SEGURIDAD EN UNIX Y REDES

266APÉNDICE A. SEGURIDAD BÁSICA PARA ADMINISTRADORESdel núcleo: por ejemplo, la llegada de un paquete con una cabecera extraña, de una longituddeterminada, o con una cierta prioridad, puede llegar a detener la máquina si ese paquete nose trata correctamente en la implementación del sistema de red. La mejor forma de prevenirestos ataques (que no suelen dejar ningún rastro en los ficheros de log) es actualizar el núcleode nuestro Unix periódicamente, manteniendo siempre la última versión estable.En el caso de la detención de servicios determinados, habitualmente los ofrecidos desde inetd,la negación de servicio suele ser fruto de un excesivo número de peticiones ‘falsas’ al demoniocorrespondiente; por ejemplo, un atacante enmascara su dirección IP para sobrecargar depeticiones un demonio como in.telnetd hasta detenerlo. Para evitar estos ataques podemosincrementar el número de peticiones simultáneas que un demonio acepta (en la opción wait dela línea correspondiente en el fichero /etc/inetd.conf), aunque esto también implica peligrosde negación de servicio (puede aumentar demasiado el tiempo de respuesta del equipo); unaforma mucho más recomendable de actuar no es prevenir estos ataques sino minimizar susefectos: si enviamos una señal sighup al demonio inetd éste relee su configuración, por loque el servicio bloqueado vuelve a funcionar 2 . Por tanto, es recomendable enviar una de estasseñales de forma automática cada cierto tiempo; podemos planificar esta acción para que cronla ejecute cada vez que despierte, incluyendo en nuestro archivo crontab una línea como lasiguiente:* * * * * /usr/bin/pkill -HUP inetd 2>&1 >/dev/nullA.3 DetecciónLa mayoría de problemas de seguridad en sistemas de I+D implican accesos no autorizados, bien porusuarios externos a la máquina o bien por usuarios internos que consiguen un privilegio mayor delque tienen asignado. ¿Cómo detectar estos problemas? Hacer esto puede ser algo muy complicadosi el atacante es un pirata con cierta experiencia y no hemos tomado algunas medidas en nuestrosistema antes de que el ataque se produzca. Aquí se presentan unos mecanismos que pueden indicarque alguien ha accedido ilegalmente a nuestro equipo.• LogsCasi cualquier actividad dentro del sistema es susceptible de ser monitorizada en mayor omenor medida. Unix ofrece un estupendo sistema de logs que guarda información en ficheroscontenidos generalmente en /var/adm/, /var/log/ o /usr/adm/; esta información varía desdelos usuarios que han conectado al sistema últimamente hasta los mensajes de error del núcleo,y puede ser consultada con órdenes como who o last, o con un simple editor de textos.Aunque un atacante que consiga privilegios de root en el equipo puede modificar (¡o borrar!)estos archivos 3 , los logs son con frecuencia el primer indicador de un acceso no autorizado ode un intento del mismo. Dependiendo de nuestra configuración (/etc/syslog.conf), perogeneralmente en los archivos messages o syslog, podemos ver mensajes que pueden indicarun ataque al sistema; a continuación se presentan algunos de ellos:– Nov 12 05:35:42 anita in.telnetd[516]: refused connect from bg.microsoft.comEste mensaje (conexión rehusada a un servicio) en sistemas con TCP-Wrappers instaladoindica que alguien ha intentado conectar a nuestro equipo desde una máquina noautorizada a hacerlo.– Nov 7 23:06:22 anita in.telnetd[2557]: connect from localhostAlguien ha conectado con éxito a nuestro equipo desde una determinada máquina; noimplica que haya accedido con una nombre de usuario y su contraseña, simplemente queha tenido posibilidad de hacerlo.2 Obviamente, las conexiones ya establecidas no se pierden.3 O cualquier usuario con permiso de escritura en ellos; los usuarios ni siquiera han de tener permiso de lectura enla mayoría de los ficheros de log.