| Omitir Vínculos de navegación | |
| Salir de la Vista de impresión | |
|
Directrices de seguridad de Oracle Solaris 11 Oracle Solaris 11.1 Information Library (Español) |
| Omitir Vínculos de navegación | |
| Salir de la Vista de impresión | |
|
|
Directrices de seguridad de Oracle Solaris 11 Oracle Solaris 11.1 Information Library (Español) |
1. Descripción general de seguridad de Oracle Solaris
Protecciones de seguridad de Oracle Solaris
Tecnologías de seguridad de Oracle Solaris
Ejecución aleatoria de la disposición del espacio de direcciones
Permisos de archivo y entradas de control de acceso
Las contraseñas y sus restricciones
Módulo de autenticación conectable
Control de acceso basado en roles
Utilidad de gestión de servicios
Valores predeterminados de seguridad de Oracle Solaris 11
El sistema de acceso está limitado y supervisado
Las protecciones del núcleo, los archivos y el escritorio están en su lugar
Funciones de seguridad adicionales en su lugar
Evaluación de seguridad de Oracle Solaris 11
Práctica y política de seguridad del sitio
2. Configuración de la seguridad de Oracle Solaris
3. Supervisión y mantenimiento de la seguridad de Oracle Solaris
Las funciones de seguridad de Oracle Solaris se pueden configurar para implementar la política de seguridad del sitio.
En las siguientes secciones se proporciona una breve introducción a las funciones de seguridad de Oracle Solaris. Las descripciones incluyen referencias a explicaciones más detalladas y a procedimientos de esta guía y de otras guías de administración del sistema de Oracle Solaris que explican estas funciones.
La ejecución aleatoria de la disposición del espacio de direcciones (ASLR) ejecuta aleatoriamente las direcciones que utiliza un determinado binario. La ASLR puede impedir determinados tipos de ataques que están basados en el conocimiento de la ubicación exacta de determinados intervalos de memoria y puede detectar el intento cuando es probable que detenga el ejecutable. Para obtener más información, consulte Ejecución aleatoria de la disposición del espacio de direcciones de Administración de Oracle Solaris 11.1: servicios de seguridad.
La auditoría es la recopilación de datos sobre el uso de los recursos del sistema. Los datos de auditoría proporcionan un registro de los eventos del sistema relacionados con la seguridad. Estos datos se pueden utilizar para asignar responsabilidad para acciones que ocurren en un sistema.
La auditoría es un requisito básico para la evaluación de la seguridad, la validación y los organismos de certificación. La auditoría también puede servir para disuadir a posibles intrusos.
Para obtener más información, consulte lo siguiente:
Para obtener una lista de páginas del comando man relacionadas con la auditoría, consulte Capítulo 29, Auditoría (referencia) de Administración de Oracle Solaris 11.1: servicios de seguridad.
Para obtener directrices, consulte Cómo auditar eventos importantes además del inicio y el cierre de sesión and the man pages.
Para obtener una descripción general de la auditoría, consulte Capítulo 26, Auditoría (descripción general) de Administración de Oracle Solaris 11.1: servicios de seguridad.
Para conocer tareas de auditoría, consulte Capítulo 28, Gestión de auditoría (tareas) de Administración de Oracle Solaris 11.1: servicios de seguridad.
La herramienta básica de creación de informes de auditoría (BART, Basic Audit Reporting Tool), de Oracle Solaris, permite validar exhaustivamente los sistemas mediante comprobaciones en el nivel de archivo de un sistema a lo largo del tiempo. Mediante la creación de manifiestos de BART, de manera fácil y segura, podrá recopilar información sobre los componentes de la pila de software que esté instalado en los sistemas implementados.
BART es una herramienta útil para la gestión de la integridad en un sistema o en una red de sistemas.
Para obtener más información, consulte lo siguiente:
Las páginas del comando man seleccionadas son: bart(1M), bart_rules(4) y bart_manifest(4).
Para obtener directrices, consulte Creación de una instantánea de BART del sistema, Verificación de la integridad de archivos mediante el uso de BART y las páginas del comando man.
Para obtener una descripción general de BART, consulte el Capítulo 6, Verificación de la integridad de archivos mediante el uso de BART (tareas) de Administración de Oracle Solaris 11.1: servicios de seguridad.
