|
[ Pobierz całość w formacie PDF ]
.Polecenie EXPN zwracapolecenie HELO faktyczny adres dostarczaniaodpowiadający aliaso-wi i listompocztowym.Zapis noexpnpowoduje zablokowanie tegopolecenia.Zastosowanie tegozapisu powoduje, że system będzieodrzucał wiadomości, jeśli stronaneedvrfyhelo przed poleceniem Ten zapis zezwala na użycieVRFY wymagane VRFY, ale tylko jeśli stronapolecenie HELO nie będzie się prawidłowoneedexpnhelo przed poleceniem Ten zapis zezwala na użycie EXPN wymagane EXPN, ale tylko jeśli stronapolecenie HELO nie będzie się prawidłowoRestrictmailcj ograniczenie użycia Ten zapis powoduje ograniczeniepolecenia mailą żliwości przeglądania katalogupocztowej do użytkownikówcych do grupy, która jesttego katalogu.To ograniczenieuniemożliwić osobom trzecimrowanie poczty wymienianejkomputerem i światemPoziom rejestrowania sendmaila można zwiększyć na 9, wstawiając do pliku sendma-il.cf wiersz OL9".Zalecamy taką zmianę.Wyższe poziomy rejestrowania są używane do debugowania i niesłużą żadnemu oczywistemu celowi bezpieczeństwa, ale ich używanie skutkuje gromadzeniemwielu interesujących informacji przez syslog.Należy odpowiednio skonfigurować plik syslog.conf,aby informacje trafiały w rozsądne miejsce.Nie należy też zapominać o przeglądaniuzgromadzonych informacji.Wiele problemów sendmaila wiązało się z adresami służącymi do wysyłania poczty do programów.Tę funkcję należy zablokować, jeśli nie jest ona używana, ustawiając opcję progmailerna programtypu /bin/false.Jeśli opcja progmailer jest potrzebna, należy użyć smrsh (z wersji 8.7.x).Oto przykład używania opcji bezpieczeństwa.Załóżmy, że w firmie funkcjonuje alias wszyscy lubmarketing i że chcemy uniemożliwić osobom z zewnątrz możliwość poznania adresów pocztowychosób, które należą do tych list pocztowych.Nie chcemy również pozwolić nikomu z zewnątrz napoznawanie nazw działających w systemie kont, chcemy zablokować możliwość odbierania pocztyod miejsc, które się nie identyfikują poprawnie, a także chcemy uniemożliwić pracownikommożliwość szperania w cudzej korespondencji.W tym celu w pliku sendmail.cf należy umieścićnastępujący wiersz (zauważmy, że na początku wiersza trzeba umieścić literę O"- od opcje"):Onovrfy,noexpn,needmail hel o,restrictmail qZalecamy stosowanie tych ustawień wszędzie tam, gdzie nie ma uzasadnionej potrzebyudostępniania całemu światu informacji o kontach systemu.Pamiętajmy jednak, że polecenieVERB (uerbose) sendmaila będzie nadal aktywne.Napastnik może za jego pomocą poznać słabestrony serwera poczty.Polecenia VERB nie da się łatwo zablokować.Zauważmy, że zablokowanie polecenia finger oraz wyłączenie opcji VRFY programu pocztowegomoże utrudniać komuś z zewnątrz sprawdzenie adresu pocztowego osoby pracującej w systemie.Być może w takiej sytuacji powinno się zainstalować jakąś łagodną formę usługi finger, którapodawałaby informacje o tym, jak uzyskać prawidłowy adres poczty elektronicznej.TACACS (port UDP nr 49)TACACS to protokół Access Control Server firmy TAC.Służy on do weryfikowania autentycznościlogowania do serwerów terminali.TACACS definiuje zbiór typów pakietów, które mogą być przesyłane z serwera terminali doserwera weryfikującego autentyczność.Pakiet LOGIN jest pytaniem wskazującym, że jakiśużytkownik chce się załogować do serwera terminali.Serwer TACACS sprawdza, czy nazwaużytkownika i hasło są obecne w pakiecie LOGIN, i odsyła z powrotem pakiet ANSWER, któryakceptuje bądz odrzuca żądanie.Protokoły TACACS i XTACACS (rozszerzony TACACS) obsługują wiele dodatkowych pakietów,które umożliwiają serwerowi terminali powiadamianie hosta wtedy, gdy użytkownik się łączy,rozłącza, loguje, wylogowuje i przełącza w tryb SLIP.W protokole TACACS hasła nie są szyfrowane, dlatego są one bardzo podatne na podsłuchiwaniepakietów.System DNS (port TCP i UDP nr 53)System DNS (Domain Name System) jest rozproszoną bazą danych, za pomocą której komputerymogą określać adresy IP na podstawie nazw hostów bądz nazwy hostów na podstawie adresówIP, a także miejsca dostarczania poczty w obrębie sieci.Proces używania tego rozproszonegosystemu nazywa się rozwikływaniem (ang.resolving).Odszukiwanie przez system DNS nazwy hosta (lub innych informacji) polega na tym, że komputerwykonujący szukanie kontaktuje się z innym serwerem nazw i przegląda rekordy, któreodpowiadają aktualnie rozwikływanej nazwie*.W odpowiedzi może się pojawić jeden lub kilkarekordów zawierających serwery nazw.Tabela 17-2 zawiera listę niektórych rodzajówobsługiwanych rekordów: Tabela 17-2.Typy rekordów obsługiwane przez system DNSTyp rekordu OpisA AAAA CNAME Adres autorytatywny.Dla domeny IN jest to adres IP.PTR Adres autorytatywny protokołu IP w wersji 6.NazwaMX kanoniczna aliasu hosta.Wskaznik rekordu.Odwzorowujeadres IP na nazwę hosta (dla hosta IP).Wymiana poczty.Określa inny komputer, który ma otrzymać pocztęprzeznaczoną na ten host.Komputer, sprawdzając za pomocą systemu DNS na przykład nazwę hosta www.cs.pur-due.edu wInternecie, może otrzymać rekord A określający adres IP jako 128.10.19.20 [ Pobierz całość w formacie PDF ] |
Archiwum
|