JavaScript is required to for searching.
Navigationslinks ├╝berspringen
Druckansicht beenden
Oracle Solaris 11 - Sicherheitsbestimmungen     Oracle Solaris 11.1 Information Library (Deutsch)
search filter icon
search icon

Dokumentinformationen

Vorwort

1.  Übersicht über die Oracle Solaris-Sicherheitsfunktionen

Oracle Solaris -Sicherheitsschutzmechanismen

Oracle Solaris-Sicherheitstechnologien

Zufällige Anordnung des Adressraumlayouts

Prüfservice

Überprüfung der BART-Datei

Kryptografische Services

Dateiberechtigungen und Zugriffskontrolleinträge

Paketfilterung

IP Filter

TCP-Wrapper

Passwörter und Passwortbeschränkungen

Pluggable Authentication Module

Berechtigungen in Oracle Solaris

Remote-Zugriff

IPsec und IKE

Secure Shell

Kerberos-Service

Role-Based Access Control

Service Management Facility

ZFS-Dateisystem von Oracle Solaris

Oracle Solaris Zones

Trusted Extensions

Oracle Solaris 11-Standardsicherheitseinstellungen

Eingeschränkter und überwachter Systemzugriff

Kernel-, Datei- und Desktopschutz

Zusätzliche Sicherheitsfunktionen

Oracle Solaris 11 Sicherheitsevaluierung

Standortsicherheitsrichtlinien und deren Umsetzung

2.  Konfigurieren der Oracle Solaris-Sicherheitsfunktionen

3.  Überwachen und Verwalten der Oracle Solaris-Sicherheitsfunktionen

A.  Literaturverzeichnis zur Oracle Solaris-Sicherheit

Oracle Solaris-Sicherheitstechnologien

Die Sicherheitsfunktionen von Oracle Solaris können so konfiguriert werden, dass Ihre Standortsicherheitsrichtlinie implementiert werden kann.

Auf den folgenden Seiten werden die Oracle Solaris-Sicherheitsfunktionen kurz vorgestellt. Die Beschreibungen enthalten Verweise auf ausführlichere Informationen und Anweisungen in diesem Handbuch sowie auf andere Oracle Solaris-Systemadministrationshandbücher, die diese Funktionen veranschaulichen.

Zufällige Anordnung des Adressraumlayouts

Die zufällige Anordnung des Adressraumlayouts (ASLR) ordnet die Adressen, die von einem vorgegebenen Binärcode verwendet werden zufällig an. ASLR kann bestimmten Angriffsarten, die auf der exakten Speicherortkenntnis bestimmter Speicherbereiche basieren, vorbeugen und bereits den Versuch erkennen, wenn das ausführbare Programm gestoppt wird. Weitere Informationen erhalten Sie unter Address Space Layout Randomization in Oracle Solaris 11.1 Administration: Security Services.

Prüfservice

Bei der Prüfung werden Daten über die Nutzung der Systemressourcen erfasst. Die Prüfdaten stellen ein Protokoll zu sicherheitsbezogenen Systemereignissen bereit. Anhand dieser Daten können Sie anschließend die Verantwortlichkeit für die auf einem System ausgeführten Aktionen zuweisen.

Prüfungen sind eine Grundanforderung bei Sicherheitsevaluierungen, Validierungen und Zertifizierungsstellen. Sie können zudem eine abschreckende Wirkung auf potenzielle Eindringlinge haben.

Weitere Informationen finden Sie hier:

Überprüfung der BART-Datei

Die BART-Funktion von Oracle Solaris ermöglicht eine umfassende Validierung von Systemen, indem über einen längeren Zeitraum hinweg Überprüfungen auf Dateiebene in einem System durchgeführt werden. Sie können durch die Erstellung von BART-Manifesten auf einfache, zuverlässige Weise Informationen über die Komponenten des Software-Stacks sammeln, der auf dem verteilten System installiert ist.

BART ist ein nützliches Tool für das Integritätsmanagement in einem System oder Systemnetzwerk.

Weitere Informationen finden Sie hier:

Kryptografische Services

Die Cryptographic Framework-Funktion und die KMF-Funktion (Key Management Framework) von Oracle Solaris bieten zentrale Repositorys für kryptografische Services und Schlüsselverwaltung. Hardware, Software und Endbenutzer können auf optimierte Algorithmen mühelos zugreifen. Durch die Übernahme der KMF-Schnittstellen werden die Schnittstellen der verschiedenen Speichersysteme, administrativen Dienstprogramme und Programmierungsschnittstellen für unterschiedliche PKIs (Public Key Infrastructure) vereinheitlicht.

