книги хакеры / журнал хакер / 158_Optimized
.pdf
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
Федорино счастьеw Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
root, например, позволяющий создавать RAWсокеты или устанавливать привязку к привилегированным портам. Благодаря Capabilities, ping’у можно дать права только на создание RAW-сокетов, и даже если взломщик найдет в нем дыру, он не получит ничего, кроме… да, права на создание RAW-сокетов. Какая досада, не правда ли?
Первоначально механизм Capabilities появился то ли в HP-UX, то ли в AIX. Он уже давно включен в стандарт POSIX, однако о нем никто не вспоминал, пока не появилась возможность управлять привилегиями с помощью атрибутов файловой системы в ядре Linux 2.6.24.
КАТАЛОГОВАЯ СТРУКТУРА
Еще одна интересная идея, предложенная для реализации в следующих версиях Fedora, заключается в реорганизации каталоговой структуры, почти не менявшейся со времен UNIX. Эта идея состоит в том, чтобы переместить все исполняемые файлы в /usr/bin, отказавшись, таким образом, от каталогов /bin, /sbin, /usr/sbin, а также от каталога /lib, всё содержимое которого планируется перенести в /usr/lib. Нововведение это не только и не столько косметическое, сколько глубоко практическое. Дело в том, что, по мнению разработчиков дистрибутива, /bin, /sbin и /lib уже давно потеряли свой смысл как каталоги для хранения базовой системы, которая может быть загружена, даже если каталога /usr нет на месте (в старые времена его было принято подключать
с помощью NFS). В то же время перемещение всех системных файлов в /usr позволит создать более гибкую систему, чтобы выполнять такие трюки, как, например, загрузка разных версий системы с помощью монтирования разных /usr-
СписокCapabilitiesядраLinux
ГрафическийинструментуправленияSystemd |
УстановкаFedoraнаbtrfs |
разделов или, что еще круче, btrf-снапшотов. К сожалению, многие старые пердуны, привыкшие к миру и спокойствию и радеющие за соблюдение традиций, высказались против этой идеи, подкрепив свои слова тем, что, дескать, есть стандарт LSB и что придется договариваться с разработчиками софта
и другими дистрибутивостроителями, поэтому перспективы реализации описанной идеи пока еще туманны.
ДРУГИЕ ИНТЕРЕСНЫЕ ИЗМЕНЕНИЯ
В 15-ю версию Fedora был добавлен демон firewalld, позволяющий изменять правила пакетного фильтра на лету, без перезагрузки всех правил и разрыва сетевых соединений. Так как для управления демоном служит протокол D-BUS, им может воспользоваться любое приложение с соответствующими полномочиями. Для управления демоном из командной строки предусмотрена утилита firewall-cmd, с помощью которой можно работать с правилами, отталкиваясь от имен служб, а не IP-адресов и номеров портов:
$ firewall-cmd --enable --service=ssh
$ firewall-cmd --enable \
--service=samba --timeout=10
$ firewall-cmd --disable \
--service=ipp-client
Вкомплекте с той же Fedora 15 идет распределенная файловая система CloudFS, представляющая собой расширенную редакцию виртуальной ФС GlusterFS, которая предназначена для развертывания распределенных файловых систем. CloudFS работает в пространстве пользователя, поэтому может быть легко установлена в других Linux-дистрибутивах для создания гетерогенного кластера.
ВFedora 15 также изменилась схема именования сетевых интерфейсов, которая теперь выглядит следующим образом: встроенным
вматеринскую плату ((e)mbedded (m)otherboard) сетевым адаптерам присваиваются имена em0, em1, em2 и т. д., тогда как платы, подключаемые с помощью PCI, получают имена вида pci1#2, где 1 — номер PCI-слота, а 2 — сетевой порт. Начиная с 15-й версии, Fedora можно установить на файловую систему btrfs средствами штатного инсталлятора. Btrfs отличается высокой производительностью и дружелюбностью
к твердотельным накопителям (запись в ФС всегда производится в режиме COW — копирование при записи), а также имеет встроенную поддержку онлайн-снапшотов, что позволяет в любой момент создать снимок текущего состояния ФС и откатить ее к предыдущему состоянию. В Fedora 16 произошел переход на загрузчик GRUB2, отличающийся интеллектуальным подходом к формированию меню загрузки (GRUB сам находит установленные ОС/ядра
и добавляет их в список), поддерживающий UNICODE и обладающий полноценным графическим интерфейсом. Из системы также была полностью удалена прослойка HAL (Hardware Abstraction Layer), вместо которой теперь используется udev совместно с udisks и upower, предназначенными для управления дисковыми накопителями (в том числе и для выполнения автомонтирования) и контроля питания. За счет удаления HAL удалось сократить время загрузки системы и ее реагирования на подключение внешних устройств.
Fedora 16 теперь содержит в комплекте утилиту virt-sandbox, предназначенную для запуска приложений в изолированном окружении. В отличие от selinux-sandbox, новая утилита может использовать для формирования «песочницы» любую технологию, поддерживаемую библиотекой libvirt, например контейнеры LXC или виртуальную машину QEMU/VirtualBox.
Дистрибутив теперь поддерживает технологию безопасной загрузки Trusted Boot, гарантирующую неизменность ядра и системных компонентов во время загрузки ОС и, таким образом, предохраняющую систему от различных руткитов и другого вредоносного ПО, внедряемого непосредственно в ядро ОС. Для реализации технологии в систему был добавлен специальный модуль, вызываемый еще до загрузки ядра, однако он бесполезен без соответствующей аппаратной поддержки.
Также реализована система проброса USB-устройств на удаленные машины, которая позволяет обеспечить, например, доступ к webкамере с другой машины. Система работает
на основе интегрированного в Fedora 14 протокола удаленного доступа Spice и виртуальной машины QEMU. Проброс происходит в два этапа: сначала на виртуальную машину, а затем на удаленную, где осуществляется обратная процедура проброса устройств на реальную машину. z
ХАКЕР 03 /158/ 2012 |
109 |
|
|
|
|
hang |
e |
|
|
|
|
||
|
|
|
C |
|
E |
|
|
||||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|||
|
F |
|
|
|
|
|
|
|
t |
||
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|||||
|
|
|
|
|
BUY |
|
|
||||
|
|
|
|
to |
UNIXOIDm |
||||||
w Click |
|
||||||||||
|
|
||||||||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
|
.c |
|||
|
|
p |
|
|
|
|
|
g |
|
|
|
|
|
|
df |
-xcha |
n |
e |
|
||||
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
|
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
|
to |
|
|
|
|
|
|
ЕвгенийЗобнин(zobnin@gmail.com)w Click |
|
|
|
|
|
m |
|||||
|
|
|
|
|
|
||||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ДОСТУЧАТЬСЯ
донебесИНТЕГРИРУЕМLINUX
И«ОБЛАЧНЫЕ»СЕРВИСЫ
Все мы медленно, но верно переходим к работе во Всемирной паутине, забывая привычные настольные приложения. Современный мир немыслим без Gmail, YouTube, GDocs и огромного количества веб-сервисов, заменяющих нам обычные программы. Но так ли нужен веб-браузер, чтобы пользоваться «облачными» приложениями?
