JavaScript is required to for searching.
Ignorer les liens de navigation
Quitter l'aperu
Directives de sécurité d'Oracle Solaris 11     Oracle Solaris 11 Information Library (Fran├žais)
search filter icon
search icon

Informations document

Préface

1.  Présentation de la sécurité d'Oracle Solaris 11

2.  Configuration de la sécurité d'Oracle Solaris 11

Installation du SE Oracle Solaris

Sécurisation du système

Vérification des packages

Désactivation des services non utilisés

Désactivation de la possibilité pour les utilisateurs de gérer l'alimentation

Placement d'un message de sécurité dans les fichiers bannière

Placement d'un message de sécurité dans l'écran de connexion au bureau

Sécurisation des utilisateurs

Définition de contraintes de mot de passe renforcées

Activation du verrouillage de compte pour les utilisateurs standard

Définition d'une valeur umask plus restrictive pour les utilisateurs standard

Réalisation d'un audit des événements importants en plus de la connexion/déconnexion

Surveillance en temps réel des événements lo

Suppression de privilèges de base non utilisés des utilisateurs

Sécurisation du noyau

Configuration du réseau

Afficher des messages de sécurité aux utilisateurs ssh et ftp

Désactivation du démon de routage réseau

Désactivation du transfert de paquets de diffusion

Désactivation des réponses aux demandes d'écho

Définition du multiréseau strict

Définition du nombre maximal de connexions TCP incomplètes

Définition du nombre maximal de connexions TCP en attente

Spécification d'un numéro aléatoire fort pour la connexion TCP initiale

Restauration des valeurs sécurisées de paramètres réseau

Protection des systèmes de fichiers et des fichiers

Protection et modification de fichiers

Sécurisation des applications et des services

Création de zones contenant les applications essentielles

Gestion des ressources dans les zones

Configuration d'IPsec et d'IKE

Configuration d'IP Filter

Configuration de Kerberos

Ajout de SMF à un service hérité

Création d'un instantané BART du système

Ajout d'une sécurité (étiquetée) multiniveau

Configuration de Trusted Extensions

Configuration d'IPsec avec étiquettes

3.  Surveillance et maintenance de la sécurité d'Oracle Solaris 11

A.  Bibliographie relative à la sécurité d'Oracle Solaris

Sécurisation des utilisateurs

A ce stade, seul l'utilisateur initial qui peut assumer le rôle root a accès au système. Il est conseillé d'effectuer les tâches suivantes dans l'ordre avant que les utilisateurs standard ne puissent se connecter.

Tâche
Description
Voir
Exigence de mots de passe forts et de la modification fréquente des mots de passe.
Renforce les contraintes de mot de passe par défaut sur chaque système.
Configuration d'autorisations de fichier restrictives pour les utilisateurs standard.
Définit une valeur plus restrictive que 022 pour les autorisations de fichier concernant les utilisateurs standard.
Activation du verrouillage de compte pour les utilisateurs standard.
Sur les systèmes qui ne sont pas utilisés pour l'administration, active le verrouillage de compte à l'échelle du système et réduit le nombre de connexions activant le verrouillage.
Présélection de classes d'audit supplémentaires.
Améliore le contrôle et l'enregistrement des menaces potentielles à l'égard du système.
Envoi de récapitulatifs textuels des événements d'audit vers l'utilitaire syslog.
Fournit des informations en temps réel sur les événements d'audit importants, tels que les connexions et les tentatives de connexion.
Création de rôles.
Répartit des tâches d'administration distinctes parmi plusieurs utilisateurs de confiance afin qu'aucun utilisateur isolé ne puisse endommager le système.
Affichage des applications autorisées seules sur le bureau d'un utilisateur.
Empêche les utilisateurs de voir ou d'utiliser des applications qu'ils ne sont pas autorisés à utiliser.
Limitation des privilèges des utilisateurs.
Supprime des privilèges de base dont les utilisateurs n'ont pas besoin.

Définition de contraintes de mot de passe renforcées

Cette procédure permet de modifier les valeurs par défaut si elles ne satisfont pas aux exigences de sécurité du site. Les étapes suivent la liste des entrées du fichier /etc/default/passwd.

Avant de commencer

Avant de modifier les valeurs par défaut, assurez-vous que les modifications permettent à tous les utilisateurs de s'authentifier auprès de leurs applications et sur d'autres systèmes du réseau.

Vous devez être dans le rôle root.

Voir aussi

Activation du verrouillage de compte pour les utilisateurs standard

Cette procédure permet de verrouiller des comptes d'utilisateurs standard après un certain nombre d'échecs de tentatives de connexion.


Remarque - N'activez pas le verrouillage de compte pour les utilisateurs qui peuvent prendre des rôles car vous pouvez verrouiller le rôle.


