Para asegurarnos más de que la información que se registra de las
actividades en nuestro sistema es fiable acabamos de explicar cómo
almacenarla, a la
vez que en un fichero de la propia máquina, en un equipo remoto a través de
la red; la idea es poder comparar los registros de ambos sistemas para detectar
posibles modificaciones en una de ellas. Pero, >qué sucede si el atacante
consigue también control sobre el segundo equipo, y modifica también
ahí los ficheros de log? Aunque a priori este sea un sistema
seguro, sabemos que nadie nos puede garantizar la seguridad al 100%; en algunos
casos (por ejemplo si sospechamos que el intruso ha conseguido el control de
ambos equipos) es conveniente recurrir a registros físicos, mucho más
difíciles de alterar que los lógicos.
No siempre se guarda información en un fichero plano, ya sea local o
remoto.
Unix permite almacenar mensajes en ficheros especiales - dispositivos -, como
terminales o impresoras; son estas últimas las más habituales por la
seguridad que ofrecen, ya que mientras que un intruso con el privilegio
suficiente puede modificar un fichero de log local, o acceder a un sistema
donde se almacenen registros remotos, no puede eliminar una información
extraída por impresora sin tener acceso físico a la misma. El demonio
syslog de cualquier sistema Unix permite especificar uno de estos
ficheros especiales como destinatario de ciertos registros de una forma muy
simple: no tenemos más que añadir una entrada en /etc/syslog.conf
indicando el dispositivo y la clase de eventos a registrar en él; por ejemplo,
para enviar todos los mensajes de prioridad warn a una impresora (como
/dev/lp1) no tenemos más que añadir en el archivo la línea
siguiente:
*.warn /dev/lp1
Como siempre, tras modificar el fichero de configuración hemos de hacer que
el demonio lo relea, bien enviándole la señal SIGHUP o bien
deteniéndolo y volviéndolo a lanzar; por último, si decidimos utilizar una
impresora para generar registros físicos hemos de intentar que se trate
de un modelo de agujas, ya que dispositivos más modernos utilizan buffers que no se llegan a imprimir hasta que están llenos, por lo que
sería posible para un atacante hacer que se pierda cierta información.
Hemos de evitar especialmente algunos modelos nuevos de impresoras que tienen
incluso sistema de red y dirección IP para control remoto, ya que
en este caso puede suceder que un pirata llegue a controlar el dispositivo
igual que controla la máquina que envía los registros.
Otro tipo de registro físico, más básico e incluso más fiable que
el anterior, pero que por desgracia no se suele utilizar mucho, son las propias
anotaciones sobre la marcha del sistema que todo administrador debería
realizar en una especie de `cuaderno de bitácora' de cada equipo.
Evidentemente la única persona con acceso a dicho cuaderno debería ser
el administrador, y debería guardarse en un lugar seguro, aplicando las
mismas políticas que por ejemplo aplicamos a las cintas de backup
(alejadas del entorno de operaciones para prevenir la pérdida ante un
desastre físico, almacenadas bajo llave...).
© 2002 Antonio Villalón Huerta