ВВЕДЕНИЕ
Какой должна быть операционная система, полностью завязанная на «облачные» приложения? Такой, как ОС-браузер, например Google Chrome OS? Или, может быть, такой, как пресловутый Plan9, не делающий различий между локальными и сетевыми ресурсами? Нет, скорее всего, она будет представлять собой нечто среднее между ними, то есть операционку, позволяющую «ходить в „облака“» и тем и другим способом.
Подвижки в создании подобной ОС начались уже давно. Те же стандартные окружения рабочего стола для Linux уже научились синхронизировать данные пользователя с «облачным» хранилищем (Ubuntu One), проигрывать видеозаписи из YouTube в окне стандартного медиапроигрывателя (Totem, например, умеет это уже несколько лет), выводить информацию с веб-страниц на рабочий стол (виджеты KDE
иGoogle Gadgets) и использовать множество других способов интеграции с веб-сервисами. В этой статье я расскажу, как еще более расширить границы соприкосновения веба
иобычного Linux-десктопа. Мы рассмотрим множество приложений для работы с «облачными» сервисами, попробуем достучаться
до «облаков» из командной строки и превратим файловую систему в инструмент для работы с «облаками».
КЛИЕНТЫ «ОБЛАЧНЫХ» СЕРВИСОВ
С веб-сервисами не всегда удобно работать из окна веб-браузера. Тот же Twitter, например, на широком экране занимает максимум полстраницы, а вытаскивать окно Твиттера из браузера, подгонять размер этого окна
иследить за тем, чтобы случайно его не закрыть, долго и неудобно. К тому же панель навигации будет мешать. Гораздо круче посадить Твиттер в трей, чтобы он показывал новые сообщения в виде всплывающих подсказок. Как это сделать? Да просто воспользоваться одним из Twitter-клиентов. Почти для каждого популярного веб-сервиса для Linux есть созданный энтузиастами клиент. Среди Twitter-клиентов наибольшей популярностью пользуется Gwibber, который, помимо Твиттера, поддерживает еще
иIdenti.ca, StatusNet, Facebook, Flickr, Digg, FriendFeed и Qaiku. Приложение это, надо сказать, на любителя, так как оно очень тяжеловесное и зависит от различных Gnome-
библиотек. Поэтому ценителям аскетизма |
Tyrs—аскетичныйTwitter-клиентдляконсоли |
110 |
ХАКЕР 03 /158/ 2012 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
Достучаться до небесw Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Воттак,легкимдвижениемруки,любойсайтможнопревратитьвдесктопноеприложение |
СоздаемпарольдлянашегоGoogle-приложения |
||
я бы порекомендовал посмотреть в сторону |
интересных клиентов, как графических, так |
ровался на них из-за популярности, а не лич- |
|
Pino или Hotot. И тот и другой доступны |
и консольных. Пользователи среды Gnome |
ных пристрастий), то здесь можно выделить |
|
в любом дистрибутиве, так что установить их |
получают один из таких клиентов в комплекте |
несколько интересных приложений. Во- |
|
и попробовать в деле не составит труда. Осо- |
с плеером Totem. Пользователи KDE4 для тех |
первых, это множество самых разнообразных |
|
бого внимания также заслуживает TweetDeck |
же целей могут использовать плеер minitube, |
«уведомлялок» для Gmail, лучшими из ко- |
|
— стильный Twitter-клиент, который особо |
позволяющий просматривать, искать видео |
торых являются CheckGmail и Gmail Notifier. |
|
ценят пользователи маков. Одна беда — он |
и составлять плей-листы. Программа не за- |
Обе выполняют одну простую задачу — сидят |
|
требует Adobe AIR, что неприемлемо для |
висит от библиотек KDE, поэтому подойдет |
в трее и выводят сообщение при получении |
|
многих юниксоидов. Поклонники IM-клиента |
также приверженцам более экзотических |
письма. По клику происходит переход на сайт |
|
Pidgin должны обязательно обратить внима- |
графических сред. Особого внимания за- |
Gmail. Аналогичная штуковина для KDE4 |
|
ние на Twitter-плагин для своего фаворита |
служивает консольный скрипт youtube-viewer, |
называется kdeplasma-gmailnotifier. Она, |
|
(он так и называется — pidgin-twitter). Это |
позволяющий искать и просматривать видео |
в отличие от двух упомянутых выше програм- |
|
даже более удобный и удачный вариант, не- |
с помощью штатного MPlayer. |
мок, может висеть не только в трее (а точнее, |
|
жели полноценное приложение: всё в одном |
Просто запусти youtube-viewer, введи |
на панели), но и на рабочем столе и вообще |
|
месте и никаких лишних окон. Поклонники |
поисковый запрос, и на экране появит- |
где угодно, куда KDE позволяет засунуть |
|
консоли также не останутся без вкусного. |
ся пронумерованный список из двадцати |
плазмоид. Также есть полноценные клиенты |
|
В репозиториях дистрибутивов предостаточ- |
первых совпадений. После ввода номера |
для работы с почтовой службой. Из наиболее |
|
но Twitter-клиентов с интерфейсом команд- |
нужного ролика он незамедлительно начнет |
интересных я бы отметил консольный sup, |
|
ной строки или ncurses. Один из самых |
проигрываться в полноэкранном режиме. |
почти полностью копирующий интерфейс |
|
простых и удобных написал всем известный |
Скрипт можно использовать для получения |
легендарного почтового клиента Mutt. |
|
Linux-разработчик Greg Kroah-Hartman. Этот |
списка самых популярных роликов за день |
Среди утилит командной строки можно вы- |
|
клиент называется bti и может быть исполь- |
(флаг '-t'), списка самых популярных роликов |
делить скрипт translator, который просто пере- |
|
зован, например, так: |
за всё время ('-a'), поиска плей-листов ('-p') |
