home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1994 March / Internet Info CD-ROM (Walnut Creek) (March 1994).iso / security / cops / cover_letter < prev    next >
Encoding:
Text File  |  1991-01-07  |  6.9 KB  |  142 lines
  1.  
  2.  To all women and men of the net, greetings...
  3.  
  4.   Here are the latest changes, additions, and bug fixes to COPS; this brings
  5. it up to version 1.02, for those who care.  My personal stash (the latest
  6. copy) should always be available via anon-ftp at cert.sei.cmu.edu
  7. (128.237.253.5), in ~pub/cops.  In this header, I'll go through some
  8. thoughts, background notes, then finally get to the changes made, so if
  9. you don't want to listen to me, just unpack the shar files, read the README
  10. file, follow instructions, and you should be ready to roll.
  11.  
  12.   For those who don't know, COPS is a static security checking tool that
  13. checks common procedural (non-bug) problems of a Un*x system.  It basically
  14. takes a snapshot of a system, and then generates a report of it's findings.
  15. On a purely empirical basis, it has successfully discovered problems that
  16. could compromise root on over 3/4 or more of the systems I've run it on; of
  17. course, the idea here is not to break root, but to let someone fix the
  18. problems it shows.  Note, of course, that it gives info indiscriminately, to
  19. whoever runs it.  Decide if you do or don't want to learn about the
  20. information it can give about your system, but remember -- someone else
  21. probably already has it.
  22.  
  23.   After writing COPS, I started working for CERT.  I had always suspected,
  24. but didn't know, that most breakins were caused by pretty trivial problems...
  25. now I *know* it's true (or at least the ones we've found out about :-)).
  26. In the breakins I've seen while working for CERT, using COPS probably could
  27. have prevented 60-75% of them.  The most common problems?  Poor passwords,
  28. guest accounts, accounts with no passwords, and improperly managed systems
  29. (+ in host.equiv, poorly set up remote daemons, etc.)  Interestingly, to
  30. me at least, I wrote the original intro to COPS exactly one year ago today.
  31. How times don't change... I was worried this would be fairly obsolete soon,
  32. but it looks like it'll be good at least for another few years.
  33.  
  34.    The kit is broken into modules, each one driven by a master shell script;
  35. you can usually get it running within 30 minutes or so if you've never used
  36. it before (5 or 10 if you only scan the README); if you've used it in the
  37. past, you can set it up on a new machine in a minute or two.  With no
  38. modifications, it takes perhaps 2 to 30 minutes to generate a report;
  39. however, the password cracking program can add lots of time to this,
  40. depending on the options.  There is also a SUID finder, which can also take
  41. a long time (hours) to run, since it does a "find" on "/".  There's a new
  42. option that tells it not to mail a report if the results are the same as
  43. the last report, so you can just stuff it into cron and wait until a report
  44. comes around.  Of course, if someone breaks in, changes cron, and you just
  45. rely on COPS, then you're f*cked anyway.  Use it as a tool, not as a crutch.
  46.  
  47.    Ok, changes... there are a couple of totally new modules here.  One is
  48. simply labled "misc.chk"; this checks for a potpourri of things -- right
  49. now it checks for unrestricted tftp, uuencode & decode problems (including
  50. the "decode" alias) writability of things in /etc/inetd.conf|/etc/services,
  51. and to see if rexd is enabled.  The second is a CRC generator, called,
  52. amazingly enough, "crc.chk" (Jon Zeef was kind enough to let me use his
  53. version).  It's similar to the SUID trouble finder, in that you run it once,
  54. create a database, then compare future runs against that standard.  It
  55. reports any changes that are found.  There are some problems with this -- 
  56. nothing is functionally wrong with the program, as far as I know, but there
  57. are a few operational hazards -- for more information, read the README file,
  58. and the man page.
  59.  
  60.    Now the rest... I'll try to put the more important things at the top,
  61. but perceptions vary, of course.  Here are the major changes I can remember:
  62.  
  63. -- a newer, faster, better, more powerful version of kuang, in perl, is
  64.    included.
  65.  
  66. -- an anonymous ftp setup checker (ftp.chk -a)
  67.  
  68. -- the SUID finding program now also flags any world writable SUID files and
  69.    SUID shell scripts.
  70.  
  71. -- you can optionally check only passwords that have changed since the last
  72.    time they were checked (pass_diff.chk.)
  73.  
  74. -- optionally, cops will mail you a report only if things have changed since
  75.    last report.
  76.  
  77. -- the password cruncher can chew on arbitrary password files now, plus some
  78.    bugs fixed.  Interesting how this program, the main one I didn't write/port,
  79.    generates more little bugs than all the others... the original program
  80.    worked fine (written by Craig Leres and Jef Poskanzer), but the more
  81.    features that were added by different people over the years, the more
  82.    things broke.  I should have just included my perl version instead.
  83.  
  84. -- checks made for world writable files now looks at the parent directory
  85.    structure of a path, instead of just the file.
  86.  
  87. -- New, optional directory structure (for multiple machine/binary sites) for
  88.    the entire system.  Reports are now saved in a file with the name
  89.    "year_month_day", and by default, are saved in a directory with the
  90.    same name as the host.  Looks something like:
  91.  
  92.    $SECURE/cops
  93.                | -- docs
  94.                | -- src
  95.                |--- archtype1 binaries (sun, or whatever)
  96.                |             |
  97.                |             | - results for sun workstation 1
  98.                |             | - results for sun workstation 2
  99.                |       
  100.                |--- archtype2 binaries(dec)
  101.                |             |
  102.                |             | - results for dec workstation 1
  103.                |             | - results for dec workstation 2
  104.                |            
  105.                |--- archtype3 binaries(vax)
  106.                              |
  107.                              | - results for vax 1
  108.                              | - results for vax 2
  109.  
  110.    You run "cops archtype", and it would cd into the binary directory,
  111.    use those binaries, and put any results in a subdirectory of the
  112.    appropriate host name.  Results would be stored with a date as the title,
  113.    not some stupid number.  Alternately, you can just run "cops", and it will
  114.    take your hostname as a directory to store the results.  More in the
  115.    README file, under "How to Configure/Install COPS".
  116.  
  117. -- user.chk checks .logout and .rhosts files (was .rhost) now, too, as well
  118.    as reporting if any .netrc files are readable.
  119.  
  120. -- file.chk and dir.chk have been replaced by is_able.chk, which performs
  121.    the same function, with hopefully more flexibility and ease of use.
  122.  
  123. -- scripts now start with a ":" on line 1 instead of #!/bin/sh, since it
  124.    didn't work on some stupid machines.
  125.  
  126.  
  127.    The easiest thing to do is unpack everything, scan the README file,
  128. change whatever it tells you, run "reconfig", if you have a sysV based machine,
  129. or are just suspicious of your system, then blast off.  Finally, to steal an
  130. ending from the README file of a year ago...
  131.  
  132.   "So good luck, and I hope you find COPS useful as we plunge into UNIX
  133. of the 1990's.
  134.  
  135.    dan farmer
  136.    January 31, 1989"
  137.  
  138.  
  139.  -- dan
  140.    jan 31, 1990
  141.  
  142.