home
***
CD-ROM
|
disk
|
FTP
|
other
***
search
/
Chip 1996 April
/
CHIP 1996 aprilis (CD06).zip
/
CHIP_CD06.ISO
/
hypertxt.arj
/
92
/
NETVIR.CD
< prev
next >
Wrap
Text File
|
1995-09-17
|
14KB
|
235 lines
@VVírusos hálózatok@N
A vírusokról eddig megjelent írások csak érintôlegesen
foglalkoztak a hálózatok fertôzéseivel. A hazánkban is egyre
terjedô -- többnyire Novell Netware, Netware Lite és
Lantastic -- rendszereket fenyegetô veszélyeket nem szabad
elhallgatnunk.
A hálózatokat veszélyeztetô vírustípusok elemzése elôtt
hasznos, ha a hálózatok mûködését közelebbrôl is
megismerjük.
Mire jó egy hálózat? Pénzmegtakarításra? Nem! A
hálózatok a felhasználó munkavégzését könnyítik, gyorsítják,
az adatok és programok könnyebb elérését segítik. Párhuzamos
munkavégzést tesznek lehetôvé osztott erôforrásokkal
(háttértár, nyomtató stb.), azaz egyszerre többen
dolgozhatnak egy adatbázisban, így gyorsabb a munka, és
biztosítva van az adatbázis integritása.
A hálózatok alapkoncepciója szerint a kiszolgáló
egységnek (server) több munkaállomást kell kiszolgálnia,
ezért célszerû, ha ez egy kategóriával gyorsabb gép, mint a
munkaállomások. A Novell hálózati operációs rendszer
lehetôséget ad arra, hogy a servert munkaállomásként is
használják, bár ezt a szakemberek nem javasolják -- hiszen
ha a server gép ""kiakad", akkor egész hálózatunk leáll.
Ezzel szemben ha egy munkaállomásunkkal van baj, akkor csak
az az egy gép esik ki a munkából. Tehát a servert nem
célszerû munkaállomásként használni! Åltalában ezt be is
tartják a hálózattelepítôk, és a server a ""non-dedicated"
módnak megfelelôen installálva felhasználói munkavégzésre
nem használható. Nem célszerû két gépbôl álló hagyományos
hálózatot kiépíteni, ahol az egyik gép a server, a másik
pedig a munkaállomás, hacsak nem tesztelési célból hozzuk
létre.
Ha hálózatról beszélünk, akkor a felhasználók nagy
többségének a Novell jut eszébe. A PC-világ fejlôdése során
több hálózati operációs rendszert is kifejlesztettek, de
egyik sem tudta igazán megingatni a Novell pozícióját.
80286-os gépeken Novell 2.xx hálózati operációs rendszer, a
80386-os server gépeken már a Novell 3.xx is használható.
A vírusoknak két fô csoportját különböztethetjük meg. A
file-vírusokat, amelyek zömmel a végrehajtható -- .EXE és
.COM -- file-okat fertôzik meg, és úgynevezett
boot-vírusokat, amelyek az operációs rendszer indító
file-jaiba épülnek be. Léteznek ""hibrid" vírusok is, de
ezek ismertetése túlmutat írásunk célkitûzésein.
Vizsgáljuk meg elôször a Novell 2.xx hálózati operációs
rendszert. Indításakor elôször a server gépet kapcsoljuk be,
amely betölti a hálózati operációs rendszert (nincs DOS
átmenet). Mivel a legtöbb esetben a felhasználók nem
használják a servert munkaállomásként -- igen helyesen --,
ezt az esetet tételezzük fel alapértelmezésként. Ha a
serveren floppyról töltünk be DOS-t, akkor semmilyen file-t
nem látunk a merevlemezen, mivel ezeket a Novell speciális
formátumban kezeli. Lehetôségünk van a hálózat
újrakonfigurálására. Ennek megfelelôen a serverbe helyezett,
file-vírussal fertôzött lemez nem fogja megfertôzni a
servert. Viszont ha boot-vírussal (például a Stoned-dal)
fertôzött lemezrôl indítjuk a server gépet, az nagy kárt
okoz.
