Chip 1996 April/CHIP 1996 aprilis (CD06).zip/CHIP_CD06.ISO/hypertxt.arj/92/NETVIR.CD

Text File | 1995-09-17 | 14KB | 235 lines

      @VVírusos hálózatok@N

          A vírusokról eddig  megjelent írások csak  érintôlegesen
      foglalkoztak a hálózatok fertôzéseivel. A hazánkban is egyre
      terjedô  --  többnyire  Novell  Netware,  Netware  Lite   és
      Lantastic -- rendszereket  fenyegetô veszélyeket nem  szabad
      elhallgatnunk.
          A hálózatokat veszélyeztetô vírustípusok elemzése  elôtt
      hasznos,   ha   a   hálózatok   mûködését   közelebbrôl   is
      megismerjük.
          Mire  jó   egy  hálózat?   Pénzmegtakarításra?  Nem!   A
      hálózatok a felhasználó munkavégzését könnyítik, gyorsítják,
      az adatok és programok könnyebb elérését segítik. Párhuzamos
      munkavégzést   tesznek   lehetôvé   osztott   erôforrásokkal
      (háttértár,   nyomtató   stb.),   azaz   egyszerre    többen
      dolgozhatnak  egy  adatbázisban, így  gyorsabb  a munka,  és
      biztosítva van az adatbázis integritása.
          A   hálózatok  alapkoncepciója   szerint  a   kiszolgáló
      egységnek  (server)  több  munkaállomást  kell kiszolgálnia,
      ezért célszerû, ha ez egy kategóriával gyorsabb gép, mint  a
      munkaállomások.   A  Novell   hálózati  operációs   rendszer
      lehetôséget  ad  arra, hogy  a  servert munkaállomásként  is
      használják, bár ezt a  szakemberek nem javasolják --  hiszen
      ha a  server gép  ""kiakad", akkor  egész hálózatunk  leáll.
      Ezzel szemben ha egy munkaállomásunkkal van baj, akkor  csak
      az  az egy  gép esik  ki a  munkából. Tehát  a  servert  nem
      célszerû  munkaállomásként  használni! Åltalában  ezt  be is
      tartják a hálózattelepítôk,  és a server  a ""non-dedicated"
      módnak  megfelelôen  installálva  felhasználói munkavégzésre
      nem használható.  Nem célszerû  két gépbôl  álló hagyományos
      hálózatot kiépíteni,  ahol az  egyik gép  a server,  a másik
      pedig a  munkaállomás, hacsak  nem tesztelési  célból hozzuk
      létre.
          Ha  hálózatról  beszélünk,  akkor  a  felhasználók  nagy
      többségének a Novell jut eszébe. A PC-világ fejlôdése  során
      több  hálózati  operációs rendszert  is  kifejlesztettek, de
      egyik  sem  tudta  igazán  megingatni  a  Novell pozícióját.
      80286-os gépeken Novell 2.xx hálózati operációs rendszer,  a
      80386-os server gépeken már a Novell 3.xx is használható.
          A vírusoknak két fô csoportját különböztethetjük meg.  A
      file-vírusokat, amelyek  zömmel a  végrehajtható --  .EXE és
      .COM   --   file-okat    fertôzik   meg,   és    úgynevezett
      boot-vírusokat,   amelyek  az   operációs  rendszer   indító
      file-jaiba  épülnek be.  Léteznek ""hibrid"  vírusok is,  de
      ezek ismertetése túlmutat írásunk célkitûzésein.
          Vizsgáljuk meg elôször a Novell 2.xx hálózati  operációs
      rendszert. Indításakor elôször a server gépet kapcsoljuk be,
      amely  betölti  a hálózati  operációs  rendszert (nincs  DOS
      átmenet).  Mivel  a  legtöbb  esetben  a  felhasználók   nem
      használják a servert  munkaállomásként -- igen  helyesen --,
      ezt  az  esetet  tételezzük  fel  alapértelmezésként.  Ha  a
      serveren floppyról töltünk be DOS-t, akkor semmilyen  file-t
      nem látunk a merevlemezen,  mivel ezeket a Novell  speciális
      formátumban    kezeli.    Lehetôségünk    van    a   hálózat
      újrakonfigurálására. Ennek megfelelôen a serverbe helyezett,
      file-vírussal  fertôzött  lemez  nem  fogja  megfertôzni   a
      servert.  Viszont  ha boot-vírussal  (például  a Stoned-dal)
      fertôzött lemezrôl  indítjuk a  server gépet,  az nagy  kárt
      okoz.