Para obtener ejemplos de uso de BART, consulte Uso de BART (tareas) de Administración de Oracle Solaris 11.1: servicios de seguridad y las páginas del comando man.
Las funciones de estructura criptográfica de Oracle Solaris y de estructura de gestión de claves (KMF) de Oracle Solaris proporcionan repositorios centrales para los servicios criptográficos y la gestión de claves. El hardware, el software y los usuarios finales disponen de un acceso ininterrumpido a algoritmos optimizados. Los distintos mecanismos de almacenamiento, utilidades administrativas e interfaces de programación para varias infraestructuras de clave pública (PKI) pueden utilizar una interfaz unificada cuando incorporan interfaces KMF.
La estructura criptográfica proporciona servicios criptográficos a los usuarios y las aplicaciones por medio de comandos individuales, una interfaz de programación en el nivel de usuario y otra en el núcleo, y marcos en el nivel de usuario y en el núcleo. La estructura criptográfica proporciona estos servicios criptográficos a todas las aplicaciones y los módulos del núcleo de manera ininterrumpida para el usuario final. También brinda servicios criptográficos directos, como el cifrado y el descifrado de archivos, para el usuario final.
KMF proporciona herramientas e interfaces de programación para gestionar de manera centralizada los objetos de clave pública, como certificados X.509 y pares de claves públicas o privadas. Los formatos para almacenar estos objetos pueden variar. KMF también proporciona una herramienta para administrar políticas que definan el uso de certificados X. 509 por parte de las aplicaciones. KMF admite complementos de terceros.
Para obtener más información, consulte lo siguiente:
Las páginas del comando man seleccionadas son: cryptoadm(1M), encrypt(1), mac(1), pktool(1) y kmfcfg(1).
Para obtener una descripción general de los servicios de cifrado, consulte el Capítulo 11, Estructura criptográfica (descripción general) de Administración de Oracle Solaris 11.1: servicios de seguridad y el Capítulo 13, Estructura de gestión de claves de Administración de Oracle Solaris 11.1: servicios de seguridad.
Para obtener ejemplos sobre cómo usar la estructura criptográfica, consulte el Capítulo 12, Estructura criptográfica (tareas) de Administración de Oracle Solaris 11.1: servicios de seguridad y las páginas del comando man.
La primera línea de defensa para proteger los objetos de un sistema de archivos son los permisos UNIX predeterminados que se asignan a cada objeto del sistema de archivos. Los permisos UNIX admiten la asignación de derechos de acceso únicos al propietario del objeto, a un grupo asignado al objeto o a cualquier otra persona. Además, ZFS es compatible con las listas de control de acceso (ACL), también llamadas entradas de control de acceso (ACE), que controlan más detalladamente el acceso a objetos del sistema de archivos individuales o en grupos.
Para obtener más información, consulte lo siguiente:
Para obtener instrucciones sobre la configuración de ACL en archivos ZFS, consulte la página del comando man chmod(1).
Para obtener una descripción general de los permisos de archivo, consulte Uso de permisos UNIX para proteger archivos de Administración de Oracle Solaris 11.1: servicios de seguridad.
Para obtener una descripción general y ejemplos de la protección de archivos ZFS, consulte el Capítulo 7, Uso de listas de control de acceso y atributos para proteger archivos Oracle Solaris ZFS de Administración de Oracle Solaris 11.1: sistemas de archivos ZFS y las páginas del comando man.
Los filtros de paquetes ofrecen protección básica contra ataques de la red. Oracle Solaris incluye la función de filtro IP y los envoltorios TCP.
La función de filtro IP de Oracle Solaris crea un cortafuegos para impedir ataques basados en la red.
En concreto, el filtro IP proporciona capacidades de filtrado de paquetes con estado y puede filtrar paquetes por red o dirección IP, por puerto, por protocolo, por interfaz de red y por dirección de tráfico. También realiza el filtrado de paquetes sin estado y tiene la capacidad de crear y administrar agrupaciones de direcciones. Además, el filtro IP también tiene la capacidad para realizar la traducción de direcciones de red (NAT) y la traducción de direcciones de puerto (PAT).
Para obtener más información, consulte lo siguiente:
Las páginas del comando man seleccionadas son: ipfilter(5), ipf(1M), ipnat(1M), svc.ipfd(1M) y ipf(4).
