системы UNIX, команде
dir MS-DOS. Команда
dir, используя атрибут «Архивный» файловой системы FAT, позволяет найти модифицированные файлы. Контрольные суммы могут использоваться для контроля файлов от разрушения и несанкционированного изменения путем вычисления контрольной суммы и последующего их сравнения. Обратите внимание на то, что некоторые программы типа root kits могут обходить контрольные суммы.
Известны и другие инструментальные средства, например ActiveState Perl, FileMon и RegMon. На ActiveState Perl можно писать собственные программные средства. Утилиты операционной системы Microsoft Windows FileMon и RegMon контролируют доступ приложений к файлам и реестру Windows соответственно. Обе утилиты разработаны компанией Sysinternals.
В завершение были обсуждены возможные проблемы использования инструментария, описанного в главе. При создании систем безопасности следует учитывать возможность преодоления защиты на основе контрольных сумм и кэширования, если известно местоположение контрольных величин (контрольной суммы или кэш-величины) и метода их расчета. Было сказано несколько слов о проблемах сжатия и шифрования. Пояснено, почему нельзя найти место хранения контрольной суммы в зашифрованном или сжатом файле до тех пор, пока не будет обойден механизм защиты.
Суть поиска различий
· Поиск различий – процесс сравнения исследуемых объектов до и после свершения событий.
· Поиск различий может использоваться для обнаружения изменения файла программным путем или выяснения сути исправления уязвимости.
· Команда diff может быть применена для исследования содержимого директории путем сравнения входящих в нее файлов.
· Исследование методом поиска различий может быть применено к исходным текстам программ и двоичным файлам.
Исследование инструментария поиска различий
· В состав большинства операционных систем UNIX включена команда поиска различий diff. Для этих же целей в состав операционной системы Microsoft включена команда fc.
· При отправке по почте открытых исходных текстов исправлений уязвимостей программ отправитель не всегда пересылает файл различий (diff-файл), который позволил бы исправить исходный текст программы и установить исправленную версию программы.
· Шестнадцатеричный редактор позволяет редактировать двоичные файлы непосредственно, минуя приложение. Шестнадцатеричные редакторы доступны на многих платформах, например редактор Hackman для Windows или hexedit для UNIX.