Das Cryptographic Framework bietet Benutzern über einzelne Befehle kryptografische Services und Anwendungen, eine Programmierungsschnittstelle auf Benutzerebene, eine Schnittstelle für die Kernel-Programmierung sowie Frameworks auf Benutzer- und Kernel-Ebene. Das Cryptographic Framework stellt diese kryptografischen Services Anwendungen und Kernel-Modulen in aus Endbenutzersicht nahtlosen Weise bereit. Außerdem kann der Endbenutzer direkte kryptografische Services wie Ver- und Entschlüsselung für Dateien nutzen.

KMF bietet Tools und Programmierungsschnittstellen für die zentrale Verwaltung von Public Key-Objekten wie X.509-Zertifikaten und Public/Private Key-Paaren. Die Formate für die Speicherung dieser Objekte können variieren. KMF bietet darüber hinaus ein Tool für die Verwaltung von Richtlinien, die die Verwendung von X.509-Zertifikaten durch Anwendungen bestimmen. KMF unterstützt Plug-ins von Drittanbietern.

Weitere Informationen finden Sie hier:

Dateiberechtigungen und Zugriffskontrolleinträge

Objekte in einem Dateisystem sind in erster Linie durch die UNIX-Berechtigungen geschützt, die jedem Dateisystemobjekt zugewiesen sind. UNIX-Berechtigungen unterstützen u. a. eindeutige Zugriffsrechte für den Eigentümer des Objekts und für eine dem Objekt zugewiesene Gruppe. Außerdem unterstützt ZFS ACLs, die auch als ACEs (Access Control Entries) bezeichnet werden und eine feiner abgestimmte Kontrolle des Zugriffs auf einzelne Dateisystemobjekte oder Dateisystemobjektgruppen bieten.

Weitere Informationen finden Sie hier:

Paketfilterung

Die Paketfilterung bietet allgemeinen Schutz vor netzwerkbasierten Angriffen. Oracle Solaris umfasst die IP Filter-Funktion und TCP-Wrapper.

IP Filter

Die IP Filter-Funktion von Oracle Solaris erstellt eine Firewall, um netzwerkbasierte Angriffe abzuwenden.

IP Filter bietet insbesondere eine statusbehaftete Paketfilterung und kann Pakete nach IP-Adresse, Netzwerk, Port, Protokoll, Netzwerkschnittstelle und Netzverkehrsrichtung filtern. Darüber hinaus bietet sie eine statusfreie Paketfilterung sowie die Möglichkeit, Adresspools zu erstellen und zu verwalten. Mit IP Filter können außerdem Network Address Translation (NAT) und Port Address Translation (PAT) durchgeführt werden.

Weitere Informationen finden Sie hier:

TCP-Wrapper

TCP-Wrapper dienen zur Implementierung der Zugriffskontrollen; dazu wird die Adresse eines Hosts, der einen bestimmten Netzwerkdienst anfordert, anhand einer Zugriffskontrollliste geprüft. Anforderungen werden dann entsprechend genehmigt oder verweigert. TCP-Wrapper bieten zudem eine hilfreiche Überwachungsfunktion, denn sie protokollieren Hostanforderungen für Netzwerkdienste. Die Secure Shell- und sendmail-Funktionen von Oracle Solaris sind für die Verwendung von TCP-Wrappern konfiguriert. Zu den Netzwerkservices, die mit einer Zugriffskontrolle belegt werden können, gehören proftpd und rpcbind.

TCP-Wrapper unterstützen eine erweiterte Richtliniensprache, mit der Organisationen Sicherheitsrichtlinien nicht nur global, sondern auch pro Service definieren können. Ein umfassenderer Zugriff auf Services kann basierend auf dem Hostnamen, der IPv4- oder IPv6-Adresse, dem Netzgruppennamen, dem Netzwerk und sogar der DNS-Domain zugelassen oder eingeschränkt werden.

Weitere Informationen finden Sie hier:

Passwörter und Passwortbeschränkungen

Sichere Passwörter bieten Schutz vor Brute Force-Zugriffsversuchen.

Oracle Solaris unterstützt die Passwortsicherheit mit einer Reihe von entsprechenden Funktionen. Die Passwortlänge, die verwendeten Zeichen, die Häufigkeit der Passwortänderung sowie Änderungsanforderungen können festgelegt und eine Passwortabfolge angelegt werden. Außerdem ist ein Passwortwörterbuch mit ungeeigneten Passwörtern vorhanden. Ferner sind mehrere Passwortalgorithmen verfügbar.

Weitere Informationen finden Sie hier:

Pluggable Authentication Module

Mit dem PAM-Framework (Pluggable Authentication Module) können Sie Anforderungen für die Benutzerauthentifizierung für Konten, Berechtigungsnachweise, Sitzungen und Passwörter koordinieren und konfigurieren.