          A  Novell   2.xx  behúzó   programja  (boot   loader)  a
      merevlemez  0.  sávján  helyezkedik  el,  amely  DOS   alatt
      kihasználatlan.  A boot-vírusok  általában ide  rejtik el  a
      lecserélt boot-programokat. Ha fertôzött floppyról  indítunk
      DOS-t a serveren, a vírus nem különbözteti meg, hogy  önálló
      PC-rôl, munkaállomásról vagy éppen Novell 2.xx serverrôl van
      szó,  és úgy  mûködik, mintha  önálló PC-ben  aktivizálódna.
      Ennek  megfelelôen  megváltoztatja a  boot-programot,  és az
      eredetit áthelyezi a 0. sávra -- vagyis felülírja a  hálózat
      betöltô  programját!   Ezt  követôen   a  hálózat   nem  tud
      betöltôdni.  Sajnos  a legtöbb  esetben  ilyenkor újra  kell
      telepíteni a  Novell hálózatot,  és a  serveren levô  adatok
      elvesznek. Némi  ""varázslás" árán  helyreállítható lenne  a
      server  betöltô-programja,  és így  elkerülhetnénk  a teljes
      adatvesztést, ehhez azonban alaposan ismerni kell a  hálózat
      és az adott vírus mûködését.
          Mi a megoldás? Célszerû a serveren mindennemû munkát  és
      lemezcserét  mellôzni.  A  server nem  arra  való,  hogy ott
      próbálkozzunk.
          A  Novell  Netware  3.xx  operációs  rendszert  80386-os
      processzorú serverekre fejlesztették ki. A mi szempontunkból
      a   két   hálózati   operációs   rendszerben   a    serveren
      aktivizálható vírusoknál  van eltérés.  Az 3.xx-nél  elôször
      DOS-t  töltjük  be, majd  csak  ezt követôen  indítjuk  el a
      hálózati operációs  rendszert. îgy  a servert  is meg  lehet
      fertôzni  ""hagyományos"  módszerekkel.  Akár  boot-,   akár
      file-vírus  kerül  a  serverre,  a  servert  ugyanúgy   kell
      kezelni,  mintha  önálló  PC  lenne.  A  3.xx  rendszer   --
      betöltôdése   utáni   --   funkcionális   mûködése  teljesen
      megegyezik a 2.xx verzióéval. File-vírusok fertôzése itt  is
      a   munkaállomásokon   keresztül  terjedhet   át   a  Novell
      partícióra.
          A  munkaállomások bizonyos  szempontból hasonlítanak  az
      önálló    PC-kre.    Boot-    és    file-vírusok    egyaránt
      megfertôzhetik. A  boot-vírusok a  munkaállomásokon ugyanúgy
      mûködnek,  mint  az önálló  PC-ken,  mivel a  munkaállomások
      elôször DOS-ról ""állnak  fel". A vírusok  ennek megfelelôen
      élik világukat, és  a munkaállomás merevlemezét,  illetve az
      ide  behelyezett  floppykat  megfertôzik.  Boot-vírust  csak
      floppyn  vihetünk  át egyik  munkaállomásról  a másikra.  Ez
      magyarázatot  ad  arra,  hogy  a  munkaállomásról  miért nem
      fertôzhetjük  meg  boot-vírussal a  servert  vagy egy  másik
      munkaállomást.
          A  file-vírusok is  ugyanúgy viselkednek,  mint a  szóló
      PC-ken.  Ha  a munkaállomásról  betöltünk  egy file-vírussal
      fertôzött programot, a  bacigazda betöltôdik a  munkaállomás
      memóriájába,  és  ott  indul el.  Elôször  a  vírus hajtódik
      végre,  majd az  eredeti program.  Tehát a  file-vírus is  a
      munkaállomáson aktivizálódott,  nem a  serveren. Ha  a vírus
      memóriarezidens, akkor a  munkaállomás memóriájába ül  be. A
      file-vírusok  a  munkaállomásról  fertôzik  meg  a   lokális
      merevlemezeket és a hálózati serveren elérhetô  programokat.
      Ha  ezt  követôen  egy  másik  munkaállomáson  elindítjuk  a
      serveren megfertôzôdött programok  egyikét, az betöltôdik  a
      másik  munkaállomás  memóriájába  és  ott  végrehajtódik  --
      elsôként a vírus, majd a program kódja. A file-vírusok tehát
      vígan terjednek a hálózaton keresztül.