водит слово/фразу/предложение на указанный |
|
|
и фильмов ('-M'). Для указания предпо- |
язык, и cliweather, печатающий текущую |
|
$ echo "My current uptime is 'uptime'" | bti |
чтительного качества видео предусмотре- |
погоду для указанного места земного шара. |
|
|
ны флаги '-2', '-3', '-4', '-7', '-1' (240p, 360p, |
Оба очень просты в использовании и идеально |
|
Однако, чтобы начать использовать это |
480p, 720p и 1080p соответственно). Также |
подходят для интеграции в различные скрип- |
|
маленькое чудо, придется поизвращаться |
с помощью флага '-sub=ru' можно пере- |
ты или, например, создания уведомлений |
|
с OAuth-аутентификацией, которую исполь- |
ключить MPlayer на использование русских |
с помощью notify-send: |
|
зует Твиттер. Для начала в разделе разра- |
субтитров. Чтобы скрипт выводил больше |
|
|
ботчика приложений Твиттера (twitter.com/ |
результатов поиска (50 вместо 20), используй |
$ notify-send Погода \ |
|
apps/new) необходимо получить Consumer Key |
флаг '-m'. Скрипт youtube-viewer может стать |
'cliweather ИНДЕКС-ГОРОДА' |
|
и Consumer Secret и вписать их в конфиг bti: |
настоящим открытием для любителей смо- |
|
|
|
треть ролики с YouTube. Найти и запустить |
Команду можно прописать в скрипте |
|
$ vi ~/.bti |
видео с его помощью можно за считанные |
и повесить на горячую клавишу или вклю- |
|
# Consumer key |
секунды, а MPlayer обеспечивает гораздо |
чить в задание cron (хотя, конечно, удобнее |
|
consumer_key=cZy8DdioswAfu3LJYg6E2w |
более высокое качество картинки. Скрипт |
использовать один из множества апплетов для |
|
# Consumer secret |
особенно актуален при просмотре HD-видео, |
отображения погоды в трее). |
|
consumer_secret=fnIGGU0T12mMWKjmThUdSeKN |
с которым flash-проигрыватель справляется |
Нельзя оставить без внимания и набор ути- |
|
32NLWfmnwapwubVQ |
плохо, а MPlayer гоняет его без какой-либо |
|
|
Далее следует запустить bti. Он напеча- |
значительной нагрузки на процессор. Стоит |
|
|
отметить, что сама скорость загрузки видео |
|
||
тает на экране адрес страницы, на которой |
также повышается (это проверено экспери- |
УСТАНОВКАGOOGLEDOCS |
|
ты сможешь получить PIN. Его необходимо |
ментальным путем, но с чем связано, неяс- |
||
ввести в ответ bti, после чего на экран будут |
но). В качестве альтернативы youtube-viewer |
FSВUBUNTU |
|
выведены access_token_key и access_token_ |
можно использовать videotop, имеющий при- |
||
secret, которые точно так же придется до- |
митивный ncurses-интерфейс с vi-подобным |
|
|
бавить в конфиг. Далее bti должен заработать, |
управлением. Однако он имеет колоссальный |
|
|
и с его помощью можно будет отправлять |
недостаток: требует полной загрузки видео |
$ sudo add-apt-repository ppa:doctormo/ppa |
|
сообщения прямо из командной строки. |
до начала просмотра. Что касается других |
$ sudo apt-get update |
|
Для YouTube также существует несколько |
сервисов поискового гиганта (я сконцентри- |
$ sudo apt-get install google-docs-fs |
|
ХАКЕР 03 /158/ 2012 |
111 |
|
|
|
|
hang |
e |
|
|
|
|
||
|
|
|
C |
|
E |
|
|
||||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|||
|
F |
|
|
|
|
|
|
|
t |
||
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|||||
|
|
|
|
|
BUY |
|
|
||||
|
|
|
|
to |
UNIXOIDm |
||||||
w Click |
|
||||||||||
|
|
||||||||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
|
.c |
|||
|
|
p |
|
|
|
|
|
g |
|
|
|
|
|
|
df |
-xcha |
n |
e |
|
||||
лит под названием GDataCopier, предназначенный для работы с Google Docs. Пакет включает в себя пять простых утилит: gls для просмотра списка документов, gcp для копирования документов с локальной машины и на нее, gmkdir для создания каталогов и утилиты grm и gmv для удаления и перемещения документов соответственно. Пользоваться всем этим добром просто и приятно. Например, для просмотра всех документов из папки «Работа» делаем так:
$ gls username@gmail.com:/docs/Работа
Для их экспорта в формате PDF на локальную машину — так:
$ gcp -f pdf \
username@gmail.com:/docs/Работа/* /tmp/
Для создания каталога — так:
$ gmkdir \
username@gmail.com:/doc/Новая_папка
$ google calendar add \
'День, когда земля остановилась'
3.Добавлениеконтакта:
$ google contacts add \
'Евгений Зобнин,zobnin@gmail.com'
4.РедактированиедокументаGoogleDocs (вдефолтномредакторе,имякоторого указановпеременнойокруженияEDITOR):
$ google docs edit --title \ "Список покупок"
5.ДобавлениеновогоальбомавPicasa(изаливкафоток):
$ google picasa create --title \ "Мои фотки" ~/photos/*.jpg
6.ПубликациявидеонаYouTube:
$ google youtube post --category \
Comedy ужос.avi
Конечно же, нельзя забывать и о контрольном скрипте GoogleCL, предназначенном для работы с такими сервисами Гугла, как Blogger, «Календарь», «Контакты» (Gmail), Google Docs, Picasa и YouTube (только добавление видео).
Мы уже писали об этой утилите в одном из прошлых номеров, поэтому я не буду повторяться и просто приведу несколько примеров ее использования.
1.Публикацияпоставблогеспомощью Blogger:
$ google blogger post --blog 'Linuxoid' \ --title 'Я в GoogleCL!' --tags 'linux, \ cli' 'Открыл для себя GoogleCL, \ bla-bla, bla'
2.Добавлениесобытиявкалендарь:
Во время первого обращения к сервису он попросит ввести Google-логин (адрес почты на Gmail) и откроет страничку в браузере, на которой необходимо подтвердить права GoogleCL на удаленное управление. При последующих запусках сервиса ничего вводить и подтверждать не нужно.
