Write only op server?

[PanMan]

Hoi!
Om maar hiermee te beginnen: Wellicht vinden jullie dit niet in ANS horen, dan moet het maar ff gemoved, maar ik wist niet waar het beter heen kon.
Nu mijn vraag: Ik zoek een methode (liefst hardware) waarmee je een write only log van iets kan maken.
Ik zal het een beetje uitleggen: Ik wil ergens een log van maken. Maar het is absoluut belangrijk dat die log niet overschreven kan worden. Ik zou b.v. een db kunnen gebruiken, met een user die geen update rechten heeft, maar alleen insert. Maar, dan kan iemand die je server hackt als root altijd nog een user maken die wel write rechten heeft, en dus die tabel updaten. Waar ik zelf aan zat te denken was om het misschien te printen, er bestaat niet zoiets als "update papier where location is in printerbak " , maar het nadeel daarvan is ook duidelijk: het gaat redelijk wat papier kosten. voordeel is wel dat zo'n hardcopy moeilijk te veranderen is. Een andere mogelijkheid is wellicht een CDR.
Dus, weet iemand een andere techniek waarbij je op een harddisk oid een read/write only iets kan creeeren? Het moet dus wel kunnen worden uitgelezen en geschreven, maar eenmaal geschreven data mag NIET worden veranderd. Ik ben benieuwd, PanMan.

[F_J_K]

Laat elke keer een e-mailtje sturen.

[PanMan]

email is opzich een redelijk idee, behalve dat je daarmee het probleem verplaatst naar een (eik 2) andere locaties: De ontvangende computer, en de mailserver die de mail een tijdje bewaart...
Dus daar schiet je opzich niet veel mee op.

[F_J_K]

Als je bang bent voor het met rootrechten aanpassen van een db zal geen enkele softwarematige oplossing voldoen - op elk OS is in principe in te breken, al is het maar door social engineering.

Je wilt dat het dus softwarematig _echt_ niet te veranderen is. Als het zo'n zware beveiliging moet zijn zal een goedkope hardwarematige oplossing ook niet mogen voldoen; een CDR kan je kopieren met een kleine aanpassing, papier kan je evt. inscannen, veranderen & weer uitprinten...

Een manier waarop het bijna onmogelijk is om te wijzigen is door te zorgen dat het op vele plaatsen ontvangen wordt, dan zou het bij elke ontvanger veranderd moeten worden om geen afwijkingen te krijgen...

[PanMan]

Dat is waar. Maar om papier te veranderen moet je wel al fysiek toegang ertoe hebben. Iets wat voor veel mensen w.s. toch een grotere stap is dan ergens een bak die aan internet hangt rooten. Bovendien kan je papier ook fysiek weer meer beveiligen, b.v. door het in een kluis te stoppen. Maar, je hebt wel een point, dat je papier ook weer kan aanpassen...

[Koffie]

Misschien handig om uit te leggen wat de situatie is. Kan er beter gericht advies gegeven worden (en kan ik beslissen of ie in ANSmag blijven )

[PanMan]

Tja, ik mag er niet te veel over vertellen. Het komt er toch op neer dat er op een server 'iets' gelogd moet worden, de output van een applicatie, en dat het belangrijk is dat de gegevens die gelogd worden niet meer veranderd kunnen worden, ook niet als iemand root op die server zou worden.

[JaNuZz]

Mhzz het enige wat ik me kan bedenken is met direct-cd ofzo te werken en het op een automatisch op een cd te laten bakken, maarja een beetje admin zou dit zo kunnen uitschakelen , net zoals emailen etc Zolang iemand anders ook admin is kan ie dus alles uitzetten wat jij aanzet...

[F_J_K]

Op zondag 17 februari 2002 12:08 schreef JaNuZz het volgende:
Mhzz het enige wat ik me kan bedenken is met direct-cd ofzo te werken en het op een automatisch op een cd te laten bakken, maarja een beetje admin zou dit zo kunnen uitschakelen , net zoals emailen etc Zolang iemand anders ook admin is kan ie dus alles uitzetten wat jij aanzet...

Met direct CD kan je een bestand toch overschrijven? Fysiek zal het oude bestand nog op het schijfje staan, maar dat heb je niet door als je simpelweg in de verkenner kijkt wat er op de CD staat.

