Samba trifft IT-Grundschutz FH OÖ Studiengänge Hagenberg Linz Steyr Wels
Zur Person Name: Christoph Zauner Masterstudium Sichere Informationssysteme an der Fachhochschule Hagenberg in Österreich. Schwerpunkte des Studiums: System- und Netzwerktechnik Sicherheit in der Informations- und Kommunikationstechnologie (technische Grundlagen, rechtliche Rahmenbedingungen, internationale Standards) Kontakt: E-Mail: christoph.zauner@students.fh-hagenberg.at Folie 2
Zur Person Berufspraktikum bei SerNet Halbjähriges Berufspraktikum im Jahr 2008 bei der SerNet GmbH in Göttingen. Erstellung eines s für die IT-GrundschutzKataloge des BSI. Geschäftsfelder der SerNet: Enterprise Linux, Netzwerke, Samba, IT-Sicherheit und Datenschutz. Folie 3
Samba Was ist? Folie 4
Samba Was ist? Frei verfügbarer Anmelde-, Datei- und Druckserver für Unix. Samba implementiert unter anderem: SMB-Protokoll l SMB Server Message Block l Kommt z.b. beim Kopieren von Dateien zwischen Windows-Rechnern zum Einsatz. l Auch bekannt als CIFS Common Internet File System Kerberos-Protokoll Microsoft Remote Procedure Calls Mit der Funktionalität eines Microsoft Windows NT4Domänencontrollers vergleichbar. Folie 5
Samba Warum wird Samba eingesetzt? Linux Desktop Clients werden mit Microsoft Windows Servern verbunden. Microsoft Windows Clients werden mit Linux Servern verbunden. Es sollen Protokolle wie NFS abgelöst werden. Zusammenfassend läßt sich festhalten, dass Samba eine Brücke zwischen der Microsoft Windows- und der UNIWelt schlägt. Folie 6
Samba Entstehung (1) Entwicklung begann im Dezember 1991 an der Australian National University. PCs Betriebssystem MS-DOS. DEC Workstations Betriebssystem ULTRI. PCs nutzten Datei- und Druckdienste der Workstations über Pathworks von DEC (SMB-Protokoll). Der Student Andrew Tridgell war darauf angewiesen auf Dateifreigaben einiger Sun Workstations (Betriebssystem UNI) zuzugreifen. Einen Pathworks Server für UNI gab es nicht. Folie 7
Samba Entstehung (2) Tridgell rekonstruierte das von Pathworks verwendete Protokoll und programmierte einen Server für UNI. Im Januar 1992 veröffentlichte er seinen Servercode und stieß auf reges Interesse. Ende 1993 stellte sich heraus, dass Microsoft in WindowsNetzwerken für Datei- und Druckdienste das SMB-Protokoll verwendete. Mit der zunehmenden Verbreitung von Microsoft Windows wurde ein Vermittler zwischen der UNIund der Windows-Welt immer wichtiger. Samba Aktuell ist Version 3.4.3 (29. Oktober 2009). Folie 8
Samba Wer entwickelt Samba heutzutage? Das Samba-Team besteht momentan aus ca. 30, weltweit über den Globus verstreuten, Personen. Die Anzahl an Leuten, welche die Entwicklung aktiv vorantreiben, beläuft sich auf ca. 12 Personen. Bei der SerNet GmbH sind rund 5 dieser Entwickler angestellt. Die SerNet ist ein wichtiger Know-How-Träger im Bereich Samba. Folie 9
Samba Woher kommt der Name Samba? Die ersten Versionen hießen server. Nachdem Tridgell bewusst wurde, dass er das SMBProtokoll implementiert hatte, folgte die Umbenennung in smbserver. Dieser Name war bereits markenrechtlich geschützt und so wurde smbserver in samba umbenannt. Folie 10
Umfang Umfang des s 1 Bausteindokument 21 Gefährdungsdokumente (14 übernommen) 17 Maßnahmendokumente (1 übernommen) Folie 11
Einordnung im Schichtenmodell Folie 12
Maßnahmen-Gefährdungstabelle G G G G G G G G 2. 2. 2. 2. 2. 2. 3. 3. Zyklus / Siegel 9 22 87 143 144 145 9 38 M 2.437 PK A M 2.438 UM C M 3.68 UM B M 4.147 PK Z M 4.326 PK A M 4.327 BE C M 4.328 UM A M 4.329 UM C M 4.330 UM B M 4.331 UM C M 4.332 UM A M 4.333 UM C M 4.334 UM Z M 4.335 BT B M 5.151 UM C M 6.135 NV B M 6.136 NV B G 3. 94 G 3. 95 G G G G 3. 4. 4. 4. 96 13 22 54 G 4. 72 G G G G G G 5. 5. 5. 5. 5. 5. 7 21 28 71 85 133 Folie 13
Gefährdung: Unzureichende Sicherung von TDBDateien Schulung der Administratoren eines Samba-Servers Regelmäßige Sicherung wichtiger Systemkomponenten eines Samba-Servers G G G G G G G 2. 2. 2. 2. 2. 2. 3. Zyklus / Siegel 9 22 87 143 144 145 9 M 2.437 PK A M 2.438 UM C M 3.68 UM B M 5.151 UM C M 6.135 NV B M 6.136 NV B Folie 14
Gefährdung: Unzureichende Sicherung von TDBDateien Maßnahme: Regelmäßige Sicherung wichtiger Systemkomponenten eines Samba-Servers Maßnahme: Schulung der Administratoren eines Samba-Servers Folie 15
