Oracle Solaris 11 安全性技術

Oracle Solaris 的安全性功能可以設定成實作您網站的安全性策略。

下列各節提供 Oracle Solaris 安全性功能的簡介。此描述包含更詳細的說明參考資料，以及本指南和示範這些功能之其他 Oracle Solaris 系統管理指南的程序參考資料。

稽核服務

稽核是收集關於系統資源使用情形的資料。稽核資料可提供安全性相關之系統事件的記錄。此資料可接著用來為系統上發生的動作指派職責。

稽核是安全性評估、驗證及憑證主體的基本需求。稽核也有助於遏止潛在的侵入者。

如需更多資訊，請參閱：

• 如需稽核相關線上手冊的清單，請參閱「Oracle Solaris Administration: Security Services」中的第 29 章「Auditing (Reference)」。

• 如需指導方針，請參閱稽核登入/登出以外的重大事件和線上手冊。

• 如需稽核的簡介，請參閱「Oracle Solaris Administration: Security Services」中的第 26 章「Auditing (Overview)」。

• 如需稽核作業的資訊，請參閱「Oracle Solaris Administration: Security Services」中的第 28 章「Managing Auditing (Tasks)」。

基本稽核報表工具

Oracle Solaris 的基本稽核報表工具 (BART) 功能可對系統執行長期的檔案層級檢查，讓您可以全面地驗證系統。透過建立 BART 清單，您可以輕鬆可靠地收集安裝在部署系統上之軟體堆疊的元件相關資訊。

BART 是管理系統或系統網路之完整性的實用工具。

如需更多資訊，請參閱：

• 選取的線上手冊包含「bart(1M) 線上手冊」、「bart_rules(4) 線上手冊」以及「bart_manifest(4) 線上手冊」。

• 如需指導方針，請參閱建立系統 BART 快照、使用基本稽核報告工具及線上手冊。

• 如需 BART 的簡介，請參閱「Oracle Solaris Administration: Security Services」中的第 6 章「Verifying File Integrity by Using BART」。

• 如需使用 BART 的範例，請參閱「Oracle Solaris Administration: Security Services」中的「Using BART (Tasks)」和線上手冊。

加密服務

Oracle Solaris 的加密架構功能和 Oracle Solaris 的金鑰管理架構 (KMF) 功能，為加密服務與金鑰管理提供中央儲存庫。硬體、軟體及一般使用者可以無縫存取最佳化演算法。各種公開金鑰基礎架構 (PKI) 不同的儲存機制、管理公用程式及程式設計介面在採用 KMF 介面時，可使用整合的介面。

加密架構透過個別的指令、使用者層級的程式設計介面、核心程式設計介面，以及使用者層級和核心層級的架構，為使用者和應用程式提供加密服務。加密架構會為應用程式提供這些加密服務，並以無縫的方式為一般使用者提供核心模組。加密架構也會為一般使用者提供直接的加密服務，例如檔案的加密和解密。

KMF 為集中管理公開金鑰物件 (例如 X.509 憑證和公開/私密金鑰對) 提供工具與程式設計介面。儲存這些物件的格式可能會不同。KMF 也提供管理策略的工具，以定義應用程式使用 X.509 憑證的方式。KMF 支援協力廠商外掛程式。

如需更多資訊，請參閱：

• 選取的線上手冊包含「cryptoadm(1M) 線上手冊」、「encrypt(1) 線上手冊」、「mac(1) 線上手冊」、「pktool(1) 線上手冊」以及「kmfcfg(1) 線上手冊」。

• 如需加密服務的簡介，請參閱「Oracle Solaris Administration: Security Services」中的第 11 章「Cryptographic Framework (Overview)」以及「Oracle Solaris Administration: Security Services」中的第 13 章「Key Management Framework」。

• 如需使用加密架構的範例，請參閱「Oracle Solaris Administration: Security Services」中的第 12 章「Cryptographic Framework (Tasks)」和線上手冊。

檔案權限和存取控制項目

檔案系統中用來保護物件的防禦第一線，是指派給每個檔案系統物件的預設 UNIX 權限。UNIX 權限支援將唯一存取權指派給物件的擁有者、已指派給物件的群組以及其他的任何人。此外，ZFS 也支援存取控制清單 (ACL) (亦稱為存取控制項目 (ACE))，可以更精細地控制檔案系統物件之個人和群組的存取。

