Solaris Security Toolkit 4.1 管理指南 目錄上一章下一章本書索引


第3章

安裝及執行安全性軟體

本章提供下載安裝及執行 Solaris Security Toolkit 軟體的指示以及其他安全性相關軟體。包含將您的環境配置為獨立或 JumpStart 模式以及取得支援的指示。

遵循本章提供的指示及程序來安裝，配置以及執行軟體。這些指示包括下載其他的安全性軟體，有用的範例以及準則。

雖然 Solaris Security Toolkit 軟體是獨立的產品，但是當它與其他下載的安全性軟體共同使用時最為有效。此軟體包括來自 SunSolve OnLine 最新的「建議和安全修補程式叢集」、可緊化 Solaris 作業系統及協力廠商軟體權限之權限及所有權修正軟體，及可驗證 Sun 檔案及執行檔的完整性的驗證二進位碼。Solaris 作業系統發行版本的 Secure Shell 軟體並未內含。

本節包含以下作業：

執行規劃及安裝前作業

正確的規劃是成功使用 Solaris Security Toolkit 軟體以鞏固系統安全性的關鍵。安裝軟體之前，請參閱第 2 章取得詳細規劃資訊。

若您要安裝軟體於已部署的系統，請參閱執行安裝前作業，取得在安裝軟體於已部署系統之安裝前作業的資訊。

需求

Solaris Security Toolkit 4.1 軟體有一些需求。

硬體需求

請參閱執行支援的 Solaris 作業系統版本，以得知 Solaris 作業系統支援版本的相關資訊。

軟體需求

Solaris Security Toolkit 4.1 軟體需要 SUNWloc 套裝模組。若沒有此套裝模組，就會導致 Solaris Security Toolkit 的執行失敗。

請參閱執行支援的 SMS 版本，以得知 System Managements Services (SMS) 軟體支援版本的相關資訊。

判定使用何種模式

系統安裝期間或之後要及時強化系統，限制系統處於可能暴露在攻擊的不安全狀態時間。使用 Solaris Security Toolkit 軟體保護系統之前，請配置 Solaris Security Toolkit 軟體以便在您的環境正確執行。

Solaris Security Toolkit 軟體具有模組化架構。若您使用 JumpStart 產品，Solaris Security Toolkit 軟體架構的彈性可以有效的準備您之後使用 JumpStart。若您使用 JumpStart，您可自 Solaris Security Toolkit 軟體可以合至現存 JumpStart 架構的能力中獲益。

下面章節說明獨立模式及 JumpStart 模式。

獨立模式

Solaris Security Toolkit 軟體在獨立模式下，直接自 Solaris 作業系統 shell 提示符號後執行。此模式下，您可於需要更改或更新安全性的系統上使用 Solaris Security Toolkit 軟體，但是不可自原點開始重新安裝作業系統。但是如果可能，系統應改自原點開始重新安裝來保護系統。

當安裝修補程式之後作系統強化，獨立模式特別有用。您可在系統上執行多次 Solaris Security Toolkit 軟體，不會有不良的效果。修補程式可能覆寫或者更改那些 Solaris Security Toolkit 更改過的檔案；藉由執行 Solaris Security Toolkit 軟體，任何因安裝修補程式而取消的安全性更改可以重新被使用。


備註 - 在生產環境中，於真實環境安裝修補程式之前，請於測試及開發環境呈現修補程式。


獨立模式是用來盡速強化一個已部署的系統的最好選項之一。除了下載安全性軟體中提供的下載及安裝指示外，將 Solaris Security Toolkit 軟體整合至沒有 JumpStart 的架構並不需要特別的步驟。

JumpStart 模式

JumpStart 技術是以網路為基礎的 Solaris 作業系統安裝機制，可以在安裝期間執行 Security Toolkit 程序檔。本書假設讀者熟悉 JumpStart 技術，而且具備既存的 Jumpstart 環境可供使用。要取得更多有關 JumpStart 技術的資訊，請參閱 Sun BluePrints 文件「JumpStart Technology: Effective Use in the Solaris Operating Environment」。

若是用於 JumpStart 環境，請將位於 JASS_HOME_DIR（tar 下載）或 /opt/SUNWjass（pkg 下載）中的 Solaris Security Toolkit 原始碼複製到 JumpStart 伺服器的根目錄。預設為 JumpStart 伺服器上的 /jumpstart。JASS_HOME_DIR 成為 JumpStart 伺服器的根目錄。