Para obtener una descripción general del filtro IP, consulte el Capítulo 4, Filtro IP en Oracle Solaris (descripción general) de Protección de la red en Oracle Solaris 11.1.
Para obtener ejemplos de uso del filtro IP, consulte el Capítulo 5, Filtro IP (tareas) de Protección de la red en Oracle Solaris 11.1 y las páginas del comando man.
Para obtener información y ejemplos sobre la sintaxis del lenguaje de la política del filtro de IP, consulte la página del comando man ipnat(4).
Los envoltorios TCP proporcionan un modo de implementar controles de acceso mediante la comprobación de que la dirección del host que solicita un servicio de red concreto aparezca en una ACL. Las solicitudes se otorgan o se rechazan según corresponda. Los envoltorios TCP también registran solicitudes de servicios de red por parte de los hosts porque son una función de supervisión muy útil. Las funciones Secure Shell y sendmail de Oracle Solaris están configuradas para utilizar los envoltorios TCP. Entre los servicios de red que se podrían colocar en control de acceso se incluyen proftpd y rpcbind.
Los envoltorios TCP admiten un lenguaje de política de configuración muy rico, que permite a las organizaciones especificar una política de seguridad no sólo de manera global sino también por servicio. Se puede admitir o restringir un acceso más amplio a los servicios en función del nombre de host, la dirección IPv4 o IPv6, el nombre del grupo de red, la red, e, incluso, el dominio de DNS.
Para obtener más información, consulte lo siguiente:
Para obtener información sobre los envoltorios TCP, consulte Cómo utilizar los envoltorios TCP para controlar el acceso a los servicios TCP de Configuración y administración de redes Oracle Solaris 11.1.
Para obtener información y ejemplos de la sintaxis del lenguaje de control de acceso para los envoltorios TCP, consulte la página del comando man hosts_access(4).
Las contraseñas de usuario seguras son una defensa contra ataques de adivinación por fuerza bruta.
Oracle Solaris tiene una cantidad de funciones que se pueden usar para promover las contraseñas de usuario seguras. Se puede establecer la longitud, el contenido, la frecuencia de cambio y los requisitos de modificación de las contraseñas, y también se puede llevar un historial de las contraseñas. Se proporciona un diccionario que contiene las contraseñas que deben evitarse. Hay varios algoritmos de contraseña posibles.
Para obtener más información, consulte lo siguiente:
Las páginas del comando man seleccionadas son: passwd(1) y crypt.conf(4)
El módulo de autenticación conectable (PAM, Pluggable Authentication Module) es una estructura que permite coordinar y configurar los requisitos de autenticación de usuario para las cuentas, las credenciales, las sesiones y las contraseñas.
La estructura PAM permite a las organizaciones personalizar la experiencia de autenticación del usuario y la función de administración de contraseñas, sesiones y cuentas. Los servicios de entrada del sistema, como login y ftp utilizan la estructura PAM a fin de garantizar que todos los puntos de entrada del sistema estén protegidos. Esta arquitectura permite la sustitución o modificación de los módulos de autenticación en el campo para proteger el sistema contra cualquier fallo recién detectado sin la necesidad de realizar cambios a ningún servicio del sistema que use la estructura PAM.
Para obtener más información, consulte lo siguiente:
La página del comando man pam.conf(4)
Los privilegios son derechos discretos específicos de procesos que se aplican en el núcleo. Oracle Solaris define más de 80 privilegios, desde los básicos, como file_read, hasta los más especializados, como proc_clock_highres. Los privilegios se pueden otorgar a un comando, un usuario, un rol o un sistema. Muchos comandos y daemons de Oracle Solaris se ejecutan solamente con los privilegios requeridos para realizar su tarea. El uso de privilegios también se denomina gestión de derechos de procesos.
Los programas que reconocen privilegios pueden impedir que los intrusos obtengan más privilegios que los que utiliza el propio programa. Además, los privilegios permiten a las organizaciones limitar los privilegios que se otorgan a los servicios y los procesos que se ejecutan en sus sistemas.