Organisationen können mit dem PAM-Framework die Benutzerauthentifizierungserfahrung sowie Konten-, Sitzungs- und Passwortverwaltungsfunktionen anpassen. Systemeintragsservices wie login und ftp nutzen das PAM-Framework, um sicherzustellen, dass alle Einstiegspunkte für das System gesichert sind. Diese Architektur ermöglicht das Ersetzen oder Ändern von Authentifizierungsmodulen im Feld, sodass das System vor neuen bekannten Sicherheitsrisiken geschützt ist, ohne dass Änderungen an Systemservices, die das PAM-Framework nutzen, erforderlich sind.

Weitere Informationen finden Sie hier:

Berechtigungen in Oracle Solaris

Berechtigungen sind fein abgestimmte, einzelne Rechte für Prozesse, welche im Kernel durchgesetzt werden. Oracle Solaris definiert über 80 Berechtigungen wie file_read oder Berechtigungen für einen bestimmten Zweck wie proc_clock_highres. Berechtigungen können einem Befehl, einem Benutzer, einer Rolle oder einem System gewährt werden. Viele Oracle Solaris-Befehle und -Dämonen werden nur mit den Berechtigungen ausgeführt, die für die Aufgabe erforderlich sind. Die Verwendung von Berechtigungen wird auch als Prozessberechtigungsverwaltung bezeichnet.

Berechtigungen erkennende Programme können verhindern, dass Eindringlinge mehr Berechtigungen als das Programm selbst erlangen können. Außerdem können Organisationen mithilfe von Berechtigungen bestimmen, welche Berechtigungen den auf ihren Systemen ausgeführten Services und Prozessen gewährt werden.

Weitere Informationen finden Sie hier:

Remote-Zugriff

Angriffe über Remote-Zugriff können Systemen und Netzwerken Schaden zufügen. Für die heutigen Internetumgebungen und sogar für WAN- und LAN-Umgebungen ist ein Zugriffschutz für Netzwerke erforderlich.

IPsec und IKE

Internet Protocol Security (IPsec) bietet Schutz für IP-Pakete durch die Authentifizierung und/oder Verschlüsselung der Pakete. Oracle Solaris unterstützt IPsec sowohl für IPv4 als auch IPv6. Da IPsec unterhalb der Anwendungsschicht implementiert ist, können Internetanwendungen IPsec ohne Änderungen an deren Code nutzen.

IPsec und sein Key Exchange-Protokoll IKE verwenden Cryptographic Framework-Algorithmen. Darüber hinaus stellt das Cryptographic Framework stellt einen Softtoken-Schlüsselspeicher für Anwendungen zur Verfügung, die den Metaslot nutzen. Wenn IKE so konfiguriert ist, dass es den Metaslot verwendet, können Organisationen die Schlüssel auf einer Festplatte, einem angeschlossenen Schlüsselspeichergerät oder im Softtoken-Schlüsselspeicher speichern.

Wenn es richtig vewaltet wird, ist IPsec ein wirksames Tool bei der Sicherung des Netzwerkverkehrs.

Weitere Informationen finden Sie hier:

Secure Shell

Mit der Secure Shell-Funktion von Oracle Solaris können Benutzer oder Services zwischen Remote-Systemen über einen verschlüsselten Kommunikationskanal auf Dateien zugreifen oder sie übertragen. Der gesamte Netzwerkverkehr ist bei Secure Shell verschlüsselt. Secure Shell kann zudem als bedarforientiertes VPN eingesetzt werden, das X Window-Systemverkehr weiterleiten oder sich über eine authentifizierte und verschlüsselte Netzwerkverbindung zwischen einem lokalen System und Remote-Systemen mit einzelnen Portnummern verbinden kann.

So wird durch Secure Shell das Lesen abgefangener Mitteilungen durch potenzielle Eindringlinge und Spoofing-Angriffe unterbunden. Auf neu installierten Systemen kann nur Secure Shell für den Remote-Zugriff verwendet werden.

Weitere Informationen finden Sie hier:

Kerberos-Service

Die Kerberos-Funktion von Oracle Solaris ermöglicht Single Sign-On und sichere Übertragungen, auch über heterogene Netzwerke, wenn sie Kerberos ausführen.

Kerberos basiert auf dem Kerberos V5-Netzwerkauthentifizierungsprotokoll, das am MIT (Massachusetts Institute of Technology) entwickelt wurde. Der Kerberos-Service ist eine Client-Server-Architektur für sichere Netzwerktransaktionen. Der Service bietet Authentifizierung über sichere Passwörter, Integrität und Vertraulichkeit. Mit dem Kerberos-Service können Sie nach einmaliger Anmeldung sicher auf andere Rechner zugreifen, Befehle ausführen, Daten austauschen und Dateien übertragen. Darüber hinaus können Administratoren mithilfe des Service den Zugriff auf Services und Systeme einschränken.