Maar ik snap niet helemaal wat er zo veilig moet zijn dat het niet softwarematig aangepast mag kunnen worden - banken etc. vind ik zelf veilig genoeg, terwijl het wel mogelijk is om iets te veranderen. Alleen verdomd moeilijk.

Laat het bestandssysteem / de database elke wijziging ook loggen. En maak het voor de root onmogelijk om anders dan lokaal in te loggen.

[Dutchman!]

Waar ik zelf aan zat te denken was om het misschien te printen, er bestaat niet zoiets als "update papier where location is in printerbak "

-> Dit staat met voorbeeld beschreven in Securing and Optimizing Linux: RedHat Edition

[Verwijderd]

Ik weet natuurlijk niet wat voor applicatie het is, maar als die naar standaard syslog kan loggen kun je natuurlijk een remote syslogserver e.e.a. laten bijhouden.
Die laat je de log gewoon incrementeel naar een tape-unit schrijven. (dat zou dus ook lokaal kunnen)

Moet de cracker al 2 machines compromisen en precies weten hoe jij e.e.a. opgezet hebt

Overigens ben ik er vanuit gegaan dat je over een unix / linux omgeving praat.

Trouwens, heel simpel,
tail -f <logfile> | lpr -P <printernaam> &
doet de truuk ook al.

[PanMan]

ja, hoe doen banken dit eigenlijk? Daar wil je neem ik aan ook wel logs hebben die niet ff veranderd kunnen worden.
Voor dit project is wel zo'n soort security nodig...

[Verwijderd]

Op zondag 17 februari 2002 18:41 schreef PanMan het volgende:
ja, hoe doen banken dit eigenlijk? Daar wil je neem ik aan ook wel logs hebben die niet ff veranderd kunnen worden.
Voor dit project is wel zo'n soort security nodig...

De mooiste oplossing die ik voor een financiele instelling heb gezien, is remote syslog over een vpn.
Waarbij dit vpn dan over een tweede netwerk loopt. Die heeft dus een apart netwerk (plus interface!) voor "beheer"-taken.

[Verwijderd]

Je zou een stand-alone systeem kunnen nemen waar een programma op staat dat de logging ontvangt. Dan stuur je vanaf de server de logregels daarheen over een unidirectionele kabel, bijvoorbeeld een RS-232 (nulmodem) kabel, waar je de ene TX-RX paar doorknipt, of een UTP kabel waar je de ene TX-RX doorknipt. Let er wel op dat je in dat laatste geval geen TCP meer kan gebruiken, die heeft tweerichtingsverkeer nodig. Dit is wel een behoorlijke houtje-touwtje oplossing die ik in een bedrijfsomgeving niet zou gebruiken. Dan zou ik eerder gaan voor het signen van de data o.i.d.

[nielsj]

t klinkt erg simpel, maar misschien toch het overwegen waard (als de hoeveelheden van data mee vallen)

een printer waar je alle mutaties/log regels uitprint

[PanMan]

dat was idd ook mijn oorspronkelijke idee, die printer
Ik zat net nog even te denken: Ik zou in principe toch ook ipv. de volledige records alleen hashcodes van b.v. 32 bytes kunnen afdrukken? Dan is het toch in principe ook vrijwel onmogelijk om de data aan te passen, en de hashcode hetzelfde te houden, toch?

[F_J_K]

Op woensdag 20 februari 2002 08:42 schreef PanMan het volgende:
dat was idd ook mijn oorspronkelijke idee, die printer
Ik zat net nog even te denken: Ik zou in principe toch ook ipv. de volledige records alleen hashcodes van b.v. 32 bytes kunnen afdrukken? Dan is het toch in principe ook vrijwel onmogelijk om de data aan te passen, en de hashcode hetzelfde te houden, toch?

Denken moet je niet doen, daar komen alleen maar problemen van (en hoofdpijn).

De hashcode ipv het gehele log zal idd afhankelijk van de hoeveelheid data een hoop papier schelen, maar je moet wel HELE sterke vermoedens van gewijzigde logs hebben voordat je met de hand een paar blz. vol 32b hashcodes wilt gaan controleren. Ik zou dan ook bv een checksum van de hashes per pagina printen (en digitaal bewaren).