Solaris Security Toolkit 4.1 管理マニュアル 目次前の章次の章索引


第3章

セキュリティーソフトウェアのインストールおよび実行

この章では、Solaris Security Toolkit ソフトウェアおよびその他のセキュリティー関連ソフトウェアをダウンロードし、インストールして実行する手順について説明します。スタンドアロンモード、または JumpStart モードのいずれかに環境を構成する手順、およびサポートを入手するための手順を説明します。

ソフトウェアをインストールし、構成して実行するには、この節で説明する手順およびプロセスに従ってください。ここでは、追加のセキュリティーソフトウェアのダウンロード手順、実行例、およびガイドラインについても記載しています。

Solaris Security Toolkit ソフトウェアはスタンドアロン製品ですが、ダウンロード可能な他のセキュリティーソフトウェアと組み合わせて使用すると最も効果的です。こうしたソフトウェアには、SunSolve OnLine から入手できる最新の推奨およびセキュリティパッチクラスタ、Solaris OS 用 Secure Shell ソフトウェア (Solaris OS で提供されていない場合)、Solaris OS およびサン以外のソフトウェアのアクセス権を強化するためのアクセス権および所有権変更ソフトウェア、サンのファイルと実行ファイルの完全性を検証するための完全性検証バイナリが含まれます。

ここでは、以下の作業について説明します。

計画およびインストール前の作業の実行

Solaris Security Toolkit ソフトウェアを使用してシステムのセキュリティーを確保するには、適切な計画が不可欠です。ソフトウェアをインストールする前の計画についての詳細は、第 2 章を参照してください。

ソフトウェアを配備済みのシステムにインストールする場合、インストール前の作業についての詳細は、インストール前の作業の実行を参照してください。

依存関係

Solaris Security Toolkit 4.1 ソフトウェアには、ごくわずかの依存関係があります。

ハードウェアの依存関係

サポートされている Solaris オペレーティングシステムのバージョンについては、サポートしている Solaris OS バージョンの実行を参照してください。

ソフトウェアの依存関係

Solaris Security Toolkit 4.1 ソフトウェアは、SUNWloc パッケージに依存しています。このパッケージが存在しない場合、Solaris Security Toolkit は正常に動作しません。

サポートされている System Managements Services (SMS) ソフトウェアのバージョンについては、サポートされている SMS バージョンの実行を参照してください。

モードの決定

セキュリティーで保護されていないシステムが侵入者によって攻撃される時間を制限するために、インストール中またはインストール直後にシステムを強化します。Solaris Security Toolkit ソフトウェアを使用してシステムのセキュリティーを強化する前に、環境に合わせてソフトウェアを適切に構成する必要があります。

Solaris Security Toolkit ソフトウェアではモジュラーフレームワークが提供されています。JumpStart を使用していない場合、Solaris Security Toolkit ソフトウェアのフレームワークの柔軟性により、JumpStart を後で使用するための準備を行うことができます。JumpStart を使用している場合は、Solaris Security Toolkit ソフトウェアの機能を利用して既存の JumpStart アーキテクチャーに統合することができます。

スタンドアロンモードと JumpStart モードについて、以下に説明します。

スタンドアロンモード

スタンドアロンモードでは、Solaris Security Toolkit ソフトウェアは Solaris OS シェルプロンプトから直接実行します。このモードでは、セキュリティーの変更または更新が必要なシステムで、Solaris Security Toolkit ソフトウェアを使用することができます。システムを停止して OS を新規にインストールする必要はありません。ただし、可能な場合は、システムを新規にインストールしてセキュリティーを確保します。

スタンドアロンモードは、パッチをインストールした後でシステムのセキュリティーを強化するとき特に便利です。Solaris Security Toolkit ソフトウェアをシステム上で繰り返し実行しても、問題は発生しません。Solaris Security Toolkit ソフトウェアによって修正されたファイルがパッチによって上書きまたは変更されることがあるため、ソフトウェアを再実行すると、パッチのインストールによって取り消されたセキュリティー設定を再度実装することができます。


注 - 実働環境では、パッチを現在の環境にインストールする前に、テストおよび開発環境で実行してください。


スタンドアロンモードは配備済みのシステムのセキュリティーを即座に強化するための最良の方法の 1 つです。セキュリティーソフトウェアのダウンロードで示されているダウンロードおよびインストール手順を実行するだけで、JumpStart を使用せずに Solaris Security Toolkit ソフトウェアをアーキテクチャーに統合することができます。

JumpStart モード

JumpStart テクノロジは、ネットワークベースで Solaris OS をインストールするためのサンのメカニズムであり、インストール中に Solaris Security Toolkit スクリプトを実行することができます。このマニュアルは、読者が JumpStart テクノロジについて熟知しており、既存の JumpStart 環境を利用できることを前提にしています。JumpStart テクノロジについての詳細は、Sun BluePrints マニュアル『JumpStart Technology: Effective Use in the Solaris Operating Environment』を参照してください。

