SEGURIDAD EN UNIX Y REDES

172CAPÍTULO 11. ALGUNOS SERVICIOS Y PROTOCOLOSlo servimos deste inetd dejarían de funcionar). Para evitar este problema, muchos administradoresplanifican una tarea que se ejecute cada pocos minutos mediante cron, y que simplemente envíe laseñal sighup a inetd, por ejemplo añadiendo esta entrada a su fichero crontab 2 :* * * * * killall -HUP inetdSi en nuestro clon de Unix no disponemos de una órden para enviar señales a los procesos en funciónde su nombre (como pkill en Solaris o killall en Linux o IRIX) podemos utilizar un poco deprogramación shellscript para conseguirlo:* * * * * kill -HUP ‘ps -auxw|grep inetd|grep -v grep|awk ’{print $2}’‘11.2 Servicios básicos de redDentro de este apartado vamos a comentar brevemente la función de algunos servicios de Unix ysus potenciales problemas de seguridad. Los aquí expuestos son servicios que habitualmente hande estar cerrados, por lo que no implican excesivos problemas de seguridad conocidos. Así, novamos a entrar en muchos detalles con ellos; en puntos siguientes hablaremos con más extensión deotros servicios que suelen estar ofrecidos en todas las máquinas, como ftp, telnet o smtp, y que ensu mayoría presentan mayores problemas de seguridad.11.2.1 systatEl servicio systat se asocia al puerto 11 de una máquina Unix, de forma que al recibir una peticiónmediante tcp el demonio inetd ofrece una imagen de la tabla de procesos del sistema, por ejemploejecutando una orden como ps -auwwx en Linux o ps -ef en Solaris; en algunos Unices se ofrece lasalida de órdenes como who o w en lugar de la tabla de procesos: es fácil configurar lo que cada administradordesee mostrar simplemente modificando la línea correspondiente de /etc/inetd.conf:anita:~# grep systat /etc/inetd.confsystat stream tcp nowait root /usr/bin/ps ps -efanita:~#Bien se ofrezca la tabla de procesos o bien otro tipo de información sobre el sistema, este servicioes habitual encontarlo deshabilitado, ya que cualquier dato sobre nuestro sistema (especialmenteprocesos, nombres de usuario, máquinas desde las que conectan. . . ) puede ser aprovechado por unpirata para atacar el equipo. Si por motivos de comodidad a la hora de administrar varios hostsdentro de una red local necesitamos tener abierto systat, debemos restringir las direcciones desdelas que se puede acceder al servicio mediante TCP Wrappers.11.2.2 daytimeEl servicio daytime, asociado al puerto 13, tanto tcp como udp, es un servicio interno de inetd(esto es, no hay un programa externo que lo sirva, el propio inetd se encarga de ello); al recibiruna conexón a este puerto, el sistema mostrará la fecha y la hora, en un formato muy similar alresultado de la orden date:anita:~# telnet rosita daytimeTrying 195.195.5.1...Connected to rosita.Escape character is ’^]’.Thu Apr 20 05:02:33 2000Connection closed by foreign host.anita:~#2 Es recomendable consultar la sintaxis de estos ficheros en el clon de Unix en que trabajemos, ya que puede variarentre diferentes Unices.