contrasenyes són:
 
−
• No escriure mai la contrasenya en un correu electrònic.
 
−
• No dir la contrasenya per telèfon a ningú.
 
−
• No dir la contrasenya als companys d’empresa ni que siguin superiors
 
−
directes.
 
−
• No parlar sobre les contrasenyes davant d’altres persones.
 
−
• No posar pistes de la contrasenya per fer-la més fàcil de recordar i alhora
 
−
d’esbrinar.
 
−
• No escriure mai la contrasenya en formularis ni que siguin formularis
 
−
del departament de seguretat.
 
−
• No dir la contrasenya a amics ni familiars.
 
−
• No dir a ningú la contrasenya quan es marxa de vacances.
 
−
• No escriure en cap paper la contrasenya per si de cas s’oblida.
 
−
• Canviar la contrasenya cada sis mesos com a mínim.
 
  
 +
http://en.wikipedia.org/wiki/Role-based_access_control
  
−
Atacs:
 
−
* Phishing ???
 
−
* tècniques d'enginyeria social en els fraus informàtics.
 
−
* Programari: john de ripper,
 
  
  
Línia 91: Línia 134:
  
  
−
LEs llistes de control d'accés (ACL'S) http://en.wikipedia.org/wiki/Access_control_list
+
Les llistes de control d'accés (ACL'S) són mecanismes molt estesos que permeten definir quins subjectes tenen accés a quins objectes i amb quins drets o permisos. En general contenen més d'un permís per això s'anomenen llistes.
 +
  
 +
http://en.wikipedia.org/wiki/Access_control_list
  
−
Objecte -> Què? Recurs, fitxer, accés a la xarxa...
 
−
Subjecte -> Qui? Usuari, procés
 
−
Dret -> Si o no? permès, impedit, llegir, escriure, executar...
 
  
 +
*L'objecte -> Què? Recurs, fitxer, accés a la xarxa...
 +
*El subjecte -> Qui? Usuari, procés
 +
*Dret -> Si o no? permès, impedit, llegir, escriure, executar...
  
  
Línia 106: Línia 151:
  
  
−
NTFS
+
==== NTFS. Seguretat del Sistema de Fitxers  ====
 +
 
 +
 
 +
http://msdn.microsoft.com/en-us/library/aa374876%28v=VS.85%29.aspx
 +
 
 +
 
 +
Els subjectes principals del sistema de fitxers NTFS són els '''usuaris''' i els '''grups'''.
  
−
Usuaris i grups
 
  
−
Directori, fitxers i volums?
+
Els objectes són directoris, fitxers i volums (unitats).
  
−
Permisos
+
Els permisos Permisos
−
*Lectura
 
−
* Escriptura
 
−
* Lectura i execució
 
−
* Modificació
 
 
* Control total
 
* Control total
−
* Fer una llista del contingut del directori.
+
* Modificar
 +
* Llegir i executar
 +
* Llistar el contingut del directori
 +
* Llegir
 +
* Escriure
  
−
També hem de tenir en compte altres conceptes com la propietat dels objectes,
 
−
l’herència de permisos i les auditories.
 
  
−
La propietat d’un objecte (directori, arxiu) permet que el propietari doni
+
Aquests permisos es poden permetre o denegar per a cada objecte a qualsevol usuari o grup, a més es poden propagar els permisos als fills en el cas dels directoris (Tots els objectes dins el directori).  A més el propietari de cada objecte pot donar permisos a altres usuaris.
−
permisos a altres usuaris
 
  
−
Finalment, l’auditoria permet que els administradors monitorin els canvis
 
−
a fitxers o directoris.
 
  
 +
==== UNIX. Seguretat del Sistema de Fitxers ====
  
  
−
UNIX
+
UNIX funciona amb una versió simplificada de control d'accés. Els subjectes principals del sistema de fitxers en Sistemes UNIX són els '''usuaris''', '''grups''' i '''altres'''.
  
−
arxiu normal (–), directori (d), enllaç simbòlic (l)
 
  
−
nou caràcters que representen els permisos d’accés
+
Els objectes són directoris, fitxers i enllaços simbòlics.
  