A Novell 2.xx behúzó programja (boot loader) a
merevlemez 0. sávján helyezkedik el, amely DOS alatt
kihasználatlan. A boot-vírusok általában ide rejtik el a
lecserélt boot-programokat. Ha fertôzött floppyról indítunk
DOS-t a serveren, a vírus nem különbözteti meg, hogy önálló
PC-rôl, munkaállomásról vagy éppen Novell 2.xx serverrôl van
szó, és úgy mûködik, mintha önálló PC-ben aktivizálódna.
Ennek megfelelôen megváltoztatja a boot-programot, és az
eredetit áthelyezi a 0. sávra -- vagyis felülírja a hálózat
betöltô programját! Ezt követôen a hálózat nem tud
betöltôdni. Sajnos a legtöbb esetben ilyenkor újra kell
telepíteni a Novell hálózatot, és a serveren levô adatok
elvesznek. Némi ""varázslás" árán helyreállítható lenne a
server betöltô-programja, és így elkerülhetnénk a teljes
adatvesztést, ehhez azonban alaposan ismerni kell a hálózat
és az adott vírus mûködését.
Mi a megoldás? Célszerû a serveren mindennemû munkát és
lemezcserét mellôzni. A server nem arra való, hogy ott
próbálkozzunk.
A Novell Netware 3.xx operációs rendszert 80386-os
processzorú serverekre fejlesztették ki. A mi szempontunkból
a két hálózati operációs rendszerben a serveren
aktivizálható vírusoknál van eltérés. Az 3.xx-nél elôször
DOS-t töltjük be, majd csak ezt követôen indítjuk el a
hálózati operációs rendszert. îgy a servert is meg lehet
fertôzni ""hagyományos" módszerekkel. Akár boot-, akár
file-vírus kerül a serverre, a servert ugyanúgy kell
kezelni, mintha önálló PC lenne. A 3.xx rendszer --
betöltôdése utáni -- funkcionális mûködése teljesen
megegyezik a 2.xx verzióéval. File-vírusok fertôzése itt is
a munkaállomásokon keresztül terjedhet át a Novell
partícióra.
A munkaállomások bizonyos szempontból hasonlítanak az
önálló PC-kre. Boot- és file-vírusok egyaránt
megfertôzhetik. A boot-vírusok a munkaállomásokon ugyanúgy
mûködnek, mint az önálló PC-ken, mivel a munkaállomások
elôször DOS-ról ""állnak fel". A vírusok ennek megfelelôen
élik világukat, és a munkaállomás merevlemezét, illetve az
ide behelyezett floppykat megfertôzik. Boot-vírust csak
floppyn vihetünk át egyik munkaállomásról a másikra. Ez
magyarázatot ad arra, hogy a munkaállomásról miért nem
fertôzhetjük meg boot-vírussal a servert vagy egy másik
munkaállomást.
A file-vírusok is ugyanúgy viselkednek, mint a szóló
PC-ken. Ha a munkaállomásról betöltünk egy file-vírussal
fertôzött programot, a bacigazda betöltôdik a munkaállomás
memóriájába, és ott indul el. Elôször a vírus hajtódik
végre, majd az eredeti program. Tehát a file-vírus is a
munkaállomáson aktivizálódott, nem a serveren. Ha a vírus
memóriarezidens, akkor a munkaállomás memóriájába ül be. A
file-vírusok a munkaállomásról fertôzik meg a lokális
merevlemezeket és a hálózati serveren elérhetô programokat.
Ha ezt követôen egy másik munkaállomáson elindítjuk a
serveren megfertôzôdött programok egyikét, az betöltôdik a
másik munkaállomás memóriájába és ott végrehajtódik --
elsôként a vírus, majd a program kódja. A file-vírusok tehát
vígan terjednek a hálózaton keresztül.