Para obtener más información, consulte lo siguiente:
Privilegios (descripción general) de Administración de Oracle Solaris 11.1: servicios de seguridad
Uso de privilegios (tareas) de Administración de Oracle Solaris 11.1: servicios de seguridad
Capítulo 2, Developing Privileged Applications de Developer’s Guide to Oracle Solaris 11 Security
Las páginas del comando man seleccionadas son: ppriv(1) y privileges(5)
Los ataques de acceso remoto pueden causar daños en el sistema y en la red. En el entorno de Internet actual, es necesario proteger el acceso a la red, incluso en entornos WAN y LAN.
La seguridad IP (IPsec) protege paquetes IP mediante la autenticación y/o el cifrado de los paquetes. Oracle Solaris admite IPsec para IPv4 y para IPv6. Dado que IPsec se implementa muy por debajo de la capa de aplicación, las aplicaciones de Internet pueden beneficiarse de IPsec sin necesidad de modificar su código.
IPsec y su protocolo de intercambio de claves (IKE) utilizan algoritmos de la estructura criptográfica. Además, la estructura criptográfica proporciona un almacén de claves softtoken para las aplicaciones que utilizan la metarranura. Si IKE está configurado para usar la metarranura, las organizaciones pueden optar por guardar las claves en el disco, en un almacén de claves de hardware conectado o en el almacén de claves softtoken.
Cuando se administra correctamente, la directiva IPsec es una herramienta eficaz para proteger el tráfico de la red.
Para obtener más información, consulte lo siguiente:
Capítulo 7, Configuración de IPsec (tareas) de Protección de la red en Oracle Solaris 11.1
Capítulo 10, Configuración de IKE (tareas) de Protección de la red en Oracle Solaris 11.1
Las páginas del comando man seleccionadas son: ipsecconf(1M) y in.iked(1M)
La función Secure Shell de Oracle Solaris permite a los usuarios o los servicios acceder a archivos entre sistemas remotos, o transferirlos, mediante una canal de comunicaciones cifradas. En Secure Shell, todo el tráfico de red está cifrado. Secure Shell también puede utilizarse como una red privada virtual (VPN) a petición que envíe tráfico del sistema X Window o conecte números de puerto individuales entre un sistema local y sistemas remotos mediante un enlace de red autenticado y cifrado.
Por lo tanto, Secure Shell impide que los posibles intrusos lean una comunicación interceptada o que los adversarios falsifiquen el sistema. De manera predeterminada, Secure Shell es el único mecanismo de acceso remoto activo en un sistema recién instalado.
Para obtener más información, consulte lo siguiente:
Capítulo 15, Uso de Secure Shell de Administración de Oracle Solaris 11.1: servicios de seguridad
Las páginas del comando man seleccionadas son: ssh(1), sshd(1M), sshd_config(4) y ssh_config(4)
El función Kerberos de Oracle Solaris permite el inicio de sesión único y las transacciones seguras, incluso en redes heterogéneas que ejecutan el servicio Kerberos.
Kerberos se basa en el protocolo de autenticación de red Kerberos V5, que fue desarrollado en el Instituto Tecnológico de Massachusetts (MIT, Massachusetts Institute of Technology). El servicio Kerberos es una arquitectura de cliente-servidor que proporciona transacciones seguras a través de redes. El servicio ofrece una sólida autenticación de usuario y también integridad y privacidad. Con el servicio Kerberos, puede iniciar sesión una vez y acceder a otros sistemas, ejecutar comandos, intercambiar datos, y transferir archivos de manera segura. Además, el servicio permite a los administradores restringir el acceso a los servicios y a los sistemas.
Para obtener más información, consulte lo siguiente:
Parte VI, Servicio Kerberos de Administración de Oracle Solaris 11.1: servicios de seguridad
Las páginas del comando man seleccionadas son: kerberos(5) y kinit(1)
El control de acceso basado en roles (RBAC, Role-Based Access Control) aplica el principio de seguridad de privilegio mínimo, que permite a las organizaciones otorgar derechos administrativos de manera selectiva a usuarios o roles según sus necesidades y requisitos particulares.
La función RBAC de Oracle Solaris controla el acceso de usuario a las tareas que normalmente se limitan al rol root. Mediante la aplicación de atributos de seguridad a procesos y usuarios, RBAC puede distribuir los derechos administrativos entre varios administradores. RBAC también se denomina gestión de derechos de usuarios.
