Ajánlott a hálózatkezelő protokoll legújabb változatát használni; lényegesen magasabb biztonsági szintet kínál, mint elődei.
Az SNMP (Simple Network Manage-ment Protocol) protokoll az IP-hálózatok széles körben alkalmazott hálózatkezelési szabványa. A 80-as évek közepén fejlesztette ki az Internet Engineering Task Force (IETF, hálózattervezők, üzemeltetők, gyártók és kutatók nyílt közössége) a hálózati elemek – munkaállomások, kiszolgálók, útválasztók, hidak, hubok stb. – egy hálózatkezelő szoftvert futtató központi számítógépről való kezelésére.
Három fő alkotóelemből áll: a kezelőrendszerekből és a kezelőügynökökből – ezek elosztott architektúrája valósítja meg a kezelőszolgáltatásokat –, valamint a kezelt objektumok adatait standardizált formában tartalmazó Management Information Base (MIB) adatmodulokból.
Működési alapok
Az SNMP-kezelőszoftvert futtató számítógépeket SNMP-kezelőrendszernek, az SNMP-ügynökszoftvert futtató gépeket pedig SNMP-ügynöknek nevezzük. Az SNMP-kezelőrendszer információt kér a kezelt számítógéptől (SNMP-ügynöktől), például lekéri a rendelkezésre álló lemezterület nagyságát vagy az aktív munkamenetek számát. A kezelőszoftvernek nem kell ugyanazon az állomáson futnia, mint az SNMP-ügynöknek. Ha a kezelőrendszer írásra jogosító hozzáférést kapott az adott ügynökhöz, kezdeményezheti az átváltást az ügynök konfiguráció-jára is.
Az SNMP-szolgáltatás – ami tulajdonképpen egy ügynökszoftver – válaszol a kezelőrendszerek felől érkező kérésekre. Az SNMP-szolgáltatásnál beállítható, hogy milyen adatok küldhetők el, és mely kezelőrendszerek jogosultak az információkérésre.
Általában az ügynökök maguktól nem küldenek üzeneteket, csak válaszolnak az információkérésekre. Az SNMP-kommunikációnak az úgynevezett trap üzenet az egyetlen olyan, ügynök által kezdeményezett típusa, amelyet a biztonság fokozására hoztak létre. A trap voltaképpen az ügynökkel kapcsolatos, a szokásostól eltérő eseményre – például egy kártya leállására, illegális hozzáférési kísérletre vagy az üzemi hőmérséklet kritikus emelkedésére – adott riasztás.
A kezelőállomások és az ügynökök az SNMP szerinti logikai csoporthoz tartoznak, ami nem egyéb, mint az állomások adminisztrációs célú csoportosítása.
A logikai csoportok létrehozásával nagymértékben megnő a biztonság, mivel csak az ugyanazon a logikai csoporton belüli kezelőrendszerek és ügynökök kommunikálhatnak egymással.
Változatok biztonsági jellemzői
A gyenge biztonság kezdetektől fogva nagy fogyatékossága az SNMP-nek: a hálózatkezelő protokoll első két megvalósítása, az SNMPv1 és az SNMPv2 mindennek nevezhető, csak biztonságosnak nem. Az ügynökök MIB-jéhez hozzáférő kezelőrendszereket csupán egy IP-címlista és egy szöveges jelszó definiálja. Az utóbbi szinte semmilyen védelmet nem ad, hiszen nem kell különösebb szakértelem egy ilyen jelszó megszerzéséhez és feltöréséhez, ennek révén pedig információk nyerhetők ki a hálózatot alkotó eszközökről, és módosíthatók azok beállításai.
Az SNMPv2 többek között annyiban különbözik elődjétől, hogy részletesebb hibaüzeneteket küld a kezelőállomásoknak. Bár az SNMPv1 is jelentette az öszszes hibát, de mindet ugyanazzal a kóddal, ezzel szemben az SNMPv2 az egyes hibajelenségeknél más kódot alkalmaz, így teljesebb kép kapható arról, hogy mi történik a hálózatban.
