Лабораторная работа «Основы безопасности ос linux»

1. 
   Создайте в ОС Linux двух пользователей (user1 и user2) и задайте их пароли. Зарегистрируйтесь в первой консоли как userl.
   
2. 
   С помощью Ctrl+Alt+F2 (Alt+F2) откройте второй текстовый терминал и зарегистрируйтесь как user2.
   

3. 
   Аналогично откройте третий текстовый терминал и зарегистрируйтесь в нем с правами суперпользователя.
   
4. 
   Нажатием Ctrl+Alt-Fl (Alt-Fl) вернитесь в первую консоль. Теперь, переключая консоль, вы можете работать с объектами операционной системы от имени двух разных пользователей и администратора системы. Основная часть задания выполняется с правами обычного пользователя. Переходите в третью консоль и используйте права root только при выполнении соответствующих пунктов задания. Будьте внимательны при вводе команд! Помните, что операционная система не контролирует действий администратора и ваше ошибочное действие может привести к краху системы. Ориентируйтесь на приглашение к вводу команд.
   

6. 
   Переключитесь в консоль администратора и создайте два новых временных каталога mkdir -m 777 /home/temp1 и mkdir -m 1777 /home/temp2. Проверьте права доступа к каталогам /home/user 1 и /home/user2: они должны быть установлены в 755. Вернитесь в консоль user1.
   
7. 
   Пользуясь командой mkdir, создайте в домашнем каталоге пользователя /home/userl четыре каталога с именами: qul, qu2, qu3, qu4. При создании каталогов объявите следующие права доступа к ним: (qul - 777, qu2 - 404, qu3 - 1333, qu4 - 505. Пример: cd; mkdir -m 777 qu1). С помощью команды ls /home/userl убедитесь в том, что каталоги созданы. Какие из предоставленных прав кажутся Вам лишенными смысла? Почему?
   
8. 
   Задайте права доступа к файлам "по умолчанию". Для этого установите umask 022. Поясните, какие права к вновь создаваемым файлам и каталогам будут предоставляться пользователю, членам его группы и остальным.
   

10. 
    С помощью команды chmod измените нужные права доступа в "недоступные" каталоги qu2, qu4 и создайте там указанные файлы. После этого верни­ те каталогам прежние права доступа.
    
11. 
    С помощью команд cd и ls войдите в каждый из созданных каталогов и просмотрите список созданных файлов. Для просмотра каталога необходимо по­ следовательно ввести две команды: cd и ls. При просмотре используйте два режима: ls без аргументов и ls -l. В каких случаях не удалось войти в ката­ лог? В каких случаях не удалось посмотреть список файлов? Почему?
    
12. 
    Прочитайте содержимое одного из файлов в "темном" каталоге (например, cd /home/user1/qu3; cat aug). Сделайте выводы.
    

13. 
    Перейдите во 2-ю консоль и с правами пользователя user2 войдите в каталог /home/user 1/qul. Создайте в каталоге /home/user2 новый файл quart1 путем конкатенации нескольких имеющихся (cat jan feb mar >/home/user2/quartl). С помощью команды file определите тип созданного файла. Попробуйте вывести его на экран командой cat. Что пред­ ставляет собой данный файл?
    
14. 
    С помощью команды chmod установите права доступа 077 на созданный файл quart1. Вновь попробуйте прочесть его. Ответьте, почему владельцу файла запрещается доступ, если файл доступен для всех? Что необходимо сделать, чтобы вернуть владельцу права на доступ?
    

15. 
    Установите для файла quatrl права на доступ 4700. Кому и какие права вы при этом предоставили? Как воспользоваться этими правами? Какие из предоставленных прав не имеют смысла?
    
16. 
    Перейдите в консоль администратора и передайте право владения на файлы may и aug пользователю user2 (команда chown). Поочередно из консолей userl и user2 проверьте, как изменились права владения файлами после его передачи. Может ли пользователь user2 воспользоваться предоставленными правами?
    

