Уязвимости веб-серверов

Ни для кого не секрет, что веб-серверы^* постоянно подвергаются множеству самых разнообразных опасностей. Причем самую серьезную угрозу представляют для них хакеры и вирусы. Первые могут получить доступ к конфиденциальной информации, размещенной на сервере, взломать сайты и подменить их содержимое, а также «завалить» сервер с помощью распределенной атаки на отказ в обслуживании (DDoS-атака). Вирусы же, заражая веб-серверы, превращают их самих в рассадник инфекции. Кроме того, они существенно замедляют его работу, а также занимают интернет-канал.

 

 

На первый взгляд кажется, что эти угрозы по принципу работы очень сильно отличаются друг от друга. Но на самом деле это не совсем так. Оказывается, многие вирусы, особенно интернет-черви, используют для распространения уязвимости в программном обеспечении. Да и хакеры тоже предпочитают применять атаки, направленные на известные «дыры» в ПО. И в этом нет абсолютно ничего удивительного. Используя уязвимости, и те и другие получают достаточно легкий доступ к удаленному компьютеру даже в том случае, если последний хорошо защищен.

Практически в любой программе есть уязвимостиИтак, практически в любой программе есть уязвимости. И чем ее исходный код больше по объему, тем больше в ней можно найти различных «дыр». Наличие уязвимостей объясняется очень легко. Человек — не машина, он может ошибаться. Существует даже специальная норма программирования, в которой указано, сколько ошибок может допустить специалист при написании определенного числа строк кода. Кроме того, нельзя забывать, что крупное ПО пишет не один человек, а целая группа. И достаточно часто ошибки возникают при компоновке модулей, созданных разными программистами. Кроме того, наличие уязвимостей далеко не всегда определяется качеством написания ПО. Почему? А для того чтобы ответить на этот вопрос, давайте мы с вами, уважаемые читатели, рассмотрим, какие типы «дыр» сегодня существуют, а также от чего зависит их количество.

Уязвимости программного обеспечения

Когда речь заходит об уязвимостях веб-серверов, то подавляющее большинство людей сразу же вспоминают «дыры» в их программном обеспечении

Когда речь заходит об уязвимостях веб-серверов, то подавляющее большинство людей сразу же вспоминают «дыры» в их программном обеспечении. Это относится к самим программам-серверам, таким как Apache, Microsoft Internet Information Server и т. д. И в этом нет абсолютно ничего удивительного. Все-таки данное ПО достаточно объемное и сложное, так что «дыры» в нем обязательно есть. Кроме того, нельзя забывать, что современный веб-сервер невозможно представить себе без многих дополнительных функций, например без поддержки языков программирования типа Perl, PHP и т. д., а также без систем управления базами данных^*. Все это становится возможным благодаря установке на веб-сервер дополнительного программного обеспечения. И все оно тоже может содержать свои уязвимости.

Сегодня на сайтах, посвященных информационной безопасности, постоянно появляются сообщения об обнаружении новых уязвимостей в программном обеспечении веб-серверов. В этом процессе участвуют как специалисты по защите данных, так и хакеры. Причем последние при обнаружении новой «дыры» могут умолчать о ней и попытаться использовать ее в своих целях. Но частенько бывает наоборот. Хакер старается рассказать о новой уязвимости всем, в том числе и разработчикам софта. Делается это, скорее всего, из честолюбия. Хакер просто хочет показать миру свои знания и умения. Но в нашем случае это желание приносит только пользу.

Главной особенностью производственных уязвимостей является их привязанность к определенным версиям программного обеспеченияГлавной особенностью производственных уязвимостей является их привязанность к определенным версиям программного обеспечения. Дело в том, что многие «дыры» часто встречаются не во всей линейке веб-серверов, а только в некоторых их релизах. А еще стоит отметить, что чем популярней то или иное программное обеспечение, тем чаще для него находят новые уязвимости. И это зависит не от качества написания софта. Просто его изучают больше специалистов, так что и вероятность обнаружения «дыр» относительно велика.