Avant de commencer

Vous devez être dans le rôle root. Ne définissez pas cette protection à l'échelle du système sur un système que vous utilisez pour des activités d'administration.

  1. Définissez l'attribut LOCK_AFTER_RETRIES sur OUI.
    • Effectuez l'activation à l'échelle du système.
      # vi /etc/security/policy.conf
      ...
      #LOCK_AFTER_RETRIES=NO
      LOCK_AFTER_RETRIES=YES
      ...
    • Effectuez l'activation pour un utilisateur.
      # usermod -K lock_after_retries=yes username
  2. Définissez l'attribut de sécurité RETRIES sur 3 .
    # vi /etc/default/login
    ...
    #RETRIES=5
    RETRIES=3
    ...

Voir aussi

Définition d'une valeur umask plus restrictive pour les utilisateurs standard

Si la valeur umask par défaut, 022, n'est pas assez restrictive, la procédure décrite ici permet de définir un masque plus restrictif à l'aide de la procédure décrite ici.

Avant de commencer

Vous devez être dans le rôle root.

Voir aussi

Pour plus d'informations, reportez-vous aux références suivantes :

Réalisation d'un audit des événements importants en plus de la connexion/déconnexion

Cette procédure permet d'effectuer un audit des commandes d'administration, des tentatives de pénétration du système et d'autres événements importants spécifiés dans la stratégie de sécurité du site.


Remarque - Les exemples présentés dans cette procédure peuvent ne pas être suffisants pour satisfaire la stratégie de sécurité de votre entreprise.


Avant de commencer

Vous devez être dans le rôle root. Vous mettez en oeuvre la stratégie de sécurité de votre site en matière d'audit.

  1. Réalisation d'un audit de toutes les utilisations de commandes privilégiées faites par des utilisateurs et des rôles.

    Ajoutez l'événement d'audit AUE_PFEXEC au masque de présélection de tous les utilisateurs et rôles.

    # usermod -K audit_flags=lo,ps:no username
    # rolemod -K audit_flags=lo,ps:no rolename
  2. Enregistrement des arguments saisis pour les commandes auditées.
    # auditconfig -setpolicy +argv
  3. Enregistrement de l'environnement dans lequel les commandes ayant fait l'objet d'un audit sont exécutées.
    # auditconfig -setpolicy +arge

Voir aussi

Surveillance en temps réel des événements lo

Cette procédure permet d'activer le plug-in audit_syslog pour les événements que vous souhaitez surveiller au moment même où ils se produisent.

Avant de commencer

Vous devez être dans le rôle root pour modifier le fichier syslog.conf. D'autres étapes nécessitent le profil de droits Audit Configuration (Configuration d'audit).

  1. Envoyez la classe lo vers le plug-in audit_syslog et activez le plug-in.
    # auditconfig -setplugin audit_syslog active p_flags=lo
  2. Ajoutez une entrée audit.notice au fichier syslog.conf.

    L'entrée par défaut inclut l'emplacement du fichier journal.

    # cat /etc/syslog.conf
    …
    audit.notice       /var/adm/auditlog
  3. Créez le fichier journal.
    # touch /var/adm/auditlog
  4. Actualisez les informations de configuration du service syslog.
    # svcadm refresh system/system-log
  5. Actualisez le service d'audit.

    Le service d'audit lit les modifications apportées au plug-in d'audit lors de l'actualisation.

    # audit -s

Voir aussi

Suppression de privilèges de base non utilisés des utilisateurs

Dans certaines circonstances, il est possible de supprimer un ou plusieurs des trois privilèges suivants faisant partie de l'ensemble des privilèges de base des utilisateurs standard.

Avant de commencer

Vous devez être dans le rôle root.

  1. Empêcher un utilisateur de créer un lien vers un fichier dont l'utilisateur n'est pas propriétaire.
    # usermod -K defaultpriv=basic,!file_link_any user
  2. Empêcher un utilisateur d'examiner des processus dont il n'est pas propriétaire.
    # usermod -K defaultpriv=basic,!proc_info user
  3. Empêcher un utilisateur de démarrer une seconde session telle qu'une session ssh par exemple à partir de la session en cours.
    # usermod -K defaultpriv=basic,!proc_session user
  4. Supprimer les trois privilèges de l'ensemble de privilèges de base d'un utilisateur.
    # usermod -K defaultpriv=basic,!file_link_any,!proc_info,!proc_session user

Voir aussi

Pour plus d'informations, reportez-vous au Chapitre 8, Utilisation des rôles et des privilèges (présentation) du manuel Administration d’Oracle Solaris : services de sécurité et à la page de manuel privileges(5).