A kifejezetten biztonsági szempontok figyelembevételével létrehozott legújabb változat, az SNMPv3 titkosítással, valamint biztonsági modellek és biztonsági szintek definiálásával igyekszik megakadályozni a rendszer feltörését.
Ez a változat csupán abban különbözik elődjeitől, hogy biztonsági szolgáltatásokkal bővítették. Az SNMPv3 gondoskodik az üzenetek integritásáról annak érdekében, hogy átvitel közben ne lehessen megváltoztatni az adatcsomagokat; megvizsgálja, hogy az üzenetek hiteles forrásból származnak-e; és az adatcsomagok titkosításával lehetetlenné teszi, hogy azok tartalmát illetéktelenek megismerhessék.
Az SNMPv3 számos elterjedt titkosítási szabványt támogat, például az 56 bites DES-t (Data Encryption Standardot). A biztonsági modell lényegében a felhasználók és a felhasználói csoportok számára meghatározott hitelesítési stratégia. Minden egyes felhasználóhoz külön biztonsági modell rendelhető a vállalat biztonsági struktúrájának és igényeinek megfelelően.
A biztonsági szint alatt egy biztonsági modell megengedett biztonsági állapotát értjük. Míg az SNMPv1 és az SNMPv2 csupán két biztonsági szinttel – read-only és read-write – rendelkezik, addig az SNMPv3 sokkal nagyobb szabadságot ad a különféle felhasználók biztonsági szintjének meghatározásában.
Óvintézkedések
A biztonsági szolgáltatások híján lévő SNMPv1 és SNMPv2 használatakor az okozza a legnagyobb problémát, hogy az azonosítók közönséges karaktersorozatként továbbítódnak a hálózatban, mivel sem a kezelőrendszerek, sem az ügynökök nem alkalmaznak titkosítást. Így az azonosítók az internetről letölthető snifferrel (csomagkiszimatoló programmal) egyszerűen elcsíphetők.
Természetesen a jelszavak esetében ugyanolyan biztonsági óvintézkedéseket kell megejtenünk, mint más alkalmazásoknál: legyen a jelszó legalább nyolc karakter hosszúságú, ne szótárból kikereshető szóból álljon, továbbá betűket (kis- és nagybetűket vegyesen) és írásjeleket egyaránt tartalmazzon. Mindenképpen változtassuk meg a hálózati eszközök előre konfigurált azonosítóját, mert azokat rendkívül egyszerű kitalálni.
Ez persze még nem elég a csomagkiszimatolók semlegesítéséhez. Ezért amikor konfigurálunk egy ügynököt, érdemes korlátozni azoknak az eszközöknek a számát, amelyek SNMP-kéréseket adhatnak ki, feltéve, hogy erre az ügynök lehetőséget nyújt. Ha így járunk el, hiába szerzi meg valaki a jelszót, ahhoz, hogy károkat tudjon okozni a hálózatban, még ki kell cserélnie valamelyik kezelőrendszer IP-címét (spoofing).
Jobb megoldás, ha megakadályozzuk, hogy az SNMP-csomagok láthatóak legyenek a hálózat külső csatlakozási pontjain és a hálózat bizonyos részein. Ez a routerek és a tűzfalak átkonfigurálását igényli.
Ha a hálózatot kívülről szeretnénk kezelni az SNMP segítségével, különösen óvatosan kell eljárnunk. Ostobaság lenne titkosítatlan állapotban átküldeni az interneten az SNMP-azonosítókat, ezért mindenképpen használjunk VPN-szoftvert vagy az SSL-t támogató webes felületet.
Végezetül még egyszer megemlítjük: a SNMPv3 használatával a legtöbb biztonsági problémától megszabadulunk, mivel ez az azonosítókat titkosítva továbbítja.
Mészáros Csaba