17. 
    С правами пользователя userl из каталогов /home/temp1 и /home/temp2 с по­ мощью команды ln создайте две "жесткие" ссылки на файл dec с именами dec_h1 и dec_h2 (пример: ln /home/user1/qu4/dec /home/templ/dec_hl). Чем созданные ссылки отличаются от исходного файла? На сколько байт уменьшилось дисковое пространство после создания этих ссылок?
    
18. 
    С помощью команды ln -s создайте из каталогов /home/temp1 и /home/temp2 две символические ссылки на файл dec с именами dec_sl и dec_s2. Чем отличаются созданные ссылки от исходного файла? Попытайтесь прочитать содержимое файлов символических ссылок. Что они собой представляют?
    
19. 
    С правами пользователя user2 с помощью команды ср создайте в каталогах /home/temp1 и /home/temp2 по одной копии файла dec с другим именем (dec_copyl). Чем отличаются исходный файл и его копия (обратите внимание на то, кто является владельцем исходного файла и его копии)? Чем отличаются права доступа на эти файлы? Вернитесь в консоль userl.
    
20. 
    С помощью команды rm удалите файл dec. Что произошло с "жесткими" и символическими ссылками на данный файл? Что произошло с его копиями? Что нужно сделать для того, чтобы файл перестал существовать (на логическом уровне)?
    
21. 
    С правами userl удалите файлы из каталогов /home/temp1 и /home/temp2. Какие файлы не удалось удалить? Почему? Попробуйте удалить оставшиеся файлы правами пользователя user2. Объясните результат.
    

22. 
    Попробуйте удалить любой из каталогов qul, qu2, qu3, qu4 с помощью команды rmdir (не удаляя предварительно из них файлов). Объясните результат.
    
23. 
    Войдите в консоль администратора и с правами root, пользуясь командой chattr, заблокируйте файл feb от любых изменений. Установите параметр запрета любых операций, кроме добавления данных для файла mar. Вернитесь в консоль userl. С помощью команды lsattr -1 проверьте наличие дополнительных атрибутов у файлов.
    

25. 
    C правами пользователя userl с помощью команды rm -rf последовательно удалите ранее созданные каталоги qu2, qu3, qu4 вместе с файлами. Объяс­ните результат.
    
26. 
    С помощью команды md5sum вычислите и запишите контрольную сумму для одного из файлов в каталоге /home/user1/qul. Добавьте один символ в этот файл с помощью команды echo (например, echo a >> /home/userl/qul/jan). Вновь вычислите контрольную сумму файла и сравните два результата.
    
27. 
    С помощью команды cat /dev/fdO попробуйте прочесть специальный файл устройства. Объясните результат? Для чего служат специальные файлы?
    

25. 
    С помощью команды find с правами администратора найдите в корневом каталоге файлы:
    

• 
  имеющие атрибуты SUID (find / -type f -perm -4000);
  

• 
  файлы, которые разрешено модифицировать всем (find / -type f - perm -2);
  

• 
  файлы, не имеющие владельца (find / -nouser);
  

• 
  объясните, какой интерес могут представлять для администратора указанные категории файлов?
  

Работа с учетными записями пользователей

25. 
    Используя команду cat с правами root, просмотрите содержимое файла /etc/passwd. Файл представляет собой таблицу, каждая строка которой представляет отдельную учетную запись, состоящую из 7 полей. Обратите внимание на характерные разделители полей (регистрационное имя, признак пароля, идентификатор пользователя, идентификатор группы, дополни­ тельная информация, "домашний" каталог, имя командного процессора) в виде двоеточия. Символ x вместо пароля указывает на то, что хэшированный пароль находится в другом файле - /etc/shadow.
    
26. 
    Аналогично изучите содержимое файла /etc/shadow. Он также представляет собой таблицу, каждая строка которой состоит из 9 полей, разделенных двоеточиями (регистрационное имя, хэшированный пароль, контрольные сроки в днях, среди которых:
    

• 
  число дней с 1.01.70 г. до дня последнего изменения пароля,
  
• 
  минимальное число дней действия пароля со дня его последнего изменения,
  
• 
  максимальное число дней действия пароля,
  

• 
  за сколько дней до устаревания пароля система начнет выдавать предупреждения,
  
• 
  число дней со времени обязательной смены пароля до блокировки учетной записи,
  

• 
  день блокировки учетной записи.
  