−
Tres caràcters per a l’usuari propietari de l’arxiu o directori (user).
 
−
• Tres caràcters per al grup d’usuaris de l’arxiu o directori (group).
 
−
Tres caràcters per a la resta d’usuaris, és a dir, que no són ni l’usuari
 
−
propietari ni pertanyen al grup de l’arxiu o directori (others).
 
  
 +
<pre>
 +
alex@alex-pc:~/Escriptori$ ls -l
 +
...
 +
-rw-r--r--  1 alex alex    58683 2010-01-11 19:49 ComptesBrasil.pdf
 +
drwxr-xr-x  2 alex alex      4096 2011-05-19 13:03 download
 +
lrwxrwxrwx  1 alex alex        18 2010-10-21 09:55 Enllaç a Dropbox -> /home/alex/Dropbox
 +
-rw-------  1 alex alex    47330 2010-10-08 11:16 EntradesF242.pdf
 +
</pre>
  
−
En cada grup de tres caràcters, el primer correspon al permís de lectura
 
−
(r, read), el segon al permís d’escriptura (w, write) i el tercer al permís
 
−
d’execució (x, execution).
 
  
−
Si un caràcter conté un guió significa que no es
+
* El primer caràcter indica el tipus d'objecte: arxiu normal (–), directori (d), enllaç simbòlic (l)
−
té el permís corresponent activat.
+
* Els nou caràcters següents representen els permisos d’accés
 +
** 3 caràcters per a l’usuari propietari (user).
 +
** 3 caràcters per al grup (group).
 +
** 3 caràcters per als altres, ni l’usuari ni pertanyen al grup (others).
 +
** Els permisos de cada objecte es defineixen amb 3 caràcters
 +
*** Lectura (r, read), escriptura (w, write) i execució (x, execution). (Si un caràcter conté un guió significa que no es
 +
té el permís corresponent activat).
  
−
chmod
 
  
−
chmod u=rwx freebsd.pdf
+
Algunes comandes d'utilitat per a gestionar els permisos són: '''chmod''' i '''chown'''.
−
chmod ugo-r materials
 
−
chmod o+w freebsd.pdf
 
  
−
Només l’administrador del sistema o l’usuari propietari pot modificar els
 
−
permisos d’un arxiu o directori
 
  
 +
<pre>
 +
$chmod u=rwx freebsd.pdf
 +
$chmod ugo-r materials
 +
$chmod o+w freebsd.pdf
 +
</pre>
  
 +
Els arxius que es creen amb el propietari l'usuari actual i el grup el grup principal de l'usuari. Només l’administrador (root) o el propietari poden modificar els permisos d’un objecte.
  
−
chown
 
  
−
Quan es crea un arxiu, s’hi assigna automàticament un usuari i un grup
+
==== UNIX. Llistes d'accés i quotes ====
−
propietaris. L’usuari és el que ha creat l’arxiu i el grup és el grup principal
 
−
al qual pertany.
 
  
 +
Existeixen implementacions que permeten afegir ACL's per gestionar l'accés a objectes del sistema de fitxers, de manera que cada objecte pot tenir múltiples permisos per usuaris o grups.
  
 +
http://www.iesrioarba.es/index.php?option=com_wrapper&view=wrapper&Itemid=182
  
−
Habilitar les llistes de control d’accés a serveis i fitxers. Les llistes de
+
http://tuxedlinux.wordpress.com/2008/01/27/permisos-con-acl/
−
control d’accés permeten assignar permisos a més d’un usuari per a un
 
−
fitxer o directori determinat, la qual cosa millora i flexibilitza la gestió
 
−
de permisos i accessos a un determinat recurs o fitxer del sistema.
 