          A  hozzáférésvédelmi  rendszereket  éppen  úgy,  mint  a
      másolásvédelmek    többségét    szintén    szétzilálják    a
      file-vírusok, amikor módosítják  a védelmi rendszerek  egyes
      file-jait. Ez mind  a Novell, mind  pedig az önellenôrzô  és
      másolásvédelemmel   ellátott   rendszerek   esetén   gyakori
      probléma.
          Amennyiben a file-vírus  a bejelentkezô LOGIN  programot
      támadja  meg,  (hasonlóan  az  önálló  PC  COMMAND.COM-jának
      fertôzôdéséhez) minden programunk veszélyben van.


      @VVédekezés@N

          Miután számbavettük  a fertôzési  lehetôségeket, térjünk
      át a védekezésre!  A védekezési módszereknek  több csoportja
      van, s ezek akár kombinálhatók is.
          Az   elsô,   kézenfekvônek   tûnô   megoldás   az,  hogy
      kiszereljük a floppymeghajtókat  a munkaállomásokból. Ez  --
      sajnos -- csak részben oldja meg a kérdést. Nem véd  ugyanis
      a szándékos fertôzéstôl,  hiszen még így  is be lehet  vinni
      vírust  a  rendszerbe.  És  még  a  gyanú  sem  terelôdhet a
      felhasználóra,  hiszen neki  nincs floppymeghajtója.  Hogyan
      hozza létre az ""ügyes" felhasználó a vírust? Hadd ne adjunk
      most    tippeket.    Akit   érdekel,    olvashat    róla   a
      számítástechnikai lapok egyre bôvülô vírus rovataiban.
          Egy másik lehetôséget ad a Novell hálózatok @Ksystem login
      @Kscript@N file-ja (rendszerindítást leíró file), amely -- a DOS
      AUTOEXEC.BAT  állományához   hasonlóan  --   kézbentartja  a
      rendszer  indulását. Ebbe  beleépíthetjük vírusellenôrzô  és
      fertôzésmegelôzô   programjainkat.   Ha   a    rendszergazda
      megfelelôen osztja ki a hozzáférési jogokat, csökkentheti  a
      fertôzésveszélyt.
          A  floppymeghajtók  kiszerelése  együtt  jár úgynevezett
      boot EPROM-ok hálózati kártyákba való beültetésével.  Néhány
      forgalmazó a  boot EPROM  tartalmát file-ban  tárolja, és  a
      felhasználó igényének megfelelôen akkor égeti be, amikor  az
      megveszi tôle. Ez csak  EPROM, EPROM-égetô és címke  kérdése
      --  nem  több.  Magyarországon  megtörtént,  hogy  egy ilyen
      forgalmazó vírusfertôzést kapott, a boot EPROM-okba beégette
      a szükséges  tartalmat, s  ezt követôen  panaszkodott csak a
      felhasználó:  ha   bejelentkezik  a   hálózatba,  elvész   a
      munkaállomás  merevlemezének  tartalma.  Az  ilyen   jellegû
      vírusokat a legnehezebb felfedezni, és ellenük gyakorlatilag
      lehetetlen védekezni.
          Ha az @KA:@N egységbe valaki floppyt helyezett, akkor a boot
      EPROM be  sem jelentkezik,  tehát csak  a merevlemezrôl való
      rendszerindítást ""fogta  meg". Ennek  megfelelôen, ha  boot
      EPROM-unk van  a hálózati  kártyában, és  a floppymeghajtóba
      vírusos lemezt tettek, akkor a vírus szempontjából  teljesen
      közömbös, hogy  azt merevlemezrôl  vagy floppyról  töltöttük
      be.  Ha a  felhasználó nem  helyez floppyt  az @KA:@N  egységbe,
      akkor  bejelentkezik a  boot EPROM  és megkérdezi,  hogy  be
      akarunk-e lépni a hálózatba vagy sem. Határozott igen válasz
      ([Y]) esetén a boot EPROM bejelentkezik a hálózatba, de  ezt
      követôen a lokális egységeink is elérhetôk. Ha a boot  EPROM
      kérdésére  nemleges  választ ([N])  adunk,  akkor ""elengedi
      azt, amit megfogott", és a munkaállomás merevlemezérôl tölti
      be az  operációs rendszert.  A @Knem@N  válasz nem  azt jelenti,
      hogy a munka során soha többé nem akarunk a hálózatba lépni,
      hanem azt, hogy most, induláskor nem. îgy ha késôbb mégis be
      akarunk  jelentkezni  a   hálózatba,  akkor  csak   el  kell
      elindítani az ehhez szükséges programokat (IPX, NETx).
