| Solaris Security Toolkit 4.2 管理マニュアル |    
|
| Solaris Security Toolkit 4.2 管理マニュアル |
|
第7章 |
|
この章では、これまでに説明してきた内容と専門知識を、新しい Solaris 8 または 9 OS のインストールとセキュリティー確保に実際に適用する方法について説明します。この章では、Solaris Security Toolkit ソフトウェアを Solaris 8 OS 対応の Check PointFirewall-1 NG とともに配備する方法を具体的に示します。
この章の内容は、新しいシステムとアプリケーションのセキュリティーを確保する際の指針 (ケースシナリオ) として利用してください。
Sun BluePrint マニュアルとオンライン掲載記事には、Sun の多くのシステムの最小化および強化プロセスが詳しく記載されています。製品別の最新のマニュアルと記事については、次の Web サイトを参照してください。
このケーススタディでの説明に従って、最小化され、セキュリティーで保護されたシステムを効果的かつ効率的に配備するには、計画と準備が重要です。基本となるネットワークインフラ、ポリシー、および手順を適切に構築する必要があります。また、システムのサポートと保守が定義され、伝達済みである必要もあります。計画と準備についての詳細は、第 2 章を参照してください。この章で説明するシナリオでは、ファイアウォールシステム用に最小化および強化された Solaris OS イメージを実現するためにシステム管理者 (SA) が行う処理と作業が記載されています。
このシナリオでは、システム管理者は、顧客にファイアウォールサービスを提供するサービスプロバイダ (xSP) 向けの Check PointFirewall-1 NG システムを構築および配備する、自動化されたスケーラブルなソリューションを作成します。xSP の要件と検討事項は、次のとおりです。
以上の要件に基づいて、システム管理者は JumpStart テクノロジと Solaris Security Toolkit ソフトウェアを利用して、OS イメージのインストール、最小化、および強化を自動化します。
この章では、Solaris Security Toolkit ソフトウェアと JumpStart テクノロジによるインストールを使用していることを前提とします。ソフトウェアのインストールの方法とガイドラインは、第 3 章に示されています。
この章では、特定のアプリケーションを最小化および強化するカスタム構成を開発することも前提とします。Solaris Security Toolkit ソフトウェアには、そのアプリケーション専用のドライバや JumpStart プロファイルがありません。したがって、アプリケーション用のカスタムドライバとプロファイルを作成する必要があります。そのためには、既存のドライバとプロファイルをコピーし、アプリケーションに適合するように変更します。
このケースシナリオでは、次のスキルレベルがシステム管理者に求められます。
このシナリオは、以下のハードウェアおよびソフトウェア環境に基づきます。
このシナリオでは、高度な要件とソフトウェアパッケージが示されていますが、すべてのパッケージについて固有のコンポーネントとサービスを特定する必要があります。また、システムの運用管理に必要な Solaris OS の機能も特定する必要があります。
以下に、ソフトウェアコンポーネントの使用方法を詳細に示します。
このリストを基に、セキュリティープロファイルを作成できます。セキュリティープロファイルの作成およびプロファイルテンプレートの使用についての詳細は、Solaris Security Toolkit プロファイルの開発および実装を参照してください。
セキュリティープロファイルは、システムのセキュリティー構成を強化および最小化する際に Solaris Security Toolkit ソフトウェアが実行するセキュリティーの変更内容を定義します。Solaris Security Toolkit ソフトウェアに付属する標準のセキュリティープロファイルやドライバは、最小化された Check PointFirewall-1 NG システムの要件を満たしません。したがって、必要なシステム変更を実装するカスタムセキュリティープロファイルを作成する必要があります。
このシナリオの場合、セキュリティープロファイルの作成プロセスについては、この章のいくつかの節で説明されています。最初に、既存のドライバを基に新しいドライバファイルを作成します。次に、新しいドライバを変更して、前述したセキュリティー要件に準拠させます。最小化については、ソフトウェアのインストールを参照し、変更の強化については、強化構成のカスタマイズを参照してください。
この節では、ソフトウェアのインストール処理を具体的に示します。サンプルシナリオには、例外事項やシナリオ特有の指示があります。ソフトウェアの一般的なインストール手順については、第 3 章を参照してください。
以下の操作を行なって、Solaris Security Toolkit とパッチなどのセキュリティーソフトウェアをダウンロードして、JumpStart サーバーにインストールします。
|
1. Solaris Security Toolkit ソフトウェアと追加のセキュリティーソフトウェアをダウンロードします。
セキュリティーソフトウェアのダウンロードを参照してください。
2. ダウンロードした Solaris Security Toolkit ソフトウェアと追加のセキュリティーソフトウェアをインストールします。
ソフトウェアのインストールと実行を参照してください。
|
注意 - Solaris Security Toolkit ソフトウェアはまだ実行しないでください。最初に、以下の節で説明する追加構成とカスタマイズを実行します。 |
OS パッチは、セキュリティーの脆弱性、可用性に関する問題、パフォーマンス上の問題、およびシステムのその他の問題を処理できます。新しい OS のインストール時、およびインストール後も継続的に、必要なパッチがインストールされていることを確認します。
Solaris Security Toolkit ソフトウェアは、SunSolve Online から入手可能な推奨およびセキュリティパッチクラスタをインストールするメカニズムを提供します。この OS 固有のパッチクラスタには、最も一般的に必要となるパッチが含まれています。