  
−
===  Registres (Log) ===
+
http://acl.bestbits.at/
  
−
Referents a la seguretat
+
http://www.rsbac.org/why
  
−
Qui? Quan? Què?
+
===  Auditoria i Registres (Log) ===
  
−
* Del SO
+
 
−
** Registre de Windows (Configurable)
+
Els registres (logs) és la informació que el SO o les aplicacions guarden dels esdeveniments que tenen lloc mentre s'executen, poden ser errors, avisos, notificacions...
 +
 
 +
La auditoria és el procés de recollida de la informació per avaluar-la. En el cas de la seguretat per exemple comprovar si algú intenta entrar al sistema, modificar alguna cosa sense permisos, etc...
 +
 
 +
 
 +
Referents a la seguretat. '''Qui? Quan? Què?'''
 +
 
 +
* Sistema Operatiu
 +
** Registre de Windows
 
** Log de UNIX
 
** Log de UNIX
−
* Del programari de seguretat
+
* Programari de seguretat
 
** Antivirus
 
** Antivirus
 
** Routers
 
** Routers
Línia 189: Línia 246:
 
** Servidors Intermediaris. Proxies
 
** Servidors Intermediaris. Proxies
 
** Altres: Programari d'accés remot
 
** Altres: Programari d'accés remot
 +
 +
Aquesta informació ha d'estar protegida per evitar manipulació.
 +
 +
http://www.syslog.org/logged/logging-and-syslog-best-practices/
 +
 +
Existeixen eines específiques que permeten esborrar la informació dels registres.
  
  
−
Aquesta informació ha d'estar protegida per evitar manipulació.
+
==== UNIX ====
 +
 
 +
Per defecte Linux registra gran quantitat d'informació de sistema i d'aplicacions, aquests registres es troben generalment a
 +
 
 +
https://help.ubuntu.com/community/LinuxLogFiles
 +
 
 +
<pre>
 +
/var/log/
 +
 
 +
Per exemple
 +
 
 +
/var/log/messages  -> Informació del nucli
 +
/var/log/auth.log  -> Missatges d'autenticació, inicis de sessió, execucions de sudo
 +
/var/log/user.log  -> Missatges d'usuari
 +
/var/log/wtmp      -> No és editable
 +
</pre>
 +
 
 +
Algunes comandes
 +
<pre>
 +
$ finger
 +
$ last
 +
$ lastlog
 +
</pre>
 +
 
 +
 
 +
 
 +
Syslog és l'estàndard de facto pel registre dels missatges de xarxa, és útil per auditoria i administració. Inicialment funciona sobre UDP (port 514) en text pla, però existeixen implementacions més segures amb xifratge i inclús per a Windows.
 +
 
 +
Es pot configurar en un servidor que centralitza els missatges de múltiples màquines. (Addicionalment Syslog també instal·la un visualitzador de registres)
 +
 
 +
<pre>
 +
/etc/syslog.conf
 +
/etc/default/syslogd
 +
 
 +
Per comprovar els missatges tal com apareixen
 +
 
 +
$tail -f /var/log/messages
 +
 
 +
Per cercar informació
 +
 
 +
$grep string /var/log/messages | more
 +
 
 +
</pre>
 +
 
 +
 
 +
http://www.syslog.org/
 +
 
 +
http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_:_Ch05_:_Troubleshooting_Linux_with_syslog
 +
 
 +
 
 +
Existeixen altres eines més complexes per implementar la seguretat com '''SELinux''': security
 +
enhanced Linux.
 +
 
 +
 
 +
I eines que permeten auditar (comprovar) la correcta configuració de seguretat del sistema i les aplicacions '''Yasat'''. http://yasat.sourceforge.net/
 +
 
  
 +
Existeixen altres eines per exemple que permeten monitorar el sistema de fitxers potser la més coneguda inotify (inotify-tools, a molt baix nivell, API per programar les eines de monitoreig), però d'altres com FAM (File Alteration Monitor), Gamin o auditctl. Utilitats com fsnipe, fileschanged.
  