31. Вам необходимо создать учетные записи и определить права доступа для десяти (10) сотрудников: w_gromov, n_kalinina, e_ivanova, r_klinova, b_rebrov, k_beglov, i_frolov, d_lavrov, m_kruglov, t_uporov, работающих в одном подразделении и занятых созданием и редактированием текстовых документов различного уровня конфиденциальности. Разграничение доступа к информации должно быть произведено на основании следующих требова­ний:

• 
  три пользователя: n_kalinina, b_rebrov, k_beglov работают над созданием секретных документов, каждый по своему профилю. Их домашние каталоги и файлы должны быть полностью недоступными как друг для друга, так и для всех остальных, исключая w_gromov;
  
• 
  три пользователя: i_frolov, d_lavrov, e_ivanova имеют допуск к конфиденциальной информации и работают над документами с соответствующим грифом. Они имеют право читать файлы с конфиденциальной информацией, созданные своими коллегами, без права их модификации;
  
• 
  все секретоносители имеют право знакомиться с конфиденциальными файлами;
  
• 
  три пользователя: r_klinova, m_kruglov, t_uporov могут работать только с открытой информацией. Их файлы должны быть доступны для чтения каждому сотруднику подразделения (без права модификации);
  
• 
  w_gromov является редактором подразделения и имеет право читать и модифицировать файлы всех сотрудников и всех уровней конфиденциальности. Завершенные документы копируются пользователем w_gromov в его домашний каталог, который должен быть недоступен для всех остальных со­трудников подразделения.
  

32. 
    Укажите в отчете, какие коллизии вы усматриваете в сформулированных требованиях? Как реализовать указанные требования таким образом, чтобы пользователи не могли по своему усмотрению изменять установленный по­ рядок?
    
33. 
    С помощью команды groupadd создайте четыре пользовательских группы: alfa, beta, nabla, sigma. Формат команды groupadd -g GID group_name. Идентификатор группы GID можно назначать произвольно, начиная с номера 100 (например, groupadd -g 101 alfa).
    
34. 
    Создайте учетные записи для вышеуказанных десяти новых пользователей. Регистрационные данные (кроме паролей и групп) сведены в таблицу. Пароли назначайте произвольно, длиной не менее 8 символов, не забывая фиксировать их в черновике отчета. Для пользователей e_ivanova, r_klinova задайте одинаковые пароли. Распределите сотрудников по группам таким образом, чтобы удовлетворить вышеперечисленным требованиям. Изобразите в отчете схему, поясняющую разграничение доступа сотрудников подразделения к компьютерной информации.
    
35. 
    Пять первых пользователей (w_gromov, n_kalinina, e_ivanova, r_klinova, b_rebrov) зарегистрируйте с помощью команды useradd. Синтаксис коман­ ды: useradd -u UID -g group_name -d dir_home -m -p password -e date_del_user user_name. Например, useradd -u 501 -g sigma -d /home/n_kalinina -p v5g7K2S4 -e 2011-01-07 n_kalinina. Параметр -m обеспечивает создание домашнего ката­лога пользователя, если он еще не существует. Прочие параметры команды можно не указывать. Помните, имя пользователя не должно начинаться с цифры и содержать заглавных и русских букв, символов типа *#%^л.... Идентификаторы пользователей UID назначаются, начиная с 500. Дата удаления учетной записи пользователя вводится в формате ГГГГ-ММ-ДД.
    