JumpStart 環境で使用するには、JASS_HOME_DIR (tar ダウンロードの場合) または /opt/SUNWjass (pkg ダウンロードの場合) 内の Solaris Security Toolkit ソースを JumpStart サーバーの基本ディレクトリにコピーします。デフォルトは JumpStart サーバーの /jumpstart です。JASS_HOME_DIR が JumpStart サーバーの基本ディレクトリになります。

Solaris Security Toolkit ソフトウェアを JumpStart アーキテクチャーに統合するための手順は簡単です。JumpStart サーバーを構成する方法については、第 5 章を参照してください。

セキュリティーソフトウェアのダウンロード

システムのセキュリティーを強化するには、まず、ソフトウェアセキュリティーパッケージを対象のシステムにダウンロードします。ここでは、以下の作業について説明します。


注 - ここで説明するソフトウェアの中で、Solaris Security Toolkit ソフトウェア、推奨およびセキュリティパッチクラスタ、FixModes、および MD5 ソフトウェアは必須です。OpenSSH の代わりに、さまざまなベンダーから提供されている市販の Secure Shell ソフトウェアを使用することもできます。Secure Shell ソフトウェアをすべてのシステムにインストールして使用します。Solaris 9 OS の場合は、OS に含まれている Secure Shell を使用してください。


Solaris Security Toolkit ソフトウェアのダウンロード

最初に、Solaris Security Toolkit ソフトウェアをダウンロードします。スタンドアロンモードの場合は Solaris Security Toolkit ソフトウェアを使用するサーバーに、JumpStart モードの場合は JumpStart サーバーにインストールします。


注 - 以下の手順では、ファイル名のバージョン番号が記載されていません。常に最新バージョンのファイルをダウンロードしてください。


このマニュアルでは、これ以降、JASS_HOME_DIR 環境変数は Solaris Security Toolkit ソフトウェアのルートディレクトリを指します。Solaris Security Toolkit ソフトウェアを tar アーカイブからインストールする場合、JASS_HOME_DIR は jass-n.n までを含むパスとして定義されます。tar バージョンの配布を /opt ディレクトリにインストールすると、JASS_HOME_DIR 環境変数は /opt/jass-n.n になります。

Solaris Security Toolkit ソフトウェアは、従来の圧縮された tar アーカイブの他に、Solaris OS パッケージ形式でも配布されます。両方のアーカイブに同じソフトウェアが含まれています。

個々の状況に応じて、適切な形式を選択してください。pkg 形式はクライアントで使用するのに適しており、tar は JumpStart システムで使用したりカスタムパッケージを開発する際に適しています。

これらの 2 種類のアーカイブをダウンロードしてインストールする方法について、以下で説明します。


procedure icon  tar バージョンをダウンロードする

1. ソフトウェア配布ファイル (jass-n.n.tar.Z) をダウンロードします。

ソースファイルは以下の Web サイトにあります。

http://www.sun.com/security/jass

2. zcat コマンドと tar コマンドを以下のとおり使用して、サーバー上のディレクトリにソフトウェア配布ファイルを圧縮解除します。 

# zcat jass-n.n.tar.Z | tar xvf -

ここで、n.n はファイルの最新のバージョン番号です。

このコマンドを実行すると、現在の作業ディレクトリ内に jass-n.n サブディレクトリが作成されます。すべての Solaris Security Toolkit ディレトリおよび関連ファイルがこのサブディレクトリに格納されます。


procedure icon  pkg バージョンをダウンロードする

1. ソフトウェア配布ファイル (SUNWjass-n.n.pkg.Z) をダウンロードします。

ソースファイルは以下の場所にあります。

http://www.sun.com/security/jass


注 - ソフトウェアをダウンロードできない場合は、ブラウザに統合されている「Save As」オプションを使用してください。


2. uncompress コマンドを以下のとおり使用して、サーバー上のディレクトリにソフトウェア配布ファイルを圧縮解除します。 

# uncompress SUNWjass-n.n.pkg.Z

3. pkgadd コマンドを以下のとおり使用して、ソフトウェア配布ファイルをサーバー上のディレクトリにインストールします。 

# pkgadd -d SUNWjass-n.n.pkg SUNWjass

ここで、n.n はファイルの最新のバージョン番号です。

このコマンドを実行すると、/opt 内に SUNWjass ディレクトリが作成されます。すべての Solaris Security Toolkit ディレトリおよび関連ファイルがこのサブディレクトリに格納されます。

推奨パッチクラスタソフトウェアのダウンロード

サンでは、Solaris OS のパフォーマンス、安定性、機能性、およびセキュリティーの問題を修正するためのパッチをリリースしています。システムのセキュリティーを確保するには、最新のパッチクラスタをインストールすることが不可欠です。最新の Solaris OS 推奨およびセキュリティパッチクラスタをシステムにインストールするために、最新のパッチクラスタをダウンロードする方法を以下に説明します。


