1. אבטחת מערכות Novell NetWare

2. מה זה Novell ? שרותי קבצים ומדפסות - File & Print Services קצת שרותי אפליקציה ואינטרנט ( עדיין לא פופולרי ) תמיכה מובנית בתחנות : Win95,8/DOS/Win3.11/Macintosh/OS/2/WinNT /Win 2000 פרוטוקול : IPX/SPX ( בגירסא 4.11 מבוסס גם TCP/IP) בגירסה 5 ו 5.1A גם Pure IP

3. גרסאות מערכות ההפעלה 3.11 : BINDERY, חלשה ביותר מבחינה אבטחתית 3.12: BINDERY, עדיין מכילה פרצות . הנפוצה ביותר . 3.2: YEAR 2K ,BINDERY 4.0: NDS, גרסא ראשונה ודי בעייתית . 4.1: NDS, הגרסא בנפוצה ביותר . 4.11: INTRANetWare” ,NDS” 4.2: YEAR 2K, NDS 5 מערכת תומכת Tcp-Ip 5.1 כולל תוספות מעבר למערכת ההפעלה

4. מה זה Bindery ? מגדיר את כל האובייקטים ה לוגיים בשרת בודד - SERVER אובייקטים אפשריים : משתמש (User), קבוצה (Group), מדפסת (Printer) וכו’ לכל אובייקט מוגדרים מאפיינים - Properties לכל מאפיין יש ערך - Value

5. מה זה NDS ? NetWare Directory Services: NDS מגדיר את כל האובייקטים ה לוגיים בכל השרתים מודל של עץ משאבים ברשת , מבוזר וגלובלי . מוסיף רמה נוספת של אבטחה על מודל ה - BINDERY ה“שטוח” - חלוקת הרשאות גמישה , חסימת הרשאות , מספר מנהלי רשת וכו’ ה -Authentication מאפשר למשתמש לקבל גישה לכל המשאבים המורשים לו , בניגוד ל - LOGIN של גרסאות 3, אשר היה מאפשר גישה למשאבים של שרת בודד NDS 8 במערכת ההפעלה 5.1A

6. אובייקטים ב -NDS מספר אובייקטים לדוגמא : Container Objects - מכילים אובייקטים אחרים Leaf Objects - עלים ( רוב האובייקטים ).

7. עץ לדוגמא :

8. הרשאות ברמת ה - Bindery/NDS הרשאות לוגיות בלבד ( אין קשר ל - Data) ב - Bindery יש 3 רמות של מנהלים : Supervisor - כל יכול במערכת File Server Console Operator - יכולים לשלוח הודעות , לשנות תאריך ושעה , Enable/Disable Login Workgroup Manager - יכול להגדיר / למחוק משתמשים , אך מוגבל ... ב - NDS כמעט ואין הגבלה על רמת ההרשאות שניתן להעניק : לכל אובייקט ניתן להגדיר הרשאה לכל אובייקט אחר ניתן להגביל את ההרשאות ( גם של Admin)

9. מה זה File System ? בכל שרת יש מערכת קבצים פנימית , המחולקת לכמה רמות : דיסקים פיזיים (Hardware) כרכים לוגיים (Volumes) - מינימום אחד (:SYS) ספריות (Directories) קבצים (Files) ל - Volumes, Directories, Files יש מאפיינים המגדירים הרשאות גישה (trustee assignment) וכן מאפיינים נוספים (Attributes)

10. אילו Trustee Rights קיימים ? Read - קריאה ( והרצה ) של קובץ / ספרייה Filescan - ביצוע listing לספרייה / קבצים Write - כתיבה לקובץ קיים Create - יצירה של קובץ / ספרייה חדשים Erase - מחיקה של קובץ / ספרייה Modify - שינוי תכוניות (Attributes) או שם של קובץ / ספרייה Access Control - הרשאה להעניק למשתמשים אחרים הרשאה לקבצים / ספריות Supervisory - כנ”ל - לא ניתן לחסימה ( עוד מעט נראה… .)

