C H A P I T R E 3 - Mise à niveau, installation et exécution du logiciel de sécurité

C H A P I T R E 3

Mise à niveau, installation et exécution du logiciel de sécurité

Ce chapitre décrit le téléchargement, la mise à niveau, l'installation et l'exécution du logiciel Solaris Security Toolkit et d'autres logiciels de sécurité. Il fournit également des instructions de configuration de l'environnement en mode autonome ou JumpStart, et indique comment bénéficier d'un support technique.

Suivez les instructions et les processus contenus dans cette section pour mettre à niveau ou installer, configurer et exécuter le logiciel. Ces instructions comprennent le téléchargement de logiciels supplémentaires, des exemples utiles et des directives.

Bien que le logiciel Solaris Security Toolkit soit un produit autonome, il est plus efficace lorsqu'il est utilisé avec les logiciels supplémentaires proposés en téléchargement. Ces logiciels comprennent le dernier cluster de patchs recommandés et de sécurité de SunSolve OnLine, le logiciel Secure Shell pour les versions du SE Solaris qui ne l'incorporent pas, le logiciel de modification des autorisations et des propriétés pour renforcer les autorisations du SE Solaris et de logiciels tiers, et des binaires de validation d'intégrité des fichiers et exécutables Sun.

Ce chapitre contient les tâches suivantes :

Tâches de planification et de préinstallation

Dépendances logicielles

Détermination du mode à utiliser

Mise à niveau des procédures

Téléchargement du logiciel de sécurité

Personnalisation des profils de sécurité

Installation et exécution du logiciel

Validation des modifications système

Tâches de planification et de préinstallation

Une planification adéquate est essentielle à la réussite de la sécurisation de systèmes à l'aide du logiciel Solaris Security Toolkit. Pour de plus amples informations sur la planification préalable à l'installation du logiciel, reportez-vous au Chapitre 2.

Si vous installez le logiciel sur un système déployé, reportez-vous à la section Tâches précédant l'installation qui contient une description des tâches à effectuer avant l'installation sur les systèmes déployés.

Dépendances logicielles

Le logiciel Solaris Security Toolkit 4.2 dépend du package SUNWloc. Si ce package est absent, Solaris Security Toolkit échoue.

Pour de plus amples informations sur les versions du SE Solaris prises en charge, reportez-vous à la section Versions du SE Solaris prises en charge.

Pour de plus amples informations sur les versions de SMS (System Management Services) prises en charge, reportez-vous à la section Versions de System Management Services (SMS) prises en charge.

Détermination du mode à utiliser

Sécurisez les systèmes pendant ou immédiatement après l'installation du SE, afin de limiter leur durée d'exposition aux attaques sans sécurisation. Avant d'utiliser le logiciel Solaris Security Toolkit pour sécuriser un système, configurez-le de manière à ce qu'il fonctionne correctement dans votre environnement.

Le logiciel Solaris Security Toolkit a une structure modulaire. Si vous n'utilisez pas le produit JumpStart, la flexibilité de la structure du logiciel Solaris Security Toolkit vous permet de vous préparer efficacement à une utilisation ultérieure de JumpStart. Si vous employez JumpStart, vous bénéficiez de la capacité du logiciel Solaris Security Toolkit à s'intégrer dans les architectures JumpStart existantes.

Les sections suivantes décrivent les modes autonome et JumpStart.

Mode autonome

Le logiciel Solaris Security Toolkit est lancé directement à partir d'une invite de shell du SE Solaris en mode autonome. Ce mode vous permet d'utiliser le logiciel Solaris Security Toolkit sur les systèmes nécessitant des modifications ou mises à jour de sécurité, mais ne peut pas servir à la réinstallation complète du système d'exploitation. Toutefois, chaque fois que cela est possible, les systèmes d'exploitation doivent être entièrement réinstallés avant leur sécurisation.

Le mode autonome est particulièrement utile pour la sécurisation de systèmes après l'installation de patchs ou de logiciels tiers. Vous pouvez exécuter plusieurs fois le logiciel Solaris Security Toolkit sur un système sans aucun risque. Les patchs risquent d'écraser ou de changer des fichiers qui avaient été modifiés par le logiciel Solaris Security Toolkit ; en réexécutant ce dernier, vous pouvez de nouveau mettre en oeuvre les modifications de sécurité qui ont été refusées lors de l'installation du patch.

Remarque - Dans les environnements de production, activez les patchs dans les environnement de test et de développement avant de les installer dans les environnement réels.

Le mode autonome constitue l'une des options les plus efficaces et les plus rapides pour la sécurisation d'un système déployé. Aucune opération particulière n'est requise pour intégrer le logiciel Solaris Security Toolkit dans une architecture sans JumpStart, excepté les opérations décrites à la section Téléchargement du logiciel de sécurité relatives au téléchargement et à l'installation.

Mode JumpStart

La technologie JumpStart, qui est un mécanisme Sun d'installation du SE Solaris à partir d'un réseau, prend en charge l'exécution des scripts Solaris Security Toolkit au cours de l'installation. Cet ouvrage suppose que le lecteur est familiarisé avec la technologie JumpStart et qu'il a un environnement JumpStart à disposition. Pour de plus amples informations sur la technologie JumpStart, reportez-vous à l'ouvrage Sun BluePrints JumpStart Technology: Effective Use in the Solaris Operating Environment.

Le package Solaris Security Toolkit 4.2 est réadressable, il peut donc être installé dans n'importe quel répertoire à condition que les options correctes de le la commande pkgadd soient utilisées. JASS_HOME_DIR devient le répertoire de base du serveur JumpStart.

Seules quelques opérations suffisent à l'intégration du logiciel Solaris Security Toolkit dans une architecture JumpStart. Reportez-vous au Chapitre 5 pour obtenir des instructions sur la configuration d'un serveur JumpStart.

Mise à niveau des procédures

Cette section contient des informations sur la mise à niveau de Solaris Security Toolkit 4.0 et 4.1 vers Solaris Security Toolkit 4.2, avec et sans mise à niveau du SE Solaris. Le système est sécurisé à l'aide du logiciel Solaris Security Toolkit sous le SE Solaris. Les procédures sont les mêmes, que la mise à niveau s'effectue à partir de la version 4.0 ou de la version 4.1. Pour éviter d'écraser toute personnalisation antérieure, il est très important d'exécuter les procédures décrites ici selon les instructions.

Attention - Vous ne pouvez installer qu'une seule version de Solaris Security Toolkit à la fois.

Le logiciel Solaris Security Toolkit 4.2 propose une nouvelle amélioration de la commande pkgrm. La présente version de la commande pkgrm vérifie en premier lieu l'intégrité de tous les fichiers inclus dans la distribution. Si certains fichiers sont différents, la commande pkgrm s'arrête et affiche un message d'erreur destiné à l'administrateur système pour que celui-ci place le fichier correct ou supprime le fichier modifié.

Les pilotes se trouvent dans le sous-répertoire Drivers du répertoire d'installation de Solaris Security Toolkit. Les pilotes créés par l'utilisateur sont également placés dans ce répertoire. Lorsque vous supprimez SUNWjass à l'aide de la commande pkgrm, les pilotes fournis par Solaris Security Toolkit et les pilotes modifiés par l'utilisateur sont également effacés. Toutefois, les pilotes personnalisés ajoutés par l'utilisateur restent intacts, à condition que ceux-ci aient des noms différents des pilotes inclus avec Solaris Security Toolkit.

Attention - Un pilote modifié doit être enregistré avant la mise à niveau. Ne modifiez jamais les fichiers originaux distribués avec le logiciel Solaris Security Toolkit. Ne modifiez pas un fichier de pilote. Copiez-le dans un nouveau fichier et modifiez ce dernier.

Pour mettre à niveau le logiciel Solaris Security Toolkit et le système d'exploitation Solaris

1. Suivez la meilleure pratique de mise à niveau du système disponible : effectuez une sauvegarde ou utilisez une mise à niveau Solaris.

2. Désinstallez la version précédente du logiciel Solaris Security Toolkit.

3. Installez le logiciel Solaris Security Toolkit 4.2.

4. Exécutez le logiciel Solaris Security Toolkit 4.2 en mode audit (validation par rapport au système mis à niveau), à l'aide des pilotes Solaris Security Toolkit et des pilotes spécifiés par l'utilisateur précédents.

Les pilotes spécifiés par l'utilisateur doivent se trouver dans le répertoire Drivers. Dans ce cas, ils peuvent être spécifiés pour une exécution jass-execute ou une sécurisation.

5. Effectuez l'une des opérations suivantes :

a. Si aucune erreur ne survient, passez à l'étape 6.

b. En cas d'erreurs pendant l'exécution (par exemple, un script de contrôle d'exécution non installé est modifié ou un service doit être contrôlé par un FMRI), résolvez ces erreurs et recommencez les étapes 4 et 5 jusqu'à ce qu'aucune erreur ne soit générée.

6. Comparez secure.driver et le pilote personnalisé afin de déterminer si d'autres scripts finish ou audit doivent être ajoutés à ce dernier.

7. Effectuez l'une des opérations suivantes :

a. S'il ne manque aucun script, passez à l'étape 8.

b. S'il manque des scripts, ajoutez-les, et recommencez les étapes 4, 5, 6 et 7 jusqu'à ce que tous les scripts nécessaires soient inclus.

8. Exécutez Solaris Security Toolkit 4.2 en mode sécurisation.

9. Exécutez Solaris Security Toolkit 4.2 en mode audit et assurez-vous qu'il n'existe aucune erreur.

10. Vérifiez la configuration de sécurité et l'inclinaison du système pour déterminer si elles sont conformes aux exigences de sécurité.

11. Effectuez l'une des opérations suivantes :

a. Si le système répond aux exigences de sécurité, passez à l'étape 12.

b. Dans le cas contraire, mettez le pilote utilisé à jour et revenez à l'étape 8.

12. Testez le système de manière exhaustive pour vérifier qu'il fournit les services réseau requis et que toutes les applications sont entièrement opérationnelles.

13. En cas d'erreurs, mettez le pilote utilisé à jour et revenez à l'étape 8.

La mise à niveau est alors terminée.

Pour mettre à niveau le logiciel Solaris Security Toolkit uniquement

1. Désinstallez la version précédente du logiciel Solaris Security Toolkit.

2. Installez le logiciel Solaris Security Toolkit 4.2.

3. Passez à l'étape 4 de la section Pour mettre à niveau le logiciel Solaris Security Toolkit et le système d'exploitation Solaris.

Mise à niveau du SE Solaris uniquement

Vous n'avez pas besoin de désinstaller le logiciel Solaris Security Toolkit 4.2 si celui-ci est déjà installé et si vous mettez à niveau le SE Solaris uniquement (par exemple, lorsque vous mettez à niveau le SE Solaris 8 vers Solaris 10). Une fois la mise à niveau du SE Solaris terminée, exécutez Solaris Security Toolkit 4.2 en mode audit et vérifiez que la configuration de sécurité du système ne contient pas d'erreurs.

Téléchargement du logiciel de sécurité

La première étape de la sécurisation d'un système consiste à télécharger les packages de sécurité supplémentaires sur le système à sécuriser. Cette section décrit les tâches suivantes :

Téléchargement du logiciel Solaris Security Toolkit

Téléchargement du cluster de patchs recommandés

Téléchargement du logiciel FixModes

Téléchargement du logiciel OpenSSH

Téléchargement du logiciel MD5

Remarque - Parmi les logiciels décrits dans cette section, Solaris Security Toolkit, le cluster de patchs recommandés et de sécurité, FixModes et l'algorithme message-digest 5 (MD5) sont essentiels. Vous pouvez utiliser une version commerciale de Secure Shell, disponible auprès de nombreux fournisseurs, à la place d'OpenSSH. Installez et utilisez un produit Secure Shell sur tous les systèmes. Sous les SE Solaris 9 et 10, utilisez la version de Secure Shell (SSH) incluse. Sous le SE Solaris 10, utilisez la commande /usr/bin/digest incluse pour les sommes de contrôle MD5.

Téléchargement du logiciel Solaris Security Toolkit

Le logiciel Solaris Security Toolkit est distribué au format du package SE Solaris. Téléchargez d'abord le logiciel Solaris Security Toolkit, puis installez-le sur le serveur où vous envisagez de l'utiliser en mode autonome ou bien sur un serveur JumpStart pour le mode JumpStart.

Remarque - Les noms de fichiers utilisés dans ces instructions ne renvoient pas à un numéro de version. Téléchargez toujours la dernière version à partir du site Web.

Tout au long de ce guide, la variable d'environnement JASS_HOME_DIR se réfère au répertoire racine du logiciel Solaris Security Toolkit, soit /opt/SUNWjass par défaut.

Pour télécharger la version `pkg`

1. Téléchargez le fichier de distribution du logiciel (SUNWjass-n.n.pkg.tar.Z).

Le fichier source se trouve à l'adresse suivante :

http://www.sun.com/security/jass

Remarque - Si vous n'arrivez pas à télécharger le logiciel, utilisez l'option « Enregistrer sous » de votre navigateur.

2. Extrayez le fichier de distribution du logiciel dans un répertoire sur le serveur en utilisant la commande uncompress :

# uncompress SUNWjass-n.n.pkg.tar.Z

3. Désarchivez le package de distribution à l'aide de la commande correspondante :

# tar -xvf SUNWjass-n.n.pkg.tar

4. Installez le fichier de distribution du logiciel dans un répertoire sur le serveur en utilisant la commande pkgadd comme indiqué :

# pkgadd -d SUNWjass-n.n.pkg SUNWjass

Où n.n correspond à la version téléchargée la plus récente.

L'exécution de cette commande crée le répertoire SUNWjass dans /opt. Ce sous-répertoire contient tous les répertoires Solaris Security Toolkit et les fichiers associés.

Téléchargement du cluster de patchs recommandés

Les patchs sont distribués par Sun pour corriger les problèmes de performances, stabilité, fonctionnalité et sécurité du SE Solaris. Pour la sécurité d'un système, il est essentiel de toujours installer le cluster de patchs le plus récent. Afin de garantir que la dernière version du cluster de patchs recommandés et de sécurité pour le SE Solaris est installée, cette section décrit le téléchargement du dernier cluster de patchs.

Remarque - Avant d'installer des patchs, évaluez-les et testez-les sur des systèmes hors production ou pendant le programme de maintenance.

Pour télécharger un cluster de patchs recommandés

Avant d'installer un cluster de patchs, lisez les fichiers README de chaque patch et toute autre documentation fournie. Ces documents contiennent souvent des conseils et des informations qu'il est utile de connaître avant d'installer un cluster de patchs.

1. Téléchargez le dernier cluster de patchs à partir du site Web SunSolve OnLine à l'adresse suivante :

http://sunsolve.sun.com

2. Cliquez sur le lien Patches dans la barre de navigation de droite.

3. Cliquez sur le lien Recommended Patch Clusters.

4. Sélectionnez la version appropriée du SE Solaris dans la liste déroulante Recommended Solaris Patch Clusters.

Dans le cas présent, le SE Solaris 10 est sélectionné.

5. Choisissez l'option de téléchargement souhaitée (HTTP ou FTP) en cliquant sur le bouton radio associé, puis cliquez sur Go.

Une boîte de dialogue d'enregistrement sous s'affiche dans la fenêtre du navigateur.

6. Enregistrez le fichier localement.

7. Déplacez le fichier de manière sécurisée vers le système en cours de sécurisation.

Utilisez la commande de copie sécurisée scp(1) ou une autre méthode de transfert de fichier sécurisé.

Utilisez la commande scp comme suit :

# scp 10_Recommended.zip target01:

8. Déplacez le fichier dans le répertoire /opt/SUNWjass/Patches et décompressez-le.

Par exemple :

EXEMPLE DE CODE 3-1 Déplacement d'un fichier de patch dans le répertoire `/opt/SUNWjass/Patches`
`#` `cd /opt/SUNWjass/Patches` `#` `mv` /répertoire d'enregistrement du fichier`/10_Recommended.zip .` `#` `unzip 10_Recommended.zip` Archive: 10_Recommended.zip creating: 10_Recommended/ inflating: 10_Recommended/CLUSTER_README inflating: 10_Recommended/copyright inflating: 10_Recommended/install_cluster [. . .]

EXEMPLE DE CODE 3-1 Déplacement d'un fichier de patch dans le répertoire /opt/SUNWjass/Patches

# cd /opt/SUNWjass/Patches

# mv /répertoire d'enregistrement du fichier/10_Recommended.zip .

# unzip 10_Recommended.zip

Archive:     10_Recommended.zip

   creating: 10_Recommended/

  inflating: 10_Recommended/CLUSTER_README

  inflating: 10_Recommended/copyright

  inflating: 10_Recommended/install_cluster

[. . .]

Le cluster de patchs est installé automatiquement quand vous avez téléchargé les autres packages de sécurité et exécuté le logiciel Solaris Security Toolkit.

Remarque - Si vous ne placez pas le cluster de patchs recommandés et de sécurité dans le répertoire /opt/SUNWjass/Patches, un message d'avertissement s'affiche quand vous exécutez le logiciel Solaris Security Toolkit. Vous pouvez ignorer ce message si aucun cluster de patchs n'est concerné, comme c'est souvent le cas avec les nouvelles versions du SE Solaris.

Téléchargement du logiciel FixModes

FixModes est un package qui renforce les autorisations par défaut de fichiers et de répertoires du SE Solaris. Le renforcement de ces autorisations peut améliorer considérablement la sécurité générale. Plus les autorisations sont restrictives, plus il est difficile pour les utilisateurs malveillants d'obtenir des privilèges sur un système.

Remarque - Des changements significatifs ont été apportés au SE Solaris 10 pour améliorer les autorisations par défaut d'objets précédemment modifiés par le package FixModes, afin que le logiciel ne soit plus nécessaire. Par conséquent, les scripts finish et audit install-fixmodes ne peuvent pas être utilisés sur des systèmes exécutant le SE Solaris 10.

Pour télécharger le logiciel FixModes

1. Téléchargez les binaires précompilés de FixModes à l'adresse suivante :

http://www.sun.com/security/jass

FixModes est distribué en version package sous forme de fichier précompilé et compressé, formaté pour les systèmes Solaris. Le nom du fichier est SUNBEfixm.pkg.Z.

2. Déplacez le fichier de manière sécurisée sur le système en cours de sécurisation à l'aide de la commande scp ou d'une autre méthode garantissant un transfert sécurisé du fichier.

Utilisez la commande scp comme suit :

# scp SUNBEfixm.pkg.Z target01:

3. Décompressez et enregistrez le fichier SUNBEfixm.pkg.Z dans le répertoire Packages de Solaris Security Toolkit situé dans /opt/SUNWjass/Packages, à l'aide des commandes suivantes :

# uncompress SUNBEfixm.pkg.Z

# mv SUNBEfixm.pkg /opt/SUNWjass/Packages/

Le cluster de patchs est installé automatiquement quand vous avez téléchargé les autres packages de sécurité et exécuté le logiciel Solaris Security Toolkit.

Téléchargement du logiciel OpenSSH

Dans tout environnement sécurisé, le chiffrement est utilisé en association avec une authentification puissante pour la protection de sessions utilisateur interactives. Il faut, au minimum, chiffrer l'accès au réseau.

L'outil le plus utilisé pour la mise en oeuvre du chiffrement est le logiciel Secure Shell, en version intégrée dans le SE Solaris, en version commerciale tierce ou en version freeware. Pour mettre en oeuvre toutes les modifications de sécurité introduites par le logiciel Solaris Security Toolkit, vous devez inclure un produit Secure Shell.

Remarque - Sous les SE Solaris 9 et 10, utilisez la version de Secure Shell fournie avec le système d'exploitation. Cette version de Secure Shell bénéficie du support technique Sun et s'intègre à d'autres fonctions de sécurité du SE Solaris, telles que BSM (Basic Security Module).

Le logiciel Solaris Security Toolkit désactive tous les services utilisateur interactifs non chiffrés et lesdémons sur le système, en particulier les démons tels que in.telnetd, in.ftpd, in.rshd et in.rlogind.

Secure Shell vous permet d'accéder au système comme vous le feriez en utilisant Telnet et FTP.

Pour télécharger le logiciel OpenSSH

Remarque - Si le serveur exécute le SE Solaris 9 ou 10, vous pouvez utiliser le logiciel Secure Shell intégré et ignorer les étapes d'installation d'OpenSSH décrites dans cette section. Par conséquent, les scripts finish et audit install-ssh ne peuvent pas être utilisés sur des systèmes exécutant le SE Solaris 10.

Recherchez l'article ou le livre Sun BluePrints en ligne suivant, et utilisez les instructions qu'il contient pour télécharger le logiciel :

Article Sun BluePrints en ligne décrivant la compilation et le déploiement d'OpenSSH, intitulé « Building and Deploying OpenSSH on the Solaris Operating Environment », disponible à l'adresse suivante :

http://www.sun.com/blueprints

Publication Sun BluePrints intitulée Secure Shell in the Enterprise, disponible dans les librairies.

OpenSSH est installé automatiquement quand vous avez téléchargé tous les autres packages de sécurité et exécuté le logiciel Solaris Security Toolkit.

Attention - Ne compilez pas OpenSSH et n'installez pas les compilateurs sur le système en cours de sécurisation. Utilisez un système Solaris distinct exécutant la même version de SE, la même architecture et le même mode (par exemple, Solaris 8, Sun4U trademark (sun4u) et 64 bits) pour compiler OpenSSH. Si vous mettez en oeuvre une version commerciale de SSH, aucune compilation n'est requise. L'objectif est de limiter la disponibilité des compilateurs à des intrus potentiels. Toutefois, la non installation locale des compilateurs sur un système ne constitue pas une protection significative contre certains agresseurs qui peuvent toujours installer des outils précompilés.

Téléchargement du logiciel MD5

Le logiciel MD5 génère des empreintes digitales numériques MD5 sur le système en cours de sécurisation. Générez les empreintes digitales numériques, puis comparez-les avec les indications des publications Sun, afin de détecter les binaires du système modifiés ou attaqués par un cheval de Troie, caché à l'intérieur d'un fichier apparemment sûr par des utilisateurs non autorisés. En modifiant les binaires du système, les agresseurs s'ouvrent une porte dérobée sur le système ; ils cachent leur présence et pourraient causer l'instabilité du système.

Remarque - Si le serveur exécute le SE Solaris 10, vous pouvez utiliser la commande /usr/bin/digest intégrée et ignorer les étapes d'installation de MD5 qui suivent cette section.

Pour télécharger le logiciel MD5

Remarque - Solaris Security Toolkit n'installe pas et ne contrôle pas l'installation du logiciel MD5, comme l'indique la procédure suivante pour les systèmes Solaris 10. Le logiciel MD5 est inutile sur les systèmes exécutant le SE Solaris 10, car la commande digest(1M) inclut désormais la fonctionnalité MD5.

1. Téléchargez les binaires MD5 à partir du site Web suivant :

http://www.sun.com/security/jass

Les programmes MD5 sont distribués en version package sous forme de fichier compressé.

2. Déplacez le fichier SUNBEmd5.pkg.Z de manière sécurisée sur le système en cours de sécurisation à l'aide de la commande scp ou d'une autre méthode garantissant un transfert sécurisé du fichier.

Utilisez la commande scp comme suit :

# scp SUNBEmd5.pkg.Z target01:

3. Décompressez et déplacez le fichier vers le répertoire Packages situé dans répertoire /opt/SUNWjass/Packages de Solaris Security Toolkit, en utilisant une commande similaire à la suivante :

# uncompress SUNBEmd5.pkg.Z

# mv SUNBEmd5.pkg /opt/SUNWjass/Packages/

Une fois le logiciel MD5 enregistré dans le répertoire /opt/SUNWjass/Packages, il suffit d'exécuter Solaris Security Toolkit pour l'installer.

Vous pouvez utiliser les binaires MD5 installés pour vérifier l'intégrité des exécutables sur le système au moyen de la base de données d'empreintes digitales de Solaris. Pour de plus amples informations sur la base de données d'empreintes digitales Solaris, reportez-vous à l'article Sun BluePrints en ligne intitulé « The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files ».

4. (Facultatif) Téléchargez et installez les logiciels Solaris Fingerprint Database Companion et Solaris Fingerprint Database Sidekick à partir du site Web Sun BluePrints à l'adresse suivante :

http://www.sun.com/blueprints/tools

Remarque - Même si l'étape 4 est facultative, il est réellement préférable de l'appliquer à tous les systèmes d'exploitation.

Installez et utilisez ces outils facultatifs avec le logiciel MD5. Ces outils simplifient le processus de validation des binaires du systèmes par rapport à la base de données de sommes de contrôle MD5. Utilisez fréquemment ces outils pour valider l'intégrité des binaires et des fichiers du SE Solaris sur un système sécurisé.

Vous pouvez télécharger ces outils et leurs instructions à partir de l'article Sun BluePrints en ligne intitulé « The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files ».

Vérifiez l'intégrité des outils de sécurité téléchargés. Avant l'installation et l'exécution de Solaris Security Toolkit et des logiciels de sécurité supplémentaires, validez leur intégrité à l'aide des sommes de contrôle MD5. Des sommes de contrôle MD5 sont disponibles à cet effet sur la page de téléchargement de Solaris Security Toolkit.

Personnalisation des profils de sécurité

De nombreux modèles de profils de sécurité sont inclus sous forme de pilotes dans la distribution du logiciel Solaris Security Toolkit. Les profils de sécurité mis en oeuvre par ces pilotes désactivent les services non requis et activent les fonctions de sécurité facultatives désactivées par secure.driver. Comme mentionné dans le chapitre précédent, le profil de sécurité par défaut et les modifications apportées par ces pilotes peuvent ne pas convenir à vos systèmes.

Avant d'exécuter Solaris Security Toolkit, vérifiez les profils de sécurité par défaut et personnalisez-les en fonction de votre environnement, ou développez-en de nouveaux. Vous trouverez des techniques et des instructions relatives à la personnalisation des profils de sécurité dans le manuel Solaris Security Toolkit 4.2 Reference Manual.

Installation et exécution du logiciel

Il est important d'accomplir les tâches préliminaires suivantes avant l'exécution du logiciel Solaris Security Toolkit. La sécurisation est, en majeure partie, effectuée automatiquement quand vous exécutez le logiciel Solaris Security Toolkit.

Téléchargez les logiciels de sécurité supplémentaires et le logiciel Solaris Security Toolkit sur le système à sécuriser ou sur le serveur JumpStart. Voir Téléchargement du logiciel de sécurité.

Configurez votre système pour le mode autonome ou JumpStart. Voir Détermination du mode à utiliser.

Le cas échéant, personnalisez Solaris Security Toolkit en fonction de votre environnement.

Avant l'installation et l'exécution de Solaris Security Toolkit et des logiciels de sécurité supplémentaires, validez leur intégrité à l'aide des sommes de contrôle MD5.

Vous pouvez lancer le logiciel Solaris Security Toolkit directement à partir de la ligne de commande ou d'un serveur JumpStart.

Pour obtenir la liste des options de ligne de commande et d'autres informations sur l'exécution du logiciel, reportez-vous à l'une des sections suivantes :

Exécution du logiciel en mode autonome

Exécution du logiciel en mode JumpStart

Exécution du logiciel en mode autonome

L'EXEMPLE DE CODE 3-2 décrit l'utilisation de la ligne de commande en mode autonome.

EXEMPLE DE CODE 3-2 Échantillon d'utilisation de la ligne de commande en mode autonome
# `./jass-execute -h` usage: Pour appliquer ce kit d'outils à un système en utilisant la syntaxe suivante : jass-execute [-r répertoire_racine -p version_se ] [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] [ -V [3\|4] ] [ -d ] driver Pour annuler une application précédente du kit d'outils à partir d'un système : jass-execute -u [ -b \| -f \| -k ] [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] [ -V [3\|4] ] Pour l'audit d'un système en fonction d'un profil prédéfini : jass-execute -a driver [ -V [0-4] ] [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] Pour supprimer des fichiers enregistrés lors d'une exécution précédente du kit d'outils : jass-execute -c [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] [ -V [3\|4] ] Pour afficher l'historique des applications du kit d'outils sur un système : jass-execute -H Pour afficher la dernière application du kit d'outils sur un système : jass-execute -l Pour afficher ce message d'aide : jass-execute -h jass-execute -? Pour afficher les informations sur la version de ce programme : jass-execute -v #

EXEMPLE DE CODE 3-2 Échantillon d'utilisation de la ligne de commande en mode autonome

# ./jass-execute -h

usage:

Pour appliquer ce kit d'outils à un système en utilisant la syntaxe suivante :

   jass-execute [-r répertoire_racine -p version_se ]

      [ -q | -o fichier_sortie ] [ -m adresse_e-mail ]

      [ -V [3|4] ] [ -d ] driver

Pour annuler une application précédente du kit d'outils à partir d'un système :

   jass-execute -u [ -b | -f | -k ] [ -q | -o fichier_sortie ]

      [ -m adresse_e-mail ] [ -V [3|4] ]

Pour l'audit d'un système en fonction d'un profil prédéfini :

   jass-execute -a driver [ -V [0-4] ] [ -q | -o fichier_sortie ]

      [ -m adresse_e-mail ]

Pour supprimer des fichiers enregistrés lors d'une exécution précédente du kit d'outils :

   jass-execute -c [ -q | -o fichier_sortie ]

      [ -m adresse_e-mail ] [ -V [3|4] ]

Pour afficher l'historique des applications du kit d'outils sur un système :

   jass-execute -H

Pour afficher la dernière application du kit d'outils sur un système :

   jass-execute -l

Pour afficher ce message d'aide :

   jass-execute -h

   jass-execute -?

Pour afficher les informations sur la version de ce programme :

   jass-execute -v

Le TABLEAU 3-1 dresse la liste des options de ligne de commande disponibles avec une description de chacune d'elles.

TABLEAU 3-1 Utilisation des options de ligne de commande avec `jass-execute`
Option	Description
`-a` pilote	Détermine si un système est conforme au profil de sécurité. Ne l'utilisez pas avec les options `-b`, `-k`, `-f`, -`c`, -`d`, -`h`, -`H`, -`l`, -`p`, -`r` et -u.
`-b`	Sauvegarde tout fichier ayant été modifié manuellement depuis la dernière sécurisation, puis restaure le système à son état d'origine. Utilisez-la uniquement avec l'option `-u`.
-c	Spécifie l'option de nettoyage. Supprime des fichiers enregistrés lors d'une exécution précédente de Solaris Security Toolkit.
`-d` pilote	Spécifie le pilote à exécuter en mode autonome. Ne l'utilisez pas avec les options -`a`, -`b`, -`c`, -`f`, -`h`, -`H`, -`k` et -u.
`-f`	Annule les modifications effectuées pendant une sécurisation sans proposer d'exceptions, même si les fichiers ont été modifiés manuellement après une sécurisation. Utilisez-la uniquement avec l'option `-u`.
`-H`	Affiche l'historique du logiciel Solaris Security Toolkit sur le système.
-`h` \|-`?`	Affiche le message d'aide de `jass-execute`, qui présente les options disponibles. Utilisez-la seule. Toute option spécifiée en plus de l'option -`h`\|-`?` est ignorée.
`-k`	Conserve toute modification manuelle apportée aux fichiers après une sécurisation. Utilisez-la uniquement avec l'option `-u`.
`-l`	Affiche la dernière application du logiciel Solaris Security Toolkit installé sur le système.
-`m` adresse_e-mail	Indique une adresse email pour le support interne.
-`o` fichier_sortie	Spécifie le fichier de sortie et le chemin complet pour accéder à ce dernier.
-`p` version_se	Indique la version du SE Solaris. Le format est identique à celui de l'option `uname` `-r`. Vous devez l'utiliser avec l'option `-r` répertoire_racine.
`-q`	Spécifie le mode silencieux. Les messages ne s'affichent pas pendant l'exécution de cette commande. La sortie est stockée dans `JASS_REPOSITORY/`.
-`r` répertoire_racine	Indique le répertoire racine utilisé pendant l'exécution de la commande `jass-execute`. Le répertoire racine est `/`. Il est défini par la variable d'environnement Solaris Security Toolkit `JASS_ROOT_DIR`. Le SE Solaris en cours de sécurisation est disponible dans `/`. Par exemple, si vous souhaitez sécuriser un répertoire du SE distinct, temporairement monté sous `/mnt`, utilisez l'option `-r` pour spécifier `/mnt`. Vous devez l'utiliser avec l'option `-p` version_se.
`-u`	Exécute l'option d'annulation et affiche des invites interactives sur l'action à entreprendre en cas d'exception. Ne l'utilisez pas avec les options -`a`, -`c`, -`d`, -`h`, -`l,` `-p,` `-r,` et -`H`.
-`V` niveau_verbosité	Spécifie le niveau de verbosité pour un audit. Il existe cinq niveaux (0 à 4) `0` Ligne unique indiquant la réussite ou l'échec. `1` Pour chaque script, une ligne unique indique la réussite ou l'échec, puis une ligne de score total s'affiche sous toutes les lignes de script. `2` Pour chaque script, affiche les résultats de tous les contrôles. `3` Affiche plusieurs lignes avec une sortie complète, y compris les messages de bannière et d'en-tête. Ce niveau est la valeur par défaut. `4` Affiche plusieurs lignes (toutes les données à partir du niveau 3), ainsi que toutes les entrées qui sont générées par la fonction de consignation `logDebug`. Ce niveau s'utilise pour le débogage.
`-v`	Affiche les informations sur la version de ce programme.

Pour de plus amples informations sur les options disponibles avec la commande jass-execute en mode autonome, reportez-vous aux sections suivantes :

Option d'audit

Option de nettoyage

Option d'affichage de l'aide

Option de pilote

Option de notification par e-mail

Option d'exécution de l'historique

Option d'exécution la plus récente

Option de fichier de sortie

Option de sortie silencieuse

Option de répertoire racine

Option d'annulation

Pour obtenir une liste complète des pilotes disponibles, reportez-vous à la section Répertoire Drivers. De nouvelles versions du logiciel peuvent contenir des pilotes supplémentaires.

Pour exécuter le logiciel en mode autonome

1. Exécutez secure.driver (ou un script spécifique au produit tel que sunfire_15k_sc-secure.driver) comme suit :

EXEMPLE DE CODE 3-3 Exécution du logiciel en mode autonome
# `./jass-execute -d secure.driver` [NOTE] The following prompt can be disabled by setting JASS_NOVICE_USER to 0. [WARN] Depending on how the Solaris Security Toolkit is configured, it is both possible and likely that by default all remote shell and file transfer access to this system will be disabled upon reboot effectively locking out any user without console access to the system. Are you sure that you want to continue? (YES/NO) [NO] `y` [NOTE] Executing driver, secure.driver =============================================================== secure.driver: Driver started. =============================================================== =============================================================== Solaris Security Toolkit Version: 4.2.0 Node name: ufudu Zone name: global Host ID: 8085816e Host address: 10.8.31.115 MAC address: 8:0:20:85:81:6e OS version: 5.10 Date: Tue Jul 5 16:28:24 EST 2005 =============================================================== [...]

EXEMPLE DE CODE 3-3 Exécution du logiciel en mode autonome

# ./jass-execute -d secure.driver

[NOTE] The following prompt can be disabled by setting

JASS_NOVICE_USER to 0.

[WARN] Depending on how the Solaris Security Toolkit is configured,

it is both possible and likely that by default all remote shell

and file transfer access to this system will be disabled upon

reboot effectively locking out any user without console access to

the system.

Are you sure that you want to continue? (YES/NO) [NO]

[NOTE] Executing driver, secure.driver

===============================================================

secure.driver: Driver started.

===============================================================

===============================================================

Solaris Security Toolkit Version: 4.2.0

Node name:                        ufudu

Zone name:                        global

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.10

Date:                             Tue Jul 5 16:28:24 EST 2005

===============================================================

[...]

Pour obtenir une liste complète des pilotes disponibles, reportez-vous à la section Répertoire Drivers. De nouvelles versions du logiciel peuvent contenir des pilotes supplémentaires.

2. Après l'exécution du logiciel Solaris Security Toolkit sur un système, redémarrez ce dernier pour mettre en oeuvre les modifications.

Pendant la sécurisation, une série de modifications sont apportées à la configuration du client. Celles-ci peuvent inclure la désactivation des scripts de démarrage de services, la désactivation d'options de services et l'installation de nouveaux binaires ou de nouvelles bibliothèques par le biais de patchs. Ces modifications risquent de ne pas être activées tant que vous n'avez pas redémarré le client.

3. Une fois le système réinitialisé, vérifiez que les modifications sont correctes et complètes.

Voir Validation des modifications système.

4. En cas d'erreurs, corrigez celles-ci et exécutez à nouveau le logiciel Solaris Security Toolkit en mode autonome.

Option d'audit

L'option -a permet au logiciel Solaris Security Toolkit d'effectuer un audit afin de déterminer si un système est conforme à son profil de sécurité. Cette opération vérifie non seulement que les modifications des fichiers système sont actives, mais aussi que les processus désactivés antérieurement sont exécutés et que les packages supprimés sont réinstallés. Pour de plus amples informations sur cette fonction, reportez-vous au Chapitre 6.

Synopsis d'utilisation de la ligne de commande pour l'audit d'un système en fonction d'un profil de sécurité :

# jass-execute -a pilote [ -V [0-4] ] [ -q | -o fichier-sortie ] [ -m adresse-email ]

Option de nettoyage

L'option -c supprime des fichiers enregistrés lors d'une exécution précédente de Solaris Security Toolkit. Vous pouvez utiliser les options de mode silencieux (-q), de sortie (-o), d'e-mail (-m) et de verbosité (-V) avec l'option de nettoyage.

L'EXEMPLE DE CODE 3-4 décrit l'utilisation de l'option -c qui produit une sortie du type suivant :

EXEMPLE DE CODE 3-4 Échantillon de sortie de l'option `-c`
# `bin/jass-execute -c` Executing driver, clean.driver Please select Solaris Security Toolkit runs to clean: 1. July 15, 2005 at 11:41:02 (/var/opt/SUNWjass/run/20050715114102) 2. July 15, 2005 at 11:44:03 (/var/opt/SUNWjass/run/20050715114403) Choice ('q' to exit)? `2` [NOTE] Cleaning previous run from /var/opt/SUNWjass/run/20050715114403 ============================================================================== clean.driver: Driver started. ============================================================================== ============================================================================== Toolkit Version: 4.2.0 Node name: sstzone Zone name: sstzone Host ID: 80cb346c Host address: 10.8.28.45 MAC address: 8:0:20:cb:34:6c OS version: 5.10 Date: Fri Jul 15 11:44:58 PDT 2005 ============================================================================== clean.driver: Performing CLEANUP of /var/opt/SUNWjass/run/20050715114403. ============================================================================== ============================================================================== clean.driver: Driver finished. ============================================================================== ============================================================================== [SUMMARY] Results Summary for CLEAN run of clean.driver [SUMMARY] The run completed with a total of 1 script run. [SUMMARY] There were Failures in 0 Scripts [SUMMARY] There were Errors in 0 Scripts [SUMMARY] There were Warnings in 0 Scripts [SUMMARY] There was a Note in 1 Script [SUMMARY] Notes Scripts listed in: /var/opt/SUNWjass/run/20050715114403/jass-clean-script-notes.txt ==============================================================================

EXEMPLE DE CODE 3-4 Échantillon de sortie de l'option -c

# bin/jass-execute -c

Executing driver, clean.driver

Please select Solaris Security Toolkit runs to clean:

1.  July 15, 2005 at 11:41:02 (/var/opt/SUNWjass/run/20050715114102)

2.  July 15, 2005 at 11:44:03 (/var/opt/SUNWjass/run/20050715114403)

Choice ('q' to exit)?  2

[NOTE] Cleaning previous run from /var/opt/SUNWjass/run/20050715114403

==============================================================================

clean.driver: Driver started.

==============================================================================

==============================================================================

Toolkit Version: 4.2.0

Node name:       sstzone

Zone name:       sstzone

Host ID:         80cb346c

Host address:    10.8.28.45

MAC address:     8:0:20:cb:34:6c

OS version:      5.10

Date:            Fri Jul 15 11:44:58 PDT 2005

==============================================================================

clean.driver: Performing CLEANUP of /var/opt/SUNWjass/run/20050715114403.

==============================================================================

==============================================================================

clean.driver: Driver finished.

==============================================================================

==============================================================================

[SUMMARY] Results Summary for CLEAN run of clean.driver

[SUMMARY] The run completed with a total of 1 script run.

[SUMMARY] There were  Failures in   0 Scripts

[SUMMARY] There were  Errors   in   0 Scripts

[SUMMARY] There were  Warnings in   0 Scripts

[SUMMARY] There was a Note     in   1 Script

[SUMMARY] Notes Scripts listed in:

          /var/opt/SUNWjass/run/20050715114403/jass-clean-script-notes.txt

==============================================================================

Option d'affichage de l'aide

L'option -h affiche le message d'aide de la commande jass-execute, qui présente les options disponibles.

L'option -h produit une sortie du type suivant :

EXEMPLE DE CODE 3-5 Échantillon de sortie de l'option `-h`
# `./jass-execute -h` Pour appliquer ce kit d'outils à un système en utilisant la syntaxe suivante : jass-execute [-r répertoire_racine -p version_se ] [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] [ -V [3\|4] ] [ -d ] driver Pour annuler une application précédente du kit d'outils à partir d'un système : jass-execute -u [ -b \| -f \| -k ] [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] [ -V [3\|4] ] Pour l'audit d'un système en fonction d'un profil prédéfini : jass-execute -a driver [ -V [0-4] ] [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] Pour supprimer des fichiers enregistrés lors d'une exécution précédente du kit d'outils : jass-execute -c [ -q \| -o fichier_sortie ] [ -m adresse_e-mail ] [ -V [3\|4] ] Pour afficher l'historique des applications du kit d'outils sur un système : jass-execute -H Pour afficher la dernière application du kit d'outils sur un système : jass-execute -l Pour afficher ce message d'aide : jass-execute -h jass-execute -? Pour afficher les informations sur la version de ce programme : jass-execute -v Notez que seul le nom du pilote doit être spécifié lorsque vous utilisez les options '-d' ou '-a'. Vous n'avez pas besoin d'indiquer de chemin car le script est supposé se trouver dans le répertoire Drivers. L'option d'annulation '-u' exclut l'une ou l'autre des options '-d' et '-a'. Le comportement d'annulation par défaut demande à l'utilisateur l'action à entreprendre lorsqu'un fichier à restaurer a été modifié, car la somme de contrôle est incorrecte. L'option -u peut être associée aux options '-k', '-b' et '-f' pour écraser le comportement interactif par défaut. Vous devez utiliser l'une de ces options en mode silencieux ('-q'). L'option '-k' peut être utilisée pour conserver toujours le fichier actuel et la sauvegarde lorsque la somme de contrôle est incorrecte. L'option 'b' permet de sauvegarder le fichier actuel et de restaurer l'original quand la somme de contrôle est incorrecte. L'option 'f' écrase toujours l'original si la somme de contrôle est incorrecte, sans enregistrer l'original modifié.

EXEMPLE DE CODE 3-5 Échantillon de sortie de l'option -h

# ./jass-execute -h

Pour appliquer ce kit d'outils à un système en utilisant la syntaxe suivante :

   jass-execute [-r répertoire_racine -p version_se ]

      [ -q | -o fichier_sortie ] [ -m adresse_e-mail ]

      [ -V [3|4] ] [ -d ] driver

Pour annuler une application précédente du kit d'outils à partir d'un système :

   jass-execute -u [ -b | -f | -k ] [ -q | -o fichier_sortie ]

      [ -m adresse_e-mail ] [ -V [3|4] ]

Pour l'audit d'un système en fonction d'un profil prédéfini :

   jass-execute -a driver [ -V [0-4] ] [ -q | -o fichier_sortie ]

      [ -m adresse_e-mail ]

Pour supprimer des fichiers enregistrés lors d'une exécution précédente du kit d'outils :

   jass-execute -c [ -q | -o fichier_sortie ]

      [ -m adresse_e-mail ] [ -V [3|4] ]

Pour afficher l'historique des applications du kit d'outils sur un système :

   jass-execute -H

Pour afficher la dernière application du kit d'outils sur un système :

   jass-execute -l

Pour afficher ce message d'aide :

   jass-execute -h

   jass-execute -?

Pour afficher les informations sur la version de ce programme :

   jass-execute -v

Notez que seul le nom du pilote doit être spécifié lorsque vous utilisez

les options '-d' ou '-a'. Vous n'avez pas besoin d'indiquer de chemin car le script

est supposé se trouver dans le répertoire Drivers.

L'option d'annulation '-u' exclut l'une ou l'autre des options

'-d' et '-a'. Le comportement d'annulation par défaut demande à l'utilisateur l'action à entreprendre lorsqu'un

fichier à restaurer a été modifié, car la somme de contrôle est

incorrecte.

L'option -u peut être associée aux options '-k', '-b' et '-f' pour

écraser le comportement interactif par défaut. Vous devez utiliser l'une de ces

options en mode silencieux ('-q').

L'option '-k' peut être utilisée pour conserver toujours le fichier actuel et la sauvegarde

lorsque la somme de contrôle est incorrecte. L'option 'b' permet de sauvegarder

le fichier actuel et de restaurer l'original quand la somme de contrôle est incorrecte.

L'option 'f' écrase toujours l'original si la somme de contrôle

est incorrecte, sans enregistrer l'original modifié.

Option de pilote

L'option -d pilote indique le pilote à exécuter en mode autonome.

Vous devez spécifier un pilote avec l'option -d. Le logiciel Solaris Security Toolkit appose le préfixe Drivers/ au nom du script ajouté. Vous devez entrer uniquement le nom du script sur la ligne de commande.

Remarque - N'utilisez pas l'option -d avec les options -a, -b, -c, -f, -H, -h, -k et -u.

Une sécurisation jass-execute utilisant l'option -d pilote produit une sortie du type suivant :

EXEMPLE DE CODE 3-6 Échantillon de sortie de l'option `-d` *pilote*
# `./jass-execute -d secure.driver` [...] [NOTE] Executing driver, secure.driver =============================================================== secure.driver: Driver started. =============================================================== =============================================================== Solaris Security Toolkit Version: 4.2.0 Node name: ufudu Zone name: global Host ID: 8085816e Host address: 10.8.31.115 MAC address: 8:0:20:85:81:6e OS version: 5.10 Date: Tue Jul 5 16:28:24 EST 2005 =============================================================== [...]

EXEMPLE DE CODE 3-6 Échantillon de sortie de l'option -d pilote

# ./jass-execute -d secure.driver

[...]

[NOTE] Executing driver, secure.driver

===============================================================

secure.driver: Driver started.

===============================================================

===============================================================

Solaris Security Toolkit Version: 4.2.0

Node name:                        ufudu

Zone name:                        global

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.10

Date:                             Tue Jul 5 16:28:24 EST 2005

===============================================================

[...]

Option de notification par e-mail

L'option -m adresse_email est un mécanisme qui permet au logiciel Solaris Security Toolkit d'envoyer automatiquement la sortie de l'audit autonome, du nettoyage, de la sécurisation et de l'annulation par e-mail une fois l'exécution terminée. Le rapport électronique est généré en plus des journaux éventuellement créés sur le système à l'aide d'autres options et des journaux locaux créés par le logiciel Solaris Security Toolkit.

Échantillon d'exécution de Solaris Security Toolkit appelant sunfire_15k_sc-config.driver à l'aide de l'option de notification par e-mail :

# ./jass-execute -m root -d sunfire_15k_sc-config.driver

[...]

Option d'exécution de l'historique

L'option -H constitue un mécanisme simple qui permet de déterminer le nombre d'exécutions du logiciel Solaris Security Toolkit sur un système. Toutes les exécutions sont répertoriées, y compris celles qui ont été annulées.

L'option -H produit une sortie du type suivant :

EXEMPLE DE CODE 3-7 Échantillon de sortie de l'option `-H`
# `./jass-execute -H` Remarque : Ces informations concernent uniquement les applications de Solaris Security Toolkit, à partir de la version 0.3. La liste ci-après contient les applications de Solaris Security Toolkit sur le système. Cette liste est présentée en ordre chronologique inverse : 1. June 31, 2004 at 12:20:19 (20040631122019) (UNDONE) 2. June 31, 2004 at 12:10:29 (20040631121029) 3. June 31, 2004 at 12:04:15 (20040631120415)

EXEMPLE DE CODE 3-7 Échantillon de sortie de l'option -H

# ./jass-execute -H

Remarque : Ces informations concernent uniquement les applications

           de Solaris Security Toolkit, à partir de la version 0.3.

La liste ci-après contient les applications de Solaris Security Toolkit sur le système. Cette liste est présentée en ordre chronologique inverse :

1.   June 31, 2004 at 12:20:19 (20040631122019) (UNDONE)

2.   June 31, 2004 at 12:10:29 (20040631121029)

3.   June 31, 2004 at 12:04:15 (20040631120415)

La sortie indique que le logiciel Solaris Security Toolkit a été exécuté trois fois sur le système et que la plus récente a été annulée.

Option d'exécution la plus récente

L'option -l propose un mécanisme qui permet de déterminer l'exécution la plus récente. Il s'agit toujours de l'exécution la plus récente répertoriée également par l'option -H.

L'option -l produit une sortie du type suivant :

EXEMPLE DE CODE 3-8 Échantillon de sortie de l'option `-l`
# `./jass-execute -l` Remarque : Ces informations concernent uniquement les applications de Solaris Security Toolkit, à partir de la version 4.2.0. La dernière application de Solaris Security Toolkit a été effectuée le : 1. June 31, 2005 at 12:20:19 (20040631122019) (UNDONE)

EXEMPLE DE CODE 3-8 Échantillon de sortie de l'option -l

# ./jass-execute -l

Remarque : Ces informations concernent uniquement les applications

           de Solaris Security Toolkit, à partir de la version 4.2.0.

La dernière application de Solaris Security Toolkit a été effectuée le :

1.   June 31, 2005 at 12:20:19 (20040631122019) (UNDONE)

Option de fichier de sortie

L'option -o fichier-sortie redirige la sortie de console de jass-execute vers un fichier-sortie distinct. Vous pouvez indiquer un chemin de fichier de sortie (fichier_sortie) entièrement qualifié.

Cette option n'a aucun effet sur les journaux conservés dans le répertoire JASS_REPOSITORY. Elle s'avère particulièrement utile pour les connexions de terminaux bas débits. La sortie générée par Solaris Security Toolkit peut être volumineuse ; ceci dépend du niveau de verbosité (niveau_verbosité) spécifié.

Cette option peut être utilisée avec les options -a, -d ou -u.

L'option -o produit une sortie du type suivant :

EXEMPLE DE CODE 3-9 Échantillon de sortie de l'option `-o`
# `./jass-execute -o /var/tmp/root/jass-output.txt -d secure.driver` [NOTE] Executing driver, secure.driver [NOTE] Recording output to /var/tmp/root/jass-output.txt

Option de sortie silencieuse

L'option -q évite que la sortie de Solaris Security Toolkit ne soit envoyée vers la console pendant une sécurisation.

Cette option n'a aucun effet sur les journaux conservés dans le répertoire JASS_REPOSITORY. Comme l'option -o, cette option est particulièrement utile quand Solaris Security Toolkit est exécuté via une tâche cron ou sur une connexion réseau bas débit.

Elle peut être utilisée avec les options -a, -c, -d ou -u.

L'option -q produit une sortie du type suivant :

EXEMPLE DE CODE 3-10 Échantillon de sortie de l'option `-q`
# `./jass-execute -q -d secure.driver` [NOTE] Executing driver, secure.driver

Option de répertoire racine

L'option -r répertoire-racine indique le répertoire racine utilisé pendant les exécutions jass-execute. L'option -r requiert également l'option -p afin de spécifier la version de la plate-forme (SE). Le format de l'option -p est équivalent à celui produit par l'option uname -r.

Le répertoire racine est /. Il est défini par la variable d'environnement Solaris Security Toolkit JASS_ROOT_DIR. Le SE Solaris en cours de sécurisation est disponible dans /. Par exemple, si vous souhaitez sécuriser un répertoire du SE distinct, temporairement monté sous /mnt, utilisez l'option -r pour spécifier /mnt. Tous les scripts sont appliqués à cette image de SE.

Option d'annulation

Grâce à l'option -u, le logiciel Solaris Security Toolkit peut annuler des modifications système effectuées pendant une sécurisation. Chaque script finish peut être annulé à l'aide de l'option -u. En outre, la fonction d'annulation de Solaris Security Toolkit est intégrée aux sommes de contrôle générées à chaque exécution. Pour de plus amples informations sur cette fonction, reportez-vous au Chapitre 4.

Il existe trois autres options que vous pouvez utiliser avec l'option -u :

L'option -b (sauvegarde) sauvegarde tout fichier modifié manuellement depuis la dernière sécurisation, puis restaure le système à son état d'origine.

L'option -f (forçage) annule les modifications effectuées pendant une sécurisation sans proposer d'exceptions, même si les fichiers ont été modifiés manuellement après une sécurisation.

L'option -k (conservation) conserve toutes les modifications manuelles effectuées depuis la dernière sécurisation.

Synopsis d'utilisation de la ligne de commande d'annulation :

# jass-execute -u [ -b | -f | -k ] [ -q | -o fichier_sortie ]

       [ -m adresse_e-mail ] [ -V [3|4] ]

Exécution du logiciel en mode JumpStart

Le mode JumpStart est contrôlé par le pilote de Solaris Security Toolkit, inséré dans le fichier rules sur le serveur JumpStart.

Si vous n'avez pas configuré votre environnement de sorte à utiliser le mode JumpStart, reportez-vous au Chapitre 5.

Pour de plus amples informations sur la technologie JumpStart, reportez-vous à l'ouvrage Sun BluePrints JumpStart Technology: Effective Use in the Solaris Operating Environment.

Pour exécuter le logiciel en mode JumpStart

Pour être exécuté en mode JumpStart, le logiciel Solaris Security Toolkit doit être intégré à l'environnement JumpStart et appelé par les scripts finish associés à une installation JumpStart. Pour de plus amples informations sur l'intégration du logiciel Solaris Security Toolkit dans votre environnement, reportez-vous au Chapitre 5.

1. Quand toutes les modifications requises ont été apportées aux pilotes, installez le client en utilisant l'infrastructure JumpStart.

Pour effectuer cette tâche, utilisez la commande suivante à l'invite ok du client.

ok> boot net - install

Une fois l'installation terminée, le logiciel JumpStart redémarre le système.

Le système doit être correctement configuré. Pendant la sécurisation, une série de modifications sont apportées à la configuration du client. Celles-ci peuvent inclure la désactivation des scripts de démarrage de services, la désactivation d'options de services et l'installation de nouveaux binaires ou de nouvelles bibliothèques à l'aide de patchs. Ces modifications risquent de ne pas être activées tant que vous n'avez pas redémarré le client.

2. Une fois le système réinitialisé, vérifiez que les modifications sont correctes et complètes.

Voir Validation des modifications système.

3. Si vous rencontrez des erreurs, corrigez-les et réinstallez le système d'exploitation du client.

Validation des modifications système

Une fois le système réinitialisé, vérifiez que les modifications sont correctes et complètes, comme l'indiquent les sections suivantes.

Contrôle d'assurance qualité des services

L'un des défis significatifs de la sécurisation d'un système consiste à déterminer les services de SE à activer pour que le système fonctionne correctement. Les services du SE Solaris peuvent être nécessaires parce qu'ils sont utilisés directement. Par exemple, Secure Shell permet de se connecter à un système. D'autres services peuvent être utilisés indirectement, tels que le démon RPC d'interface graphique (IG) d'outils de gestion de logiciels tiers.

Vous devez déterminer la plupart de ces besoins avant d'exécuter le logiciel Solaris Security Toolkit. (Voir Détermination des conditions requises pour les applications et les services). Toutefois, le seul mécanisme définitif est l'installation et la sécurisation du système. Effectuez ensuite un test complet des fonctionnalités requises à l'aide d'un test d'assurance qualité. Vous devez suivre un plan d'assurance qualité pour tout nouveau système déployé qui vient d'être sécurisé. De même, il vous faut réaliser un test complet des systèmes déployés en cours de sécurisation afin de vérifier que toutes les fonctionnalités requises et attendues sont présentes.

Si le processus d'assurance qualité découvre des écarts, effectuez les opérations suivantes :

1. Déterminez la zone affectée en fonction des directives du Chapitre 2.

2. Vérifiez que l'application est exécutée selon la configuration modifiée.

3. Annulez l'exécution de Solaris Security Toolkit.

4. Modifiez le profil de sécurité (pilote) en fonction de la solution du problème.

5. Exécutez de nouveau le logiciel Solaris Security Toolkit.

Le résultat final doit consister en un profil de sécurité pouvant être exécuté sur le système sans affecter négativement aucune fonctionnalité requise.

Évaluation de la sécurité de la configuration

Lorsque vous vérifiez que le système exécute toutes les fonctions requises, évaluez également la configuration de la sécurité afin de déterminer si le système atteint le niveau de sécurisation souhaité. Ceci peut impliquer différentes tâches en fonction de la sécurisation ou de la minimisation effectué(e) sur le système.

Vous devez au moins vérifier les points suivants de la configuration du système :

Assurez-vous que tous les patchs recommandés et de sécurité sont installés.

Vérifiez que seuls les processus requis et pertinents sont exécutés, et que leurs arguments sont corrects.

Vérifiez que seuls les démons requis sont exécutés et que leurs arguments sont corrects.

Vérifiez que seuls les ports requis sont ouverts sur le système (vérification locale, par exemple netstat -a, et distante) à l'aide d'un scanneur de ports, tel que Nmap, qui peut déterminer les ports disponibles sur une interface réseau.

Assurez-vous que seuls les packages requis du SE Solaris sont installés, si le système a été minimisé.

Cette vérification est indispensable pour les systèmes nouvellement construits et sécurisés. Lors de la sécurisation d'anciens systèmes, vous devez vérifier le SE sous-jacent pour déterminer si des modifications non autorisées ont été effectuées. Pour que la vérification de l'intégrité soit plus efficace, montez la structure de fichiers du système en mode lecture seule et exécutez le logiciel de contrôle de l'intégrité à partir d'une instance de SE connue. Les outils décrits dans l'article Sun BluePrints en ligne intitulé « The Solaris Fingerprint Database--A Security Tool for Solaris Software and Files » s'avèrent utiles dans ce cas.

Validation des profils de sécurité

Une fois le système sécurisé, et les services et capacités requis validés, utilisez la fonction d'audit pour vous assurer que le profil de sécurité a été appliqué correctement et entièrement. Cette tâche est essentielle pour deux raisons. Elle permet tout d'abord de vérifier que le système est sécurisé selon les besoins. Ensuite, elle garantit que le profil de sécurité défini pour le système est correctement reporté dans la configuration de Solaris Security Toolkit. Ce contrôle est primordial car les informations de configuration sont utilisées pour maintenir le profil de sécurité du système pendant la totalité de son cycle de vie de déploiement.

Pour de plus amples informations sur la fonction d'audit, reportez-vous au Chapitre 6.

Tâches suivant l'installation

Si vous installez le logiciel sur un système déployé, reportez-vous à la section Tâches suivant l'installation qui contient une description des tâches à effectuer après l'installation sur les systèmes déployés.

Tâches de planification et de préinstallation

Dépendances logicielles

Détermination du mode à utiliser

Mode autonome

Mode JumpStart

Mise à niveau des procédures

Pour mettre à niveau le logiciel Solaris Security Toolkit et le système d'exploitation Solaris

Pour mettre à niveau le logiciel Solaris Security Toolkit uniquement

Mise à niveau du SE Solaris uniquement

Téléchargement du logiciel de sécurité

Téléchargement du logiciel Solaris Security Toolkit

Pour télécharger la version pkg

Téléchargement du cluster de patchs recommandés

Pour télécharger un cluster de patchs recommandés

Téléchargement du logiciel FixModes

Pour télécharger le logiciel FixModes

Téléchargement du logiciel OpenSSH

Pour télécharger le logiciel OpenSSH

Téléchargement du logiciel MD5

Pour télécharger le logiciel MD5

Personnalisation des profils de sécurité

Installation et exécution du logiciel

Exécution du logiciel en mode autonome

0

1

2

3

4

Pour exécuter le logiciel en mode autonome

Option d'audit

Option de nettoyage

Option d'affichage de l'aide

Option de pilote

Option de notification par e-mail

Option d'exécution de l'historique

Option d'exécution la plus récente

Option de fichier de sortie

Option de sortie silencieuse

Option de répertoire racine

Option d'annulation

Exécution du logiciel en mode JumpStart

Pour exécuter le logiciel en mode JumpStart

Validation des modifications système

Contrôle d'assurance qualité des services

Évaluation de la sécurité de la configuration

Validation des profils de sécurité

Tâches suivant l'installation

Pour télécharger la version `pkg`

`0`

`1`

`2`

`3`

`4`