注 - パッチは、非実働システムで、または保守ウィンドウの表示中に評価およびテストしてからインストールしてください。



procedure icon  推奨パッチクラスタソフトウェアをダウンロードする

パッチクラスタをインストールする前に、個々のパッチの README ファイルおよび入手したその他の情報をご一読ください。インストールの前に知っておくと役立つ提案や情報が含まれている場合があります。

1. 以下の SunSolve OnLine Web サイトから、最新のパッチクラスタをダウンロードします。

http://sunsolve.sun.com

2. 左側のナビゲーションバーの一番上にある「パッチ」リンクをクリックします。

3. 「推奨パッチクラスタ」リンクをクリックします。

使用許諾契約書が表示されます。

4. 「Solaris 推奨・セキュリティパッチクラスタ」ボックスで適切な Solaris OS のバージョンを選択します。

この例では、Solaris 8 OS を選択します。

5. HTTP または FTP ラジオボタンを使用して、ダウンロードオプションを選択します。

ブラウザウィンドウに「ファイルのダウンロード」ダイアログボックスが表示されます。

6. ファイルをローカルシステムに保存します。

7. セキュリティー強化を実行するシステムにファイルを移動します。

scp (scp(1)- セキュアコピー: リモートコピープログラム) コマンドを使用するか、セキュリティーで保護されたファイル転送が可能な他の方法を使用します。

scp コマンドを以下のとおり使用します。 

# scp 8_Recommended.zip target01:

8. ファイルを /opt/SUNWjass/Patches ディレクトリに移動して、圧縮解除します。

以下に例を示します。

コード例 3-1 パッチファイルの /opt/SUNWjass/Patches ディレクトリへの移動 

# cd /opt/SUNWjass/Patches

# mv /directory in which file was saved/8_Recommended.zip .

# unzip 8_Recommended.zip

Archive:     8_Recommended.zip

   creating: 8_Recommended/

  inflating: 8_Recommended/CLUSTER_README  

  inflating: 8_Recommended/copyright  

  inflating: 8_Recommended/install_cluster  

[. . .]

パッチクラスタソフトウェアは、他のセキュリティーパッケージをダウンロードして Solaris Security Toolkit ソフトウェアを実行した後で、自動的にインストールされます。


注 - 推奨およびセキュリティパッチクラスタを /opt/SUNWjass/Patches ディレクトリに保存しないと、Solaris Security Toolkit ソフトウェアの実行時に警告メッセージが表示されます。新しいリリースの OS の場合など、パッチクラスタを適用しないときは、このメッセージは無視してもかまいません。


FixModes ソフトウェアのダウンロード

FixModes は、Solaris OS のディレクトリおよびファイルのデフォルトのアクセス権を強化するソフトウェアパッケージです。こうしたアクセス権を強化することにより、全体的なセキュリティーを大幅に向上させることができます。アクセス権を制限すると、悪意のあるユーザーがシステムに対する特権を容易に取得できなくなります。


注 - Solaris 9 OS リリースでは、FixModes ソフトウェアによって変更されたオブジェクトのデフォルトのアクセス権がさらに改善されています。しかし、サン以外のソフトウェアおよび別製品のソフトウェアでは、ファイルおよびディレクトリのアクセス権を強化する際に FixModes ソフトウェアが必要です。



procedure icon  FixModes ソフトウェアをダウンロードする

1. 以下の場所から、プリコンパイル済みの FixModes バイナリをダウンロードします。

http://www.sun.com/security/jass

FixModes ソフトウェアは Solaris OS システム用にフォーマットされた、プリコンパイル済みの圧縮されたパッケージバージョンで配布されます。ファイル名は SUNBEfixm.pkg.Z です。

2. セキュリティー強化を実行するシステムにファイルを移動します。scp コマンドを使用するか、セキュリティーで保護されたファイル転送が可能な他の方法を使用します。

scp コマンドを以下のとおり使用します。 

# scp SUNBEfixm.pkg.Z target01:

3. SUNBEfixm.pkg.Z ファイルを Solaris Security Toolkit の Packages ディレクトリ (/opt/SUNWjass/Packages) に圧縮解除して保存します。以下のコマンドを使用します。 

# uncompress SUNBEfixm.pkg.Z

# mv SUNBEfixm.pkg /opt/SUNWjass/Packages/

FixModes ソフトウェアは、他のセキュリティーパッケージをダウンロードして Solaris Security Toolkit ソフトウェアを実行した後で、自動的にインストールされます。

OpenSSH ソフトウェアのダウンロード

セキュリティーが確保される環境では、ユーザーとの対話セッションを保護するために、強力な認証および暗号化を使用する必要があります。少なくともネットワークアクセスは暗号化されなければなりません。

暗号化を実行するための最も一般的なツールは Secure Shell ソフトウェアです。このソフトウェアは Solaris OS に付属していますが、市販品やフリーウェアを利用することもできます。Solaris Security Toolkit ソフトウェアによるあらゆるセキュリティーの変更を実装するには、Secure Shell ソフトウェアが必要です。


注 - Solaris 9 OS の場合は、OS に含まれている Secure Shell を使用してください。この場合の Secure Shell は基本セキュリティーモジュール (BSM) などの他の Solaris OS セキュリティー機能、およびそれに対するサンのサポートと統合されています。


