wbinfo -a пользователеь_домена%пароль.
Якщо користувач авторизувався, буде видано:
plaintext password authentication succeeded
error code was NT_STATUS_OK (0x0)
challenge/response password authentication succeeded
error code was NT_STATUS_OK (0x0)
Якщо неправильний пароль, то:
error code was NT_STATUS_WRONG_PASSWORD (0xc000006a)
Could not authenticate user dmn%doct with plaintext password
challenge/response password authentication faile
error code was NT_STATUS_WRONG_PASSWORD (0xc000006a)
Could not authenticate user dmn with challenge/response
Все це означає, що модуль wbinfo нарешті настроєний і правильно функціонує. Можна приступати до налаштування SQUID.
Тепер потрібно набудувати SQUID.
Спершу, потрібно відзначити, що NTLM схему підтримує SQUID, починаючи з версії 2.5. Тому я викачав версію 2.5.PRE13.
Далі, SQUID потрібно скомпілювати з підтримкою схем авторизації і модулем:
winbind../configure -enable-auth="ntlm,basic" \
--enable-basic-auth-helpers="winbind"\
--enable-ntlm-auth-helpers="winbind"
Тепер можна перевірити а чи розуміє SQUID-овский авторизатор winbind. Для цього потрібно запустити:
/usr/local/squid/libexec/wb_auth -d
І ввести уручну ім'я пароль (через пропуск).
Якщо все працює коректно, то програма видасть:
/wb_auth[91945](wb_basic_auth.c:129): Got 'Dmn XXXXX' from squid (length: 10).
/wb_auth[91945](wb_basic_auth.c:55): winbindd result: 0
/wb_auth[91945](wb_basic_auth.c:58): sending 'OK' to squid
Після цього, потрібно набудувати squid, щоб він коректно працював на основі IP-авторизації.
Тепер залишилося підключити авторизацію до SQUID. Для цього в конфиге SQUID потрібно описати в схеми авторизації через winbind:
auth_param ntlm program /usr/local/squid/libexec/wb_ntlmauth
auth_param ntlm children 5
auth_param ntlm max_challenge_reuses 0
auth_param ntlm max_challenge_lifetime 2 minutesauth_param basic program /usr/local/squid/libexec/wb_auth
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
Причому важливо щоб NTLM авторизація йшла першою, інакше застосовуватиметься авторизація basic і IE питатиме пароль.
Далі потрібно зробити соответсвующую ACL і параметр доступу. Важливо, щоб це йшло після опису авторизацій.
acl myusers proxy_auth REQUIRED
http_access allow myusers
http_access deny all
Тепер залишається запустити SQUID і все перевірити.
Що має бути:
Якщо користувач авторизувався в домені, то IE не запитає пароль, а пойдетт відразу в Інтернет. Причому, в лог-файле SQUID буде безцінна інформація, а хто це був:
1032943720.839 180 10.128.36.5 TCP_CLIENT_REFRESH_MISS/200 1280 GET http://www.ru/eng/images/demos.jpg work\dmn DIRECT/194.87.0.50 image/jpeg
Тобто Це був користувач dmn з домена work.
Якщо користувач не авторизувався в домені - його запитають логін і пароль. Якщо він введе логін\пароль такій же, як при вході в домен, то його пустять в Інтернет.
Якщо користувач користується не IE (наприклад, Mozilla, Netscape, Opera), він буде повинен набрати свій логін і пароль для авторизації в Windows.
Якщо аккаунт в Windows-домене закритий, то і доступ в Інтернет буде закритий.
4.3 Практичні рекомендації щодо забезпечення доступу до каналів комп’ютерної мережі підприємства
Сукупність засобів і правил обміну інформацією утворюють інформаційну систему (ІС) підприємства. Забезпечення доступу співробітників підприємства до ресурсів інформаційної системи є інформаційною підтримкою їх діяльності. Керівництво будь-якого підприємства прагнути забезпечити безперервність інформаційної підтримки своєї діяльності а, отже, постійно ставить і вирішує завдання захисту власної інформаційної системи.
Засобом забезпечення інформаційної підтримки підприємства в переважній більшості випадків є його комп'ютерна мережа. Такі засоби, як голосова телефонія і радіозв'язок, факс і традиційна пошта не розглядаються нами окремо від комп'ютерних мереж, оскільки можливості зловмисника, що використовує тільки ці засоби без залучення комп'ютерних технологій, сильно обмежені. Крім того, захист голосової інформації, факсних і поштових відправлень, забезпечується інженерно-технічними засобами і організаційними заходами. Застосування тільки цих засобів і мерів для захисту комп'ютерних мереж явно недостатньо у зв'язку з особливостями побудови мереж цього класу. Далі ми розглянемо особливості побудови комп'ютерних мереж як засоби інформаційної підтримки підприємства, деякі, відомі уразливості комп'ютерних мереж і рекомендації по їх усуненню.