36. 
    Пять последних пользователей зарегистрируйте с помощью командного файла adduser, которая запрашивает значения в интерактивном режиме. При вводе данных ориентируйтесь на подсказки системы [в квадратных скобках]. Все параметры, кроме имени пользователя, его идентификатора, имени группы, пароля и домашнего каталога можно игнорировать. Для ввода параметра по умолчанию вводить Enter. В некоторых дистрибутивах ОС Linux командный файл adduser отсутствует, и в этом случае регистрацию ос­тальных пользователей следует произвести аналогично пункту 8. При ис­пользовании adduser символ подчеркивания в имени пользователя не воспринимается. Если это так, замените этот символ в именах пользователей на символ дефиса.
    

32. 
    Переключаясь во вторую консоль, отслеживайте изменения, происходящие в файле /etc/passwd по мере ввода новых учетных записей.
    
33. 
    Попробуйте с правами пользователя посмотреть файл /etc/shadow. Повторите попытку просмотра с консоли суперпользователя. Почему поля, отведенные для хэшированных паролей у пользователей e_ivanova и r_klinova различаются? Обратите внимание на то, что во многих дистрибутивах ОС утилита useradd работает некорректно и записывает пароли в файл в от­крытом виде! Поскольку система воспринимает эту запись в качестве хэш- функции пароля, у пользователя с подобной учетной записью нет никаких шансов войти в систему. Администратору в этом случае рекомендуется в ответ на соответствующий вопрос useradd ввести пустой пароль (в файле /etc/passwd в поле признака пароля при этом будет стоять восклицательный знак), а затем установить пароль пользователю с помощью команды passwd.
    

32. 
    Из первой консоли с помощью команды su измените права администратора на права пользователя w_gromov. Почему система не запрашивает пароль? С помощью команды exit верните себе права администратора. Был ли запрошен пароль? (В различных дистрибутивах Linux возврат полномочий адми­ нистратора организован различным образом).
    
33. 
    Запустите оболочку Midnight Commander в режиме редактирования (F4) файла паролей /etc/passwd и удалите в учетной записи пользователя n_kalinina символ признака пароля (между первым и вторым двоеточием), включая пробел. Сохраните изменения в файле, завершите сеанс в Midnight Commander, с помощью Ctrl+Alt+F2 (Alt+F2) откройте второй текстовый терминал и зарегистрируйтесь пользователем n_kalinina, но теперь с «пустым» паролем. Сделайте вывод относительно опасности предоставления прав на запись в этот файл. Завершите сеанс для пользователя n_kalinina с помощью команды exit.
    
34. 
    Пользователь d_lavrov уволен за дисциплинарный проступок. С помощью команды userdel -r user_name удалите его учетную запись вместе с домашним каталогом. В реальных условиях необходимо вначале скопировать в другую директорию файлы пользователя, представляющие ценность для организации.
    
35. 
    Зарегистрируйте вместо уволенного пользователя нового сотрудника f_mironov с предоставлением ему аналогичных прав (пароль должен быть новым!).
    

32. 
    Пользователь r_klinova убыла в командировку сроком на две недели. Заблокируйте ее учетную запись, для чего с правами администратора войдите в режим редактирования файла паролей и вставьте во второе поле (между первым и вторым двоеточием) любой символ, который не разрешено исполь­зовать для пароля. Попытайтесь зарегистрироваться во второй консоли с правами r_klinova и убедитесь в том, что для этого пользователя система не­ доступна.
    
33. 
    Зарегистрируйтесь во второй консоли с правами пользователя k_beglov, вызовите команду passwd и измените свой пароль. В качестве нового пароля введите qwerty.
    
34. 
    Перейдите в консоль администратора и назначьте пользователю k_beglov новый пароль zxcvbnm. Затем с помощью команды chage (change aging - изменить информацию об устаревании) установите для этого пользователя минимальное время действия паролей, равное 5 дням. С какой целью уста­навливается минимальный срок действия пароля?
    

• 
  пользователю e_ivanova - право монтировать файловые системы,
  
• 
  пользователю b_rebrov - право изменения владельца файлов.
  

47. Из второй консоли с правами пользователя f_mironov создайте файл cal 2010 > /home/f_mironov/cal2010. С помощью команды su переключите консоль на пользователя b_rebrov и с помощью временно предоставленных ему привилегий передайте права на созданный f_mironov файл другому владельцу n_kalinina. Каким еще путем можно предоставить подобные права пользователям, не передавая им "опасных" полномочий администратора?