如需更多資訊，請參閱：

• 如需對 ZFS 檔案設定 ACL 的說明，請參閱「chmod(1) 線上手冊」。

• 如需檔案權限的簡介，請參閱「Oracle Solaris Administration: Security Services」中的「Using UNIX Permissions to Protect Files」。

• 如需保護 ZFS 檔案的簡介和範例，請參閱「Oracle Solaris Administration: ZFS File Systems」中的第 8 章「Using ACLs and Attributes to Protect Oracle Solaris ZFS Files」和線上手冊。

封包篩選

封包篩選可針對網路攻擊提供基本的保護。Oracle Solaris 包含 IP 篩選器功能和 TCP 包裝程式。

IP 篩選器

Oracle Solaris 的 IP 篩選器功能會建立防火牆以避開網路攻擊。

更具體而言，IP 篩選器可以提供有狀態的封包篩選功能，並可依據 IP 位址或網路、連接埠、通訊協定、網路介面及流量方向來篩選封包。IP 篩選也含有無狀態的封包篩選功能，以及建立與管理位址集區的能力。此外，IP 篩選器也具備執行網路位址轉譯 (NAT) 和連接埠位址轉譯 (PAT) 的能力。

如需更多資訊，請參閱：

• 選取的線上手冊包含「ipfilter(5) 線上手冊」、「ipf(1M) 線上手冊」、「ipnat(1M) 線上手冊」、「svc.ipfd(1M) 線上手冊」以及「ipf(4) 線上手冊」。

• 如需 IP 篩選器的簡介，請參閱「Oracle Solaris Administration: IP Services」中的第 20 章「IP Filter in Oracle Solaris (Overview)」。

• 如需使用 IP 篩選器的範例，請參閱「Oracle Solaris Administration: IP Services」中的第 21 章「IP Filter (Tasks)」和線上手冊。

• 如需 IP 篩選器策略語言之語法的資訊和範例，請參閱「ipnat(4) 線上手冊」。

TCP 包裝程式

TCP 包裝程式會檢查從 ACL 要求特定網路服務的主機位址，以提供進行存取控制的方式。接著會接受或拒絕要求。TCP 包裝程式也會記錄網路服務的主機要求，這是很實用的監視功能。Secure Shell 和 Oracle Solaris 的 sendmail 功能會設為使用 TCP 包裝程式。可以設定存取控制的網路服務包含 ftpd 和 rpcbind。

TCP 包裝程式支援豐富的配置策略語言，不僅可讓組織指定全域的安全性策略，還可指定以每個服務為基礎的安全性策略。還可依據主機名稱、IPv4 或 IPv6 位址、網路群組名稱、網路甚至是 DNS 網域，來允許或限制對服務的進一步存取。

如需更多資訊，請參閱：

• 如需 TCP 包裝程式的資訊，請參閱「Oracle Solaris Administration: IP Services」中的「How to Use TCP Wrappers to Control Access to TCP Services」。

• 如需 TCP 包裝程式之存取控制語言的語法資訊和範例，請參閱「hosts_access(4) 線上手冊」。

密碼和密碼限制

增強式使用者密碼有助於防禦和暴力密碼破解相關的攻擊。

Oracle Solaris 有數種可用於設定增強式使用者密碼的功能。您可以設定密碼長度、內容、變更頻率及修改需求，以及保存密碼歷程。系統會提供應避免之密碼的密碼字典。並提供數種可使用的密碼演算法。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Security Services」中的「Maintaining Login Control」

• 「Oracle Solaris Administration: Security Services」中的「Securing Logins and Passwords (Tasks)」

• 選取的線上手冊包含「passwd(1) 線上手冊」和「crypt.conf(4) 線上手冊」。

可插接式驗證模組

可插接式驗證模組 (PAM) 架構可以讓您為帳戶、認證、階段作業及密碼，協調和設定使用者認證需求。

PAM 架構可讓組織自訂使用者認證體驗，以及帳戶、階段作業和密碼管理功能。系統進入服務 (例如 login 和 ftp) 會使用 PAM 架構以確保系統的所有進入點均已受保護。此架構可取代或修改領域中的認證模組，不需變更使用 PAM 架構的任何系統服務，即可保護系統不受新發現之弱點的影響。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Security Services」中的第 14 章「Using PAM」