ПРЕВРАЩАЕМ ВЕБ-САЙТ В ПРОГРАММУ
Мы нашли массу приложений, способных заменить не всегда удобный веб-интерфейс сервисов. Но что если для какого-то экзотического веб-сайта еще не разработано нужного приложения или существующие нам не приглянулись (как вариант, понравился стандартный веб-интерфейс)? В этом случае можно применить технологию Desktop web application, которая обеспечивает запуск
Youtube-viewer—консольныйскриптдляпросмотрароликовсYouTube
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
веб-приложений в отдельных независимых окнах, лишенных элементов управления веббраузера.
Когда-то Mozilla запустила амбициозный проект Prism (prism.mozillalabs.com), позволяющий превратить веб-сайт в стандартное десктопное приложение со своим ярлыком, процессом управления и прочими атрибутами обычной программы. Тогда многие адепты компании заявили, что появление подобного проекта — это шаг к светлому будущему «облачного» десктопа, в котором большинство приложений будет работать в Сети, а пользователь сможет размещать их на рабочем столе и запускать без использования веббраузера. Проект благополучно загнулся (а если точнее, перерос во фреймворк для создания кастомных браузеров и связанных с web-технологиями приложений), но его
идеи живут и даже в некотором смысле процветают.
Например, пресловутый Google Chrome уже давно имеет в своем составе механизм превращения веб-сайтов в приложения. Достаточно открыть нужный веб-сайт, перейти
впункт «Меню Æ Инструменты Æ Создать ярлыки приложений…», выбрать место размещения ярлыка (рабочий стол и/или меню приложений), и — вуаля! — на рабочем столе появится ярлык, по клику на котором
вобособленном окне откроется сайт без ненужных обвесок в виде меню браузера и строк ввода/поиска. То же самое, причем даже из командной строки, можно сделать и с приложениями, установленными с помощью Chrome Web Store (по клику правой кнопкой мыши):
$ chromium --app=http://gmail.com
Достаточно интеллектуальный менеджер окон сохраняет положение и размеры окна перед закрытием и восстанавливает его на прежнем месте при следующем запуске. Функция веб-приложения есть и в браузере
Firefox. Здесь всё еще проще: достаточно перетащить favicon сайта на рабочий стол, и ярлык появится сам собой.
Это действительно удобный способ создания веб-приложений на рабочем столе, но он не лишен некоторых недостатков. В частности, лично меня сильно напрягает, что приложение будет работать под управлением хоть и лишенного элементов управления, но полноценного веб-браузера с плагинами, расширениями и всем остальным совершенно ненужным в данном случае балластом, который только сжирает память и процессор и не несет никакой пользы. Поэтому я рекомендовал бы использовать для подобных задач более
легкие решения, к примеру минималистичный браузер surf.
Браузер surf основан на движке WebKit, не имеет интерфейса и управляется с помощью клавиатурных комбинаций. Это самый легковесный и быстрый из всех браузеров, основанных на полноценном HTML-движке, а потому он
112 |
ХАКЕР 03 /158/ 2012 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
C |
|
E |
|
|
||
|
|
X |
|
|
|
|
|
||
|
- |
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
||
|
|
|
|
|
|
|
|||
|
|
|
|
|
BUY |
|
|
||
|
|
|
|
to |
|
|
|
|
|
w Click |
|
|
|
|
m |
||||
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
|
-xcha |
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
Достучаться до небесw Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Sup—Mutt-подобныйклиентдляGmail
идеально подходит для запуска приложений. Самый простой вариант его запуска выглядит так:
$ surf http://gmail.com
На экране появится интерфейс Gmail в абсолютно голом и чистом виде. Браузер добавит в него только узенькую полоску загрузки, которая отобразится в нижней части окна. Чтобы задать нужные параметры окна сразу во время запуска, можно воспользоваться утилитой wmctrl:
#!/bin/sh
surf http://gmail.com
wmctrl -r surf -e '0,50,50,400,300'
Скрипт откроет Gmail в окне surf, сделает размер окна равным 400 x 300 и разместит его в левом верхнем углу, с отступом 50 слева и сверху. С помощью среды рабочего стола скрипт легко превратить в ярлык и поместить на рабочем столе.
МОНТИРУЕМ ВЕБ-СЕРВИСЫ КАК ФАЙЛОВЫЕ СИСТЕМЫ
Иногда удобнее не использовать специальные клиенты, а монтировать веб-сервисы в виде простой файловой системы, где можно бродить с помощью файлового менеджера
GOOGLEAUTH
(например, в поисках интересного видео на YouTube), создавать и удалять файлы (например, для управления почтой) и ис-
пользовать разнообразные перенаправления ввода-вывода. Для тех же сервисов Гугла существует четыре таких виртуальных файловых системы на основе FUSE: YoutubeFS, GDataFS, GmailFS, Google Docs FS (есть
еще goofs, но это полузаброшенная Javaподелка). Также в Сети можно найти flickrfs, предназначенную для загрузки изображений на flickr.com и MetaWeblogFS. С ее помощью можно постить в блоги прямо из командной строки.
Кратко пройдемся по всем файловым системам и попробуем разобраться, как их использовать. Итак, YoutubeFS (code.google. com/p/youtubefs/) — файловая система для доступа к YouTube. Этой системы нет в большинстве дистрибутивов, однако для ее установки достаточно скачать с сайта тарболл и распаковать его. Пользоваться так:
$ ./youtubefs.py username@gmail.com \
/путь/до/каталога
После этого в указанном каталоге появятся все плей-листы и каналы, на которые ты подписан. В каталогах ты найдешь сами видеозаписи. Аналогичной функциональностью обладает GDataFS (gdatafs.sourceforge. net), которую можно найти в репозиториях дистрибутивов. Синтаксис ее вызова несколько иной:
$ gdatafs /путь/до/каталога \
username@gmail.com пароль
Недавно Google изменил метод аутентификации сторонних приложений, поэтому для каждой программы (скрипта), работающей с аккаунтом Google, придется создать отдельный пароль. Для этого заходим на страницу https://www.google.com/settings, далее выбираем опцию «Авторизация приложений и сайтов Æ Изменить», вводим пароль и задаем новый пароль с помощью специальной формы в конце страницы.