11. אילו Attributes קיימים ? RO - Read Only H - Hidden P - Purge Di - Delete-inhibit Sh - Shareable Ci - Copy-inhibit Dm - Don’t migrate Dc - Don’t compress Rw - Read-write Sy - System A - Atchive-needed Ri - Rename-inhibit T - Transactional X - eXecute-only Ic - Immediate compress Ds - Don’t suballocate * File only Attributes * File & Directory attributes

12. איך עובדת מערכת ההרשאות ? ההרשאות מקשרות בין User/Group/Container לבין ספרייה / קובץ כל ההרשאות עוברות בהורשה (Inherited)

13. מערכת ההרשאות - דוגמא

14. SYS: \DATA \MKTG \1999 \AUGUST .\file1.doc .\file2.xls .\file3.ppt [RF] David [RWCEMF] Marketing ?? David ?? Marketing הרשאות אפקטיביות David [RF] Marketing [RWCEMF]

15. SYS: \DATA \MKTG \1999 \AUGUST .\file1.doc .\file2.xls .\file3.ppt [CEM] David [CEM] David [RWCEMF] Marketing David [RF] Marketing [RWCEMF] ?? David ?? Marketing הרשאות אפקטיביות

16. SYS: \DATA \MKTG \1999 \AUGUST .\file1.doc .\file2.xls .\file3.ppt [RCEMF] David [RWCEMF] Marketing [CEM] Accounting ?? David ?? Marketing הרשאות אפקטיביות David [RF] Marketing [RWCEMF]

17. איך עובדת מערכת ההרשאות ? ( המשך ) ניתן לחסום את ההורשה של הרשאות באמצעות ה - IRM Inherited Rights Mask - IRM המסיכה מוגדרת ברמת הקובץ / ספרייה ללא קשר ל - Users וכו’ המסיכה / פילטר מתפקדת כמו ‘מסננת’ הרשאות במסיכה קובעים אילו הרשאות כן תעבורנה בירושה הסינון מתבצע עבור ההרשאות הנורשות בלבד ( לא להרשאות ברמת הספרייה עצמה )

18. R W C E M F A S IRM Directory R W F SubDirectory R W F IRM - ברירת מחדל

19. R F S IRM Directory R W C E M F SubDirectory R F IRM - המשך ... [RWCEMFA] David R W C E M F A

20. SYS: \DATA \MKTG \1999 \AUGUST .\file1.doc .\file2.xls .\file3.ppt [CEM] David [CEM] David [RWCEMF] Marketing R F S David [RF] Marketing [RWCEMF] [CEM] David [RWCEMF] Marketing הרשאות אפקטיביות

21. SYS: \DATA \MKTG \1999 \AUGUST .\file1.doc .\file2.xls .\file3.ppt [CEM] David [CEM] David [RF] Marketing R F S David [RF] Marketing [RWCEMF] [CEM] David [RWCEMF] Marketing הרשאות אפקטיביות

22. מה הקשר בין ה - Bindery ל - F.S ? ה - Bindery מאמת (Authenticates) את המשתמש בכניסה לשרת . כל פעילות שקשורה להגדרות לוגיות של אובייקטים מתבצעת מול ה - Bindery/NDS. “ פאשלה” ב - Bindery : ה - Login Script, נשמר בספריית SYS:MAIL\object id. בגירסא 4 תוקן . כאשר משתמש מנסה לגשת לקובץ / ספריה - ההרשאה שלו נבדקת מול ה - Trustee List שמוגדר בקובץ / ספרייה או על - פי ההורשה (Inheritance). נקרא : Effective Rights

23. מנגנוני אבטחה נוספים

24. נקודות האבטחה במערכת מחשב השרת (Server) רשת התקשורת התחנות ( אבטחה לוגית ) בקרה וביקורת

25. ה - SERVER CONSOLE : עמדת הבקרה העיקרית של השרת נגיש פיזית ( משמע - השרת עצמו ) וכן מהרשת (RCONSOLE או XCONSOLE). מאפשר יכולות ניהול , אבל - עלול להוות מטרה לפריצה .

26. השתלטות על ה - CONSOLE מקנה לפורץ : יכולת להעלות לזכרון NLM - ים כרצונו , לדוגמא - BURGLAR.NLM. יכולת למחוק ולהרוס מידע ( ואת כל השרת למעשה ) יכולת להחדיר וירוס למערכת (virus.nlm….) העתקה של המידע דרך תוכנת הגיבוי לקלטת להוריד את השרת ( DOWN ). להכנס למצב “ DEBUG ” ולעשות כרצונו .