 +
==== Windows ====
  
−
UNIX
+
Els registres de Windows es poden consultar des de Panell de Control > Eines Administratives > Visor d'esdeveniments
  
 +
Per activar l'auditoria per exemple a Windows XP http://support.microsoft.com/kb/310399
  
−
Habilitar el sistema de seguretat millorada de Linux (SELinux: security
+
També es poden usar eines de monitoratge en directe com '''Process Monitor''' http://technet.microsoft.com/en-us/sysinternals/bb896645
−
enhanced Linux). SELinux ofereix una sèrie de polítiques de seguretat
 
−
(implementades al Departament de Defensa dels EUA) i fa
 
−
servir mòduls de seguretat específics (Linux security modules), implementats
 
−
en el nucli de Linux. Amb SELinux podem gestionar i auditar
 
−
millor els accessos als diferents recursos i fitxers del sistema.
 

Revisió de 17:35, 8 gen 2015

tornar M11 - Seguretat i alta_disponibilitat


Control d'accés (Lògic)

El control d’accés lògic als sistemes d'informació inclou dues grans funcionalitats

  • Identificació i autenticació
  • Autorització

La identificació i autenticació consisteix en verificar la identitat d’un usuari (o entitat del sistema). La identificació permet conèixer qui és (per exemple un nom d'usuari) i la autenticació confirma que realment és qui diu (per exemple una contrasenya).


Aquestes dues poden estar separades o unificades en una sola comprovació. Els tipus d'autenticació són:

  • Per coneixement (Contrasenya).
  • Per possessió (Targeta).
  • Per característiques físiques (Lectors biomètrics).
  • Combinació de les anteriors


L' autorització per altre banda és la concessió d’un dret o d’un permís a un usuari (o entitat del sistema) per accedir a un recurs. L’usuari a qui se li concedeix l'autorització només podrà realitzar les accions o accedir als recursos per als quals té permís.

S'entén per permís quelcom que es pot fer amb un determinat recurs.

Per facilitar la gestió dels administradors, a vegades els permisos s'agrupen en rols (Conjunt de permisos), i els usuaris en grups (Conjunt d'usuaris amb característiques semblants).


En certs casos els permisos es poden associar a ubicacions (localització) físiques (davant un cert terminal només) o lògiques (IP o xarxa concreta), o també a horaris.

Exemple Autenticació. Contrasenyes

Les contrasenyes són un dels principals mecanismes per evitar accessos no autoritzats. Es tracta d'un conjunt de caràcters coneguts només per l'usuari (secrets).

Les contrasenyes d'un sistema es regulen a través de la política de contrasenyes que especifica normes respecte:

  • El contingut i el format
  • La protecció
  • La freqüència de renovació
  • El procediment per a canviar-la


Contrasenyes febles:

  • Curtes (menys de 8 caràcters).
  • Dades personals.
  • Patrons (1234).
  • És una paraula de diccionari.

Contrasenyes robustes

  • No és feble i
  • Conté majúscules i minúscules.
  • Barreja números i lletres


Les normes bàsiques de protecció de les contrasenyes són:

  • No escriure mai la contrasenya en un correu electrònic.
  • No dir la contrasenya per telèfon a ningú.
  • No dir la contrasenya als companys d’empresa ni que siguin superiors directes.
  • No parlar sobre les contrasenyes davant d’altres persones.
  • No posar pistes de la contrasenya per fer-la més fàcil de recordar i alhora d’esbrinar.
  • No escriure mai la contrasenya en formularis ni que siguin formularis del departament de seguretat.
  • No dir la contrasenya a amics ni familiars.
  • No dir a ningú la contrasenya quan es marxa de vacances.
  • No escriure en cap paper la contrasenya per si de cas s’oblida.
  • Canviar la contrasenya cada sis mesos com a mínim.


Comprovació fortalesa contrasenyes: http://www.passwordmeter.com/


Les contrasenyes poden ser atacades de múltiples maneres per exemple


Estimació temporal: https://www.grc.com/haystack.htm

Gestió usuaris i grups a Unix

Fitxer que conté informació dels usuaris /etc/passwd

Fitxer que conté les claus (codificades) dels usuaris /etc/shadow

Fitxer amb informació dels grups. Per defecte és obligatori un grup principal. /etc/group


