Ложные и неприменимые к Kaspersky Security Center Linux срабатывания сканеров
Показать приложения и версии, для которых применима статья
- Kaspersky Security Center 16 Linux (все версии);
- Kaspersky Security Center 15 Linux (все версии).
Рекомендации могут быть применимы к версиям, снятым с поддержки:
- Kaspersky Security Center 14.2 Linux (версия 14.2.0.23324).
Сторонние сканеры безопасности иногда могут указывать в своих отчетах ложные предупреждения при проверке портов, которые использует Kaspersky Security Center Linux (далее KSCL). Это связано с особенностями применения технологий безопасности.
KSCL использует различные порты для работы компонентов:
- Порты, которые предоставляют пользователю веб-интерфейс, доступный через браузер:
- 8060 (HTTP) и 8061 (HTTPS) используются веб-сервером Kaspersky Security Center;
- 8080 (HTTPS) используется Kaspersky Security Center Web Console.
- Остальные порты не предназначены для прямого доступа пользователя через браузер. Они используются для взаимодействия компонентов KSCL между собой и с управляемыми приложениями «Лаборатории Касперского».
Ниже приведен список технологий безопасности, по которым были зафиксированы ложные срабатывания сканеров безопасности в отношении KSCL версии 16 и ниже.
HSTS
HTTP Strict Transport Security (HSTS) — это механизм обеспечения безопасности, описанный в спецификации RFC 6797. Механизм HSTS позволяет принудительно использовать защищенный протокол HTTPS при взаимодействии клиента с веб-сервером. Механизм активируется с помощью специального HTTP-заголовка Strict-Transport-Security, который указывает браузеру игнорировать любые попытки установить соединение по незащищенному протоколу HTTP, включая явные переходы по ссылкам вида http://.
HSTS является эффективной защитой от ряда атак, включая:
- атаки с понижением уровня защиты (downgrade attack);
- перехват или кражу cookie-файлов (session hijacking).
При проверке портов KSCL сканер безопасности может обнаружить отсутствие технологии HSTS в ответе от сервисов, работающих на портах, которые использует Сервер администрирования. В этом случае сканер отобразит ошибку «HSTS Missing From HTTPS Server (RFC 6797)».
В таблице ниже приведен статус поддержки механизма HSTS для различных сервисов на портах KSCL.
| Порт | Поддержка HSTS |
|---|---|
| 8061 HTTPS | HSTS поддерживается. |
| 8080 HTTPS | HSTS поддерживается. |
| Прочие HTTPS-порты | HSTS не применим: порты не предназначены для работы через браузер. |
X-Frame-Options
HTTP-заголовок X-Frame-Options — это механизм защиты от атак типа кликджекинг (clickjacking), описанный в спецификации RFC 7034. Заголовок сообщает браузеру, что загрузка содержимого веб-страницы в элемент <iframe>, который может быть размещен на стороннем сайте, запрещена или ограничена. Это предотвращает возможность скрытого внедрения страниц интерфейса продукта в посторонние ресурсы, что может быть использовано для обмана пользователя и выполнения действий от его имени.
При такой атаке злоумышленник встраивает ваш сайт в <iframe> на поддельной странице, чтобы обмануть пользователя. Например:
- Пользователь думает, что кликает на безобидную кнопку на одном сайте, но на самом деле нажимает на кнопку другого сайта (например, отправляет данные или совершает платеж).
- Сайт может быть скрыт или маскирован, чтобы пользователь не осознавал, что взаимодействует с ним.
При проверке портов KSCL сканер безопасности может обнаружить отсутствие заголовка X-Frame-Options в ответе от сервисов, работающих на портах, которые использует Сервер администрирования.
В таблице ниже приведен статус поддержки механизма X-Frame-Options для различных сервисов на портах KSCL.
| Порт | Поддержка X-Frame-Options |
|---|---|
| 8060 HTTP, 8061 HTTPS | Заголовок X-Frame-Options отсутствует, но уязвимость не применима: порты не используются для аутентификации пользователя и выполнения каких-либо привелигированных действий с KSCL. |
| 8080 HTTPS | Заголовок X-Frame-Options присутствует. |
| Прочие HTTPS-порты | Заголовок X-Frame-Options не требуется: порты не предназначены для работы через браузер. |
Соответствие адресов подключения альтернативным именам адресов в сертификатах
Срабатывания сканеров были обнаружены при проверке соответствия адресов подключения альтернативным именам адресов в сертификатах Kaspersky Security Center. Предупреждение о несоответствии означает, что сертификат, используемый для защиты вашего соединения, выдан не для того веб-сайта, к которому вы пытаетесь получить доступ. Проблема особенно критична для браузерных подключений, поскольку она напрямую влияет на безопасность и доверие между клиентом (браузером) и сервером.
Чтобы устранить предупреждение для портов 8080 HTTPS и 8061 HTTPS, самостоятельно выпустите сертификат от доверенного центра сертификации (CA, УЦ) по инструкции:
Для остальных HTTPS/TLS-портов, используемых для взаимодействия компонентов KSCL между собой и с управляемыми приложениями, это предупреждение обычно не актуально по одной из следующих причин:
- При взаимодействии через API используется проверка расширенного набора атрибутов используемого сертификата, а не только построение цепочки доверия к доверенному корневому сертификату.
- Доверие к узлу строится от доверенного корневого сертификата, и дополнительно проверяется соответствие имени узла значению в поле
Common Nameили альтернативным именамSubject Alternative Namesсертификата.
SSL Self-Signed Certificate
Предупреждение «SSL Self-Signed Certificate» о самоподписанном сертификате SSL означает, что при подключении к веб-сайту или сервису Kaspersky Security Center используется сертификат, созданный не доверенным центром сертификации (CA, УЦ).
При развертывании KSCL по умолчанию все сертификаты являются самоподписанными сертификатами. Чтобы устранить предупреждение для портов 8080 HTTPS и 8061 HTTPS, самостоятельно выпустите сертификат от доверенного центра сертификации (CA, УЦ) по инструкции:
Предупреждение «SSL Self-Signed Certificate» не применимо для HTTPS/TLS-портов, используемых для взаимодействия компонентов KSCL между собой и с управляемыми приложениями.