27. אבטחה פיזית : יש לשמור את השרת בחדר מחשב מאובטח ונעול . אבטחה לוגית : - סיסמת RCONSOLE חזקה . - אכיפת הצפנה ב - REMOTE ENCRYPT : RCONSOLE . ( רק ב - 4) - פקודת REMOVE DOS - SECURE CONSOLE : - נעילת ה - Console עם סיסמא ( MONITOR.NLM) . השתלטות על ה - CONSOLE מספיקה על מנת להשתלט על כל השרת ! אבטחת ה - CONSOLE Remove Dos SYS:SYSTEM הפעלת מודולים רק מספריית מונע שינוי תאריך ושעה Debugger- מונע כניסה ל

28. רשת התקשורת רשת התקשורת “מתווכת” בין התחנות לשרת . סוגי התעבורה ברשת ( חלוקה לוגית ): - Data - סיסמאות - “ פקודות מערכת” - (NCP (NetWare Core Protocol - תקשורת שאינה קשורה ל - Novell ( לדוגמא : telnet)

29. ניתן “להאזין” לתשדורת ברשת (Sniffing) Data - לא במיוחד אפקטיבי ( קשה לניתוח ) סיסמאות - עלולות לעבור ברשת ב - ClearText. כדי להבטיח שסיסמאות יעברו בצורה מוצפנת : Set Allow Unencrypted Password = NO NCP Packets - ניתן לזייף אותן , ועל - ידי כך לחדור למערכת תקשורת אחרת - ניתן להשתמש באינפורמציה כדי לחדור ל - Novell (telnet,pop3 וכו’ ) Sniffing

30. NCP Packet Signature מנגנון “חתימה אלקטרונית” ל - NCP Packets - מאפשר זיהוי ודאי של התחנה , כלומר מונע התחזות / זיוף החל מ - 3.12 קיים כברירת מחדל במערכת Level 0 - לא מאפשר חתימה Level 1 - מאפשר חתימה , מחכה לבקשה מהצד השני Level 2 - מאפשר חתימה , מבקש מהצד השני Level 3 - מחייב חתימה Server Client

31. אבטחה לוגית - בקרת גישה סיסמאות : אורך מינימלי בתוים - Minimum Password Length תדירות החלפת סיסמאות - Periodic Password Change סיסמאות ייחודיות (8 דורות ) - Unique Passwords Grace Logins Station Restriction Time Restriction מספר חיבורים בו - זמנית - Concurrent Connections

32. בקרת גישה - המשך Intruder Detection/Lockout: כמה נסיונות כושלים - Failed Login Attempts פרק זמן X נעילה לפרק זמן Y נעילת חשבונות ידנית - Account Disabled פקיעת תוקף החשבון - Expiry Date מידור הנתונים / הרשאות לקבצים וספרייות ( כבר ראינו… )

33. בקרה / ביקורת - Auditing קבצי log במערכת : File Server Error Log רישום הודעות ה - Console - CONLOG.NLM ב - 3, ה - Accounting מוסיף רישום Login/Logout SECURITY.EXE ( בגירסא 3): מוצא Sup.Equiv, משתמשים ללא סיסמא , סיסמא קטנה מ -5 תוים , משתמשים לא פעילים וכו’

34. המשך - Auditing בגירסא 4 ומעלה : Auditcon מאפשר לדגום נתונים לפי קריטריונים שונים : - כניסה ויציאה - שינויים ב - NDS - גישה לקבצים / ספריות מאפשר קיום Auditor נפרד מה - Admin, וללא שליטתו ( הפרדת סמכויות ) עלול לגרום לעומס , בעיקר בנפח אכסון מומלץ להתקין SP8A.

35. CHECKLIST : הגנה פיזית על השרת ביטול GUEST. מדיניות סיסמאות חזקה . INTRUDER DETECTION. אבטחת ה - RCONSLE, והפעלת CONLOG. STATION RESTRICTIONS. TIME RESTRICTIONS. SET NCP PACKET SIGNATURE. אופציונלי : ACCOUNTING. ביטול SUPERVISOR SECURITY EQUIVALENTS. בדיקה מדוקדקת של TRUSTEE RIGHTS. עדכון גרסה אבטחת קלטות גיבוי