Особливості архітектури комп'ютерних мереж описані семирівневою моделлю взаємодії відкритих систем (Open Systems Interconnection, OSI), розроблена Міжнародним комітетом із стандартизації ISO (найчастіше використовується скорочене найменування — «модель ISO/OSI» або просто «модель OSI»). Відповідно до концептуальних положень цієї моделі процес інформаційного обміну в комп'ютерних мережах можна розділити на сім етапів залежно від того, яким чином, і між якими об'єктами відбувається інформаційний обмін. Ці етапи називаються рівнями моделі взаємодії відкритих систем. Термін «відкрита система» означає, те, що при побудові цієї системи були використані доступні і відкрито опубліковані стандарти і специфікації. Кожному рівню моделі відповідає певна група стандартів і специфікацій.
Далі ми розглянемо послідовно особливості обробки інформації на фізичному, канальному, мережевому і транспортному рівнях. По кожному рівню будуть представлені відомості про уязвимостях механізмів інформаційної взаємодії, характерних для даного рівня і рекомендації по усуненню цих уязвимостей.
4.3.1 Авторизація доступу на фізчному рівні організації комп’ютерних мереж
Найнижчий рівень моделі взаємодії відкритих систем описує процеси, що відбуваються на фізичному рівні або рівні середовища передачі. Інформація, що обробляється в комп'ютерних мережах, представлена дискретними сигналами і при передачі залежно від характеристик середовища представляється кодуванням або модуляцією. Стандарти фізичного рівня встановлюють вимоги до складових середовища: кабельній системі, роз'ємам, модулям сполучення з середовищем, формату сигналів при кодуванні і модуляції.
Забезпечити безпеку інформаційного обміну на фізичному рівні моделі можна за рахунок структуризації фізичних зв'язків між вузлами комп'ютерної мережі. Захищене фізичне середовище передачі даних є першим рубежем для зловмисника або перешкодою для дії руйнівних чинників оточення.
Далі приведені класифікація і характеристики середовищ передачі, використовуваних при побудові комп'ютерних мереж:
1. Середовище передачі — коаксіальний екранований мідний кабель. Використання для передачі такого типу середовища припускає наявність топології фізичних зв'язків «загальна шина». Тобто один кабельний сегмент використовується для підключення всіх вузлів мережі. Порушення цілісності кабельного сегменту приводить до відмови мережі. Всі вузли мережі такої топології (зокрема вузол зловмисника) мають можливість управляти процесом передачі інформації. Комп'ютерні мережі, побудовані на цьому принципі, уразливі найбільшою мірою. Зловмисник використовує механізми розділення середовища передачі в мережах цього типу для прослуховування трафіку всіх вузлів і організації атак відмови в доступі до окремих вузлів або всієї мережі в цілому.
2. Середовище передачі, утворене мідною витою парою.Топологія фізичних зв'язків «зірка». Кількість кабельних сегментів в даній мережі відповідає кількості вузлів. Порушення цілісності середовища одного кабельного сегменту не впливає на працездатність всієї мережі. Найуразливішим елементом мережі є центральний комунікаційний пристрій (концентратор або комутатор). Фактично пристрої цього класу є засобом розділення середовища передачі.
Концентратор утворює єдине середовище передачі, доступне всім вузлам мережі. Комп'ютерні мережі, побудовані на цих пристроях, по специфіці розділення фізичного середовища передачі відповідають мережам топології «загальна шина». Середовище передачі, утворене концентратором, дозволяє зловмисникові реалізувати прослуховування трафіку і атаку відмови в доступі, засновану на широкомовній розсилці повідомлень. При цьому зловмисник може не мати безпосереднього фізичного доступу до самого концентратора.
Комутатори використовуються для здійснення поперемінного доступу вузлів до середовища передачі. Розділення фізичного середовища передачі між вузлами в часі утрудняє прослуховування мережі зловмисником і створює додаткову перешкоду для здійснення атак відмови в доступі, заснованих на широкомовній розсилці повідомлень в мережі.
Використання тих і інших пристроїв як засобів утворення середовища передачі дозволяє зловмисникові викликати відмову всієї мережі у нього фізичного доступу до них або до системи їх енергопостачання.
Крім того, для всіх різновидів мідних кабельних систем, використовуваних як середовище передачі даних, має місце наявність побічного електромагнітного випромінювання і наведень (ПЕМІН). Не дивлячись на свою вторинність, ПЕМІН є інформативним для зловмисника і дозволяє йому аналізувати списи мережевої активності, а за наявності аналізатора спектру електромагнітного випромінювання, здійснити перехоплення передаваних середовищем передачі повідомлень.
3. Середовище передачі, утворене оптоволоконним кабелем. Як правило, використовується при побудові магістральних каналів зв'язку. Типова топологія фізичних зв'язків для такого типу середовища передачі — «крапка-крапка» і «кільце». Проте, останнім часом, у зв'язку із здешевленням засобів комутації, оснащених інтерфейсами для підключення оптоволокна, все частіше зустрічається використання цього різновиду кабелю при побудові локальних мереж зіркоподібної топології. Істотною перевагою оптоволоконної кабельної системи перед мідною є відсутність ПЕМІН, що сильно утрудняє перехоплення передаваних середовищем повідомлень. Уразливою ланкою топології «зірка» для оптоволоконного середовища передачі також є концентратори або комутатори.