Защититься от рассматриваемого типа уязвимостей программного обеспечения можно только одним способом — своевременной установкой всех выпускаемых производителями патчей. Дело в том, что разработчики софта регулярно выкладывают на официальных сайтах обновления для своих продуктов. При обнаружении критической для безопасности «дыры» патч выпускается быстро (если, конечно, компания действительно заботится о своих клиентах). Если же вновь найденные уязвимости несут скорее теоретическую, нежели реальную угрозу, то по мере их накопления выпускаются кумулятивные патчи.

Уязвимости конфигурации

Уязвимости могут возникать из-за некорректной настройки программного обеспечения веб-сервера

Наверное, ни для кого не секрет, что безопасность любой вещи зависит от того, как ее применять. То же самое можно сказать и о веб-серверах. Очень многое зависит от того, как настроено его программное обеспечение. Вообще, подавляющее большинство веб-серверов обладают весьма обширным набором параметров, касающихся практически всех аспектов их деятельности. Таким образом, безопасность во многом зависит от администраторов, занимающихся их обслуживанием. Но нельзя забывать, что администраторы — это люди. А это значит, что они из-за своей невнимательности, недостаточной квалификации или еще по каким-то причинам могут ошибаться. И эти ошибки могут открыть дорогу к веб-серверу хакеру или вирусу.

От неправильной настройки не может помочь установка патчей. И действительно, при обновлении программного обеспечения его конфигурация не изменяется. А это значит, что уязвимость в системе защиты после инсталляции патча скорее всего останется. Таким образом, главной опасностью рассмотренного типа «дыр» является сложность их обнаружения. Так что единственный способ действительно надежной защиты от таких уязвимостей -использование специальных сканеров безопасности. Эти программы с помощью специальных методов исследуют защиту веб-серверов и находят все потенциально опасные места.

Уязвимости собственного программного обеспечения

Скрипты веб-сайтов тоже могут содержать уязвимости

Современный веб-сервер и сопутствующее программное обеспечение очень часто служат своеобразной базой для исполнения программ собственного написания пользователей. Речь идет, конечно же, о скриптах, которые работают на большинстве современных сайтов. Дело в том, что многие языки веб-программирования являются серверными. Это значит, что скрипты, написанные на них, исполняются прямо на сервере, а на компьютер пользователя (в данном случае — посетителя сайта) отправляются только результаты их работы.

И вот здесь-то и кроется достаточно серьезная опасность. Дело в том, что скрипты для сайтов далеко не всегда разрабатываются действительно хорошими специалистами. На многих веб-проектах используются бесплатно распространяемые программы или же софт собственного написания. Естественно, в нем тоже могут содержаться уязвимости. Причем некоторые из них могут быть весьма серьезными, позволяющими злоумышленникам получить несанкционированный доступ к самому серверу. Причем нужно учитывать, что многие скрипты выполняются с повышенными привилегиями. Так что уязвимости в них могут оказаться хорошим подспорьем для хакеров.

Обнаружить «дыры» в скриптах можно с помощью сканеров безопасности. Так что каждый владелец веб-сервера, действительно заботящийся о безопасности своего сайта, должен периодически проверять его. Причем слово «периодически» в предыдущем предложении появилось совсем не случайно. Дело в том, что хакеры постоянно придумывают новые способы удаленных атак. Кроме того, постоянно обнаруживаются новые «дыры» в оригинальном ПО, которые могут в сочетании со считавшимися раньше безопасными скриптами представлять собой реальную угрозу.

Подводим итоги

Для того чтобы выловить все уязвимости, необходимы регулярные проверки сервера с помощью сканера безопасностиИтак, как мы с вами, уважаемые читатели, убедились, уязвимости в системе безопасности веб-сервера далеко не всегда происходят от разработчиков программного обеспечения. Очень многое зависит от администраторов и веб-программистов. Ну а для того чтобы быть полностью уверенным в безопасности веб-сервера, недостаточно просто устанавливать все вновь выходящие патчи. Необходимы регулярные проверки с помощью хорошего сканера безопасности. Только в этом случае можно говорить о реальной надежности защиты веб-сервера.

Ссылки по теме

• Удаленные атаки
• Система защиты веб-портала

Статья получена: hostinfo.ru

загрузка...