Файловая система GmailFS (sr71.net/ projects/gmailfs/) предназначена для монтирования почтового ящика Gmail. Она работает на основе протокола IMAP, поэтому перед ее использованием придется включить его поддержку в настройках сервиса (Настройки Æ Пересылка и POP/IMAP Æ Включить IMAP). После этого необходимо создать конфиг /etc/gmailfs/gmailfs.conf следующего содержания:
# vi /etc/gmailfs/gmailfs.conf
[account]
username = usernamegmail.com
password = пароль
[filesystem]
fsname = linux_fs_4
[logs]
level = INFO
logfile = ~/gmailfs.log
Затем нужно примонтировать файловую систему:
$ ./gmailfs.py -o allow_root none \
/путь/до/каталога
Теперь перейдем к Google Docs FS (code. google.com/p/google-docs-fs/). Эта файловая система предоставляет доступ к документам Google Docs. Использовать ее так же просто, как и все остальные ФС в нашем обзоре:
$ gmount /путь/до/каталога \
username@gmail.com
После этого в каталоге появятся подкаталоги и файлы в точно таком же виде, в каком они представлены на сайте docs.google.com. Документы можно копировать, перемещать, добавлять и удалять. Для отключения используем команду gumount:
$ gumount /путь/до/каталога
ВЫВОДЫ
Веб-сервисы способны заменить почти любое настольное приложение. Их не нужно устанавливать и обновлять. Они позволяют не беспокоиться о сохранности данных и настроек. Однако сам интерфейс веб-сервиса может не подойти некоторым пользователям или оказаться слишком тяжеловесным или назойливым. В этом случае удобнее обратиться к специализированным клиентам и файловым системам, которые, как ты смог убедиться, в достаточном количестве имеются на просторах Сети. z
ХАКЕР 03 /158/ 2012 |
113 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
C |
|
E |
|
|||
|
|
X |
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
||
|
F |
|
|
|
|
|
|
t |
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
r |
|
P |
|
|
|
|
|
NOW! |
o |
||
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|||
|
|
|
|
to |
BUY |
SYN/ACK |
|||
|
|
|
|
|
|||||
w |
|
|
|
|
|||||
w Click |
|
|
SYN/ACKm |
||||||
|
w |
|
|
|
|
|
|
|
o |
|
. |
|
|
|
|
|
.c |
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
df |
|
|
n |
e |
||
|
|
|
|
-xcha |
|
|
|
||
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
|
X |
|
|
|
|
|
|||
|
|
|
- |
|
|
|
|
|
d |
|
||
|
|
|
F |
|
|
|
|
|
|
t |
|
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
r |
||
|
|
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
|
|
to |
|
|
|
|
|
|
Сергей«grinder»Яремчук(grinder@synack.ru) |
|
|
|
|
|
|
||||||
|
|
|
|
|
|
m |
||||||
00000000\r_NET»Антонов |
(0000nline.ru)w Click |
|
|
|
|
|
|
|||||
|
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Впоисках инсайдера
БОРЬБАСУТЕЧКАМИКОРПОРАТИВНОЙ ИНФОРМАЦИИ
Всовременноммиреоднимизключевыхэкономическихресурсовявляется информация.Ктоейвладеет,тотбудетиметьуспех,втожевремяутечкаданных практическивсегдаозначаетпотерюклиентов,атоикрахкомпании.Именно поэтомусегоднятаквеликинтерескDLP-решениям,позволяющимвыявлятьи предотвращатьпередачуконфиденциальнойинформации.Выборбольшой,лидеры ещенесформировались,апредложениячастосхожипофункциям,ноотличаются логикойработыизаложеннымипринципами,поэтомуопределитьсянетакпросто.
INFO
Важныйэтап
вразвертыванииDLP
—внедрение,когда необходимочетко сформулировать требования
иожидания
и«обеспечить»DLP всемиданнымидля контроля.
WWW
РепозиторийUbuntu дляMyDLP—down- loads.medratech. com/ubuntu.
114 |
ХАКЕР 03 /158/ 2012 |
0114 |
ХАКЕР 01 /156/ 2012 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
КАК ВЫБРАТЬ DLP?
Информационная безопасность стала одной из составляющих деятельности любой компании, а соответствующие риски влияют на ее рейтинг и привлекательность для инвесторов. По статистике, вероятность утечки конфиденциальной информации из-за действий сотрудника организации (инсайдера) превышает вероятность утечки в результате взлома, причем это не обязательно умышленные действия, пользователь может случайно отправить файл не тому адресату. До появления интернета контролировать деятельность сотрудников было практически невозможно. Нет, установить контроль, конечно, было реально, но технических средств для автоматизации процесса не существовало. Сейчас всё изменилось. Деловая переписка ведется по электронной почте, пользователи общаются посредством IM и VoIP, обмениваются файлами, ведут блоги, публикуют сообщения в соцсетях и т. д. Все эти каналы легко контролировать автоматически, мощность современных серверов и емкость носителей позволяют собирать и обрабатывать данные в реальном времени. Чтобы обнаружить и предотвратить передачу конфиденциальных данных на разных этапах (при перемещении, использовании и хранении), применяется целый класс систем защиты — DLP (Data Leak Prevention). На сегодня существует еще с десяток терминов-синонимов для таких систем: ILDP (Information Leak Detection & Prevention), IPC (Information Protection and Control), ILP (Information Leak Prevention) и др. Задача у них,
в общем-то, простая — мониторинг, идентификация и защита. Официальных стандартов, определяющих, какой должна быть DLP, пока не существует, поэтому разработчики по-разному смотрят на функции DLP. Часто можно встретить самые разные реализации, не всегда включающие действительно необходимое или, наоборот, напичканные ненужным функционалом, добавленным по заказу компании. Однако со временем определились некоторые требования, которыми должно обладать полнофункциональное DLP-решение. В первую очередь они касаются диапазона возможных каналов утечки:
•электроннаяпочта(SMTP,POP3,IMAP);
•программыобменаIM/VoIP-сообщениямииP2P-клиенты;
•веб-ресурсы(социальныесети,форумы,блоги),атакжепере- дачафайловпопротоколамHTTP,HTTPSиFTP;
•сетеваяпечать(SMBPrinting,NCPPrinting,LPD,ит.д.);
•внешниеустройства(USB,CD/DVD,принтеры,Bluetooth,модемы ит.п.),сетевыепапки.
Характер передаваемых данных определяется путем обнаружения специфических признаков (метки, хеш-функции, грифы) и анализа контента (статистический анализ, регулярные вы-
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
|
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
|
to |
|
|
|
|
|
|
|
В поисках инсайдера |
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
m |
||||
|
Корпоративный Drupalw Click |
|
|
|
|
|
|
||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ОШИБКА В РАБОТЕ DLP МОЖЕТ ПРИВЕСТИ К БЛОКИРОВКЕ ВПОЛНЕ ЛЕГАЛЬНОГО ТРАФИКА И ПОМЕШАТЬ РАБОТЕ СОТРУДНИКОВ
ражения и т. п.). Хорошие системы, как правило, используют все доступные технологии, а администратор может легко создавать правила самостоятельно на основе подготовленных шаблонов.