市販の Secure Shell の入手方法については、参考文献を参照してください。

Solaris Security Toolkit ソフトウェアは、暗号化されないユーザーとの対話サービスおよびデーモンをシステム上ですべて無効にします。特に、in.telnetd、in.ftpd、in.rshd、および in.rlogind などのデーモンが無効になります。

Secure Shell を使用すると、Telnet および FTP を使用する場合と同様にシステムにアクセスすることができます。


procedure icon  OpenSSH ソフトウェアをダウンロードする


注 - サーバーで Solaris 9 OS が実行されている場合、以下のOpenSSH のインストール手順は無視して、Solaris 9 OS に含まれている Secure Shell ソフトウェアを使用してください。


single-step bullet次の Sun BluePrints OnLine 掲載記事を参照し、記事で説明されている手順に従ってソフトウェアをダウンロードします。

OpenSSH をコンパイルおよび配備する方法を記載した Sun BluePrints OnLine 掲載記事『Building and Deploying OpenSSH on the Solaris Operating Environment』は、以下の場所から入手できます。

http://www.sun.com/blueprints

または、Sun BluePrints 書籍『Secure Shell in the Enterprise』を書店で購入してください。

OpenSSH ソフトウェアは、他のセキュリティーパッケージをダウンロードして Solaris Security Toolkit ソフトウェアを実行した後で、自動的にインストールされます。


caution icon

注意 - セキュリティー強化を実行するシステムで、OpenSSH をコンパイルしたり、コンパイラをインストールしないでください。同じ Solaris OS のバージョン、アーキテクチャー、モード (たとえば、Solaris 8 OS、Sun4U (sun4u)、および 64 ビット) を実行している別の Solaris OS システムを使用して、OpenSSH をコンパイルします。市販の SSH を使用する場合は、コンパイルは不要です。これは、侵入者によるコンパイラの使用を制限するためです。ただし、侵入者がプリコンパイル済みのツールをインストールすることは可能なため、コンパイラをローカルシステムにインストールしなかったからといって、攻撃者に対する防御が万全なわけではありません。


MD5 ソフトウェアのダウンロード

MD5 ソフトウェアは、セキュリティー強化を実行するシステムで MD5 デジタルフィンガープリントを生成します。デジタルフィンガープリントを生成し、それをサンから提供されている正しいフィンガープリントと比較して、未承認ユーザーによって変更またはトロイの木馬化 (安全に見えるように装うこと) されているシステムバイナリを決定します。攻撃者は、システムバイナリを変更することにより、システムへのバックドアアクセスが可能になります。姿を見せずにシステムの誤動作を発生させます。


procedure icon  MD5 ソフトウェアをダウンロードする

1. 以下の Web サイトから、MD5 バイナリをダウンロードします。

http://www.sun.com/security/jass

MD5 プログラムは圧縮されたパッケージバージョンのファイルで配布されます。

2. セキュリティー強化を実行するシステムに SUNBEmd5.pkg.Z を移動します。scp コマンドを使用するか、セキュリティーで保護されたファイル転送が可能な他の方法を使用します。

scp コマンドを以下のとおり使用します。 

# scp SUNBEmd5.pkg.Z target01:

3. ファイルを Solaris Security Toolkit の Packages ディレクトリ (/opt/SUNWjass/Packages) に圧縮解除して移動します。以下のコマンドを使用します。 

# uncompress SUNBEmd5.pkg.Z

# mv SUNBEmd5.pkg /opt/SUNWjass/Packages/

MD5 ソフトウェアを /opt/SUNWjass/Packages ディレクトリに保存した後で Solaris Security Toolkit ソフトウェアを実行すると、MD5 ソフトウェアがインストールされます。

MD5 バイナリをインストールしたら、Solaris フィンガープリントデータベースを通して、システム上の実行ファイルの完全性を検証できます。Solaris フィンガープリントデータベースについての詳細は、Sun BluePrints OnLine 掲載記事『The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files』を参照してください。

4. (オプション) Solaris Fingerprint Database Companion および Solaris Fingerprint Database Sidekick ソフトウェアを以下の Sun BluePrint Web サイトからダウンロードしてインストールします。

http://www.sun.com/blueprints/tools

これらのオプションのツールをインストールして、MD5 ソフトウェアとともに使用します。これらのツールはシステムバイナリを MD5 チェックサムデータベースと比較して検証するプロセスを簡単にします。これらのツールを定期的に使用して、セキュリティーで保護されたシステム上の Solaris OS バイナリおよびファイルの完全性を検証してください。

これらのツール、およびダウンロード方法についての詳細は、Sun BluePrints OnLine 掲載記事『The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files』を参照してください。

ダウンロードしたセキュリティーツールは完全性を検証する必要があります。Solaris Security Toolkit ソフトウェアおよび追加のセキュリティーソフトウェアをインストールして実行する前に、MD5 チェックサムを使用して完全性を検査してください。MD5 チェックサムは Solaris Security Toolkit のダウンロードページから利用できます。