Comandes de gestió d'usuaris i grups

deluser, delgroup vs userdel, groupdel

adduser, addgroup vs useradd, groupadd and usermod


Per exemple adduser, addgroup  : 5 modes, afegir usuari normal (uid > 1000), de sistema (uid < 1000, apps., serveis, dimonis), afegir grup normal o de sistema, afegir usuari existent a un grup existent


Altres comandes

$password usuari

$id usuari

$groups usuari

$finger usuari

Tipus de Control d'accés

DAC - Discretionary access control. Permet establir els permisos a objectes del sistema a usuaris o grups, i els aquests en certes circumstàncies poden transferir els permisos a altres. Estableix un nivell de seguretat a molt baix nivell. S'implementa amb ACL's, llistes de control d'accés. Exemples són l'estructura de permisos de fitxers dels Sistemes Operatius.

http://en.wikipedia.org/wiki/DACL

MAC - Mandatory access control. És un control més sofisticat que el DAC, funciona a un nivell més alt (operacions), la validació és centralitzada i pot funcionar amb múltiples nivells i establir diferents polítiques en funció del context (nivell). En principi permet a l'administrador definir polítiques globals del Sistema (no concretes com a DAC) que els usuaris no poden modificar. Es pot pensar per exemple en la gestió de polítiques de seguretat dels Sistemes Windows però aplicat a l'accés a objectes.


http://en.wikipedia.org/wiki/Mandatory_access_control


RBAC - Role-based access control


http://en.wikipedia.org/wiki/Role-based_access_control


Exemple Autorització. Llistes de control d'accés

Les llistes de control d'accés (ACL'S) són mecanismes molt estesos que permeten definir quins subjectes tenen accés a quins objectes i amb quins drets o permisos. En general contenen més d'un permís per això s'anomenen llistes.


http://en.wikipedia.org/wiki/Access_control_list


  • L'objecte -> Què? Recurs, fitxer, accés a la xarxa...
  • El subjecte -> Qui? Usuari, procés
  • Dret -> Si o no? permès, impedit, llegir, escriure, executar...


Les llistes de control d'accés és un concepte genèric que es pot aplicar per exemple

  • Sistemes de fitxers
  • Xarxes: Routers, Tallafocs


NTFS. Seguretat del Sistema de Fitxers

http://msdn.microsoft.com/en-us/library/aa374876%28v=VS.85%29.aspx


Els subjectes principals del sistema de fitxers NTFS són els usuaris i els grups.


Els objectes són directoris, fitxers i volums (unitats).

Els permisos Permisos

  • Control total
  • Modificar
  • Llegir i executar
  • Llistar el contingut del directori
  • Llegir
  • Escriure


Aquests permisos es poden permetre o denegar per a cada objecte a qualsevol usuari o grup, a més es poden propagar els permisos als fills en el cas dels directoris (Tots els objectes dins el directori). A més el propietari de cada objecte pot donar permisos a altres usuaris.


UNIX. Seguretat del Sistema de Fitxers

UNIX funciona amb una versió simplificada de control d'accés. Els subjectes principals del sistema de fitxers en Sistemes UNIX són els usuaris, grups i altres.


Els objectes són directoris, fitxers i enllaços simbòlics. 


alex@alex-pc:~/Escriptori$ ls -l
...
-rw-r--r--  1 alex alex     58683 2010-01-11 19:49 ComptesBrasil.pdf
drwxr-xr-x  2 alex alex      4096 2011-05-19 13:03 download
lrwxrwxrwx  1 alex alex        18 2010-10-21 09:55 Enllaç a Dropbox -> /home/alex/Dropbox
-rw-------  1 alex alex     47330 2010-10-08 11:16 EntradesF242.pdf


  • El primer caràcter indica el tipus d'objecte: arxiu normal (–), directori (d), enllaç simbòlic (l)
  • Els nou caràcters següents representen els permisos d’accés
    • 3 caràcters per a l’usuari propietari (user).
    • 3 caràcters per al grup (group).
    • 3 caràcters per als altres, ni l’usuari ni pertanyen al grup (others).
    • Els permisos de cada objecte es defineixen amb 3 caràcters
      • Lectura (r, read), escriptura (w, write) i execució (x, execution). (Si un caràcter conté un guió significa que no es

té el permís corresponent activat).