Кроме того, DLP-система должна обеспечивать службу безопасности инструментом для анализа всех событий и архивом переданной информации. Еще одним критерием, определяющим выбор DLP, является возможность блокировать утечку данных в реальном времени. Однако специалисты по-разному относятся к этой функции, ведь ошибка в работе DLP (а ложные срабатывания случаются, особенно на этапе ввода в эксплуатацию) может привести к блокировке вполне легального трафика, а значит, помешать работе сотрудников. Поэтому многие администраторы предпочитают анализ по факту, а не блокировку.
WEBSENSE DATA SECURITY SUITE
Сайт проекта: websense.com. Лицензия: проприетарная.
ОС сервер: Windows Server 2003 R2.
ОС клиенты: Windows Vista, 7, 2003, 2008/R2. Русификация: отсутствует.
Калифорнийская корпорация Websense хорошо известна как производитель систем фильтрации веб-трафика, в частности,
в Facebook вскоре будет внедрена ее разработка для защиты при переходе по внешним ссылкам. Решения ориентированы в первую очередь на средние и крупные компании со штатом свыше 500 сотрудников и государственные учреждения. Комплекс Websense DSS за счет контроля основных каналов обмена данными позволяет в реальном времени остановить утечку конфиденциальной информации. Он работает на основе технологии цифровых отпечатков PreciseID, разработанной компанией PortAuthority Technologies, которую Websense купила в 2006 году. PreciseID обеспечивает высокую точность обнаружения конфиденциальных данных и не имеет некоторых недостатков лингвистических методов. Данные описываются при помощи «цифрового отпечатка», представляющего
НастройкаразрешенийвDeviceLockEndpointDLPSuite |
УстановленныйDeviceLockDLPсодержитрядготовыхправил |
ХАКЕР 03 /158/ 2012 |
115 |
ХАКЕР 01 /156/ 2012 |
0115 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
||
|
|
X |
|
|
|
|
|
|
||
|
- |
|
|
|
|
d |
|
|||
|
F |
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
||
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
||
|
|
|
|
to |
BUY |
SYN/ACK |
|
|||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|||||
w Click |
|
|
SYN/ACKm |
|
||||||
|
w |
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
.c |
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
WEBSENSE DSS ОПРЕДЕЛЯЕТ РЕАКЦИЮ НА ИНЦИДЕНТ ЛИБО ТРЕБУЕТ ПОДТВЕРЖДЕНИЯ ОТ ОТВЕТСТВЕННОГО СОТРУДНИКА
собой набор символов или слов документа или содержимого полей БД. Такой подход обеспечивает точную классификацию контента более чем для 400 форматов документов (включая таблицы СУБД
исжатые файлы), даже если данные перенесены или конвертированы в другой формат. Кроме PreciseID, используются другие алгоритмы: словари, точное и частичное совпадение, статистический анализ и т. д. Вместе с тем для анализа информации в продуктах Websense применяется несколько технологий Deep Content Control
иThreatSeeker (сканирование веб-сайтов и обнаружение новых угроз).
Производится мониторинг основных каналов передачи: электронной почты (SMTP), сообщений MS Exchange, HTTP/HTTPS, FTP, IM/MSN. Предусмотрена интеграция по ICAP с любым интернетшлюзом, поддерживающим этот протокол. Для мониторинга сервер Websense может устанавливаться в разрыв или использовать зеркалирование трафика (SPAN).
Websense DSS автоматически определяет реакцию на инцидент либо требует подтверждения от ответственного сотрудника. Система умеет блокировать передачу конфиденциальных данных, отправлять уведомление (специалисту службы безопасности, начальнику или владельцу контента), запускать внешнюю программу, отправлять запрос на подтверждение отправки и др. Система присваивает инциденту уникальный номер и прикрепляет к сообщению файл. Администратор задает гибкие политики с учетом бизнес-процессов компании, а в комплекте поставки уже имеется несколько десятков шаблонов и настроенных отчетов
по инцидентам и активности пользователей. Продукты Websense позволяют ограничить доступ к определенным сведениям для отдельных сотрудников или групп, защищают корпоративную документацию от внесения несанкционированных изменений. Остальные возможности включают принудительное шифрование электронной почты (через шлюз) и совместную работу с други-
ми продуктами Websense (например, со шлюзом безопасности
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
00000000\r_NET»Антонов (0000nline.ru)w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
Websense Web Security Gateway). Поддерживается интеграция
сActive Directory, Novell eDirectory и Lotus Domino. Совместно
сWebsense DSS используется ряд других приложений, расширяющих возможности комплекса DLP:
• DataEndpoint—устанавливаетсянаконечныеПК,гдеконтро- лируетданные,передаваемыечерезUSBиприпечати,попытки сделатьскриншотыэкрана,сообщенияIMит.д.;
• DataMonitor—осуществляетмониторингканаловпередачи, чтобыопределить,кто,куда,какичтоотправляет,исопоставить
сполитикамиибизнес-процессами,снижаяриски;
•DataProtect—включаетDataMonitor,автоматическиблокирует утечкуданныхнаосновеполитик;
•DataDiscover—программадляпоискаиклассификацииконфи- денциальныхданных,которуюможноиспользоватькаквсоставе DSS,такиотдельно,нетребуетустановкиагентов.
Для управления всеми решениями Websense используется единая консоль Websense TRITON Console (Java и Apache Tomcat). Websense DSS очень просто установить. В архив уже входит MS SQL Server Express 2008 R2, но для больших сред лучше использовать полную версию. Первоначальная настройка политик производится при помощи простого мастера, создающего шаблоны с учетом страны и характера деятельности организации, в том числе имеются и региональные настройки для России.
FALCONGAZE SECURETOWER
Сайт проекта: falcongaze.ru. Лицензия: проприетарная.
ОС сервер: Windows 2003/2008 (x86/x64).
ОС клиенты: Windows XP/Vista/7/2003/2008 (x86/x64). Русификация: есть.
Относительно молодое решение, разрабатываемое российским OOO «Фальконгейз». Представляет собой программный продукт, использующий для поиска конфиденциальной информации технологии контентного, атрибутивного и статистического анализа (ключевые слова, регулярные выражения, отпечаток и т. д.). Обеспечивает контроль всех популярных каналов утечки данных, в том числе отслеживает зашифрованный трафик (HTTP/S, FTP/S, POP3/S, SMTP/S, IMAP, OSCAR, ММР, MSN, XMPP). Если в организации используется MS Exchange 2007/2010, то вся внутренняя и внешняя переписка также проверяется на соответствие политикам. Особо хочется выделить полную поддержку Skype, ведь SecureTower может перехватывать голосовой трафик, текстовые сообщения, файлы и отправляемые SMS.