セキュリティープロファイルのカスタマイズ

Solaris Security Toolkit ソフトウェアには、さまざまなセキュリティープロファイルのテンプレートがドライバとして用意されています。前の章で述べたとおり、デフォルトのセキュリティープロファイル、およびこれらのドライバで行った変更が、すべてのシステムに適切なわけではありません。ドライバで実装されるセキュリティープロファイルは、不要なサービスを無効にし、デフォルトで無効になっているオプションのセキュリティー機能を有効にします。

Solaris Security Toolkit ソフトウェアを実行する前に、デフォルトのセキュリティープロファイルを環境に合わせてカスタマイズするか、または新しいセキュリティープロファイルを開発します。セキュリティープロファイルのカスタマイズの方法およびガイドラインについては、『Solaris Security Toolkit 4.1 リファレンスマニュアル』を参照してください。

ソフトウェアのインストールと実行

Solaris Security Toolkit ソフトウェアを実行する前に、以下の作業を完了しておくことが重要です。セキュリティー強化の大部分は、Solaris Security Toolkit ソフトウェアを実行すると自動的に行われます。

Solaris Security Toolkit ソフトウェアは、コマンド行または JumpStart サーバーから直接実行できます。

コマンド行のオプション、およびソフトウェアの実行に関するその他の情報については、以下のいずれかを参照してください。

スタンドアロンモードでのソフトウェアの実行

コード例 3-2 は、スタンドアロンモードでのコマンド行の使用例を示しています。

コード例 3-2 スタンドアロンモードでのコマンド行の使用例 

# ./jass-execute -h

 

usage:

 

To apply this Toolkit to a system, using the syntax:

   jass-execute [-r root_directory -p os_version ]

      [ -q | -o output_file ] [ -m e-mail_address ]

      [ -V [3|4] ] [ -d ] driver

 

To undo a previous application of the Toolkit from a system:

   jass-execute -u [ -b | -f | -k ] [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To audit a system against a pre-defined profile:

   jass-execute -a driver [ -V [0-4] ] [ -q | -o output_file ]

      [ -m e-mail_address ]

 

To display the history of Toolkit applications on a system:

   jass-execute -H

 

To display the last application of the Toolkit on a system:

   jass-execute -l

 

To display this help message:

   jass-execute -h

   jass-execute -?

 

To display version information for this program:

   jass-execute -v

 

#

表 3-1 はコマンド行オプションの一覧と各オプションの説明です。

表 3-1 jass-execute での コマンド行オプションの使用

オプション

説明

-a

システムがセキュリティープロファイルに適合しているかどうかを判断します。

-b

-u オプションと一緒に使用します。前回の強化後に手動で変更されたファイルをバックアップした後、システムを元の状態に復元します。

-d

スタンドアロンモードで実行されるドライバを指定します。

-f

-u オプションと一緒に使用します。強化後に手動でファイルが変更されていても、強化中に行われた変更を強制的にリセットします。

-h

使用可能なオプションの概要を説明する jass-execute ヘルプメッセージを表示します。

-H

システム上の Solaris Security Toolkit ソフトウェアの履歴を表示します。

-k

-u オプションと一緒に使用します。最後の強化後にファイルに手動で行われた変更を保持します。

-l

最後にシステムにインストールされた Solaris Security Toolkit アプリケーションを表示します。

-m

指定された電子メールアドレスに出力を送信します。

-o

指定されたファイルに出力を送信します。

-p

-r root_directory オプションと一緒に使用します。

Solaris オペレーティングシステムの OS バージョンを指定します。形式は uname -r と同じです。

-q

画面に出力を表示しません。非出力オプションとも呼ばれます。

-r

-p os_version と一緒に使用しなければなりません。

jass-execute の実行中に使用されるルートディレクトリを指定します。デフォルトでは、ルートファイルシステムは / です。このルートディレクトリは Solaris Security Toolkit (JASS) 環境変数 JASS_ROOT_DIR で定義されます。セキュリティー強化の対象の Solaris OS は / を介して指定できます。たとえば、別の OS ディレクトリのセキュリティーを強化するには、一時的に /mnt にマウントし、-r オプションで /mnt を指定します。

-u

例外が発生したとき、希望のアクションを入力するようにプロンプトで要求して、操作を元に戻します。-d、-a、-h、-l、または -H オプションと一緒に使用することはできません。

-v

このプログラムのバージョン情報を表示します。

-V

メッセージ出力の詳細レベルを指定します。

-?

使用可能なオプションの概要を説明する jass-execute ヘルプメッセージを表示します。


スタンドアロンモードにおいて jass-execute コマンドで使用できるオプションについての詳細は、以下を参照してください。

使用可能なドライバの詳細なリストについては、Drivers ディレクトリを参照してください。新しいバージョンのソフトウェアでは追加のドライバが含まれていることがあります。


procedure icon  スタンドアロンモードでソフトウェアを実行する

1. secure.driver (または sunfire_15k_sc-secure.driver などの製品固有のスクリプト) を以下のとおり実行します。

コード例 3-3 スタンドアロンモードでのソフトウェアの実行 

# cd /opt/SUNWjass

# ./jass-execute -d secure.driver

 

[NOTE] The following prompt can be disabled by setting

JASS_NOVICE_USER to 0.