48. Просмотрите с правами администратора системные журналы в каталоге var/log и убедитесь, что система зафиксировала факты присвоения полномо­чий администратора.

Изучение и анализ отображаемой информации о процессах

49. Из консоли пользователя командой ps -ef l | more выведите расширенный поэкранный список исполняемых процессов (перечень параметров для расширенного вывода информации можно уточнить с помощью электронного справочника man ps). Разберитесь с выводимой информацией. Определите процессы:

> по типу: системные, демоны, пользовательские (тип процесса определяется по косвенным признакам, в частности, по имени),

> по состоянию S: (исполняющиеся - R или О, ожидающие записи на диск - D, ожидающие событий - S, приостановленные - Т, зомби - Z и т.д.),

• 
  по текущему динамическому приоритету PRI (наименьшее значение у высокоприоритетных процессов),
  

• 
  по относительному приоритету N1.
  

51. 
    Из первой консоли создайте процесс od /dev/zero > /dev/null. В соответствии с введенной командой утилита od читает и выводит непрерывный поток нулевых байт из «рога изобилия» в нулевое устройство. Переклю­чившись в другую консоль, с помощью команды top просмотрите список наиболее активных процессов. Найдите и идентифицируйте запущенный процесс, найдите по идентификатору PPID его «родителя», определите его приоритет (возможно это - величина переменная), долю загрузки централь­ ного процессора %CPU и оперативной памяти %МЕМ.
    
52. 
    Поочередно из первой и второй консолей с правами администратора и пользователя с помощью команды od /dev/zero > /dev/null & создайте по 2-3 одинаковых фоновых процесса.
    
53. 
    По мере создания новых процессов отслеживайте в третьей консоли их текущий приоритет, загрузку процессора и памяти. Имеются ли различия в приоритете процессов, выполняемых от имени администратора и пользователя?
    
54. 
    С консоли пользователя userl измените приоритет одного из принадлежащих ему процессов. Для этого воспользуйтесь командой renice -10 PID. Изменился ли относительный приоритет процесса?
    
55. 
    Повторите предыдущий пункт с правами администратора.
    
56. 
    Переключитесь в консоль пользователя и измените приоритет одного из принадлежащих ему процессов командой renice 5 PID. Произошло ли изменение приоритета?
    
57. 
    Проконтролируйте из третьей консоли изменение приоритетов запущенных процессов.
    
58. 
    Удалите созданные процессы командой kill.
    

59. С правами пользователя создайте в своей директории сценарий с именем abсd. Сценарий можно создать с помощью команды cat:

Используя команду chmod, присвойте пользователю полные права на чтение, запись и исполнение данного сценария. Запустите сценарий на исполнение (на экран должны непрерывно выводиться приветствия HELLO!)

60. 
    Перейдите в третью консоль, с помощью команды top просмотрите список процессов и найдите в нем «зависший» процесс, запущенный пользователем (на самом деле это только имитация зависания, которое пользователь легко может прекратить сам). Прочитайте идентификатор процесса PID.
    
61. 
    Нажатием Ctrl+C из второй консоли остановите процесс. Как изменилось при этом состояние процесса?
    
62. 
    Повторно запустите из второй консоли процесс, перейдите в первую консоль и отправьте "зависшему" процессу сигнал на останов (команда kill -15 PID_process).
    
63. 
    Перейдите в другую консоль и отправьте «непослушному» процессу сигнал kill -20 PID. Как реагирует процесс на данный сигнал? Посмотрите в электронном справочнике, что означает данный сигнал.
    

60. 
    С помощью команды kill -9 PID отправьте этому процессу сигнал принудительного завершения. С другой консоли проконтролируйте выполнение команды. Остановился ли процесс? Остался ли он в списке процессов? Какая программа на самом деле перехватывает и исполняет команду kill -9 PID?
    