ВОЗМОЖНОСТИ OPENDLP
Проект OpenDLP (code.google.com/p/ opendlp) предлагает комплекс инструментов для предотвращения возможных утечек информации с клиентских машин, работающих под управлением Win-
dows. Для этого на подчиненных компах устанавливается небольшой агент. Само развертывание производится
в автоматическом режиме через Netbios/SMB. Кроме того, возможно прямое сканирование систем без установки агентов в Windows (через SMB), *nix-системах (SSH) и СУБД (MS SQL и MySQL). Централизованное управление осуществляется при помощи веб-интерфейса, обмен данными с агентом производится по каналу связи, зашифрованному при
помощи SSL (используется libcurl). Настройку |
(получать список файлов, в которых найдены |
большого числа агентов упрощают профили, |
совпадения) и управлять работой агентов |
содержащие правила сканирования. |
(пауза сканирования и деинсталляция |
В правилах для описания объектов поиска |
агента). В текущей версии не производится |
используются Perl-совместимые регулярные |
прослушивание сетевого трафика, а также |
выражения, позволяющие обнаруживать |
анализ информации, копируемой на внешний |
номера кредиток и паспортов, SSN, |
носитель, программа проверяет только |
пароли, выявлять наличие на ресурсах |
документы в текстовом формате, хранящиеся |
документов с конфиденциальными данными |
на жестком диске компа. Проект пока |
и отслеживать их обработку на внешних |
находится в стадии активной разработки. |
сервисах (Google Docs, Gmail). Администратор |
Первая версия под номером 0.1 представлена |
может настроить черный и белый список |
в апреле 2010-го, текущая версия — 0.4.3. |
каталогов для сканирования и задать |
Серверная часть написана на языке Perl, для |
отслеживаемые расширения файлов. |
установки разработчики рекомендуют Apache |
В настоящее время интерфейс позволяет |
и Linux, для хранения данных используется |
просматривать результаты сканирования |
MySQL. Агент написан на языке Си. Исходные |
116 |
ХАКЕР 03 /158/ 2012 |
0116 |
ХАКЕР 01 /156/ 2012 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
В поисках инсайдера |
|
|
|
|
|
|
||||
|
|
|
|
|
|
m |
||||
Корпоративный Drupalw Click |
|
|
|
|
|
|
||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ШаблоныWebsenseDSS
Не все DLP это умеют или обеспечивают в полном объеме (чаще установленный агент контролирует лишь текстовые сообщения). Перехват трафика может быть настроен выборочно: по IPадресам или диапазонам, MAC-адресам, портам и протоколам, логинам, размеру файлов и т. д. Система распознает защищенные паролем документы MS Word/Excel, PDF и некоторые типы архивов. Когда пользователь отправляет документ или архив, защищенный паролем, она генерирует событие и предоставляет администратору полную информацию и копию файла. SecureTower контролирует данные, копируемые на внешние устройства, печать на локальных и сетевых принтерах. Чтобы избежать ошибки при определении отправителя, SecureTower, кроме общепринятой информации, полученной из домена, анализирует все контактные данные, IP-адрес и период его использования, логин в различных месседжерах и т. п. Далее система заводит персональные карточки, с помощью которых вся собранная информация привязывается к учетным записям (возможна интеграция с Active Directory).
Кроме того, SecureTower имеет функции, не специфичные для DLP, но весьма востребованные в большинстве организаций. Так, с ее помощью можно контролировать работу сотрудников — система периодически делает скрины экранов для последующего просмотра в хронологическом порядке, отслеживает внутренние и внешние контакты. При этом формируются наглядные интерактивные отчеты, позволяющие в динамике наблюдать за сетевыми событиями и активностью отдельных пользователей. На основе собранных данных очень легко выяснить, сколько времени сотрудник потратил на пустое общение, пренебрегая своими служебными обязанностями, и когда это имело место.
Функционально SecureTower состоит из нескольких компонентов:
•cерверперехвататрафика—захватываетсетевойтрафик
ипередаетеговбазуданныхдляхранения(наиболеетребовательныйкресурсамкомпонент);
•серверконтролярабочихстанций—используетсядляразвер- тыванияагентовнарабочиестанции,мониторингаихработы
исбораинформации,перехваченнойагентами(втомчислешифрованноготрафикаиданныхоработесвнешнимиустройствами);
•cерверобработкиинформации—выполняетобработку,индекса- циюианализданных,поиск,отправкууведомлений,формированиеотчетовипр.
В качестве СУБД может быть использован MS SQL Server, Oracle, SQLite и PostgreSQL. Система легко масштабируется, при необходимости в сеть можно добавить новый сервер, отвечающий за перехват или обработку данных. Процесс развертыва-
ВыборполитикивконсолиWebsenseDataSecuritySuite
ния очень прост, для управления, создания правил и анализа используется консоль администратора Falcongaze SecureTower Admin Console и консоль безопасности Falcongaze SecureTower Client. В установленной системе активно несколько общих правил, позволяющих выявить отправку ряда данных (номеров кредиток, ИНН), посещение соцсетей, отправку резюме для поиска новой работы и др.
DEVICELOCK ENDPOINT DLP SUITE
Сайт проекта: devicelock.com/ru. Лицензия: проприетарная.
ОС сервер: Windows NT/2000/XP/2003/Vista/2008/7. ОС клиенты: Windows NT/2000/XP/Vista/7. Русификация: есть.
Система DLP, построенная на основе достаточно известного решения DeviceLock, которое используется для контроля доступа пользователей к различным периферийным устройствам. DeviceLock разрешает/блокирует доступ с учетом следующих параметров: логина, типа, времени суток, формата файлов
ит. д. Сейчас это базовый элемент системы DLP, дополненный опциональными модулями NetworkLock (анализ данных, передаваемых по сети) и ContentLock (собственно, отвечает за анализ и фильтрацию данных). Благодаря новым возможностям DeviceLock научился блокировать устройства, отслеживая в том числе и содержимое копируемых данных, а не только логин пользователя и прочие стандартные параметры. При этом разные политики устанавливаются в зависимости от того, работает компьютер в сети или автономно (оперативный и автономный режимы). Система детально протоколирует все действия пользователей и осуществляет выборочное теневое копирование данных для анализа. Она распознает более 80 типов файлов
ииспользует несколько механизмов анализа контента: поиск по ключевым словам и шаблонам, в том числе с поддержкой регулярных выражений (номера кредиток, адреса, паспортные данные и т. д.), словари, поиск по свойствам файлов и данных (название, размер, пароль, текст и др.). Благодаря этому DLP может найти текст, спрятанный, например, в графических файлах. Реализованы белые списки (списки устройств и протоколов
ивременные списки), позволяющие пользователю без проблем получить доступ. Возможна интеграция с механизмами шифрования BitLocker To Go, PGP, TrueCrypt и некоторыми другими. Таким образом, можно разрешить записывать определенные документы только на защищенные носители. Клиентская часть также контролирует буфер обмена, PrintScreen, печать документов и обнаруживает работающие кейлоггеры.