|
1. 最低限、推奨およびセキュリティパッチクラスタを Patches ディレクトリにダウンロードして圧縮解除します。
強化ドライバに install-recommended-patches.fin スクリプトが含まれている場合は、パッチクラスタが自動的にインストールされます。
Check PointFirewall-1 NG にはほかにも問題があります。推奨およびセキュリティパッチクラスタに含まれていない専用のパッチが必要です。Check PointFirewall-1 NG には以下のパッチが必要です。
2. パッチ 108434 と 108435 のインストールを自動化するには、SunSolve OnLine から最新バージョンをダウンロードし、それを Patches ディレクトリに置きます。
3. 各パッチの名前を指定して add_patch ヘルパー関数を呼び出す終了スクリプト (fw1-patch-install.fin など) を作成します。
この終了スクリプトは、Check PointFirewall-1 NG に必要な 2 つのパッチ ID を指定して正しいヘルパー関数を呼び出します。次に例を示します。
OS をインストールするためのディスクレイアウトを定義したら、次は、インストールする Solaris OS クラスタを指定します。Solaris OS で使用できるインストールクラスタには、SUNWCreq、SUNWCuser、SUNWCprog、SUNWCall、SUNWCXall の 5 つがあり、そのいずれかを選択します。
|
このケースシナリオの目的は最小化した専用ファイアウォールの構築であるため、使用可能な Solaris OS クラスタの中で最小の SUNWCreq を指定します。このパッケージは Core とも呼ばれます。
このクラスタには比較的少数のパッケージしか含まれていないため、他のパッケージも必要です。これら必要なほかのパッケージを Solaris OS クラスタ定義によってプロファイルに含める必要があります。
ベースラインプロファイル定義により、定義済みプロファイルに以下の項目を追加します。
SUNWCreq インストールクラスタには、ファイアウォール Sun サーバーの適切な動作には不要なパッケージが含まれています。作業ベースラインを用意できたら余分なパッケージを削除します。Sun BluePrints OnLine 掲載記事『Minimizing the Solaris Operating Environment for Security: Updated for the Solaris 9 Operating Environment』を参照してください。
2. ユーザー自身で定義したセキュリティープロファイルでインストールを実行し、パッケージの依存関係がないかどうかを確認します。
パッケージの依存関係によってはインストール中に検出される場合もあります。Check PointFirewall-1 NG には、次の Solaris OS パッケージが必要です。
プロファイル内のパッケージの完全なリストは、以下のとおりです。
|
注 - このリストは、このケーススタディには適切ですが、この構成を配備する実際の環境によってはほかのパッケージの追加または削除を行うことができます。 |
品質保証のテストで説明するように、機能とセキュリティーの両面からシステムが検証されるまでは、パッケージの最終的なリストの変更が必要な場合もあります。そのような場合は、プロファイルを修正してシステムを再インストールし、テストを繰り返します。
3. 前の 2 つの手順でのパッケージの依存関係に基づいて、minimize-firewall.fin script を作成します。
この節では、JumpStart サーバーとクライアントを構成して、カスタムセキュリティープロファイルを使用して最小化を行う方法について具体的に説明します。JumpStart 環境での Solaris Security Toolkit ソフトウェアの使用についての詳細は、第 5 章を参照してください。
以下の作業を行なって、インフラストラクチャーを準備します。以下の作業では、既存のドライバ、プロファイル、および終了スクリプトを使用してクライアントのベースライン構成を作成するプロセスを具体的に示します。このベースラインを適切に準備できたら、適切に機能することを確認し、対象アプリケーションに合わせてカスタマイズします。
|
詳細な手順については、第 5 章を参照してください。
2. add-client コマンドを使用して、クライアントを JumpStart サーバーに追加します。
3. クライアントの rules ファイル項目を作成し、正しい JumpStart プロファイルと終了スクリプトを指定します。次に例を示します。
4. Solaris Security Toolkit ソフトウェアに付属するファイルをコピーして、xsp-minimal-firewall.profile という名前のプロファイルファイルと xsp-firewall-secure.driver という名前のドライバファイルを作成します。
これらのファイルを作成しないと、次の手順を正しく完了できません。最初は、Solaris Security Toolkit ソフトウェアとともに配布されたファイルのコピーを使用できます。
この例では、専用ファイアウォールの開発に適したベースラインという理由から、専用の Web サーバー構成を利用しています。
5. プロファイルとドライバファイルを作成したら、これらのファイルを以下のように変更します。
a. hardening.driver への xsp-firewall-secure.driver 参照を xsp-firewall-hardening.driver に置き換えます。
b. JASS_SCRIPTS に定義されている 2 つの終了スクリプトを minimize-firewall.fin と終了スクリプト (たとえば、fw1-patch-install.fin) への参照に置き換えます。
6. 以下のコマンドを使用して、rules ファイル項目が正しいことを確認します。
この時点で、クライアント (この例では jordan) への JumpStart のインストールを開始できる必要があります。作成した JumpStart 構成、JumpStart ドライバ、終了スクリプト、およびプロファイルを使用します。