61. 
    С помощью команды echo $PATH поочередно из консоли администратора и пользователя userl выведите список директорий, в которых производится поиск исполняемых файлов, заданных только по имени. В чем заключается различие выведенных списков? Почему в списке PATH администратора отсутствует текущий каталог (.)? Почему в списке PATH пользователя отсутствует каталог /sbin? Имеет ли пользователь возможность изменить порядок проверки каталогов для администратора?
    
62. 
    Попробуйте запустить несколько утилит из второй консоли с правами пользователя (например, renice -10 PID, date -s O). Как реагирует система на ваши попытки?
    
63. 
    Перейдите в административную консоль и повторите запуск утилит с правами супер­пользователя.
    

60. 
    Убедитесь в том, что пользователю разрешен запуск указанных утилит. Объясните, почему пользователь не может запустить утилиты с некоторыми «критичными» параметрами? Где, по вашему мнению, расположен механизм контроля за ходом запуска (в ядре операционной системы, в командной обо­лочке, в самой утилите?). Ответ обоснуйте.
    
61. 
    С правами пользователя скопируйте в свой рабочий каталог один из исполняемых файлов с параметром SUID каталога /bin (исполняемые файлы вы­ делены цветом и символом *, а параметр SUID отмечен символом «s» в правах владельца на исполнение). Как изменились права доступа к файлу после его копирования?
    

• 
  Какие дополнительные атрибуты можно присвоить файлу в файловой систе­ ме EXT2FS? Как эти атрибуты влияют на обеспечение конфиденциальности, целостности и доступности информации?
  

• 
  Для каких целей могут использоваться «темные» каталоги?
  

• 
  Какие права по отношению к файлам и каталогам вам необходимо иметь для копирования файла? Как изменяются при этом атрибуты копии?
  

• 
  Администратор по невнимательности ввел следующую команду: chmod -R 555 / . Что последует за выполнением этой команды?
  

• 
  Какую опасность для системы представляют файлы, не имеющие владельца?
  
• 
  Как можно найти файл по его inode?
  

• 
  Достаточно ли трех базовых прав доступа к файлам для реализации в ОС Linux требуемой политики безопасности?
  
• 
  Какие изъяны вы усматриваете в использованных утилитах регистрации учетных записей пользователей?
  
• 
  Может ли пользователь закрыть для себя доступ к собственному файлу? Каким образом? Почему система не соотносит владельца файла ни с его груп­пой, ни со всеми остальными?
  
• 
  Существуют ли способы ограничения доступа суперпользователя к некоторым конфиденциальным файлам?
  
• 
  Какие дополнительные права администратор может предоставить пользователям с помощью утилиты sudo и регистрационного файла /etc/sudoers?
  

• 
  Чем отличаются системные процессы, «демоны» и пользовательские процессы?
  
• 
  Почему пользователю не разрешается повышать приоритет процессов?
  
• 
  Усматриваете ли вы какую-либо опасность в возможности понижения приори­тета пользовательских процессов?
  
• 
  В консоли, с которой вы работаете, произошло «зависание», вызванное неправильным исполнением одного из ваших процессов. Каким образом можно повлиять на возникшую ситуацию?
  
• 
  Какие угрозы безопасности связаны с использованием эффективного идентификатора SUID? Почему администратор должен учитывать и контролиро­вать процессы с таким идентификатором?
  

• 
  С помощью команды find найти в файловой системе:
  

-файлы с установленными битами SUID и SGID;

-файлы, принадлежащие некоторому пользователю;

-файлы, не принадлежащие никакому пользователю;

• 
  Автоматизировать процесс сохранения md5sum для некоторого списка файлов (заданного в виде текстового файла) и последующей проверки совпадения текущих значений хеш-функции с сохраненными ранее.
  
• 
  Реализовать защиту файла, содержащего хеш-функции контролируемого набора файлов с помощью механизма цифровой подписи.
  
• 
  Написать и скомпилировать программу, отправляющую сообщения syslog и настроить запись сообщений данной программы в отдельный log – файл.