A hozzáférésvédelmi rendszereket éppen úgy, mint a
másolásvédelmek többségét szintén szétzilálják a
file-vírusok, amikor módosítják a védelmi rendszerek egyes
file-jait. Ez mind a Novell, mind pedig az önellenôrzô és
másolásvédelemmel ellátott rendszerek esetén gyakori
probléma.
Amennyiben a file-vírus a bejelentkezô LOGIN programot
támadja meg, (hasonlóan az önálló PC COMMAND.COM-jának
fertôzôdéséhez) minden programunk veszélyben van.
@VVédekezés@N
Miután számbavettük a fertôzési lehetôségeket, térjünk
át a védekezésre! A védekezési módszereknek több csoportja
van, s ezek akár kombinálhatók is.
Az elsô, kézenfekvônek tûnô megoldás az, hogy
kiszereljük a floppymeghajtókat a munkaállomásokból. Ez --
sajnos -- csak részben oldja meg a kérdést. Nem véd ugyanis
a szándékos fertôzéstôl, hiszen még így is be lehet vinni
vírust a rendszerbe. És még a gyanú sem terelôdhet a
felhasználóra, hiszen neki nincs floppymeghajtója. Hogyan
hozza létre az ""ügyes" felhasználó a vírust? Hadd ne adjunk
most tippeket. Akit érdekel, olvashat róla a
számítástechnikai lapok egyre bôvülô vírus rovataiban.
Egy másik lehetôséget ad a Novell hálózatok @Ksystem login
@Kscript@N file-ja (rendszerindítást leíró file), amely -- a DOS
AUTOEXEC.BAT állományához hasonlóan -- kézbentartja a
rendszer indulását. Ebbe beleépíthetjük vírusellenôrzô és
fertôzésmegelôzô programjainkat. Ha a rendszergazda
megfelelôen osztja ki a hozzáférési jogokat, csökkentheti a
fertôzésveszélyt.
A floppymeghajtók kiszerelése együtt jár úgynevezett
boot EPROM-ok hálózati kártyákba való beültetésével. Néhány
forgalmazó a boot EPROM tartalmát file-ban tárolja, és a
felhasználó igényének megfelelôen akkor égeti be, amikor az
megveszi tôle. Ez csak EPROM, EPROM-égetô és címke kérdése
-- nem több. Magyarországon megtörtént, hogy egy ilyen
forgalmazó vírusfertôzést kapott, a boot EPROM-okba beégette
a szükséges tartalmat, s ezt követôen panaszkodott csak a
felhasználó: ha bejelentkezik a hálózatba, elvész a
munkaállomás merevlemezének tartalma. Az ilyen jellegû
vírusokat a legnehezebb felfedezni, és ellenük gyakorlatilag
lehetetlen védekezni.
Ha az @KA:@N egységbe valaki floppyt helyezett, akkor a boot
EPROM be sem jelentkezik, tehát csak a merevlemezrôl való
rendszerindítást ""fogta meg". Ennek megfelelôen, ha boot
EPROM-unk van a hálózati kártyában, és a floppymeghajtóba
vírusos lemezt tettek, akkor a vírus szempontjából teljesen
közömbös, hogy azt merevlemezrôl vagy floppyról töltöttük
be. Ha a felhasználó nem helyez floppyt az @KA:@N egységbe,
akkor bejelentkezik a boot EPROM és megkérdezi, hogy be
akarunk-e lépni a hálózatba vagy sem. Határozott igen válasz
([Y]) esetén a boot EPROM bejelentkezik a hálózatba, de ezt
követôen a lokális egységeink is elérhetôk. Ha a boot EPROM
kérdésére nemleges választ ([N]) adunk, akkor ""elengedi
azt, amit megfogott", és a munkaállomás merevlemezérôl tölti
be az operációs rendszert. A @Knem@N válasz nem azt jelenti,
hogy a munka során soha többé nem akarunk a hálózatba lépni,
hanem azt, hogy most, induláskor nem. îgy ha késôbb mégis be
akarunk jelentkezni a hálózatba, akkor csak el kell
elindítani az ehhez szükséges programokat (IPX, NETx).
