Guía de configuración de jaula lógica (jail) para ejecución en entorno seguro del Framework Dradis en sistema operativo GNU/Linux CentOS 7.

Transcripción

1 Guía de configuración de jaula lógica (jail) para ejecución en entorno seguro del Framework Dradis en sistema operativo GNU/Linux CentOS 7.0 Izquierdo, J. (1) ; Villavicencio, F. (2) ; Zambrano, J (3) ; Sacoto, V. (4) Escuela Superior Politécnica del Litoral (ESPOL) Campus Gustavo Galindo, Km 30.5 vía Perimetral Apartado Guayaquil-Ecuador jc@jcisecurity.com (1) ; freddy_villavicencio@hotmail.com (2) ; j.zambrano@outlook.com (3) ; vsacoto@hotmail.com (4) Resumen El presente proyecto tiene como finalidad ofrecer una guía práctica para instalar, configurar y parametrizar un entorno seguro en un sistema operativo GNU/Linux CentOS 7.0 para la ejecución del framework Dradis 2.9.0, cuyo propósito es ofrecer un entorno en servicio web para el correcto procesamiento de información obtenido al momento de efectuar un test de intrusión a una infraestructura tecnológica. Este proyecto es parte de la materia Seguridad en Sistemas Operativos, teniendo como objetivo que los autores de este artículo profundicen en la necesidad de crear entornos seguros para probar software de tipo crítico que pueda afectar a la continuidad del servicio, así como el aprendizaje de la administración de servidores de carácter público cuando estos son manipulados por una cantidad determinada de usuarios. CentOS 7.0 ofrece la capacidad de poder enjaular servicios para que sean ejecutados sin afectar al servidor como tal, por medio del uso de herramientas y propiedades nativas del sistema operativo. Este artículo explicará paso a paso el proceso efectuado para la instalación del entorno del sistema operativo, configuración de la jaula lógica, instalación del framework Dradis y la puesta en marcha dentro de un ambiente controlado. Palabras Claves: Linux, jaula, sistema operativo, dradis, entorno seguro, aseguramiento de servidores, servidores públicos, seguridad. Abstract This Project has the goal to offer a practical guide to install, configure and setup a secure environment on GNU/Linux CentOS 7.0 operative system to execute a framework called Dradis The objective of this software is to offer a web service interface to process the information gathered when a group of ethical hackers are doing a Security Testing on a technological infrastructure and need to take notes for each step of the consulting This article is part of the subject Security on Operative Systems, and the aim is to explain to the authors how to test software into public servers or servers with many end-users. CentOS 7.0 has the capability to jailing the services that going to be executed on the server without affect the entire environment. This is possible using many tools and native properties of the operative system. This article is going to explain step by step how to install the operative system, configure the jail with native and third-part tools, install Dradis framework with appropriate libraries and execute the software into the controlled environment apart sharing the same hardware. Keywords: Linux, Jail, secure, ethical hacker, dradis framework, public servers, operative system, security.