ХАКЕР 03 /158/ 2012 |
117 |
ХАКЕР 01 /156/ 2012 |
0117 |
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|||
|
|
|
|
to |
BUY |
SYN/ACK |
|
|||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|||||
w Click |
|
|
SYN/ACKm |
|
||||||
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
00000000\r_NET»Антонов
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
|
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
|
to |
|
|
|
|
|
|
(0000nline.ru)w Click |
|
|
|
|
|
m |
|||||
|
|
|
|
|
|
||||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x cha |
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ОкнонастроекMyDLP |
ПросмотрснимковэкранавFalcongazeSecureTower |
Модуль NetworkLock использует методы DPI (Deep Packet Inspection, глубокий анализ пакетов) и умеет определять протоколы вне зависимости от порта, поэтому система позволяет легко создавать политики для любого вида трафика: веб-трафика, трафика соцсетей, файлового, почтового и IM-трафика. Распознаются протоколы синхронизации с мобильными устройствами: MS ActiveSync, Palm HotSync и iTunes. В настоящее время в официальных списках нет поддержки P2P и Skype.
Возможно использовать дополнительный компонент полнотекстового поиска DeviceLock Search Server (DLSS), который находит информацию в теневых копиях и журналах. Управление производится при помощи групповых политик домена, поэтому клиенты автоматически подхватывают установки. Правила создаются через редактор DeviceLock GroupPolicy Manager.
На случай отсутствия Active Directory предусмотрена консоль DeviceLock Enterprise Manager, способная получать данные из любых LDAP-каталогов, в консоли DeviceLock Management Console отображается текущее состояние агентов. Также клиенты могут устанавливаться с уже преконфигурированными параметрами.
MYDLP COMMUNITY EDITION
Сайт проекта: mydlp.org. Лицензия: GNU GPL.
ОС сервер: Ubuntu 10.04 LTS.
ОС клиенты: Windows XP, Vista, 7 (х86/х64).
Русификация: отсутствует (возможна собственными силами).
Бесплатная DLP-система (разработчики расшифровывают эту аббревиатуру как Data Loss Prevention) с открытым исходным кодом, включающая ряд функций для предотвращения утечки данных:
•анализпротоколов—HTTP/HTTPS,FTP/FTPS,SMTP,ICAP(вбли- жайшихпланах—POP/IMAP,MSNMS/JabberиMSExchange);
•анализдокументов—txt,MSWord/Excel/Powerpoint97–2k3,RTF, LibreOfficeODF,PDF,PostScript,XML,HTML,иархивов—ZIP,7z, TAR,GZIP,RARидр.;
•регистрация,блокировка(вплатнойверсииEnterpriseдобавленыархивированиеикарантин);
•определениеMIME-типаподаннымPython-Magic,типафайлов поMD5-хешу;
•извлечениетекстаизфайловбинарныхформатов;
•обнаружениеисходногокода(C/C++/C#/Java/ADAидр.);
•идентификациябанковскихсчетов/кредитныхкарт,некоторых национальныхидентификационныхномеров;
•применениепользовательскихправилирегулярныхвыражений, статистическийанализибайесовскиеклассификаторы;
•интеграциясвеб-прокси(Squid)дляфильтрациивходящегоиис- ходящеговеб-трафика,использованиевкачествеконтентного фильтрадляPostfix,MSExchange,интеграциясZimbra;
•составлениесписковACLнаосновеIP-адресовишаблонов.
Кроме того, MyDLP умеет обнаруживать и открывать зашифрованные файлы или файлы, закрытые паролем (если есть ключ). Функционально система, построенная на MyDLP, состоит из четырех компонентов:
•MyDLPNetwork—сетевойсервер,которойиспользуетсядля перехватаTCP-соединенийиявляетсяосновнойдляMyDLP. НаписаннаErlangиPython,можетбытьустановленналюбой системе,поддерживающейинтерпретаторы.
•MyDLPEndpoint—агент,устанавливаемыйнаконечныхсистемах (поддерживаются32/64-битныеWinXP-Se7en),позволяеткон- тролироватьвсекритическиеоперации:копированиефайлов, печать,захватэкрана,получениеправадминистратораит.п.
•MyDLPSecurityMonitor—монитор,отслеживающий,ктоикакие данныеиспользует.
•MyDLPWebUI—инструментуправлениянастройкамиNetwork
иEndpoint,которыепериодическиподключаютсякWebUI,получаютпоследниеустановкиисбрасываютлог.НаписаннаPHP
иAdobeFlex,дляхранениянастроекижурналасобытийиспользуетсяMySQL.
Процесс настройки и подключения клиентов трудностей
не вызывает. Девиз Easy, Simple, Open полностью отражает суть MyDLP. Документация проекта включает десяток мануалов, есть даже небольшое видеоруководство. После запуска клиента в трее появляется значок, спрятать который с помощью штатных средств невозможно. Проект предлагает установочный ISO-образ (на базе Ubuntu), образ VMware и репозиторий Ubuntu 10.04 LTS (downloads. medratech.com/ubuntu).
За плату предлагается Enterprise-версия, имеющая расширенные средства анализа, улучшенный интерфейс, карантин, функцию архивирования и обеспечиваемая поддержкой.
ЗАКЛЮЧЕНИЕ
Нужно помнить, что DLP — это прежде всего инструмент, позволяющий значительно снизить риски, наличие которого уже само по себе дисциплинирует сотрудников. Ожидать, что внедрение такой системы гарантированно защитит от утечек, возникающих в результате умышленных действий, тоже не стоит. Если инсайдер захочет передать или вынести ценную информацию, он наверняка найдет способ для этого, поэтому следует также использовать все традиционные методы защиты. z
118 |
ХАКЕР 03 /158/ 2012 |
0118 |
ХАКЕР 01 /156/ 2012 |