• 「pam.conf(4) 線上手冊」

Oracle Solaris 中的特權

特權是在核心中對程序強制的細部、特定權限。Oracle Solaris 定義了 80 種以上的特權，範圍涵蓋從基本特權 (像是 file_read) 到更具體的特權 (像是 proc_clock_highres)。特權可授與指令、使用者、角色或系統。許多 Oracle Solaris 指令和常駐程式只會使用執行其作業所需的特權來執行。特權的使用也稱為程序權限管理。

特權感知的程式可防止侵入者取得超過程式本身所用的特權。此外，特權也可讓組織限制要將哪些特權授與在其系統上執行的服務和程序。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Security Services」中的「Privileges (Overview)」

• 「Oracle Solaris Administration: Security Services」中的「Using Privileges (Tasks)」

• 「Developer’s Guide to Oracle Solaris 11 Security」中的第 2 章「Developing Privileged Applications」

• 選取的線上手冊包含「ppriv(1) 線上手冊」和「privileges(5) 線上手冊」。

遠端存取

遠端存取攻擊可能會損害系統和網路。保護網路存取在現今的網際網路環境中是必要的，甚至在 WAN 和 LAN 環境中也很有用。

IPsec 和 IKE

IP 安全性 (IPsec) 會透過認證封包、加密封包或同時執行兩者以保護 IP 封包。Oracle Solaris 支援 IPv4 和 IPv6 的 IPsec。由於 IPsec 是在應用程式層底下實作，因此網際網路應用程式不需修改其程式碼即可使用 IPsec。

IPsec 和其金鑰交換通訊協定 (IKE) 會使用加密架構中的演算法。此外，加密架構還為使用 metaslot 的應用程式，提供了 softtoken 金鑰庫。當 IKE 設為使用 metaslot 時，組織可以選擇將金鑰儲存在磁碟、連接的硬體金鑰庫或 softtoken 金鑰庫中。

如果正確地管理，IPsec 會是保護網路流量的有效工具。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: IP Services」中的第 14 章「IP Security Architecture (Overview)」

• 「Oracle Solaris Administration: IP Services」中的第 15 章「Configuring IPsec (Tasks)」

• 「Oracle Solaris Administration: IP Services」中的第 17 章「Internet Key Exchange (Overview)」

• 「Oracle Solaris Administration: IP Services」中的第 18 章「Configuring IKE (Tasks)」

• 選取的線上手冊包含「ipsecconf(1M) 線上手冊」和「in.iked(1M) 線上手冊」。

Secure Shell

Oracle Solaris 的 Secure Shell 功能可讓使用者或服務透過加密的通訊通道，在遠端系統之間存取或傳輸檔案。在 Secure Shell 中，會加密所有網路流量。Secure Shell 也可做為依需求指定的虛擬私有網路 (VPN)，其可轉送 X Window 系統流量，或可經由認證和加密的網路連結，來連線本機系統和遠端系統之間的個別連接埠號碼。

因此，Secure Shell 可防止可能的侵入者讀取遭到攔截的通訊，並能防止惡意使用者詐騙系統。依照預設，Secure Shell 是新安裝的系統上唯一使用中的遠端存取機制。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Security Services」中的第 15 章「Using Secure Shell」

• 選取的線上手冊包含「ssh(1) 線上手冊」、「sshd(1M) 線上手冊」、「sshd_config(4) 線上手冊」以及「ssh_config(4) 線上手冊」。

Kerberos 服務

Oracle Solaris 的 Kerberos 功能可啟用單一登入和安全作業事件，即使是經由執行 Kerberos 服務的異質網路也一樣。

Kerberos 是以在麻省理工學院 (MIT) 開發的 Kerberos V5 網路認證通訊協定為基礎。Kerberos 服務採用主從式架構，可以保障作業事件在網路上的安全。此服務提供增強式使用者認證，以及整合性和私密性。使用 Kerberos 服務時，只要登入一次，您就能存取其他系統、執行指令、交換資料以及安全地傳輸檔案。此外，管理員也可以使用此服務來限制對服務和系統的存取。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Security Services」中的第 VI部分「Kerberos Service」

• 選取的線上手冊包含「kerberos(5) 線上手冊」和「kinit(1) 線上手冊」。

以角色為基礎的存取控制

RBAC 可讓組織選擇性地授與使用者或角色管理權限 (依據他們獨特的需要和需求)，以套用最低權限的安全性原則。

Oracle Solaris 以角色為基礎的存取控制 (RBAC) 功能可控制使用者對一般限 root 角色存取之作業的存取。藉由套用安全性屬性到程序和使用者，RBAC 可在數個管理員之間散發管理權限。RBAC 也稱為使用者權限管理。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Security Services」中的第 III部分「Roles, Rights Profiles, and Privileges」