[WARN] Depending on how the Solaris Security Toolkit is configured,

it is both possible and likely that by default all remote shell

and file transfer access to this system will be disabled upon

reboot effectively locking out any user without console access to

the system.

 

Are you sure that you want to continue? (YES/NO) [NO]

y

 

[NOTE] Executing driver, secure.driver

 

===============================================================

secure.driver: Driver started.

===============================================================

 

===============================================================

Solaris Security Toolkit Version: 4.1.0

Node name:                        ufudu

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.9

Date:                             Tue May 4 16:28:24 EST 2004

===============================================================

[...]

使用可能なドライバの詳細なリストについては、Drivers ディレクトリを参照してください。新しいバージョンのソフトウェアでは追加のドライバが含まれていることがあります。

2. Solaris Security Toolkit ソフトウェアを実行した後、システムを再起動して変更を実装します。

セキュリティーの強化中に、クライアントの構成に対してさまざまな変更が行われます。たとえば、サービスの起動スクリプトを無効にする、サービスのオプションを無効にする、あるいはパッチを通して新しいバイナリまたはライブラリをインストールするなどの操作が行われます。これらの変更は、クライアントを再起動するまでは有効にならない場合があります。

3. システムの再起動後に、変更が正しく完璧に行われていることを検証します。

システムの変更の検証を参照してください。

4. エラーが検出された場合、問題を修正して、Solaris Security Toolkit ソフトウェアをスタンドアロンモードで再度実行します。

監査オプション

-a オプションを介して、Solaris Security Toolkit ソフトウェアは監査を実行し、システムがそのセキュリティープロファイルに適合しているかどうかを判断することができます。システムのファイルが変更されているかどうかだけでなく、以前に無効にされたプロセスが実行されているか、または削除されたソフトウェアパッケージが再インストールされているかどうかも検証されます。この機能についての詳細は、第 6 章を参照してください。

セキュリティープロファイルと比較してシステムを監査する場合の使用例 

# jass-execute -a driver [ -V [0-4] ] [ -q | -o output-file ] [ -m email-address ]

ヘルプ表示オプション

-h オプションは jass-execute のヘルプメッセージを表示します。利用可能なオプションについての概要が提供されます。

-h オプションでは以下のような出力が生成されます。

コード例 3-4 -h オプションの出力例 

# ./jass-execute -h

To apply this Toolkit to a system, using the syntax:

   jass-execute [-r root_directory -p os_version ]

      [ -q | -o output_file ] [ -m e-mail_address ]

      [ -V [3|4] ] [ -d ] driver

 

To undo a previous application of the Toolkit from a system:

   jass-execute -u [ -b | -f | -k ] [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To audit a system against a pre-defined profile:

   jass-execute -a driver [ -V [0-4] ] [ -q | -o output_file ]

      [ -m e-mail_address ]

 

To display the history of Toolkit applications on a system:

   jass-execute -H

 

To display the last application of the Toolkit on a system:

   jass-execute -l

 

To display this help message:

   jass-execute -h

   jass-execute -?

 

To display version information for this program:

   jass-execute -v

 

Note that just the driver name should be specified when using the

'-d' or '-a' options. A path need not be specified as the script

is assumed to exist in the Drivers directory.

 

The '-u' undo option is mutually exclusive with the '-d' and '-a'

options. The default undo behavior is to ask the user what to do if

a file to be restored has been modified as the checksum is

incorrect.

 

The -u option can be combined with the '-k', '-b', or '-f' to

override the default interactive behavior. The use of one of these

options is required when run in quiet mode ('-q').

 

The '-k' option can be used to always keep the current file and

backup if checksum is incorrect. The 'b' can be used to backup the

current file and restore original if the checksum is incorrect.

The 'f' option will always overwrite the original if the checksum

is incorrect, without saving the modified original.

ドライバオプション

-d driver オプションは、スタンドアロンモードで実行されるドライバを指定します。

-d オプションを使用してドライバを指定します。追加したスクリプトの名前の先頭に Drivers/ が付加されます。コマンド行にはスクリプト名だけを入力してください。


注 - -d オプションを -u、-H、-h、または -a オプションと一緒に使用することはできません。


-d driver オプションを使用して jass-execute を実行すると、以下のような出力が生成されます。

コード例 3-5 -d driver オプションの出力例 

# ./jass-execute -d secure.driver

[...]

[NOTE] Executing driver, secure.driver

 

===============================================================

secure.driver: Driver started.

===============================================================

 

===============================================================

Solaris Security Toolkit Version: 4.1.0

Node name:                        ufudu

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.9

Date:                             Tue Oct 4 16:28:24 EST 2004

===============================================================

[...]