A boot EPROM problémáját csak azért részleteztem
ennyire, mivel néhányan ebben a megoldásban látják hálózati
vírusmentességüket, ami -- sajnos -- nem igaz. Ha marad
floppymeghajtó, akkor a helyzet ugyanaz, mintha nem lenne
boot EPROM, azzal a különbséggel, hogy a bejelentkezô
programjaink nem lehetnek vírusosak. Ha már mindenképpen
boot EPROM-ot akarunk használni, akkor vegyük ki a
floppymeghajtót. Ez olcsóbb és hatásosabb megoldás. Ha
esetleg mégis szükségünk van floppymeghajtóra, akkor a boot
EPROM semmilyen vírusvédelmet nem ad számunkra.
A víruskeresô programokat a hálózati server
ellenôrzéséhez a munkaállomásról futtatjuk, nem a serverrôl.
Ha merevlemezünk is van a munkaállomáson, elôször ezt
ellenôrizzük le, különös figyelmet fordítva a hálózatba
bejelentkezô programokra! Második lépésként indítsuk el a
hálózati szoftvereket (IPX, NETx), de csak addig, hogy az @KF:@N
meghajtón a LOGIN, LOGOUT parancsokat is lássuk! Ezeket is
ellenôrizzük le vírusmentesség szempontjából, és csak ezután
jelentkezzünk be a hálózatba! (Elôfordult olyan eset, hogy a
LOGIN program fertôzött volt, és emiatt nem tudott a
felhasználó belépni a hálózatba.) Amikor ezeken már túl
vagyunk, akkor ellenôrizzük le a munkaállomásról a servert!
Sokan megkérdezik, hogy mi a különbség a SCAN és a
NETSCAN között? Nem sok. A Novell server boot-szektora
speciális, a munkaállomásról nem vihetünk át boot-vírust,
ezért a NETSCAN nem ellenôriz boot-szektort a hálózati
serveren. A SCAN program a boot-szektort be akarja olvasni
-- és itt kiszenved. A két esetet meg lehetett volna oldani
egy programmal is, de McAfee úgy döntött, hogy két programot
készít. Más víruskeresô programok -- például a PcScan (Safe
Kft.) --, ezt egy menetben oldják meg, és nem tesznek ilyen
értelemben különbséget merevlemez és merevlemez között. A
HtScan program külön opciót kínál a boot-szektor átlépésére
(@KS = Skip boot sector@N -- lépd át a boot-szektor
ellenôrzését). A NAV és a CPAV sem foglalkozik azzal, hogy
milyen merevlemezt kell vizsgálnia. Egyszerûen elvégzi a
munkáját.
Tanulságként azt vonhatjuk le, hogy a hálózatot a
munkaállomásokon keresztül kell megvédeni, hiszen a
programok itt hajtódnak végre. A víruskeresô/ölô programokat
munkaállomásokról indítjuk, de a vírusok is ezekrôl fertôzik
meg a servert. Tehát a serveren alkalmazott védelem nem
megoldás a vírusproblémára, habár az ár szempontjából a
felhasználók mindig a kevesebb védelmet (pénzt) veszik
figyelembe. A Thunderbyte, a Virus Guardian és a Top Guard
vírusvédô kártyák is a munkaállomáson keresztül védik meg a
servert. Ez nem anyagi kérdés, hanem a hálózatok mûködésébôl
következô megoldás.
A CHIP tavaly decemberi száma foglalkozott az idén
várható vírusterméssel és az ismert vírusok aktivizálódási
dátumaival. Az a véleményünk, hogy mindenki dolgozzon a
számítógépén, de ha biztos akar lenni a dolgában, nem árt
valamilyen víruskeresôvel gyakran leellenôriznie a
rendszerét.
@Kdr. Szegedi Imre@N