• 選取的線上手冊包含「rbac(5) 線上手冊」、「roleadd(1M) 線上手冊」、「profiles(1) 線上手冊」以及「user_attr(4) 線上手冊」。

服務管理功能

Oracle Solaris 的服務管理設備 (SMF) 功能是用來新增、移除、設定和管理服務。SMF 會使用 RBAC 來控制系統上服務管理功能的存取。特別是 SMF 會使用授權來決定誰可以管理服務，以及該人員可以執行的功能。

SMF 可讓組織控制對服務的存取，以及控制如何啟動、停止和重新整理那些服務。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Common Tasks」中的第 6 章「Managing Services (Overview)」

• 「Oracle Solaris Administration: Common Tasks」中的第 7 章「Managing Services (Tasks)」

• 選取的線上手冊包含「svcadm(1M) 線上手冊」、「svcs(1) 線上手冊」以及「smf(5) 線上手冊」。

Oracle Solaris ZFS 檔案系統

ZFS 是 Oracle Solaris 11 預設的檔案系統。ZFS 檔案系統基本上變更了管理 Oracle Solaris 檔案系統的方式。ZFS 是牢固、可擴充且易於管理的系統。由於在 ZFS 中建立檔案系統是非常簡易的，您可以輕鬆建立配額和保留的空間。UNIX 權限和 ACE 會保護檔案，而 RBAC 則支援 ZFS 資料集的委任管理。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: ZFS File Systems」中的第 1 章「Oracle Solaris ZFS File System (Introduction)」

• 「Oracle Solaris Administration: ZFS File Systems」中的第 3 章「Oracle Solaris ZFS and Traditional File System Differences」

• 「Oracle Solaris Administration: ZFS File Systems」中的第 6 章「Managing Oracle Solaris ZFS File Systems」

• 選取的線上手冊包含「zfs(1M) 線上手冊」和「zfs(7FS) 線上手冊」。

Oracle Solaris Zones

Oracle Solaris Zones 軟體分割技術可讓您維護每個伺服器一個應用程式的部署模型，同時共用硬體資源。

Zones 是虛擬的作業環境，可讓多個應用程式在相同的實體硬體上以隔離的方式個別執行。此隔離技術可避免監視一個區域中執行的程序或影響在其他區域執行的程序、檢視彼此的資料，或是操控基礎的硬體。Zones 也可提供抽象層，以分隔應用程式和部署應用程式之系統的實體屬性，例如實體裝置路徑和網路介面名稱。

如需更多資訊，請參閱：

• 「Oracle Solaris Administration: Oracle Solaris Zones, Oracle Solaris 10 Zones, and Resource Management」中的第 II部分「Oracle Solaris Zones」

• 選取的線上手冊包含「brands(5) 線上手冊」、「zoneadm(1M) 線上手冊」以及「zonecfg(1M) 線上手冊」。

Trusted Extensions

Oracle Solaris 的 Trusted Extensions 功能是選擇性啟用的安全標籤技術層，可以分隔資料安全策略和資料所有權。Trusted Extensions 支援以所有權為基礎的傳統任意存取控制 (DAC) 策略，以及以標籤為基礎的必要存取控制 (MAC) 策略。除非啟用 Trusted Extensions 層，否則所有標籤都是相等的，如此核心才不會配置為強制執行 MAC 策略。啟用以標籤為基礎的 MAC 策略時，會比較要求存取的程序 (主體) 和包含資料之物件相關聯的標籤，以限制所有資料流程。與大多數的其他多層級作業系統不同，Trusted Extensions 包含多層級桌面。

Trusted Extensions 符合 Common Criteria Labeled Security Protection Profile (LSPP)、Role-Based Access Protection Profile (RBACPP) 及 Controlled Access Protection Profile (CAPP) 的需求。不過，Trusted Extensions 實作的獨特性在於提供高度保證，同時最大化相容性，且最小化負荷。

如需更多資訊，請參閱：

• 如需配置和維護 Trusted Extensions 的相關資訊，請參閱「Trusted Extensions Configuration and Administration」。

• 如需使用多層級桌面的相關資訊，請參閱「Trusted Extensions User’s Guide」。

• 選取的線上手冊包含「trusted_extensions(5) 線上手冊」和「labeld(1M) 線上手冊」。