Oracle Solaris 11 安全缺省设置

安装后，Oracle Solaris 可防止系统被入侵并可监视登录尝试，同时还提供其他安全功能。

系统访问受限制和监视

初始用户帐户和 root 角色帐户－初始用户帐户可以从控制台登录。为该帐户指定了 root 角色。这两个帐户的口令最初是相同的。

• 登录后，初始用户可承担 root 角色对系统进行进一步配置。承担角色后，系统将提示用户更改 root 口令。请注意，没有角色可以直接登录，包括 root 角色。

• 在 /etc/security/policy.conf 文件中为初始用户指定了缺省设置。缺省设置包括 "Basic Solaris User"（基本 Solaris 用户）权限配置文件和 "Console User"（控制台用户）权限配置文件。通过这些权限配置文件，用户可以读取和写入 CD 或 DVD，在没有特权的系统上运行任何命令，并在控制台中停止和重新启动系统。

• 还为初始用户帐户指定了 "System Administrator"（系统管理员）权限配置文件。因此，在不承担 root 角色的情况下，初始用户具有一些管理权限，如安装软件和管理命名服务的权限。

口令要求－用户口令长度必须至少为六个字符，且至少包含一个字母字符和一个数字字符。口令通过 SHA256 算法进行散列处理。更改口令时，所有用户（包括 root 角色）必须遵守这些口令要求。

受限网络访问－安装后，可保护系统免受网络入侵。允许初始用户通过使用 ssh 协议的已验证加密连接进行远程登录。这是唯一一个接受传入包的网络协议。ssh 密钥通过 AES128 算法进行包装。进行加密和验证后，用户访问系统时不会遭到拦截、修改或欺骗。

记录的登录尝试－为所有 login/logout 事件（登录、注销、切换用户、启动和停止 ssh 会话以及屏幕锁定）和所有无归属（失败）登录启用审计服务。由于 root 角色无法登录，因此可在审计迹中跟踪充当 root 的用户的名称。初始用户可根据通过 "System Administrator"（系统管理员）权限配置文件授予的权限查看审计日志。

内核、文件和桌面保护已就位

初始用户登录后，内核、文件系统和桌面应用程序受最小特权、权限和基于角色的访问控制 (role-based access control, RBAC) 保护。

内核保护－对于许多守护进程和管理命令，只为它们指定了使它们能够成功执行所必需的特权。许多守护进程通过没有 root (UID=0) 特权的特殊管理帐户运行，因此它们不会被劫持转而执行其他任务。这些特殊管理帐户无法登录。设备受特权保护。

文件系统－缺省情况下，所有文件系统均为 ZFS 文件系统。用户的 umask 是 022，因此当某个用户创建新文件或目录时，仅允许该用户对其进行修改。允许用户组的成员读取和搜索目录以及读取文件。用户组之外的登录可列出目录并读取文件。目录权限为 drwxr-xr-x (755)。文件权限为 -rw-r--r-- (644)。

桌面 applet－桌面 applet 受 RBAC 保护。例如，只有初始用户或 root 角色可以使用软件包管理器 applet 安装新软件包。对于没有为其指定使用软件包管理器权限的一般用户，不显示软件包管理器。

其他安全功能已工作

Oracle Solaris 11 提供了可用于配置系统和用户以满足站点安全要求的安全功能。

• 基于角色的访问控制 (role-based access control, RBAC)－Oracle Solaris 提供了大量授权、特权和权限配置文件。root 是唯一定义的角色。权限配置文件为您创建的角色提供了良好的基础。此外，一些管理命令需要 RBAC 授权才能成功执行。没有授权的用户无法运行命令，即使这些用户具有所需的特权。

• 用户权限－在 /etc/security/policy.conf 文件中为用户指定了基本特权集、权限配置文件和授权，就如同系统访问受限制和监视中介绍的初始用户一样。用户登录尝试不受限制，但审计服务会记录所有失败的登录。

• 系统文件保护－系统文件受文件权限保护。只有 root 角色可以修改系统配置文件。