Para obtener más información, consulte lo siguiente:
Las páginas del comando man seleccionadas son: rbac(5), roleadd(1M), profiles(1) y user_attr(4)
La utilidad de gestión de servicios (SMF, Service Management Facility) de Oracle Solaris se utiliza para agregar, eliminar, configurar y gestionar servicios. SMF utiliza RBAC para controlar el acceso a las funciones de gestión de servicios en el sistema. En particular, SMF utiliza autorizaciones para determinar quién puede gestionar un servicio y qué funciones puede realizar.
SMF permite a las organizaciones controlar el acceso a los servicios y también el modo de inicio, detención y refrescamiento de los servicios.
Para obtener más información, consulte lo siguiente:
Capítulo 2, Gestión de servicios (tareas) de Gestión de servicios y errores en Oracle Solaris 11.1
La páginas del comando man seleccionadas son: svcadm(1M), svcs(1) y smf(5).
ZFS es el sistema de archivos predeterminado de Oracle Solaris 11. El sistema de archivos ZFS cambia radicalmente el modo de administración de los sistemas de archivos de Oracle Solaris. ZFS es sólido, escalable y fácil de administrar. Dado que la creación de sistemas de archivos en ZFS es ligera, fácilmente se pueden establecer cuotas y espacios reservados. Los permisos UNIX y ACE protegen los archivos, y puede cifrar todo el conjunto de datos en el momento de la creación. RBAC admite la administración delegada de conjuntos de datos ZFS.
Para obtener más información, consulte lo siguiente:
La tecnología de partición de software de las zonas de Oracle Solaris permite mantener el modelo de implementación de una aplicación por servidor y, a la vez, compartir recursos de hardware.
Las zonas son entornos operativos virtuales que permiten que distintas aplicaciones se ejecuten de manera aislada en un mismo hardware físico. El aislamiento impide que los procesos que se ejecutan dentro de una zona controlen o afecten los procesos que se ejecutan en otras zonas, ya sea viendo los datos de los demás o manipulando el hardware subyacente. Además, las zonas proporcionan un capa de abstracción que separa las aplicaciones de los atributos físicos del sistema en donde están implementadas, como las rutas de dispositivos físicos y los nombres de interfaz de red. En Oracle Solaris 11, puede configurar una raíz de zona de solo lectura.
Para obtener más información, consulte lo siguiente:
Las páginas del comando man seleccionadas son: brands(5), zoneadm(1M) y zonecfg(1M)
La función Trusted Extensions de Oracle Solaris es una capa con tecnología de etiquetado seguro que se activa de manera opcional y permite separar las políticas de seguridad de los datos de la propiedad de los datos. Trusted Extensions admite tanto las políticas tradicionales de control de acceso discrecional (DAC) basadas en la propiedad como las políticas de control de acceso obligatorio (MAC) basadas en etiquetas. A menos que la capa de Trusted Extensions esté activada, todas las etiquetas son iguales para que el núcleo no se configure para forzar las políticas de MAC. Cuando se activan las políticas de MAC basadas en etiquetas, se limitan todos los flujos de datos en función de una comparación de etiquetas asociadas con los procesos (sujetos) que solicitan acceso y los objetos que contienen los datos. A diferencia de la mayoría del resto de los sistemas operativos de varios niveles, Trusted Extensions incluye un escritorio de varios niveles.
Trusted Extensions cumple con los requisitos del perfil de protección de acceso basado el roles (RBACPP, Role-Based Access Protection Profile), el perfil de protección de acceso controlado (CAPP, Controlled Access Protection Profile) y el perfil de protección de seguridad con etiquetas (LSPP, Labeled Security Protection Profile) de Common Criteria. Sin embargo, la implementación de Trusted Extensions tiene una capacidad única para proporcionar una gran garantía y, a la vez, maximizar la compatibilidad y minimizar los costos generales.
Para obtener más información, consulte lo siguiente:
Para obtener información sobre la configuración y el mantenimiento de Trusted Extensions, consulte Configuración y administración de Trusted Extensions.
Para obtener información sobre el uso del escritorio de varios niveles, consulte Guía del usuario de Trusted Extensions.
Las páginas del comando man seleccionadas son: trusted_extensions(5) y labeld(1M).
|