電子メール通知オプション

-m email-address オプションを使用すると、スタンドアロンモードでのセキュリティー強化、および元に戻した操作の出力が、実行終了時に自動的に電子メール送信されます。他のオプションによってシステムに生成されたログに加えて、電子メールレポートが作成されます。

sunfire_15k_sc-config.driver を呼び出し、電子メール通知オプションを使用して Solaris Security Toolkit ソフトウェアを実行する場合、以下のように指定します。 

# ./jass-execute -m root -d sunfire_15k_sc-config.driver 

[...]

実行履歴オプション

-H オプションは、Solaris Security Toolkit ソフトウェアがシステムで何回実行されたかを示す簡単なメカニズムを提供します。取り消した実行も含めてすべての実行がリストされます。

-H オプションでは以下のような出力が生成されます。

コード例 3-6 -H オプションの出力例 

# ./jass-execute -H 

Note: This information is only applicable for applications of

      the Solaris Security Toolkit starting with version 0.3.

 

The following is a listing of the applications of the Solaris

Security Toolkit on this system.  This list is provided in

reverse chronological order:

 

1.   June 31, 2004 at 12:20:19 (20040631122019) (UNDONE)

2.   June 31, 2004 at 12:10:29 (20040631121029)

3.   June 31, 2004 at 12:04:15 (20040631120415)

出力は、Solaris Security Toolkit ソフトウェアがこのシステムで 3 回実行され、最後の実行は取り消されたことを示しています。

最近の実行オプション

-l オプションは、最近の実行を決定するためのメカニズムを提供します。これは -H オプションで常に最後にリストされる実行です。

-l オプションでは以下のような出力が生成されます。

コード例 3-7 -l オプションの出力例 

# ./jass-execute -l 

 

Note: This information is only applicable for applications of

      the Solaris Security Toolkit starting with version 4.1.0.

 

The last application of the Solaris Security Toolkit was:

 

1.   June 31, 2004 at 12:20:19 (20040631122019) (UNDONE)

出力ファイルオプション

-o output-file オプションは、jass-execute 実行のコンソール出力を別のファイル、output-file に転送します。

このオプションは、JASS_REPOSITORY ディレクトリで維持されるログには影響しません。Solaris Security Toolkit を実行すると大量の出力が生成されるため、低速の端末接続環境で実行するときに、このオプションは特に役立ちます。

このオプションは -d、-u、または -a オプションのいずれかと一緒に使用できます。

-o オプションでは以下のような出力が生成されます。

コード例 3-8 -o オプションの出力例 

# ./jass-execute -o jass-output.txt -d secure.driver 

[NOTE] Executing driver, secure.driver

[NOTE] Recording output to jass-output.txt

非表示オプション

-q オプションは、実行中の Solaris Security Toolkit の出力を標準入出力 (stdio) ストリームに対して無効にします。

このオプションは、JASS_REPOSITORY ディレクトリで維持されるログには影響しません。-o オプションと同様に、Solaris Security Toolkit ソフトウェアを cron ジョブまたは低速のネットワーク接続環境で実行するとき、このオプションは特に有効です。

このオプションは -d、-u、または -a オプションのいずれかと一緒に使用できます。

-q オプションでは以下のような出力が生成されます。

コード例 3-9 -q オプションの出力例 

# ./jass-execute -q -d secure.driver

[NOTE] Executing driver, secure.driver

ルートディレクトリオプション

-r root-directory オプションは、jass-execute の実行中に使用されるルートディレクトリを指定します。-r オプションを使用するときは、-p オプションでプラットフォーム (OS) バージョンも指定する必要があります。-p オプションの形式は uname -r で作成されるものと同じです。

デフォルトでは、ルートファイルシステムディレクトリは / です。このルートディレクトリは Solaris Security Toolkit 環境変数 JASS_ROOT_DIR で定義されます。セキュリティー強化の対象の Solaris OS は / を介して指定できます。たとえば、別の OS ディレクトリのセキュリティーを強化するには、一時的に /mnt にマウントし、
-r オプションで /mnt を指定します。すべてのスクリプトはその OS イメージに適用されます。

元に戻すオプション

-u オプションを介して、Solaris Security Toolkit ソフトウェアはシステムのセキュリティー強化中に行った変更を元に戻すことができます。それぞれの終了スクリプトを -u オプションで取り消すことができます。また、元に戻す機能は、Solaris Security Toolkit の実行ごとに生成されるチェックサムと密接に統合されています。この機能についての詳細は、第 4 章を参照してください。

元に戻すコマンドのコマンド行の使用例 

# jass-execute -u [ -b | -f | -k ] [ -q | -o output_file ]

       [ -m e-mail_address ] [ -V [3|4] ]

JumpStart モードでのソフトウェアの実行

JumpStart モードは、JumpStart サーバーの rules ファイルに挿入される Solaris Security Toolkit ドライバによって制御されます。