          A  boot  EPROM   problémáját  csak  azért   részleteztem
      ennyire, mivel néhányan ebben a megoldásban látják  hálózati
      vírusmentességüket,  ami --  sajnos --  nem igaz.  Ha  marad
      floppymeghajtó, akkor  a helyzet  ugyanaz, mintha  nem lenne
      boot  EPROM,  azzal  a  különbséggel,  hogy  a  bejelentkezô
      programjaink  nem  lehetnek vírusosak.  Ha  már mindenképpen
      boot  EPROM-ot   akarunk  használni,   akkor  vegyük   ki  a
      floppymeghajtót.  Ez  olcsóbb  és  hatásosabb  megoldás.  Ha
      esetleg mégis szükségünk van floppymeghajtóra, akkor a  boot
      EPROM semmilyen vírusvédelmet nem ad számunkra.
          A    víruskeresô   programokat    a   hálózati    server
      ellenôrzéséhez a munkaállomásról futtatjuk, nem a serverrôl.
      Ha  merevlemezünk  is  van  a  munkaállomáson,  elôször  ezt
      ellenôrizzük  le,  különös  figyelmet  fordítva  a hálózatba
      bejelentkezô programokra!  Második lépésként  indítsuk el  a
      hálózati szoftvereket (IPX, NETx), de csak addig, hogy az @KF:@N
      meghajtón a LOGIN, LOGOUT  parancsokat is lássuk! Ezeket  is
      ellenôrizzük le vírusmentesség szempontjából, és csak ezután
      jelentkezzünk be a hálózatba! (Elôfordult olyan eset, hogy a
      LOGIN  program  fertôzött  volt,  és  emiatt  nem  tudott  a
      felhasználó  belépni  a hálózatba.)  Amikor  ezeken már  túl
      vagyunk, akkor ellenôrizzük le a munkaállomásról a servert!
          Sokan  megkérdezik,  hogy mi  a  különbség a  SCAN  és a
      NETSCAN  között?  Nem  sok.  A  Novell  server boot-szektora
      speciális, a  munkaállomásról nem  vihetünk át  boot-vírust,
      ezért  a  NETSCAN  nem  ellenôriz  boot-szektort  a hálózati
      serveren. A SCAN program  a boot-szektort be akarja  olvasni
      -- és itt kiszenved. A két esetet meg lehetett volna  oldani
      egy programmal is, de McAfee úgy döntött, hogy két programot
      készít. Más víruskeresô programok -- például a PcScan  (Safe
      Kft.) --, ezt egy menetben oldják meg, és nem tesznek  ilyen
      értelemben különbséget  merevlemez és  merevlemez között.  A
      HtScan program külön opciót kínál a boot-szektor  átlépésére
      (@KS  =   Skip  boot   sector@N  --   lépd  át   a  boot-szektor
      ellenôrzését). A NAV és  a CPAV sem foglalkozik  azzal, hogy
      milyen  merevlemezt  kell vizsgálnia.  Egyszerûen  elvégzi a
      munkáját.
          Tanulságként  azt  vonhatjuk  le,  hogy  a  hálózatot  a
      munkaállomásokon   keresztül   kell   megvédeni,   hiszen  a
      programok itt hajtódnak végre. A víruskeresô/ölô programokat
      munkaállomásokról indítjuk, de a vírusok is ezekrôl fertôzik
      meg  a servert.  Tehát a  serveren alkalmazott  védelem  nem
      megoldás  a  vírusproblémára, habár  az  ár szempontjából  a
      felhasználók  mindig  a  kevesebb  védelmet  (pénzt)  veszik
      figyelembe. A Thunderbyte, a  Virus Guardian és a  Top Guard
      vírusvédô kártyák is a munkaállomáson keresztül védik meg  a
      servert. Ez nem anyagi kérdés, hanem a hálózatok mûködésébôl
      következô megoldás.
          A  CHIP  tavaly  decemberi  száma  foglalkozott  az idén
      várható vírusterméssel és  az ismert vírusok  aktivizálódási
      dátumaival.  Az  a véleményünk,  hogy  mindenki dolgozzon  a
      számítógépén, de ha  biztos akar lenni  a dolgában, nem  árt
      valamilyen   víruskeresôvel    gyakran   leellenôriznie    a
      rendszerét.

      @Kdr. Szegedi Imre@N