Algunes comandes d'utilitat per a gestionar els permisos són: chmod i chown. 


$chmod u=rwx freebsd.pdf
$chmod ugo-r materials
$chmod o+w freebsd.pdf

Els arxius que es creen amb el propietari l'usuari actual i el grup el grup principal de l'usuari. Només l’administrador (root) o el propietari poden modificar els permisos d’un objecte.


UNIX. Llistes d'accés i quotes

Existeixen implementacions que permeten afegir ACL's per gestionar l'accés a objectes del sistema de fitxers, de manera que cada objecte pot tenir múltiples permisos per usuaris o grups.

http://www.iesrioarba.es/index.php?option=com_wrapper&view=wrapper&Itemid=182

http://tuxedlinux.wordpress.com/2008/01/27/permisos-con-acl/

http://acl.bestbits.at/

http://www.rsbac.org/why

Auditoria i Registres (Log)

Els registres (logs) és la informació que el SO o les aplicacions guarden dels esdeveniments que tenen lloc mentre s'executen, poden ser errors, avisos, notificacions...

La auditoria és el procés de recollida de la informació per avaluar-la. En el cas de la seguretat per exemple comprovar si algú intenta entrar al sistema, modificar alguna cosa sense permisos, etc...


Referents a la seguretat. Qui? Quan? Què?

  • Sistema Operatiu
    • Registre de Windows
    • Log de UNIX
  • Programari de seguretat
    • Antivirus
    • Routers
    • Tallafocs
    • Servidors Intermediaris. Proxies
    • Altres: Programari d'accés remot

Aquesta informació ha d'estar protegida per evitar manipulació.

http://www.syslog.org/logged/logging-and-syslog-best-practices/

Existeixen eines específiques que permeten esborrar la informació dels registres.


UNIX

Per defecte Linux registra gran quantitat d'informació de sistema i d'aplicacions, aquests registres es troben generalment a

https://help.ubuntu.com/community/LinuxLogFiles 

/var/log/

Per exemple

/var/log/messages   -> Informació del nucli
/var/log/auth.log   -> Missatges d'autenticació, inicis de sessió, execucions de sudo
/var/log/user.log   -> Missatges d'usuari
/var/log/wtmp       -> No és editable

Algunes comandes 

$ finger
$ last
$ lastlog


Syslog és l'estàndard de facto pel registre dels missatges de xarxa, és útil per auditoria i administració. Inicialment funciona sobre UDP (port 514) en text pla, però existeixen implementacions més segures amb xifratge i inclús per a Windows.

Es pot configurar en un servidor que centralitza els missatges de múltiples màquines. (Addicionalment Syslog també instal·la un visualitzador de registres) 

/etc/syslog.conf
/etc/default/syslogd

Per comprovar els missatges tal com apareixen 

$tail -f /var/log/messages

Per cercar informació

$grep string /var/log/messages | more


http://www.syslog.org/

http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_:_Ch05_:_Troubleshooting_Linux_with_syslog


Existeixen altres eines més complexes per implementar la seguretat com SELinux: security enhanced Linux.


I eines que permeten auditar (comprovar) la correcta configuració de seguretat del sistema i les aplicacions Yasat. http://yasat.sourceforge.net/


Existeixen altres eines per exemple que permeten monitorar el sistema de fitxers potser la més coneguda inotify (inotify-tools, a molt baix nivell, API per programar les eines de monitoreig), però d'altres com FAM (File Alteration Monitor), Gamin o auditctl. Utilitats com fsnipe, fileschanged.

Windows

Els registres de Windows es poden consultar des de Panell de Control > Eines Administratives > Visor d'esdeveniments

Per activar l'auditoria per exemple a Windows XP http://support.microsoft.com/kb/310399

També es poden usar eines de monitoratge en directe com Process Monitor http://technet.microsoft.com/en-us/sysinternals/bb896645

Obtingut de «https://mediawiki.institutmarianao.cat/index.php?title=UF1-NF1._Control_d%27accés&oldid=1669»