整合 Solaris Security Toolkit 軟體至 JumpStart 架構只需要少數步驟。請參閱第 5 章取得如何配置 JumpStart 伺服器的指示。

下載安全性軟體

強化系統的第一階段為下載其他安全性套裝模組至您要保護的系統。本節涵蓋以下作業：


備註 - 本節說明的軟體中，Solaris Security Toolkit 軟體、「建議和安全修補程式叢集」、FixModes 及 MD5 軟體都是必要的。您可使用商業版本的 Secure Shell 替代 OpenSSH，不同廠商的軟體皆可適用。安裝及使用 Secure Shell 產品至所有的系統。若使用 Solaris 9 作業系統，請使用內含的 Secure Shell 版本。


下載 Solaris Security Toolkit 軟體

首先下載 Solaris Security Toolkit 軟體。然後，如果您使用獨立模式 Solaris Security Toolkit 軟體，請安裝至伺服器上；或者，如果您使用 JumpStart 模式，請安裝至 JumpStart 伺服器上。


備註 - 下列指示使用的檔案名稱與版本號碼無關。請務必下載網站上的最新版本。


在本手冊的其他部分中，環境變數 JASS_HOME_DIR 指的是 Solaris Security Toolkit 軟體的根目錄。當 Solaris Security Toolkit 軟體自 tar 歸檔中安裝時，JASS_HOME_DIR 被定義為直至及包含 jass-n.n 的路徑。若您安裝 /opt 目錄內的 tar 版本，JASS_HOME_DIR 環境變數則會定義為 /opt/jass-n.n。

Solaris Security Toolkit 軟體除了傳統的壓縮 tar 歸檔以外，還以 Solaris 作業系統套裝模組格式發行。二者歸檔皆含有相同的軟體。

選擇最適合您的狀況的格式。pkg 格式最適合用戶端，而 tar 最適合 JumpStart 系統及開發自訂套裝之用。

以下章節提供下載及安裝兩個不同歸檔類型的程序。


procedure icon  下載 tar 版本

1. 下載軟體發行檔案 (jass-n.n.tar.Z)。

原始檔位於以下網站：

http://www.sun.com/security/jass

2. 使用 zcat 及 tar 指令將軟體發行檔案解壓縮至伺服器的目錄，如下所示： 


# zcat jass-n.n.tar.Z | tar xvf -

 

其中，n.n 為您下載時的最新版本。

執行此指令，建立目前工作目錄中的 jass-n.n 子目錄。此子目錄包含所有 Solaris Security Toolkit 目錄及相關檔案。


procedure icon  下載 pkg 版本

1. 下載軟體發行檔案 (SUNWjass-n.n.pkg.Z)。

此原始檔位於：

http://www.sun.com/security/jass


備註 - 若您下載軟體時遇到困難，請使用瀏覽器的 [Save As] 選項。


2. 使用 uncompress 指令，將軟體發行檔案解壓縮至伺服器上的目錄： 


# uncompress SUNWjass-n.n.pkg.Z

 

3. 使用 pkgadd 指令，安裝軟體發行檔案至伺服器上的目錄，如下所示： 


# pkgadd -d SUNWjass-n.n.pkg SUNWjass

 

其中，n.n 為您下載時的最新版本。

執行此指令會在 /opt 中建立 SUNWjass 目錄。此子目錄包含所有 Solaris Security Toolkit 目錄及相關檔案。

下載建議的修補程式叢集軟體

Sun 發行的修補程式提供 Solaris 作業系統修補效能、穩定性、功能性以及安全性。對於系統安全性而言，安裝最新的修補程式叢集非常重要。要確保安裝於您系統上的是 Solaris 作業系統「建議和安全修補程式叢集」 最新版本，本節說明如何下載最新修補程式叢集。


備註 - 安裝修補程式之前，在未上線系統或維護排程期間作評估及測試。



procedure icon  下載建議的修補程式叢集軟體

安裝修補程式叢集之前，檢閱個別修補程式讀我檔案及其他提供的資訊。資訊通常包含安裝修補程式叢集之前需要瞭解的建議以及有用的資訊。

1. 自 SunSolve OnLine Web 網站下載最新修補程式叢集，位於：

http://sunsolve.sun.com

2. 於左端瀏覽位址列之頂端按下 [Patches] 連結。

3. 按下 [Recommended Patches Clusters] 連結。

顯示授權合約。

4. 選擇 [Recommended Solaris Patch Clusters] 方塊內適當的 Solaris 作業系統版本。

本範例中，選擇 Solaris 8 作業系統。

5. 選擇最佳下載選項， HTTP 或是 FTP 的單選按鈕，然後按 [Go]。

瀏覽器視窗顯示一個 [Save As] 對話方塊。

6. 本機儲存檔案。

7. 安全地移動檔案至強化的系統。

使用 scp（scp(1)－ 安全複製（遠端複製程式））指令，或者使用另一個傳輸安全檔的方法。

使用 scp 指令如下： 


# scp 8_Recommended.zip target01:

 

8. 移動檔案至 /opt/SUNWjass/Patches 目錄，然後解壓縮。

例如：


程式碼範例 3-1 移動修補程式至 /opt/SUNWjass/Patches 目錄 

# cd /opt/SUNWjass/Patches

# mv /directory in which file was saved/8_Recommended.zip .

# unzip 8_Recommended.zip

Archive:     8_Recommended.zip

   creating: 8_Recommended/

  inflating: 8_Recommended/CLUSTER_README  

  inflating: 8_Recommended/copyright  

  inflating: 8_Recommended/install_cluster  

[. . .]

 

當您下載其他安全性套裝模組以及執行 Solaris Security Toolkit 軟體之後，修補程式會自動安裝。


備註 - 若您未將「建議和安全修補程式叢集」軟體放置於 /opt/SUNWjass/Patches 目錄，當您執行 Solaris Security Toolkit 軟體時會出現警告訊息。若無修補程式叢集適用，忽略此訊息是安全的。此狀況通常發生在新發行版本的作業系統。


下載 FixModes 軟體

FixModes 是可緊化預設 Solaris 作業系統目錄及檔案權限的套裝模組。緊化這些權限可以大幅改善整體的安全性。更具限制性的權限使得惡意使用者要取得系統權限變為更加困難。


備註 - Solaris 9 作業系統發行版本，對那些曾被 FixModes 軟體更改過的物件作了修改，來改進預設權限。但是 FixModes 軟體還是有必要，原因是協力廠商及非隨附的軟體需要緊化檔案及目錄的權限。



procedure icon  下載 FixModes 軟體

1. 自下列網址下載 FixModes 預先編譯之二進位碼：

http://www.sun.com/security/jass

FixModes 軟體以 Solaris 作業系統系統之預先編譯及壓縮套裝模組版本檔案格式做為發行。檔案名稱為 SUNBEfixm.pkg.Z。

2. 使用 scp 指令或其他安全傳送檔案的方法，安全地移動檔案至強化的系統。

使用 scp 指令如下： 


# scp SUNBEfixm.pkg.Z target01:

 

3. 透過以下指令，解壓縮並儲存 /opt/SUNWjass/Packages 中的 Solaris Security Toolkit Packages 目錄的 SUNBEfixm.pkg.Z 檔案： 


# uncompress SUNBEfixm.pkg.Z

# mv SUNBEfixm.pkg /opt/SUNWjass/Packages/

 

接下來，當下載完所有其他安全性套裝模組後， FixModes 軟體會自動安裝並且執行 Solaris Security Toolkit 軟體。

下載 OpenSSH 軟體

任何安全環境下，要保護使用者互動階段作業，使用加密結合增強驗證是必要的。至少，網路存取必須是加密的。

最通常被用來做為加密工具的是 Secure Shell 軟體，不論是與 Solaris 作業系統搭售的版本、協力廠商的商業版本或是免費軟體版本皆可。要實現所有由 Solaris Security Toolkit 軟體所作的安全性更改，您必須納入一個 Secure Shell 軟體產品。


備註 - 若使用 Solaris 9 作業系統，請使用軟體提供的 Secure Shell 。此版本的 Secure Shell 可與其他 Solaris 作業系統安全功能，如 Basic Security Module (BSM) 以及 Sun 支援中心的支援作整合。


相關資源有提供關於取得商業版本的 Secure Shell 的位置之資訊。

Solaris Security Toolkit 軟體會停用所有未加密的使用者互動服務及系統的常駐程式，特別是如 in.telnetd、 in.ftpd、in.rshd 及 in.rlogind 等常駐程式。

Secure Shell 可讓您如使用 Telnet 和 FTP 一般地存取系統。


procedure icon  下載 OpenSSH 軟體


備註 - 若伺服器執行 Solaris 9 作業系統，您可使用搭售的 Secure Shell 軟體，跳過本節所述的 OpenSSH 安裝步驟。


single-step bullet取得 Sun BluePrints OnLine 文摘，遵循文章中的指示下載軟體。

一篇標題為「Building and Deploying OpenSSH on the Solaris Operating Environment」的 Sun BluePrints OnLine 文摘，說明了如何編譯及部署 OpenSSH，可在下列網站中找到：

http://www.sun.com/blueprints

或者設法取得 Sun BluePrints 出版之「Secure Shell in the Enterprise」， 應可於書店找到。

下載完所有其他安全性套裝模組及執行 Solaris Security Toolkit 軟體後，OpenSSH 軟體會自動安裝。


caution icon

注意 - 不要在需強化的系統上編譯OpenSSH 而且不要安裝編譯器至需強化的系統。使用另一個 Solaris 作業系統 － 執行相同 Solaris 作業系統版本、架構及模式的系統（例如：Solaris 8 作業系統、Sun4U (sun4u) 及 64 位元）－ 來編譯 OpenSSH。若您使用 SSH 的商業版本，則不需要編譯。此目的為限制編譯器為潛在入侵者的可能性。但是，限制系統於本機安裝編譯器並不能保證系統無法遭惡意入侵，原因是仍要安裝預先編譯的工具。


下載 MD5 軟體

MD5 軟體在強化系統上產生 MD5 數位指紋。產生數位指紋後，與 Sun 所發表之正確指紋作比較，可以偵測被更改過的二進位程式碼或未被授權使用者的特洛伊木馬入侵（安全下內藏危險程式）。藉由更改系統二進位碼，入侵者開了系統的後門可作存取、隱瞞入侵者的存在並且導致系統的不穩定。


procedure icon  下載 MD5 軟體

1. 從以下網站下載 MD5 二進位碼：

http://www.sun.com/security/jass

MD5 程式以壓縮套裝模組版本檔案做為發行。

2. 使用 scp 指令強化，或使用提供安全檔案傳輸的另一種方法，將檔案 SUNBEmd5.pkg.Z 安全地移動到系統。

使用 scp 指令如下： 


# scp SUNBEmd5.pkg.Z target01:

 

3. 解壓縮並移動檔案至 /opt/SUNWjass/Packages 內的 Solaris Security Toolkit 之 Packages 目錄內。使用如下的指令： 


# uncompress SUNBEmd5.pkg.Z

# mv SUNBEmd5.pkg /opt/SUNWjass/Packages/

 

在 MD5 軟體儲存到 /opt/SUNWjass/Packages 目錄之後，執行 Solaris Security Toolkit 軟體時就會安裝該軟體。

當 MD5 二進位碼已安裝完畢，您可透過 Solaris 指紋資料庫，使用它來確認系統執行檔的完整性。Sun BluePrints OnLine 文摘，標題為「The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files」中可取得更多有關 Solaris 指紋資料庫的資訊。

4. （選擇使用）自 Sun BluePrint 網站下載及安裝 Solaris Fingerprint Database Companion 以及 Solaris Fingerprint Database Sidekick 軟體：

http://www.sun.com/blueprints/tools

安裝及使用 MD5 軟體的選用工具。這些工具簡化了驗證系統二進位碼與 MD5 檢查總和資料庫作對照的程序。經常使用這些工具來驗證安全系統上，Solaris 作業系統二進位碼及檔案的完整性。

如何下載這些工具及指示可以在標題為「The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files」的 Sun BluePrints OnLine 文摘中找到。

應該驗證下載的安全性工具的完整性。安裝及執行 Solaris Security Toolkit 軟體及其他安全性軟體之前，請使用 MD5 總和檢查來驗證完整性。Solaris Security Toolkit 的下載頁上，可以取得 MD5 總和檢查。

自訂安全性設定檔

Solaris Security Toolkit 軟體內含，如驅動程式，很多不同的安全性設定檔範例。如前章所述，預設安全性設定檔及這些驅動程式的更改可能不適合您的系統。這些驅動程式所使用的安全性設定檔將停用不需要的服務，並啟用遭預設為停用的安全功能選項。

執行 Solaris Security Toolkit 軟體之前，為您的環境檢閱及自訂，或是建立一個新的預設安全性設定檔。「Solaris Security Toolkit 4.1 Reference Manual」中提供了自訂安全性設定檔的技巧及準則。

安裝及執行軟體

在執行 Solaris Security Toolkit 軟體之前完成下列準備作業是重要的。當您執行 Solaris Security Toolkit 軟體時，大部分強化動作是自動完成的。

您可自 JumpStart 伺服器或指令行執行 Solaris Security Toolkit 軟體。

對於指令行選項及執行軟體的其他資訊，請參閱下列章節：

在獨立模式下執行軟體

程式碼範例 3-2 顯示獨立模式指令行用法範例。


程式碼範例 3-2 獨立模式指令行用法範例 

# ./jass-execute -h

 

usage:

 

To apply this Toolkit to a system, using the syntax:

   jass-execute [-r root_directory -p os_version ]

      [ -q | -o output_file ] [ -m e-mail_address ]

      [ -V [3|4] ] [ -d ] driver

 

To undo a previous application of the Toolkit from a system:

   jass-execute -u [ -b | -f | -k ] [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To audit a system against a pre-defined profile:

   jass-execute -a driver [ -V [0-4] ] [ -q | -o output_file ]

      [ -m e-mail_address ]

 

To display the history of Toolkit applications on a system:

   jass-execute -H

 

To display the last application of the Toolkit on a system:

   jass-execute -l

 

To display this help message:

   jass-execute -h

   jass-execute -?

 

To display version information for this program:

   jass-execute -v

 

#

 

表 3-1 列出指令行選項並逐一說明。


表 3-1 使用 jass-execute 的指令行選項

選項

說明

-a

判定系統是否與安全性設定檔相符。

-b

與 -u 選項搭配使用。備份自最後一次強化執行以來手動變更的所有檔案，然後將系統復原其原始狀態。

-d

指定獨立模式下執行驅動程式。

-f

與 -u 選項搭配使用。逆轉在強化執行期間所做的變更，而不詢問您是否有任何例外，即使檔案是在強化執行之後才手動變更的也一樣。

-h

顯示 jass-execute 的說明訊息，提供適用選項的簡介。

-H

提供系統上 Solaris Security Toolkit 軟體的歷程。

-k

與 -u 選項搭配使用。保留自最後一次強化執行以來所做的任何手動變更。

-l

顯示系統上 Solaris Security Toolkit 的最後一個應用程式。

-m

傳送輸出至指定的電子郵件地址。

-o

導引輸出至指定檔案。

-p

與 -r root_directory 選項搭配使用。

指定 Solaris 作業系統的作業系統版本。格式與 uname -r 使用的相同。

-q

阻止將輸出顯示至螢幕。也稱作無訊息選項。

-r

必須與 -p os_version 搭配使用。

指定 jass-execute 執行期間使用的根目錄。依據預設，root 檔案系統為 /。此根目錄是由 Solaris Security Toolkit (JASS) 環境變數 JASS_ROOT_DIR 所定義。被鞏固安全性的 Solaris 作業系統可透過 / 找到。例如，您想要鞏固個別作業系統目錄的安全性，就暫時掛載到 /mnt 下，然後再使用 -r 選項來指定 /mnt。

-u

互動提示詢問您意外發生要採取何種行動時，執行還原選項。無法與 -d、 -a、-h、-l 或-H 選項搭配使用。

-v

顯示此程式的版本資訊。

-V

指定訊息輸入的詳情層級。

-?

顯示 jass-execute 的說明訊息，提供適用選項的簡介。


 

要取得獨立模式下執行 jass-execute 指令及其可用選項的詳細資訊，請參閱下面章節：

若要取得適用驅動程式的完整清單，請參閱 Drivers 目錄。新版軟體可能包含更多驅動程式。


procedure icon  在獨立模式下執行軟體

1. 執行 secure.driver（或者產品專用程序檔，例如：sunfire_15k_sc-secure.driver）如下。


程式碼範例 3-3 在獨立模式下執行軟體 

# cd /opt/SUNWjass

# ./jass-execute -d secure.driver

 

[NOTE] The following prompt can be disabled by setting

JASS_NOVICE_USER to 0.

[WARN] Depending on how the Solaris Security Toolkit is configured,

it is both possible and likely that by default all remote shell

and file transfer access to this system will be disabled upon

reboot effectively locking out any user without console access to

the system.

 

Are you sure that you want to continue? (YES/NO) [NO]

y

 

[NOTE] Executing driver, secure.driver

 

===============================================================

secure.driver: Driver started.

===============================================================

 

===============================================================

Solaris Security Toolkit Version: 4.1.0

Node name:                        ufudu

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.9

Date:                             Tue May 4 16:28:24 EST 2004

===============================================================

[...]

 

若要取得適用驅動程式的完整清單，請參閱 Drivers 目錄。新版軟體可能包含更多驅動程式。

2. 執行 Solaris Security Toolkit 軟體之後，請重新啟動系統使變更生效。

強化期間，用戶端配置作不同的更改。這些更改可能包括伺服器停用起始程序檔，服務的停用選項，以及透過修補程式安裝新二進位碼或程式庫。在用戶端重新啟動之前，這些更改不會生效。

3. 重新啟動系統之後，確認更改的正確性及完整性。

請參閱驗證系統修改。

4. 若發生任何錯誤，處理錯誤之後重新在獨立模式下執行 Solaris Security Toolkit 軟體。

稽核選項

透過 -a 選項，Solaris Security Toolkit 可執行稽核，來判定系統是否與安全性設定檔相符。稽核不僅驗證更改過的系統檔案是否仍然使用中，還要確認已經遭停用的程序是否仍然執行或者已移除的套裝模組是否被重新安裝。要取得更多此項功能的資訊，請參閱第 6 章。

對照安全性設定檔稽核系統的用法範例： 


# jass-execute -a driver [ -V [0-4] ] [ -q | -o output-file ] [ -m email-address ]

 

顯示說明選項

jass-execute 的 -h 選項顯示說明訊息，提供適用選項的簡介。

-h 選項之輸出與下列輸出相似：


程式碼範例 3-4 -h 選項輸出範例 

# ./jass-execute -h

To apply this Toolkit to a system, using the syntax:

   jass-execute [-r root_directory -p os_version ]

      [ -q | -o output_file ] [ -m e-mail_address ]

      [ -V [3|4] ] [ -d ] driver

 

To undo a previous application of the Toolkit from a system:

   jass-execute -u [ -b| -f | -k ] [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To audit a system against a pre-defined profile:

   jass-execute -a driver [ -V [0-4] ] [ -q | -o output_file ]

      [ -m e-mail_address ]

 

To display the history of Toolkit applications on a system:

   jass-execute -H

 

To display the last application of the Toolkit on a system:

   jass-execute -l

 

To display this help message:

   jass-execute -h

   jass-execute -?

 

To display version information for this program:

   jass-execute -v

 

Note that just the driver name should be specified when using the

'-d' or '-a' options. A path need not be specified as the script

is assumed to exist in the Drivers directory.

 

The '-u' undo option is mutually exclusive with the '-d' and '-a'

options. The default undo behavior is to ask the user what to do if

a file to be restored has been modified as the checksum is

incorrect.

 

The -u option can be combined with the '-k', '-b', or '-f' to

override the default interactive behavior. The use of one of these

options is required when run in quiet mode ('-q').

 

The '-k' option can be used to always keep the current file and

backup if checksum is incorrect. The 'b' can be used to backup the

current file and restore original if the checksum is incorrect.

The 'f' option will always overwrite the original if the checksum

is incorrect, without saving the modified original.

 

驅動程式選項

-d driver 選項指定驅動程式在獨立模式下執行。

您必須指定驅動程式的 -d 選項。Solaris Security Toolkit 軟體會將 Drivers/ 加在程序檔名稱之前。您只需要在指令行輸入程序檔名稱。


備註 - 不可以同時使用 -d 及 -u、-H、-h 或 -a 選項。


jass-execute 強化指令使用 -d driver 選項之輸出與下列輸出相似：


程式碼範例 3-5 -d driver 選項輸出範例 

# ./jass-execute -d secure.driver

[...]

[NOTE] Executing driver, secure.driver

 

===============================================================

secure.driver: Driver started.

===============================================================

 

===============================================================

Solaris Security Toolkit Version: 4.1.0

Node name:                        ufudu

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.9

Date:                             Tue Oct 4 16:28:24 EST 2004

===============================================================

[...]

 

電子郵件通知選項

-m email-address 選項提供當程式執行完畢時，Solaris Security Toolkit 軟體會自動傳送獨立強化或還原輸出的電子郵件機制。電子郵件報告為使用其他選項時系統產生的日誌檔之外的報告。

Solaris Security Toolkit 透過電子郵件選項執行呼叫 sunfire_15k_sc-config.driver 應與下列輸出相似： 


# ./jass-execute -m root -d sunfire_15k_sc-config.driver 

[...]

 

執行歷程選項

-H 選項提供判定 Solaris Security Toolkit 軟體在系統上的執行次數的簡單機制。不論是否做過還原，所有的執行皆被列出。

-H 選項之輸出與下列輸出相似：


程式碼範例 3-6 -H 選項輸出範例 

# ./jass-execute -H 

Note: This information is only applicable for applications of

      the Solaris Security Toolkit starting with version 0.3.

 

The following is a listing of the applications of the Solaris

Security Toolkit on this system.  This list is provided in

reverse chronological order:

 

1.   June 31, 2004 at 12:20:19 (20040631122019) (UNDONE)

2.   June 31, 2004 at 12:10:29 (20040631121029)

3.   June 31, 2004 at 12:04:15 (20040631120415)

 

此輸出顯示 Solaris Security Toolkit 軟體執行了 3 次，最後一次作了還原。

最近執行的選項

-l 選項提供判定最近執行的機制。這總是 -H 選項列出的最後一項。

-l 選項提供類似下列的輸出：


程式碼範例 3-7 -l 選項輸出範例 

# ./jass-execute -l 

 

Note: This information is only applicable for applications of

      the Solaris Security Toolkit starting with version 4.1.0.

 

The last application of the Solaris Security Toolkit was:

 

1.   June 31, 2004 at 12:20:19 (20040631122019) (UNDONE)

 

輸出檔案選項

-o output-file 選項重導 jass-execute 螢幕輸出至檔案 output-file。

此選項對於 JASS_REPOSITORY 目錄中保存的記錄不發生作用。此選項對於執行在一台慢終端機上時非常有幫助，因為執行 Solaris Security Toolkit 會產生大量的輸出。

此選項可同時與 -d、-u 或 -a 選項同時使用。

-o 選項之輸出與下列輸出相似：


程式碼範例 3-8 -o 選項輸出範例 

# ./jass-execute -o jass-output.txt -d secure.driver 

[NOTE] Executing driver, secure.driver

[NOTE] Recording output to jass-output.txt

 

無訊息輸出選項

-q 選項停止將強化執行之 Solaris Security Toolkit 輸出到標準輸入輸出 (stdio) 資料流。

此選項對於 JASS_REPOSITORY 目錄中保存的記錄不發生作用。與 -o 選項相似，此選項對於執行 cron 工作或在緩慢網路上執行 Solaris Security Toolkit 軟體非常有幫助。

此選項可同時與 -d、-u 或 -a 選項同時使用。

-q 選項之輸出與下列輸出相似：


程式碼範例 3-9 -q 選項輸出範例 

# ./jass-execute -q -d secure.driver

[NOTE] Executing driver, secure.driver

 

根目錄選項

-r root-directory 選項指定執行 jass-execute 時會使用到根目錄。使用 -r 選項需要使用 -p 選項來指定平台（作業系統）版本。-p 選項的格式與 uname -r 產生的格式相同。

依據預設，檔案系統的根目錄為 /。此根目錄被 Solaris Security Toolkit 的環境變數 JASS_ROOT_DIR 定義。要安全化的 Solaris 作業系統可透過 / 取得。例如，一個單獨的作業系統目錄要安全化，暫時掛載至 /mnt，然後使用 -r 選項來指定 /mnt。所有的程序檔套用到該作業系統影像。

還原選項

透過 -u 選項，Solaris Security Toolkit 軟體可以還原強化期間的系統修改。每個結束的程序檔可以使用 -u 選項作還原。除此之外，Solaris Security Toolkit 的還原能力與每次執行時產生的總和檢查作緊密的整合。要取得此能力的更多資訊，請參閱第 4 章。

還原指令的用法範例： 


# jass-execute -u [ -f | -b | -k ] [ -q | -o output_file ]

       [ -m e-mail_address ] [ -V [3|4] ]

 

在 JumpStart 模式下執行軟體

JumpStart 模式由將 Solaris Security Toolkit 驅動程式加入 JumpStart 伺服器的 rules 檔案內來控制。

若您尚未將您的環境配置為使用 JumpStart 模式，請參閱第 5 章。

要取得更多有關 JumpStart 技術的資訊，參考 Sun BluePrints 文件「JumpStart Technology: Effective Use in the Solaris Operating Environment」。


procedure icon  在 JumpStart 模式下執行軟體

要在 JumpStart 模式下執行 Solaris Security Toolkit 軟體，則必須將它整合至您的 JumpStart 環境。做為 JumpStart 安裝結束程序檔的一部分可被呼叫。要取得如何將 Solaris Security Toolkt 軟體整合至您的環境的資訊，請參閱第 5 章。

1. 當作完驅動程式所有必要的修改時，使用 JumpStart 基礎架構安裝用戶端。

於用戶端 ok 提示符號下，使用下列指令來完成此項作業。


ok> boot net - install


 

一旦安裝完成，JumpStart 軟體會重新啟動系統。

系統應該處於正確配置中。強化期間，用戶端的配置作了不同的修改。這些修改包括停用服務起始程序，停用服務選項及透過修補程式安裝新的二進位碼或者程式庫。直至用戶端重新啟動，這些修改才會生效。

2. 系統重新啟動後，確認修改的正確性及完整性。

請參閱驗證系統修改。

3. 若發生任何錯誤，請修復錯誤，然後重新安裝用戶端作業系統。

驗證系統修改

重新啟動系統後，依照下面章節所述，驗證修改的正確性及完整性。

執行品質保證 (QA) 檢核服務

安全系統中一個重要的挑戰是判定什麼作業系統服務必須保留使用，才能使系統正常運作。Solaris 作業系統服務可能是需要的，由於它們直接被（如 Secure Shell）用來登入系統。或者，它們也可間接被使用，例如：協力廠商的圖形化使用者介面則使用 Remote Procedure Call (RPC) 常駐程式。

執行 Solaris Security Toolkit 軟體之前，要先判定大多數的需求 （請參閱判定應用程式及服務的需求。） 但是，唯一確定的機制是安裝及保護系統，然後透過品質保證 (QA) 測試來測試系統所需要的功能。當系統強化後，任何要部署的新系統必須要執行 QA 計畫。同樣地，要強化已部署的系統，必須透過測試確保所有需要的及期待的功能都存在。

若 QA 程序發現任何不一致性，請執行下列步驟：

1. 根據第 2 章中的準則判定問題區域。

2. 驗證應用程式在修改過的配置中可執行。

3. 還原 Solaris Security Toolkit 運作。

4. 根據問題的解析，修改安全性設定檔（驅動程式）。

5. 重新執行 Solaris Security Toolkit 軟體。

最終結果必須是，安全性設定檔的執行不會影響任何系統需求的功能。

執行配置的安全性評估

驗證系統是否執行所有需要的功能時，也要評估安全配置是否達到系統預想的安全等級。根據系統所作的強化或最小化，可能牽涉不同的狀況。

最基本的，系統配置必須依下列方式檢閱：

對於新建立及安全化的系統，此項檢視應當做最低限度的檢核。強化老舊的系統時，底層的作業系統應該確認是否有未經授權的更改。完整性的檢查最好藉由掛載系統至唯讀模式，然後自已知的作業系統實例中執行完整性檢核軟體。Sun BluePrints OnLine 文摘「The Solaris Fingerprint Database -- Security Tool for Solaris Software and Files」中所述的工具在這些情境中十分有用。

驗證安全性設定檔

在系統安全化及驗證完需要的服務及能力之後，請使用稽核功能確定安全檔案正確及完整地被套用。這個作業重要的原因有兩個。首先確保系統如需求般做好強化。第二要確保系統定義的安全性設定檔安全性設定檔可以正確的反映在 Solaris Security Toolkit 配置中。由於配置資訊在整個部署的生命週期內，要用來維護系統的安全性設定檔，因此這項檢核非常重要。

要取得更多有關稽核功能的資訊，參閱第 6 章。

執行安裝後作業

若您在已部署的系統上安裝軟體，請參閱執行安裝後作業，以取得相關資訊。



  Solaris Security Toolkit 4.1 管理指南 817-7656-10 目錄上一章下一章本書索引


Copyright © 2004, Sun Microsystems, Inc. 版權所有.