JumpStart モードを使用するように環境が構成されていない場合は、第 5 章を参照してください。

JumpStart テクノロジについての詳細は、Sun BluePrints マニュアル『JumpStart Technology: Effective Use in the Solaris Operating Environment』を参照してください。


procedure icon  JumpStart モードでソフトウェアを実行する

Solaris Security Toolkit ソフトウェアを JumpStart モードで実行するには、ソフトウェアを JumpStart 環境に統合し、JumpStart インストールに関連付けられている終了スクリプトの一部として呼び出します。Solaris Security Toolkit ソフトウェアを環境に統合する方法については、第 5 章を参照してください。

1. 必要なドライバの変更をすべて行った後、JumpStart インフラストラクチャーを使用してクライアントをインストールします。

この作業を実行するには、クライアントの ok プロンプトから以下のコマンドを使用します。

ok> boot net - install


インストールが完了すると、システムは自動的に再起動します。

システムは常に正しい構成でなければなりません。セキュリティーの強化中に、クライアントの構成に対してさまざまな変更が行われます。たとえば、サービスの起動スクリプトを無効にする、サービスのオプションを無効にする、あるいはパッチを通して新しいバイナリまたはライブラリをインストールするなどの操作が行われます。これらの変更は、クライアントを再起動するまで有効にならない場合があります。

2. システムが再起動されたら、変更が正しく完璧に行われていることを検証します。

システムの変更の検証を参照してください。

3. エラーが検出された場合、問題を修正して、クライアントの OS を再インストールします。

システムの変更の検証

システムの再起動後に以下の手順を行って、変更が正しく完璧に行われていることを検証します。

サービスの QA 検査の実行

システムのセキュリティー強化を実行する際の重要な作業の 1 つは、システムを正常に動作させるために有効にしておくべき OS サービスを判断することです。アプリケーションによって直接使用されている Solaris OS サービスは、有効にしておかなければなりません。たとえば、システムにログインするための Secure Shell などがこれに含まれます。一方、サン以外のソフトウェア管理ツールのグラフィカルユーザーインタフェースの遠隔手続き呼び出し (RPC) デーモンなどは、間接的に使用されるサービスです。

こうした要件の大部分は、Solaris Security Toolkit ソフトウェアを実行する前に決定しておく必要があります。(アプリケーションおよびサービス要件の決定を参照してください。) しかしながら、唯一の確実な方法は、システムをインストールしてセキュリティー強化を実行した後で品質保証 (QA) 検査を行い、必要な機能が備わっているかテストすることです。配備する前の新しいシステムでセキュリティー強化を実行した後、QA プランを実行します。同様に、配備後のシステムでセキュリティー強化を実行した場合も、テストを入念に実行します。必要な機能および予想される機能がすべて存在しているか確認してください。

QA プロセスで不一致が検出された場合は、以下の手順を実行します。

1. 第 2 章のガイドラインに基づいて、問題の箇所を見つけます。

2. アプリケーションが変更後の構成で実行されることを検証します。

3. Solaris Security Toolkit の実行によって行われた変更を元に戻します。

4. 問題の解決方法に基づいて、セキュリティープロファイル (ドライバ) を修正します。

5. Solaris Security Toolkit ソフトウェアを再度実行します。

最終的に、セキュリティープロファイルを実行してもシステムの必要な機能に影響を与えないことが確認されなければなりません。

構成のセキュリティー評価の実行

システムの機能性の検証に加えて、システムのセキュリティー構成を検証し、必要レベルのセキュリティーが確保されているかどうかを判断します。システムの強化または最小化の内容に応じて、確認する項目は異なります。

少なくとも、以下の点についてシステムの構成を確認します。

上記の確認事項は、新しく構築してセキュリティー確保を実行したシステムに対する最小限のものです。配備済みのシステムのセキュリティーを強化した場合は、基礎となる OS が不当に変更されていないか検証する必要があります。完全性を検査するには、システムのファイルシステムを読み取り専用モードでマウントし、既知の OS インスタンスから完全性検査ソフトウェアを実行するのが最良の方法です。検証には Sun BluePrints OnLine 掲載記事『The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files』に記載されているツールが役立ちます。

セキュリティープロファイルの検証

システムのセキュリティーを確保し、必要なサービスおよび機能を検証した後で、監査機能を使用してセキュリティープロファイルが正しく完璧に適用されていることを確認します。この作業は 2 つの理由で非常に重要です。第一に、システムのセキュリティーが適切に強化されたことを確認するためです。第二に、システムに対して定義されたセキュリティープロファイルが Solaris Security Toolkit 構成に適切に反映されていることを確認するためです。システムの配備後の期間全体にわたり、構成情報に基づいてセキュリティープロファイルが維持されるので、この検査は不可欠です。

監査機能についての詳細は、第 6 章を参照してください。

インストール後の作業の実行

ソフトウェアを配備済みのシステムにインストールした場合、インストール後の作業についての詳細は、インストール後の作業の実行を参照してください。



  Solaris Security Toolkit 4.1 管理マニュアル 817-7653-10 目次前の章次の章索引


Copyright© 2004, Sun Microsystems, Inc. All rights reserved.