2 1. Introducción El presente proyecto tiene como objetivo demostrar la funcionalidad de una jaula lógica (Jail) en entornos GNU/Linux para asegurar mediante el uso de diversas herramientas y técnicas la integridad del sistema operativo. Es muy común para los administradores instalar aplicaciones que de cierta forma podrían afectar al funcionamiento del servidor, es por esto que el uso de Jails se torna ideal para enjaular el proceso y evitar que algún error atente a la continuidad del servicio. Como proyecto de la materia de Seguridad en Sistemas Operativos, parte del conjunto de materias de la Maestría en Seguridad Informática Aplicada del paralelo 1 promoción 6 que están cursando los autores del presente escrito, este artículo permitirá demostrar paso a paso las instrucciones necesarias para configurar estos servicios y asegurar la integridad de nuestros servidores. Es importante mencionar que una jaula constituye un entorno completamente aislado del servidor, todo lo instalado y ejecutado corresponde a un evento paralelo para el servidor en sí. Es por ello que configurar jaulas se convierte en una técnica de gran nivel para probar una aplicación en específico antes de instalarla a nivel funcional, esto evita que se afecte la integridad del sistema operativo en caso de tener un inconveniente con la aplicación mencionada. 2. Antecedentes Para efectos del proyecto, la MSc. Karina Astudillo designó una distribución GNU/Linux y servicio en específico para desarrollar el artículo, estos son: CentOS 7.0: Distribución GNU/Linux orientada a servidores. Dradis 2.9.0: Framework que permite compartir y recopilar información que se va obteniendo en una auditoría/test de seguridad. 3. Definición de jaula lógica (Jail) Podemos definir como jaula a la técnica utilizada para redefinir la raíz del conjunto de particiones en GNU/Linux convirtiendo un directorio en un sistema completamente paralelo al original, podría considerarse una virtualización ya que internamente se ejecutan procesos que no afectan al sistema padre. 4. Entorno a utilizar Para este efecto, utilizaremos las siguientes aplicaciones CentOS 7.0: Como sistema operativo base. Dradis Framework: Como servicio que correrá en el entorno enjaulado. Jailkit: Aplicación que permite la configuración de la jaula. Chroot: Herramienta nativa de GNU/Linux para enjaular directorios. 5. Instalación de CentOS 7.0 Procedemos a la instalación de la distribución CentOS 7.0: Figura 1. Etapa de instalación CentOS 7 Para ello, definimos el particionamiento de la siguiente manera: /boot: 2GB /: 20GB Swap: 4GB /opt: 10GB La partición /opt se define con un tamaño en específico ya que será la que se utilizará para la creación del entorno enjaulado. 6. Configuración de la jaula Para la configuración de la jaula utilizaremos la aplicación Jailkit y el comando chroot, esto debido a que se necesitan ciertas funciones de la aplicación para poder ejecutar el framework Dradis Instalación de la herramienta Jailkit Descargar el rpm (RedHat Package Manager) del repositorio que contiene la aplicación: # wget Importar la llave GPG: # rpm --import KEY.dag.txt

3 Paso 3: Verificando el paquete descargado: # rpm -K rpmforge-release el6.rf.x86_64.rpm Instalando el repositorio rpmforge vía RPM # rpm -ivh rpmforge-release el6.rf.x86_64.rpm Una vez instalado el repositorio que contiene la aplicación, se procede a instalar Jailkit: # yum y install jailkit Figura 2. Instalación de herramienta Jailkit 6.2. Configuración de la jaula con Jailkit Creación del directorio y de la jaula con el envío de los servicios básicos para ejecución: # mkdir /opt/jail # jk_init -v -j /opt/jail jk_lsh basicshell editors extendedshell netutils jk_lsh Se copia la Shell con sus librerías respectivas: # jk_cp v f /opt/jail /bin/bash Figura 3. Habilitando librerías en jaula 6.3. Configuración de la jaula con chroot Una vez creada la jaula con las librerías necesarias, procedemos a gestionar el repositorio YUM dentro de la jaula para poder instalar las aplicaciones requeridas para la compilación del framework Dradis. Se crea el directorio que gestionará el repositorio # mkdir -p /opt/jail/var/lib/rpm Se inicializa la base de datos rpm dentro de la jaula en modo root # rpm --root /opt/jail initdb Paso 3: Se procede a la descarga del paquete rpm correspondiente a CentOS para el gestor de descargas, lo enviamos al directorio /var/tmp: # yumdownloader --destdir=/var/tmp centos-release Se procede a ubicarse en el directorio que se utilizó la descarga y se instala el paquete rpm dentro de la jaula: # cd /var/tmp # rpm --root /opt/jail -ivh --nodeps centosrelease.x86_64rpm Instalado el repositorio, se procede a instalar cualquier aplicación para que genere la estructura raíz dentro de la jaula, se seleccionó Ruby ya que será necesaria para la instalación del framework Dradis: # yum --installroot=/chroot/webapp1 -y install ruby 7. Instalación de Dradis Framework Dradis, a diferencia de un servicio, se debe compilar para su ejecución ya que levanta un entorno de tipo web-service, es por esto que se efectuará la compilación dentro de la jaula ya que como se detalló en párrafos anteriores, las aplicaciones y librerías instaladas en el sistema raíz no son las mismas que contiene la jaula. Se procede a la descarga del framework Dradis #wget Se crea la carpeta dradis dentro de la jaula /opt/jail para almacenar los compilables del framework Dradis: # mkdir -p /opt/jail/dradis # cp rv dradis-v2.9.0 /opt/jail/dradis Paso 3: A partir de este paso, se efectuará la instalación desde la jaula y desde el sistema raíz, desde la jaula se compilará Dradis y desde el sistema raíz se instalarán las librerías/aplicaciones necesarias para compilar dicho framework. Ingresamos a la jaula mediante el comando CHROOT:

4 # chroot /opt/jail Dentro de la jaula, ejecutamos el primero de tres scripts que permiten compilar la aplicación, este se llama verify.sh: Bash-4.2#./verify.sh servicio web en el puerto local 3004, para ello se deberá instalar la aplicación rails desde el gestor de ruby gem: # gem install rails 8. Puesta en marcha Dradis framework corresponde a un script que al ejecutarlo levanta la interfaz de la aplicación, esto se lo efectúa desde la jaula obteniendo un resultado satisfactorio: Bash-4.2#./start Figura 4. Ejecución del primer script de Dradis Framework Dentro de esta ejecución, nuestra jaula necesitará resolver direcciones IP para descargas desde internet, por lo que desde afuera copiamos el archivo de configuración resolv.conf para que nuestra jaula resuelva mediante DNS asignados: # cp v /etc/resolv.conf /opt/jail/etc/ Figura 7. Ejecución satisfactoria de Dradis Framework dentro de la jaula Se verifica que el servicio este corriendo solo dentro de la jaula: Es necesario que todas estas librerías sean previamente instaladas para que el script corra con éxito: # yum --installroot=/chroot/webapp1 -y install nombre_servicio Previo a la instalación de todos los paquetes necesarios, se obtiene la aprobación para continuar con el siguiente paso: Se ejecuta el segundo script llamado reset.sh, necesario para instalar los archivos.gem que necesitará el framework dradis: Bash-4.2#./reset.sh Figura 5. Ejecución del segundo script de Dradis Framework Debido a que la versión es mayor a 1.9.2, no se efectúa nada más y se procede al siguiente script. Se ejecuta el último script, este permite levantar el servicio Dradis mediante la aplicación rails tipo Figura 8. Lista de procesos dentro de la jaula Figura 9. Listado de procesos en el sistema raíz 9. Conclusiones Se torna muy útil conocer los conceptos de jaulas lógicas para poder efectuar una mejor administración del servidor, en este ejemplo puntual, si Dradis en etapa de instalación hubiese dañado alguna librería, esta solo hubiera afectado a la jaula y no al sistema raíz. Es por esto que todos los administradores deberían enjaular los servicios que van a utilizar previo a su instalación y puesta en marcha para asegurar la integridad del servicio. Dradis Framework represento un reto ya que a diferencia de servicios (estos solo se pasan copiando su binario y las librerías utilizadas), este implico compilar desde la jaula todos sus scripts, siendo algunos de ellos desafiantes ya que utilizaban software de terceros para su arranque como lo es Ruby, Gem, Rails, entre otros.

5 Como grupo número dos de la materia Seguridad en Sistemas Operativos, nos resultó extremadamente útil aprender estos conceptos para nuestra carrera, ya que manejar esquemas de jaulas para servicios representa una buena práctica para asegurar un activo de información como lo es un servidor 10. Referencias [1] Alonso, J. A. (2010, February 22). Redes privadas virtuales. Retrieved from [2] Centos Org. (2014, 12 1). CentOS Org. Retrieved from [3] Dradis Org. (2014, December 1). Dradis Org. Retrieved from [4] ESPOL. (2014, December 1). CIB ESPOL. Retrieved from Escuela Superior Politécnica del Litoral: [5] Prefetch Articles. (2014, 12 1). Prefetch. Retrieved from ml [6] Sessink. (2014, December 1). Sessink Olivier. Retrieved from