Gefährdung: Unzureichende Sicherung von TDBDateien Folie 16
Gefährdung: Unzureichende Sicherung von TDBDateien TDB-Dateien müssen speziell gesichert werden: TDB Trivial Database. Binäres Datenbankformat. Inhalte der Datenbanken oft länger im Hauptspeicher zwischengespeichert und daher auf der Festplatte nicht immer aktuell. Bei unsachgemäßen Sicherungen droht Informationsverlust. Folie 17
Maßnahme: Regelmäßige Sicherung wichtiger Systemkomponenten eines Samba-Servers Korrekte Sicherungen von TDB-Dateien: Entweder Verwendung von tdbbackup oder Samba für die Dauer der Sicherungsoperation stoppen. Folie 18
Gefährdung: Informationsverlust beim Kopieren oder Verschieben von Daten auf SambaFreigaben Schulung der Administratoren eines Samba-Servers Sicherstellung der NTFS-Eigenschaften auf einem Samba-Dateiserver G G G G G G G 2. 2. 2. 2. 2. 2. 3. Zyklus / Siegel 9 22 87 143 144 145 9 M 2.437 PK A M 2.438 UM C M 3.68 UM B M 4.147 PK Z M 4.326 PK A M 4.327 BE C Folie 19
Gefährdung: Informationsverlust beim Kopieren oder Verschieben von Daten auf SambaFreigaben Maßnahme: Schulung der Administratoren eines Samba-Servers Maßnahme: Sicherstellung der NTFS-Eigenschaften auf einem Samba-Dateiserver Folie 20
Gefährdung: Informationsverlust beim Kopieren oder Verschieben von Daten auf SambaFreigaben Unix- und Windows-Dateisysteme unterscheiden sich teilweise gravierend voneinander. Samba kann die Unterschiede in einigen Bereichen nicht transparent ausgleichen: NTFS Access Control Lists (ACLs) NTFS Alternate Data Streams (ADS) DOS-Attribute Folie 21
Maßnahme: Sicherstellung der NTFS-Eigenschaften auf einem Samba-Dateiserver (1) Access Control Lists (ACLs) - NTFS ACLs werden über POSI ACLs abgebildet. - Keine direkte Abbildung der NTFS ACLs auf POSI ACLs. - Bevor Dateisystemobjekte über Systemgrenzen hinweg verschoben werden, muss sichergestellt werden, dass diesen keine NTFS ACLs zugewiesen sind, die Samba nicht abbilden kann. Folie 22
Maßnahme: Sicherstellung der NTFS-Eigenschaften auf einem Samba-Dateiserver (2) Alternate Data Streams (ADS) - Ab Version 3.2 kann Samba Alternate Data Streams direkt über POSI Extended Attributes abbilden. DOS-Attribute - Standardmäßig bildet Samba DOS-Attribute über UnixDateiberechtigungen ab. Dies kann zu Problemen führen. Es wird empfohlen Extended Attributes zum Abbilden der DOSAttribute zu verwenden. Folie 23
Gefährdung: Fehlerhafte Administration des ITSystems (Auszug) Sichere Grundkonfiguration eines Samba-Servers G G G 2. 3. 3. Zyklus / Siegel 145 9 38 M 4.326 PK A M 4.327 BE C M 4.328 UM A M 4.329 UM C M 4.330 UM B M 4.331 UM C M 4.332 UM A G 3. 94 G 3. 95 G 3. 96 Folie 24
Gefährdung: Fehlerhafte Administration des ITSystems (Auszug) Maßnahme: Sichere Grundkonfiguration eines Samba-Servers Folie 25
Gefährdung: Fehlerhafte Administration des ITSystems Die fehlerhafte Administration eines IT-Systems kann eine Gefährdung der Sicherheit nach sich ziehen. Standard-Installationen von Programmen weisen in den seltensten Fällen alle Merkmale einer sicheren Installation auf. Große Sorgfalt ist vor allem bei der Konfiguration der Zugriffsberechtigungen auf die von Samba verwalteten Benutzerinformationen (NTLM Hash-Werte der Benutzerpasswörter, etc.) wichtig. Folie 26
Maßnahme: Sichere Grundkonfiguration eines Samba-Servers Samba muss die in der Windows-Welt verwendeten NTLM Hash-Werte der Benutzerpasswörter separat speichern. Dazu verwendet Samba ein so genanntes Backend: Textdatei TDB-Datei LDAP-Verzeichnis Es muss sichergestellt werden, dass Benutzer keine HashWerte aus dem Backend auslesen können. Unter Windows sind die NTLM Hash-Werte gleichbedeutend mit den Klartextpasswörtern. Folie 27
Fazit Der Ansatz des BSI (IT-Grundschutz) hat großes Potential. Damit ist gemeint die Kombination eines abstrakten, organisatorischen Rahmenwerks, in Verbindung mit konkreten produktspezifischen Empfehlungen, und Tools die IT-Leiter und Administratoren dabei unterstützen die beiden zuerst genannten Punkte in ihrer IT-Landschaft umzusetzen. Der ist eine der konkreten produktspezifischen Hilfestellungen für das Erreichen und Aufrechterhalten eines entsprechenden Sicherheitsniveaus. Folie 28
Ende Danke für Ihre Aufmerksamkeit Folie 29