Weitere Informationen finden Sie hier:

Role-Based Access Control

RBAC (Role-Based Access Control) wendet das Sicherheitsprinzip der geringsten Berechtigungen an, indem es Organisationen ermöglicht, administrative Rechte bestimmten Benutzern oder Rollen entsprechend ihrer Anforderungen zu gewähren.

Die RBAC-Funktion von Oracle Solaris steuert den Benutzerzugriff auf Aufgaben, die normalerweise der root-Rolle vorbehalten sind. Durch das Anwenden von Sicherheitsattributen auf Prozesse und Benutzer kann RBAC administrative Rechte auf mehrere Administratoren aufteilen. Bei RBAC spricht man auch von Verwaltung von Benutzerrechten.

Weitere Informationen finden Sie hier:

Service Management Facility

Mithilfe der SMF-Funktion (Service Management Facility) von Oracle Solaris werden Services hinzugefügt, entfernt, konfiguriert und verwaltet. SMF nutzt RBAC für die Zugriffskontrolle bei systemeigenen Serviceverwaltungsfunktionen. Insbesondere nutzt SMF Autorisierungen, um zu festzustellen, welche Personen einen Service verwalten und welche Aufgaben sie durchführen können.

SMF ermöglicht Organisationen die Kontrolle über den Zugriff auf Services sowie über die Art und Weise, wie diese gestartet, gestoppt und aktualisiert werden.

Weitere Informationen finden Sie hier:

ZFS-Dateisystem von Oracle Solaris

ZFS ist das Standarddateisystem für Oracle Solaris 11. Das ZFS-Dateisystem ändert die Art der Verwaltung von Dateisystemen unter Oracle Solaris grundlegend. ZFS ist stabil, skalierbar und einfach zu verwalten. Da die ZFS-Dateisystemerstellung unkompliziert ist, können Sie auf einfache Weise Kontingente und Speicherplatzreservierungen erstellen. UNIX-Berechtigungen und ACE bieten Schutz für Dateien, und eine Verschlüsselung der gesamten Datengruppe ist bereits bei ihrer Erstellung möglich. RBAC unterstützt die delegierte Administration von ZFS-Datensätzen.

Weitere Informationen finden Sie hier:

Oracle Solaris Zones

Mit der Partitionierungstechnologie von Oracle Solaris Zones können Sie bei einem Bereitstellungsmodell, das eine Anwendung pro Server vorsieht, Hardwareressourcen gemeinsam mit anderen nutzen.

Bei Zonen handelt es sich um virtualisierte Betriebssystemumgebungen, in denen mehrere voneinander isolierte Anwendungen auf derselben physischen Hardware ausgeführt werden. Durch diese Isolation wird verhindert, dass ein Prozess, der innerhalb einer Zone ausgeführt wird, Prozesse in anderen Zonen überwacht oder beeinflusst, dass Daten des anderen Prozesses angezeigt werden oder die zugrunde liegende Hardware manipuliert wird. Zonen bieten zudem eine Abstraktionsschicht, die Anwendungen von physischen Systemattributen trennt, auf denen sie verteilt werden, zum Beispiel physische Gerätepfade und Netzwerkschnittstellennamen. Unter Oracle Solaris 11 können Sie eine schreibgeschützte Zonen-Root konfigurieren.

Weitere Informationen finden Sie hier:

Trusted Extensions

Die Trusted Extensions-Funktion von Oracle Solaris ist eine optionale Sicherheitsschicht, mit der Richtlinien zur Datensicherheit von der Dateneigentümerschaft getrennt werden können. Trusted Extensions unterstützt sowohl klassische, auf Eigentümerschaft basierende DAC-Richtlinien (Discretionary Access Control) als auch bezeichnungsbasierte MAC-Richtlinien (Mandatory Access Control). Wenn die Trusted Extensions-Schicht nicht aktiviert ist, sind alle Bezeichnungen gleich, sodass der Kernel nicht so konfiguriert wird, um die MAC-Richtlinien durchzusetzen. Werden die bezeichnungsbasierten MAC-Richtlinien aktiviert, wird der Datenfluss auf Grundlage eines Bezeichnungsvergleichs im Zusammenhang mit den Prozessen (Subjekte), die Zugriff anfordern, und den Objekten, die die Daten enthalten, eingeschränkt. Im Gegensatz zu den meisten anderen mehrstufigen Betriebssystemen verfügt Trusted Extensions über einen mehrstufigen Desktop.

Trusted Extensions erfüllt die Anforderungen der allgemeinen Kriterien von LSPP (Labeled Security Protection Profile), RBACPP (Role-Based Access Protection Profile) und CAPP (Controlled Access Protection Profile). Die Trusted Extensions-Implementierung bietet eine beispiellos hohe Zusicherung, erzielt ein Maximum an Kompatibilität und beschränkt den Aufwand auf ein Minimum.

Weitere Informationen finden Sie hier: