Solaris Security Toolkit 4.2 管理マニュアル 目次前の章次の章索引


第3章

セキュリティーソフトウェアのアップグレード、インストール、および実行

この章では、Solaris Security Toolkit ソフトウェアおよびその他のセキュリティー関連ソフトウェアをダウンロードし、アップグレードまたはインストールを行なって実行する手順について説明します。スタンドアロンモード、または JumpStart モードのいずれかに環境を構成する手順、およびサポートを入手するための手順を含みます。

ソフトウェアのアップグレードまたはインストールを行い、構成して実行するには、この節で説明する手順およびプロセスに従ってください。ここでは、追加のセキュリティーソフトウェアのダウンロード手順、実行例、およびガイドラインについても記載しています。

Solaris Security Toolkit ソフトウェアはスタンドアロン製品ですが、ダウンロード可能なほかのセキュリティーソフトウェアと組み合わせて使用するともっとも効果的です。このようなセキュリティソフトウェアには、SunSolve OnLine から入手できる最新の推奨およびセキュリティパッチクラスタ、Solaris OS 用 Secure Shell ソフトウェア (Solaris OS で提供されていない場合)、Solaris OS および Sun 以外のソフトウェアのアクセス権を強化するためのアクセス権および所有権変更ソフトウェア、Sun のファイルと実行ファイルの完全性を検証するための完全性検証バイナリが含まれます。

この章では、次の作業について説明します。

計画とインストールの事前作業の実施

Solaris Security Toolkit ソフトウェアを使用してシステムのセキュリティーを確保するには、適切な計画が不可欠です。ソフトウェアをインストールする前の計画についての詳細は、第 2 章を参照してください。

ソフトウェアを配備済みのシステムにインストールする場合、インストール前の作業についての詳細は、インストール前の作業の実行を参照してください。

ソフトウェアの依存関係

Solaris Security Toolkit 4.2 ソフトウェアは、SUNWloc パッケージに依存しています。このパッケージが存在しない場合、Solaris Security Toolkit は正常に動作しません。

サポートされている Solaris オペレーティングシステムのバージョンについては、サポートされる Solaris OS のバージョンを参照してください。

サポートされている System Management Services (SMS) ソフトウェアのバージョンについては、サポートされる SMS のバージョンを参照してください。

モードの決定

セキュリティー保護がなされていないシステムが侵入者によって攻撃される時間を制限するために、OS のインストール中またはインストール直後にシステムを強化します。Solaris Security Toolkit ソフトウェアを使用してシステムのセキュリティーを強化する前に、環境に合わせてソフトウェアを適切に構成する必要があります。

Solaris Security Toolkit ソフトウェアではモジュラーフレームワークが提供されています。JumpStart を使用していない場合、Solaris Security Toolkit ソフトウェアのフレームワークの柔軟性により、JumpStart をあとで使用するための準備を行うことができます。JumpStart を使用している場合は、Solaris Security Toolkit ソフトウェアの機能を利用して既存の JumpStart アーキテクチャーに統合することができます。

次に、スタンドアロンモードと JumpStart モードについて説明します。

スタンドアロンモード

スタンドアロンモードでは、Solaris Security Toolkit ソフトウェアは Solaris OS シェルプロンプトから直接実行します。このモードでは、セキュリティーの変更または更新が必要なシステムで、Solaris Security Toolkit ソフトウェアを使用することができます。システムを停止して OS を新規にインストールする必要はありません。しかし、可能なかぎり、オペレーティングシステムを初めからインストールし直してセキュリティーを確保することを推奨します。

スタンドアロンモードは、パッチまたは Sun 以外のソフトウェアをインストールしたあとでシステムを強化する場合に特に便利です。Solaris Security Toolkit ソフトウェアをシステム上で繰り返し実行しても、問題は発生しません。Solaris Security Toolkit ソフトウェアによって修正されたファイルがパッチによって上書きまたは変更されることがあるため、ソフトウェアを再実行すると、パッチのインストールによって取り消されたセキュリティー設定を再度実装することができます。


注 - 実働環境では、パッチを現在の環境にインストールする前に、テストおよび開発環境で実行してください。


スタンドアロンモードは配備済みのシステムのセキュリティーを即座に強化するための最良の方法の 1 つです。セキュリティーソフトウェアのダウンロードで示されているダウンロードおよびインストール手順を実行するだけで、JumpStart を使用せずに Solaris Security Toolkit ソフトウェアをアーキテクチャーに統合することができます。

JumpStart モード

JumpStart テクノロジは、ネットワークベースで Solaris OS をインストールするための Sun のメカニズムであり、インストール中に Solaris Security Toolkit スクリプトを実行することができます。このマニュアルは、読者が JumpStart テクノロジについて熟知しており、既存の JumpStart 環境を利用できることを前提にしています。JumpStart テクノロジについての詳細は、Sun BluePrints マニュアル『JumpStart Technology: Effective Use in the Solaris Operating Environment』を参照してください。

Solaris Security Toolkit 4.2 パッケージの場所は変更できます。適切なオプションを使用して pkgadd コマンドを実行することにより、どのディレクトリにでもこのパッケージをインストールできます。JASS_HOME_DIR が JumpStart サーバーの基本ディレクトリになります。

Solaris Security Toolkit ソフトウェアを JumpStart アーキテクチャーに統合するための手順は簡単です。JumpStart サーバーを構成する方法については、第 5 章を参照してください。

アップグレード手順

この節では、システムを Solaris Security Toolkit 4.0 または 4.1 ソフトウェアから Solaris Security Toolkit 4.2 ソフトウェアにアップグレードする方法について説明します。アップグレードは、Solaris OS のアップグレードとともに行うことも、Solaris OS のアップグレードとは別に行うこともできます。システムの強化は、Solaris オペレーティングシステム上で Solaris Security Toolkit ソフトウェアを使用して行います。手順は、バージョン 4.0、4.1 のどちらからアップグレードする場合も同じです。この節で説明する手順に従うことで、既存のカスタマイズの上書きが防止されます。このため、必ず説明されているとおりに進めてください。


caution icon

注意 - 一度にインストールできるのは、1 つのバージョンの Solaris Security Toolkit だけです。


Solaris Security Toolkit 4.2 ソフトウェアでは、pkgrm コマンドに新機能が追加されています。このリリースの pdgrm コマンドは、最初の処理としてディストリビューションに含まれるすべてのファイルの整合性をチェックします。異なるファイルが見つかると、pkgrm コマンドは正しいファイルを配置するか、あるいは変更されたファイルを削除するようにシステム管理者に伝えるエラーメッセージを表示して終了します。

ドライバは、Solaris Security Toolkit がインストールされている Drivers サブディレクトリに入っています。ユーザーが作成したドライバもこのディレクトリに置かれます。pkgrm コマンドで SUNWjass を削除すると、Solaris Security Toolkit に付属していたドライバとユーザーが変更したドライバは削除されます。Solaris Security Toolkit に付属のドライバとは別の名前でカスタムドライバを追加してあった場合には、それらのカスタムドライバは (削除されず) 残ります。


caution icon

注意 - ドライバを変更した場合には、アップグレードを行う前にそのドライバを保存する必要があります。Solaris Security Toolkit ソフトウェアのオリジナルファイルは変更しないでください。ドライバファイルを変更するのではなく、新しいファイルにドライバファイルをコピーしてその新しいファイルを変更してください。



procedure icon  Solaris Security Toolkit ソフトウェアと Solaris オペレーティングシステムをアップグレードする

1. システムをアップグレードするために最善の方法 (システムのバックアップまたは Solaris アップグレードの利用) に従います。

2. Solaris Security Toolkit ソフトウェアの旧バージョンをアンインストールします。

3. Solaris Security Toolkit 4.2 ソフトウェアをインストールします。

4. 旧バージョンの Solaris Security Toolkit ドライバとユーザー指定のドライバを使用している、アップグレードされたシステムに対し、Solaris Security Toolkit 4.2 ソフトウェアを監査モードで実行します。

ユーザー指定のドライバは、Drivers ディレクトリに置かれていなければなりません。このディレクトリに存在すれば、jass-execute または強化処理に指定できます。

5. 次に示す処理のどちらか一方を行います。

a. エラーが発生しない場合は、手順 6 に進みます。

b. 実行中にエラーが発生する場合 (インストールされていない実行制御スクリプトが変更されている場合や、サービスを FMRI を使用して制御する必要がある場合など) はそれらのエラーを修正し、エラーが発生しなくなるまで手順 4 と 5 を繰り返します。

6. カスタマイズしたドライバを secure.driver と比較し、カスタマイズしたドライバに新しい終了スクリプトまたは監査スクリプトを追加すべきかどうかを判断します。

7. 次に示す処理のどちらか一方を行います。

a. スクリプトがすべてそろっていれば、手順 8 に進みます。

b. 欠如しているスクリプトがあれば、それらを追加し、必要なスクリプトがすべて含まれるまで手順 4、5、6、および 7 を繰り返します。

8. Solaris Security Toolkit 4.2 を強化モードで実行します。

9. Solaris Security Toolkit 4.2 を監査モードで実行し、エラーがないことを確認します。

10. システムセキュリティーの構成と状態を調べ、セキュリティー要件を満たしているかどうかを確認します。

11. 次に示す処理のどちらか一方を行います。

a. システムが要件を満たしている場合は、手順 12 に進みます。

b. システムが要件を満たしてない場合は、使用されているドライバを更新し、手順 8 に戻ります。

12. システムを十分に検証し、必要なネットワークサービスを提供しているかを確認するとともに、すべてのアプリケーションが問題なく稼働しているかを確認します。

13. エラーが検出される場合は、使用されているドライバを更新し、手順 8 に戻ります。

以上の操作でアップグレードが完了します。


procedure icon  Solaris Security Toolkit ソフトウェアだけをアップグレードする

1. 旧バージョンの Solaris Security Toolkit ソフトウェアをアンインストールします。

2. Solaris Security Toolkit 4.2 ソフトウェアをインストールします。

3. Solaris Security Toolkit ソフトウェアと Solaris オペレーティングシステムをアップグレードするの手順 4 に進みます。

Solaris OS のみのアップグレード

Solaris Security Toolkit 4.2 ソフトウェアはすでにインストール済みで、Solaris OS だけをアップグレードするという場合 (Solaris 8 OS から Solaris 10 OS へのアップグレードなど) は、Solaris Security Toolkit 4.2 ソフトウェアをアンインストールする必要はありません。Solaris OS アップグレードが完了した時点で、Solaris Security Toolkit 4.2 を監査モードで実行し、システムのセキュリティー構成を調べ、エラーが存在しないことを確認します。

セキュリティーソフトウェアのダウンロード

システムのセキュリティーを強化するには、まず、ソフトウェアセキュリティーパッケージを対象のシステムにダウンロードします。ここでは、以下の作業について説明します。


注 - ここで説明するソフトウェアの中で、Solaris Security Toolkit ソフトウェア、推奨およびセキュリティーパッチクラスタ、FixModes、および message-digest 5 (MD5) アルゴリズムソフトウェアは必須です。OpenSSH の代わりに、さまざまなベンダーから提供されている市販の Secure Shell ソフトウェアを使用することもできます。Secure Shell ソフトウェアをすべてのシステムにインストールして使用します。Solaris 9 または Solaris 10 OS の場合は、OS に含まれている SSH (Secure Shell) を使用してください。Solaris 10 OS の場合は、MD5 チェックサム用に含まれている /usr/bin/digest コマンドを使用してください。


Solaris Security Toolkit ソフトウェアのダウンロード

Solaris Security Toolkit ソフトウェアは、Solaris OS パッケージ形式で配布されています。最初に、Solaris Security Toolkit ソフトウェアをダウンロードします。スタンドアロンモードの場合は Solaris Security Toolkit ソフトウェアを使用するサーバーに、JumpStart モードの場合は JumpStart サーバーにインストールします。


注 - 次の手順では、ファイル名のバージョン番号が記載されていません。常に最新バージョンのファイルをダウンロードしてください。


このマニュアルでは、これ以降、JASS_HOME_DIR 環境変数は Solaris Security Toolkit ソフトウェアのルートディレクトリを指します。デフォルトでは、このディレクトリは /opt/SUNWjass です。


procedure icon  pkg バージョンをダウンロードする

1. ソフトウェア配布ファイル (SUNWjass-n.n.pkg.tar.Z) をダウンロードします。

ソースファイルは以下の場所にあります。

http://www.sun.com/security/jass


注 - ソフトウェアをダウンロードできない場合は、ブラウザに統合されている「Save As」オプションを使用してください。


2. uncompress コマンドを以下のとおり使用して、サーバー上のディレクトリにソフトウェア配布ファイルを圧縮解除します。 


# uncompress SUNWjass-n.n.pkg.tar.Z

 

3. 次のように tar コマンドを実行し、ソフトウェア配布パッケージを解凍します。 


# tar -xvf SUNWjass-n.n.pkg.tar

 

4. pkgadd コマンドを次のように使用して、ソフトウェア配布ファイルをサーバー上のディレクトリにインストールします。 


# pkgadd -d SUNWjass-n.n.pkg SUNWjass

 

ここで、n.n はファイルの最新のバージョン番号です。

このコマンドを実行すると、/opt 内に SUNWjass ディレクトリが作成されます。すべての Solaris Security Toolkit ディレトリおよび関連ファイルがこのサブディレクトリに格納されます。

推奨パッチクラスタソフトウェアのダウンロード

Sun では、Solaris OS のパフォーマンス、安定性、機能性、およびセキュリティーの問題を修正するためのパッチをリリースしています。システムのセキュリティーを確保するには、最新のパッチクラスタをインストールすることが不可欠です。最新の Solaris OS 推奨およびセキュリティパッチクラスタをシステムにインストールするために、最新のパッチクラスタをダウンロードする方法を以下に説明します。


注 - パッチは、非実働システムで、または保守ウィンドウの表示中に評価およびテストしてからインストールしてください。



procedure icon  推奨パッチクラスタソフトウェアをダウンロードする

パッチクラスタをインストールする前に、個々のパッチの README ファイルおよび入手したその他の情報をご一読ください。インストールの前に知っておくと役立つ提案や情報が含まれている場合があります。

1. 次の SunSolve OnLine Web サイトから、最新のパッチクラスタをダウンロードします。

http://sunsolve.sun.com

2. 右側のナビゲーションバー上にある「パッチやアップデート」リンクをクリックします。

3. 「推奨パッチクラスタ」リンクをクリックします。

4. 「Solaris 推奨・セキュリティパッチクラスタ」ボックスで適切な Solaris OS のバージョンを選択します。

この例では、Solaris 10 OS を選択します。

5. HTTP または FTP ラジオボタンを使用して、ダウンロードオプションを選択します。

ブラウザウィンドウに「ファイルのダウンロード」ダイアログボックスが表示されます。

6. ファイルをローカルシステムに保存します。

7. セキュリティー強化を実行するシステムにファイルを安全に移動します。

セキュアコピーコマンド scp(1) を使用するか、セキュリティー保護されたファイル転送が可能なほかの方法を使用します。

scp コマンドを以下のとおり使用します。 


# scp 10_Recommended.zip target01:

 

8. ファイルを /opt/SUNWjass/Patches ディレクトリに移動して、圧縮解除します。

次に例を示します。


コード例 3-1 パッチファイルの /opt/SUNWjass/Patches ディレクトリへの移動 

# cd /opt/SUNWjass/Patches

# mv /directory in which file was saved/10_Recommended.zip .

# unzip 10_Recommended.zip

Archive:     10_Recommended.zip

   creating: 10_Recommended/

  inflating: 10_Recommended/CLUSTER_README 

  inflating: 10_Recommended/copyright 

  inflating: 10_Recommended/install_cluster 

[. . .]

 

パッチクラスタソフトウェアは、ほかのセキュリティーパッケージをダウンロードして Solaris Security Toolkit ソフトウェアを実行したあとで、自動的にインストールされます。


注 - 推奨およびセキュリティーパッチクラスタを /opt/SUNWjass/Patches ディレクトリに保存しないと、Solaris Security Toolkit ソフトウェアの実行時に警告メッセージが表示されます。新しいリリースの OS の場合など、パッチクラスタを適用しないときは、このメッセージは無視してもかまいません。


FixModes ソフトウェアのダウンロード

FixModes は、Solaris OS のディレクトリおよびファイルのデフォルトのアクセス権を強化するソフトウェアパッケージです。こうしたアクセス権を強化することにより、全体的なセキュリティーを大幅に向上させることができます。アクセス権を制限すると、悪意のあるユーザーがシステムに対する特権を容易に取得できなくなります。


注 - Solaris 10 OS リリースでは、FixModes ソフトウェアによって変更されたオブジェクトのデフォルトのアクセス権が大幅に改善されています。このため、このリリースではこのソフトウェアは不要になりました。したがって、Solaris 10 OS を稼働させているシステムで install-fixmodes の終了スクリプトと監査スクリプトを使用することはできません。



procedure icon  FixModes ソフトウェアをダウンロードする

1. 以下の場所から、プリコンパイル済みの FixModes バイナリをダウンロードします。

http://www.sun.com/security/jass

FixModes ソフトウェアは Solaris OS システム用にフォーマットされた、プリコンパイル済みの圧縮されたパッケージバージョンで配布されます。ファイル名は SUNBEfixm.pkg.Z です。

2. セキュリティー強化を実行するシステムにファイルを移動します。scp コマンドを使用するか、セキュリティーで保護されたファイル転送が可能な他の方法を使用します。

scp コマンドを以下のとおり使用します。 


# scp SUNBEfixm.pkg.Z target01:

 

3. SUNBEfixm.pkg.Z ファイルを解凍し、Solaris Security Toolkit の Packages ディレクトリ (/opt/SUNWjass/Packages) に保存します。次のコマンドを使用します。 


# uncompress SUNBEfixm.pkg.Z

# mv SUNBEfixm.pkg /opt/SUNWjass/Packages/

 

FixModes ソフトウェアは、他のセキュリティーパッケージをダウンロードして Solaris Security Toolkit ソフトウェアを実行した後で、自動的にインストールされます。

OpenSSH ソフトウェアのダウンロード

セキュリティーが確保される環境では、ユーザーとの対話セッションを保護するために、強力な認証および暗号化を使用する必要があります。少なくともネットワークアクセスは暗号化されなければなりません。

暗号化を実行するための最も一般的なツールは Secure Shell ソフトウェアです。このソフトウェアは Solaris OS に付属していますが、市販品やフリーウェアを利用することもできます。Solaris Security Toolkit ソフトウェアによるあらゆるセキュリティーの変更を実装するには、Secure Shell ソフトウェアが必要です。


注 - Solaris 9 または Solaris 10 OS を稼働させている場合は、OS に付属の Secure Shell バージョンを使用してください。このバージョンの Secure Shell は基本セキュリティーモジュール (BSM) などのほかの Solaris OS セキュリティー機能と統合されており、Sun のサポート組織によってサポートされています。


Solaris Security Toolkit ソフトウェアを実行すると、暗号化されないユーザーとの対話サービスおよびデーモンがシステム上ですべて無効になります。特に、in.telnetd、in.ftpd、in.rshd、in.rlogind などのデーモンが無効になります。

Secure Shell を使用すると、Telnet および FTP を使用する場合と同様にシステムにアクセスすることができます。


procedure icon  OpenSSH ソフトウェアをダウンロードする


注 - サーバーで Solaris 9 または Solaris10 OS を稼働させている場合は、次に示す OpenSSH のインストール手順は省略し、OS に付属の Secure Shell ソフトウェアを使用できます。Solaris 10 OS を稼働させているシステムでは install-ssh の終了スクリプトと監査スクリプトを使用することはできません。


single-step bullet次の Sun BluePrints OnLine 掲載記事または Sun BluePrints マニュアルを入手し、ソフトウェアのダウンロード方法を参照してください。

http://www.sun.com/blueprints

OpenSSH ソフトウェアは、他のセキュリティーパッケージをダウンロードして Solaris Security Toolkit ソフトウェアを実行した後で、自動的にインストールされます。


caution icon

注意 - セキュリティー強化を実行するシステムで、OpenSSH をコンパイルしたり、コンパイラをインストールしたりしないでください。同じ Solaris OS のバージョン、アーキテクチャー、モード (たとえば、Solaris 8 OS、Sun4Utrademark(sun4u)、および 64 ビット) を実行している別の Solaris OS システムを使用して、OpenSSH をコンパイルします。市販の SSH を使用する場合は、コンパイルは不要です。これは、侵入者によるコンパイラの使用を制限するためです。ただし、侵入者がプリコンパイル済みのツールをインストールすることは可能なため、コンパイラをローカルシステムにインストールしなかったからといって、攻撃者に対する防御が万全なわけではありません。


MD5 ソフトウェアのダウンロード

MD5 ソフトウェアは、セキュリティー強化を実行するシステムで MD5 デジタルフィンガープリントを生成します。デジタルフィンガープリントを生成し、それを Sun から提供されている正しいフィンガープリントと比較することで、未承認ユーザーによる変更や安全であるかのような装飾 (トロイの木馬化) がなされているシステムバイナリを検出します。攻撃者は、システムバイナリを変更することにより、システムへのバックドアアクセスが可能になります。姿を見せずにシステムの誤動作を発生させます。


注 - サーバーで Solaris 10 OS を稼働させている場合は、次に示す MD5 インストール手順は省略し、OS に含まれている /usr/bin/digest コマンドを使用できます。



procedure icon  MD5 ソフトウェアをダウンロードする


注 - Solaris 10 システムに関するこの手順で説明しているように、Solaris Security Toolkit は MD5 ソフトウェアのインストールやインストールの監査は行いません。このリリースでは digest(1M) コマンドに MD5 機能が含まれるため、Solaris 10 OS を稼働させているシステムでは MD5 ソフトウェアは不要です。


1. 以下の Web サイトから、MD5 バイナリをダウンロードします。

http://www.sun.com/security/jass

MD5 プログラムは圧縮されたパッケージバージョンのファイルで配布されます。

2. セキュリティー強化を実行するシステムに SUNBEmd5.pkg.Z を移動します。scp コマンドを使用するか、セキュリティーで保護されたファイル転送が可能な他の方法を使用します。

scp コマンドを以下のとおり使用します。 


# scp SUNBEmd5.pkg.Z target01:

 

3. ファイルを解凍し、Solaris Security Toolkit の Packages ディレクトリ (/opt/SUNWjass/Packages) に移動します。以下のコマンドを使用します。 


# uncompress SUNBEmd5.pkg.Z

# mv SUNBEmd5.pkg /opt/SUNWjass/Packages/

 

MD5 ソフトウェアを /opt/SUNWjass/Packages ディレクトリに保存した後で Solaris Security Toolkit ソフトウェアを実行すると、MD5 ソフトウェアがインストールされます。

MD5 バイナリをインストールしたら、Solaris フィンガープリントデータベースを通して、システム上の実行ファイルの完全性を検証できます。Solaris フィンガープリントデータベースについての詳細は、Sun BluePrints OnLine 掲載記事『The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files』を参照してください。

4. (オプション) Solaris Fingerprint Database Companion および Solaris Fingerprint Database Sidekick ソフトウェアを以下の Sun BluePrint Web サイトからダウンロードしてインストールします。

http://www.sun.com/blueprints/tools


注 - 手順 4 はオプションとマークされていますが、どのオペレーティングシステムでもこの手順を実行すると非常に有益です。


これらのオプションのツールをインストールして、MD5 ソフトウェアとともに使用します。これらのツールはシステムバイナリを MD5 チェックサムデータベースと比較して検証するプロセスを簡単にします。これらのツールを定期的に使用して、セキュリティーで保護されたシステム上の Solaris OS バイナリおよびファイルの完全性を検証してください。

これらのツール、およびダウンロード方法についての詳細は、Sun BluePrints OnLine 掲載記事『The Solaris Fingerprint Database -- A Security Tool for Solaris Software and Files』を参照してください。

ダウンロードしたセキュリティーツールは完全性を検証する必要があります。Solaris Security Toolkit ソフトウェアおよび追加のセキュリティーソフトウェアをインストールして実行する前に、MD5 チェックサムを使用して完全性を検査してください。MD5 チェックサムは Solaris Security Toolkit のダウンロードページから利用できます。

セキュリティープロファイルのカスタマイズ

Solaris Security Toolkit ソフトウェアには、さまざまなセキュリティープロファイルのテンプレートがドライバとして用意されています。ドライバで実装されるセキュリティープロファイルは、不要なサービスを無効にし、secure.driver によって無効になっているオプションのセキュリティー機能を有効にします。前の章で述べたとおり、デフォルトのセキュリティープロファイル、およびこれらのドライバで行なった変更が、すべてのシステムに適切なわけではありません。

Solaris Security Toolkit ソフトウェアを実行する前に、デフォルトのセキュリティープロファイルを環境に合わせてカスタマイズするか、または新しいセキュリティープロファイルを開発します。セキュリティープロファイルをカスタマイズするテクニックとガイドラインについては、『Solaris Security Toolkit 4.2 リファレンスマニュアル』を参照してください。

ソフトウェアのインストールと実行

Solaris Security Toolkit ソフトウェアを実行する前に、以下の作業を完了しておくことが重要です。セキュリティー強化の大部分は、Solaris Security Toolkit ソフトウェアを実行すると自動的に行われます。

Solaris Security Toolkit ソフトウェアは、コマンド行または JumpStart サーバーから直接実行できます。

コマンド行のオプション、およびソフトウェアの実行に関するその他の情報については、次のいずれかを参照してください。

スタンドアロンモードでのソフトウェアの実行

コード例 3-2 は、スタンドアロンモードでコマンド行を使用する例を示しています。


コード例 3-2 スタンドアロンモードでのコマンド行の使用例 

# ./jass-execute -h

 

usage:

 

To apply this Toolkit to a system, using the syntax:

   jass-execute [-r root_directory -p os_version ]

      [ -q | -o output_file ] [ -m e-mail_address ]

      [ -V [3|4] ] [ -d ] driver

 

To undo a previous application of the Toolkit from a system:

   jass-execute -u [ -b | -f | -k ] [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To audit a system against a pre-defined profile:

   jass-execute -a driver [ -V [0-4] ] [ -q | -o output_file ]

      [ -m e-mail_address ]

 

To remove saved files from a previous run of the Toolkit:

   jass-execute -c [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To display the history of Toolkit applications on a system:

   jass-execute -H

 

To display the last application of the Toolkit on a system:

   jass-execute -l

 

To display this help message:

   jass-execute -h

   jass-execute -?

 

To display version information for this program:

   jass-execute -v

 

#

 

表 3-1はコマンド行オプションの一覧と各オプションの説明です。


表 3-1 jass-execute でのコマンド行オプションの使用

オプション

説明

-a driver

システムがセキュリティープロファイルに適合しているかどうかを判断します。

-b、-k、-f、-c、-d、-h、-H、-l、-p、-r、または -u オプションとの併用は避けてください。

-b

前回の強化後に手動で変更されたファイルをバックアップした後、システムを元の状態に復元します。

必ず -u オプションと併用してください。

-c

クリーンオプションを指定します。直前の Solaris Security Toolkit 実行で保存されたファイルを削除します。

-d driver

スタンドアロンモードで実行されるドライバを指定します。

-a、-b、-c、-f、-h、-H、-k、または -u オプションとの併用は避けてください。

-f

強化後に手動でファイルが変更されていても、強化中に行われた変更を強制的にリセットします。

必ず -u オプションと併用してください。

-H

システム上の Solaris Security Toolkit ソフトウェアの履歴を表示します。

-h |-?

使用可能なオプションの概要を説明する jass-execute ヘルプメッセージを表示します。

単一で使用します。-h|-? に追加で指定されたオプションは無視されます。

-k

強化後にファイルに手動で行われた変更を保持します。

必ず -u オプションと併用してください。

-l

最後にシステムにインストールされた Solaris Security Toolkit アプリケーションを表示します。

-m e-mail_address

社内サポートに使用する電子メールアドレスを指定します。

-o output_file

出力ファイルのフルパスと出力ファイルを指定します。

-p os_version

Solaris の OS バージョンを指定します。形式は uname -r と同じです。

-r root_directory オプションと一緒に使用する必要があります。

-q

非出力モードを指定します。このコマンドの実行中、メッセージは表示されません。出力は JASS_REPOSITORY/ に格納されます。

-r root_directory

jass-execute の実行中に使用されるルートディレクトリを指定します。ルートディレクトリは / であり、Solaris Security Toolkit 環境変数 JASS_ROOT_DIR で定義されます。セキュリティー強化の対象の Solaris OS は / を介して指定できます。たとえば、別の OS ディレクトリのセキュリティーを強化するには、一時的に /mnt にマウントし、-r オプションで /mnt を指定します。

-p os_version オプションと併用する必要があります。

-u

例外が発生したとき、希望のアクションを入力するようにプロンプトで要求して、操作を元に戻します。

-a、-c、-d、-h、-l、-p、-r、または-H オプションとの併用は避けてください。

-V verbosity_level

監査の詳細レベルを指定します。次の 5 つの詳細レベル (0 〜 4) があります。

0

合格または不合格を示す単一行が表示されます。

1

スクリプトごとに合格または不合格を示す行が 1 つ表示されるほか、スクリプト行がすべて表示されたそのあとに総合計スコアを示す行が 1 つ表示されます。

2

スクリプトごとに、すべてのチェック結果が表示されます。

3

バナーとヘッダーメッセージを示す全出力が複数行で表示されます。これはデフォルト設定です。

4

複数行 (レベル 3 で表示される全データ) に加え、logDebug ログ関数によって生成された項目がすべて表示されます。これはデバッグ用のレベルです。

-v

このプログラムのバージョン情報を表示します。


 

スタンドアロンモードにおいて jass-execute コマンドで使用できるオプションについての詳細は、以下を参照してください。

使用できるドライバの詳細なリストについては、Drivers ディレクトリを参照してください。新しいバージョンのソフトウェアでは追加のドライバが含まれていることがあります。


procedure icon  スタンドアロンモードでソフトウェアを実行する

1. secure.driver (または sunfire_15k_sc-secure.driver などの製品固有のスクリプト) を次のように実行します。


コード例 3-3 スタンドアロンモードでのソフトウェアの実行 

# ./jass-execute -d secure.driver

 

[NOTE] The following prompt can be disabled by setting

JASS_NOVICE_USER to 0.

[WARN] Depending on how the Solaris Security Toolkit is configured,

it is both possible and likely that by default all remote shell

and file transfer access to this system will be disabled upon

reboot effectively locking out any user without console access to

the system.

 

Are you sure that you want to continue? (YES/NO) [NO]

y

 

[NOTE] Executing driver, secure.driver

 

===============================================================

secure.driver: Driver started.

===============================================================

 

===============================================================

Solaris Security Toolkit Version: 4.2.0

Node name:                        ufudu

Zone name:                        global

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.10

Date:                             Tue Jul 5 16:28:24 EST 2005

===============================================================

[...]

 

使用できるドライバの詳細なリストについては、Drivers ディレクトリを参照してください。新しいバージョンのソフトウェアでは追加のドライバが含まれていることがあります。

2. Solaris Security Toolkit ソフトウェアを実行した後、システムを再起動して変更を実装します。

セキュリティーの強化中に、クライアントの構成に対してさまざまな変更が行われます。たとえば、サービスの起動スクリプトを無効にする、サービスのオプションを無効にする、あるいはパッチを通して新しいバイナリまたはライブラリをインストールするなどの操作が行われます。これらの変更は、クライアントを再起動するまでは有効にならない場合があります。

3. システムの再起動後に、変更が正しく完璧に行われていることを検証します。

システムの変更の検証を参照してください。

4. エラーが検出された場合、問題を修正して、Solaris Security Toolkit ソフトウェアをスタンドアロンモードで再度実行します。

監査オプション

-a オプションを介して、Solaris Security Toolkit ソフトウェアは監査を実行し、システムがそのセキュリティープロファイルに適合しているかどうかを判断することができます。システムのファイルが変更されているかどうかだけでなく、以前に無効にされたプロセスが実行されているか、または削除されたソフトウェアパッケージが再インストールされているかどうかも検証されます。この機能についての詳細は、第 6 章を参照してください。

セキュリティープロファイルと比較してシステムを監査する場合のコマンド行形式 


# jass-execute -a driver [ -V [0-4] ] [ -q | -o output-file ] [ -m email-address ]

 

クリーンオプション

-c オプションは、直前の Solaris Security Toolkit 実行で保存されたファイルを削除します。クリーンオプションは、非出力 (-q)、出力 (-o)、メール (-m)、および詳細 (-V) オプションと併用できます。

コード例 3-4 に、-c オプションの使用と出力の例を示します。


コード例 3-4 -c オプションの出力例 
# bin/jass-execute -c

Executing driver, clean.driver

 

Please select Solaris Security Toolkit runs to clean:

1.  July 15, 2005 at 11:41:02 (/var/opt/SUNWjass/run/20050715114102)

2.  July 15, 2005 at 11:44:03 (/var/opt/SUNWjass/run/20050715114403)

Choice ('q' to exit)?  2

[NOTE] Cleaning previous run from /var/opt/SUNWjass/run/20050715114403

 

==============================================================================

clean.driver: Driver started.

==============================================================================

 

 

==============================================================================

Toolkit Version: 4.2.0

Node name:       sstzone

Zone name:       sstzone

Host ID:         80cb346c

Host address:    10.8.28.45

MAC address:     8:0:20:cb:34:6c

OS version:      5.10

Date:            Fri Jul 15 11:44:58 PDT 2005

 

==============================================================================

clean.driver: Performing CLEANUP of /var/opt/SUNWjass/run/20050715114403.

==============================================================================

 

==============================================================================

clean.driver: Driver finished.

==============================================================================

 

==============================================================================

[SUMMARY] Results Summary for CLEAN run of clean.driver

[SUMMARY] The run completed with a total of 1 script run.

[SUMMARY] There were  Failures in   0 Scripts

[SUMMARY] There were  Errors   in   0 Scripts

[SUMMARY] There were  Warnings in   0 Scripts

[SUMMARY] There was a Note     in   1 Script

[SUMMARY] Notes Scripts listed in:

          /var/opt/SUNWjass/run/20050715114403/jass-clean-script-notes.txt

==============================================================================

 

ヘルプオプションの表示

-h オプションは jass-execute のヘルプメッセージを表示します。利用可能なオプションについての概要が提供されます。

-h オプションでは次のような出力が生成されます。


コード例 3-5 -h オプションの出力例 

# ./jass-execute -h

To apply this Toolkit to a system, using the syntax:

   jass-execute [-r root_directory -p os_version ]

      [ -q | -o output_file ] [ -m e-mail_address ]

      [ -V [3|4] ] [ -d ] driver

 

To undo a previous application of the Toolkit from a system:

   jass-execute -u [ -b | -f | -k ] [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To audit a system against a pre-defined profile:

   jass-execute -a driver [ -V [0-4] ] [ -q | -o output_file ]

      [ -m e-mail_address ]

 

To remove saved files from a previous run of the Toolkit:

   jass-execute -c [ -q | -o output_file ]

      [ -m e-mail_address ] [ -V [3|4] ]

 

To display the history of Toolkit applications on a system:

   jass-execute -H

 

To display the last application of the Toolkit on a system:

   jass-execute -l

 

To display this help message:

   jass-execute -h

   jass-execute -?

 

To display version information for this program:

   jass-execute -v

 

Note that just the driver name should be specified when using the

'-d' or '-a' options. A path need not be specified as the script

is assumed to exist in the Drivers directory.

 

The '-u' undo option is mutually exclusive with the '-d' and '-a'

options. The default undo behavior is to ask the user what to do if

a file to be restored has been modified as the checksum is

incorrect.

 

The -u option can be combined with the '-k', '-b', or '-f' to

override the default interactive behavior. The use of one of these

options is required when run in quiet mode ('-q').

 

The '-k' option can be used to always keep the current file and

backup if checksum is incorrect. The 'b' can be used to backup the

current file and restore original if the checksum is incorrect.

The 'f' option will always overwrite the original if the checksum

is incorrect, without saving the modified original.

 

ドライバオプション

-d driver オプションは、スタンドアロンモードで実行されるドライバを指定します。

-d オプションを使用してドライバを指定します。追加したスクリプトの名前の先頭に Drivers/ が付加されます。コマンド行にはスクリプト名だけを入力してください。


注 - -d オプションと -a、-b、-c、-f、-H、-h、-k、または -u オプションとの併用は避けてください。


-d driver オプションを使用して jass-execute を実行すると、以下のような出力が生成されます。


コード例 3-6 -d driver オプションの出力例 

# ./jass-execute -d secure.driver

[...]

[NOTE] Executing driver, secure.driver

 

===============================================================

secure.driver: Driver started.

===============================================================

 

===============================================================

Solaris Security Toolkit Version: 4.2.0

Node name:                        ufudu

Zone name:                        global

Host ID:                          8085816e

Host address:                     10.8.31.115

MAC address:                      8:0:20:85:81:6e

OS version:                       5.10

Date:                             Tue Jul 5 16:28:24 EST 2005

===============================================================

[...]

 

電子メール通知オプション

-m e-mail_address オプションを使用すると、スタンドアロンモードでの監査、クリーン、セキュリティー強化、および取り消し操作の出力を、実行終了時に自動的に電子メール送信できます。この電子メールレポートは、ほかのオプションを指定することによってシステム上で生成されるログや、Solaris Security Toolkit ソフトウェアによって作成されるローカルログに加えて生成されるものです。

sunfire_15k_sc-config.driver を呼び出し、電子メール通知オプションを使用して Solaris Security Toolkit ソフトウェアを実行する場合、次のように指定します。 


# ./jass-execute -m root -d sunfire_15k_sc-config.driver 

[...]

 

実行履歴オプション

-H オプションは、Solaris Security Toolkit ソフトウェアがシステムで何回実行されたかを示す簡単なメカニズムを提供します。取り消した実行も含めてすべての実行がリストされます。

-H オプションでは以下のような出力が生成されます。


コード例 3-7 -H オプションの出力例 

# ./jass-execute -H 

Note: This information is only applicable for applications of

      the Solaris Security Toolkit starting with version 0.3.

 

The following is a listing of the applications of the Solaris

Security Toolkit on this system. This list is provided in

reverse chronological order:

 

1.   June 31, 2004 at 12:20:19 (20040631122019) (UNDONE)

2.   June 31, 2004 at 12:10:29 (20040631121029)

3.   June 31, 2004 at 12:04:15 (20040631120415)

 

出力は、Solaris Security Toolkit ソフトウェアがこのシステムで 3 回実行され、最後の実行は取り消されたことを示しています。

最近の実行オプション

-l オプションは、最近の実行を決定するためのメカニズムを提供します。これは -H オプションで常に最後にリストされる実行です。

-l オプションでは次のような出力が生成されます。


コード例 3-8 -l オプションの出力例 

# ./jass-execute -l 

 

Note: This information is only applicable for applications of

      the Solaris Security Toolkit starting with version 4.2.0.

 

The last application of the Solaris Security Toolkit was:

 

1.   June 31, 2005 at 12:20:19 (20040631122019) (UNDONE)

 

出力ファイルオプション

-o output_file オプションを使用すると、jass-execute のコンソール出力が別の output_file に転送されます。output_file には絶対パス名を指定できます。

このオプションは、JASS_REPOSITORY ディレクトリで維持されるログには影響しません。このオプションは、低速の端末接続環境で実行する場合に特に便利です。verbosity_level の指定によっては、Solaris Security Toolkit の実行によって大量の出力が生成される可能性があります。

このオプションは、-a、-d、または -u オプションと併用できます。

-o オプションでは次のような出力が生成されます。


コード例 3-9 -o オプションの出力例 

# ./jass-execute -o /var/tmp/root/jass-output.txt -d secure.driver 

[NOTE] Executing driver, secure.driver

[NOTE] Recording output to /var/tmp/root/jass-output.txt

 

非出力オプション

-q オプションを使用すると、セキュリティー強化の実行時に、コンソールからの Solaris Security Toolkit の出力を無効にします。

このオプションは、JASS_REPOSITORY ディレクトリ内に保持されるログには影響しません。-o オプションと同様、このオプションも、Solaris Security Toolkit ソフトウェアを cron ジョブを利用して実行する場合や、低速のネットワーク接続環境で実行する場合に特に便利です。

このオプションは、-a、-c、-d、または -u オプションと併用できます。

-q オプションでは次のような出力が生成されます。


コード例 3-10 -q オプションの出力例 

# ./jass-execute -q -d secure.driver

[NOTE] Executing driver, secure.driver

 

ルートディレクトリオプション

-r root-directory オプションは、jass-execute の実行中に使用されるルートディレクトリを指定します。-r オプションを使用するときは、-p オプションでプラットフォーム (OS) バージョンも指定する必要があります。-p オプションの形式は uname -r で作成されるものと同じです。

ルートディレクトリは / であり、Solaris Security Toolkit 環境変数 JASS_ROOT_DIR で定義されます。セキュリティー強化の対象の Solaris OS は / を介して指定できます。たとえば、別の OS ディレクトリのセキュリティーを強化するには、一時的に /mnt にマウントし、-r オプションで /mnt を指定します。すべてのスクリプトはその OS イメージに適用されます。

元に戻すオプション

-u オプションを介して、Solaris Security Toolkit ソフトウェアはシステムのセキュリティー強化中に行った変更を元に戻すことができます。それぞれの終了スクリプトを -u オプションで取り消すことができます。また、Solaris Security Toolkit の元に戻す機能は、実行ごとに生成されるチェックサムと密接に統合されています。この機能についての詳細は、第 4 章を参照してください。

-u オプションは次に示す 3 つのオプションと併用できます。

元に戻すコマンドのコマンド行形式 


# jass-execute -u [ -b | -f | -k ] [ -q | -o output_file ]

       [ -m e-mail_address ] [ -V [3|4] ]

 

JumpStart モードでのソフトウェアの実行

JumpStart モードは、JumpStart サーバーの rules ファイルに挿入される Solaris Security Toolkit ドライバによって制御されます。

JumpStart モードを使用するように環境が構成されていない場合は、第 5 章を参照してください。

JumpStart テクノロジについての詳細は、Sun BluePrints マニュアル『JumpStart Technology: Effective Use in the Solaris Operating Environment』を参照してください。


procedure icon  JumpStart モードでソフトウェアを実行する

Solaris Security Toolkit ソフトウェアを JumpStart モードで実行するには、ソフトウェアを JumpStart 環境に統合し、JumpStart インストールに関連付けられている終了スクリプトの一部として呼び出します。Solaris Security Toolkit ソフトウェアを環境に統合する方法については、第 5 章を参照してください。

1. 必要なドライバの変更をすべて行った後、JumpStart インフラストラクチャーを使用してクライアントをインストールします。

この作業を実行するには、クライアントの ok プロンプトから次のコマンドを使用します。 


ok> boot net - install

 

インストールが完了すると、システムは自動的に再起動します。

システムは常に正しい構成でなければなりません。セキュリティーの強化中に、クライアントの構成に対してさまざまな変更が行われます。たとえば、サービスの起動スクリプトを無効にする、サービスのオプションを無効にする、あるいはパッチを通して新しいバイナリまたはライブラリをインストールするなどの操作が行われます。これらの変更は、クライアントを再起動するまでは有効にならない場合があります。

2. システムが再起動されたら、変更が正しく完璧に行われていることを検証します。

システムの変更の検証を参照してください。

3. エラーが検出された場合は、それを修正してクライアントの OS を再インストールします。

システムの変更の検証

システムの再起動後に以下の手順を行なって、変更が正しく完璧に行われていることを検証します。

サービスの QA 検査の実行

システムのセキュリティー強化を実行する際の重要な作業の 1 つは、システムを正常に動作させるために有効にしておくべき OS サービスを判断することです。アプリケーションによって直接使用されている Solaris OS サービスは、有効にしておかなければなりません。たとえば、システムにログインするための Secure Shell などがこれに含まれます。一方、Sun 以外のソフトウェア管理ツールのグラフィカルユーザーインタフェース (GUI) の RPC デーモンなどは、間接的に使用されるサービスです。

こうした要件の大部分は、Solaris Security Toolkit ソフトウェアを実行する前に決定しておく必要があります。アプリケーションおよびサービス要件の決定を参照してください。ただし、唯一の確実な方法は、システムをインストールしてセキュリティー強化を実行したあとで品質保証 (QA) 検査を行い、必要な機能が備わっているかテストすることです。配備する新しいシステムのセキュリティーを強化したあと、それらのシステムに対して QA プランを実行する必要があります。同様に、配備後のシステムでセキュリティー強化を実行した場合も、テストを入念に実行します。必要な機能および予想される機能がすべて存在しているか確認してください。

QA プロセスで不一致が検出された場合は、以下の手順を実行します。

1. 第 2 章のガイドラインに基づいて、問題の箇所を見つけます。

2. アプリケーションが変更後の構成で実行されることを検証します。

3. Solaris Security Toolkit の実行によって行われた変更を元に戻します。

4. 問題の解決方法に基づいて、セキュリティープロファイル (ドライバ) を修正します。

5. Solaris Security Toolkit ソフトウェアを再度実行します。

最終的に、セキュリティープロファイルを実行してもシステムの必要な機能に影響を与えないことが確認されなければなりません。

構成のセキュリティー評価の実行

システムの機能性の検証に加えて、システムのセキュリティー構成を検証し、必要レベルのセキュリティーが確保されているかどうかを判断します。システムの強化または最小化の内容に応じて、確認する項目は異なる可能性があります。

少なくとも、以下の点についてシステムの構成を確認します。

上記の確認事項は、新しく構築してセキュリティー確保を実行したシステムに対する最小限のものです。配備済みのシステムのセキュリティーを強化した場合は、基礎となる OS が不当に変更されていないか検証する必要があります。完全性を検査するには、システムのファイルシステムを読み取り専用モードでマウントし、既知の OS インスタンスから完全性検査ソフトウェアを実行するのが最良の方法です。検証には Sun BluePrints OnLine 掲載記事「The Solaris Fingerprint Database--A Security Tool for Solaris Software and Files」に記載されているツールが役立ちます。

セキュリティープロファイルの検証

システムのセキュリティーを確保し、必要なサービスおよび機能を検証した後で、監査機能を使用してセキュリティープロファイルが正しく完璧に適用されていることを確認します。この作業は 2 つの理由で非常に重要です。第一に、システムのセキュリティーが適切に強化されたことを確認するためです。第二に、システムに対して定義されたセキュリティープロファイルが Solaris Security Toolkit 構成に適切に反映されていることを確認するためです。システムの配備後の期間全体にわたり、構成情報に基づいてセキュリティープロファイルが維持されるので、この検査は不可欠です。

監査機能についての詳細は、第 6 章を参照してください。

インストール後の作業の実施

ソフトウェアを配備済みのシステムにインストールした場合、インストール後の作業についての詳細は、インストール後の作業の実行を参照してください。



  Solaris Security Toolkit 4.2 管理マニュアル 819-3789-10 目次前の章次の章索引


Copyright© 2005, Sun Microsystems, Inc. All rights reserved.