7. rules ファイルの確認中に問題が検出された場合は、rules ファイルの検証とチェックを参照してください。
8. クライアントの ok プロンプトから次のコマンドを入力して、JumpStart インフラストラクチャーによってクライアントをインストールします。
クライアントが構築されない場合は、構成を確認し、その構成が適切に機能するまで変更します。この節では、JumpStart 構成の一部の側面についてのみ説明します。詳細については、Sun BluePrint マニュアル『JumpStart Technology: Effective Use in the Solaris Operating Environment』を参照してください。
rules ファイルを正しく実行し、パッチが正しくインストールされていることを確認したら、クライアントシステムの基本的なインストールと、その最小化と強化を開始できます。
rules ファイルの妥当性の検証時には、さまざまな問題が検出されることがあります。この節では、最も一般的な問題のいくつかについて説明します。
rules ファイルのチェックを初めて実行したときは、以下の出力が生成されます。
この例では、jordan の rules 項目に指定されたプロファイルが存在しません。プロファイル xsp-minimal-firewall.profile が Profiles ディレクトリに存在しませんでした。一般に、このエラーは、ファイル名のスペルミス、プロファイルの正しいディレクトリの指定し忘れ、およびプロファイルが未作成であることが原因で生成されます。問題を修正して、チェックを再度実行します。
2 回目の実行では、別の問題が 2 つ検出されています。1 つ目の問題は、xsp-firewall-secure.driver で呼び出されるドライバに関するものです。xsp-firewall-secure.driver で、xsp-firewall-hardening.driver ではなく hardening.driver を呼び出しています。
2 つ目の問題では、JASS_SCRIPTS 変数に minimize-firewall.fin ではなく minimize-Sun_ONE-WS.fin が誤って設定されています。
このファイアウォールの強化構成をカスタマイズして調整する準備が整いました。最初のスクリプトは hardening.driver に基づきます。具体的には、システムの「穴をすべてふさぐ」こと、つまりシステムのサービスがすべて無効になります。
Solaris 8 OS には Secure Shell クライアントが含まれていないため、ファイアウォールをネットワークベースで遠隔管理するには変更が必要です。このケースシナリオの場合、ファイアウォールの要件は、FTP サービスを有効のままにすること、および遠隔管理のために Secure Shell クライアントをインストールすることです。これら両方のサービスをプライベート管理ネットワークのみに限定することで、他のネットワークインタフェースでのリスニングを無効にします。これらのサービスの制限については、Sun BluePrints OnLine 掲載記事『Solaris Operating Environment Security: Updated for Solaris 9 Operating Environment』を参照してください。
これら 2 つのサービスを有効にしておくことに加え、RPC サービスも有効にして、Solstice DiskSuite GUI から Solstice DiskSuit を構成してディスクミラーリングを実行できるようにします。Solstice DiskSuite GUI を使用しないなら、RPC サービスは必要ありません。この例では、この GUI が必要なので、RPC サービスを有効のままにします。Solstice DiskSuite のインストールと構成方法については、このマニュアルでは説明しません。
このクライアントに必要な最後の変更は、xSP の中央 SYSLOG サーバーを使用するカスタム syslog.conf を作成することです。このカスタム syslog.conf ファイルは、各ファイアウォールシステムにインストールする必要があります。
上記変更を行った場合、さまざまな Solaris Security Toolkit 構成オプションを変更する必要があります。必要な各変更については、以下の節で詳しく説明します。
このケースシナリオのファイアウォールの場合、FTP サービスを有効のままにしておきます。
|
1. FTP を有効のままにしておくには、JASS_SVCS_DISABLE および JASS_SVCS_ENABLE 変数を設定することにより、update-inetd-conf.fin ファイルのデフォルトの動作を変更します。
FTP を除くすべての標準 Solaris OS サービスを無効にする場合に、このケースシナリオで最適な方法は、JASS_SVCS_ENABLE が ftp になるよう定義し、JASS_SVCS_DISABLE には finish.init スクリプトから取得したデフォルト値をそのまま利用することです。『Solaris Security Toolkit 4.2 リファレンスマニュアル』を参照してください。
2. 環境変数を利用して変更を実装するには、以下のような項目を xsp-firewall-secure.driver に追加してから xsp-firewall-hardening.driver を呼び出します。
3. ファイアウォールソフトウェアを利用して FTP を実装することにより、FTP が xSP の管理ネットワーク上でのみ使用できるようにします。
ほかの要件の １ つは、FTP を xSP の管理ネットワーク上でのみ使用可能にすることでした。Solaris 8 OS の場合、この要件の実装には、システムに TCP ラッパーを組み込むか、ファイアウォールソフトウェアを利用します。このケースシナリオでは、ファイアウォールソフトウェアを利用します。
|
注 - ここでの説明は、Solaris OS バージョン 8 を実行しているシステムにのみ適用されます。システムで Solaris 9 または Solaris10 OS を稼働させている場合は、次に示す OpenSSH のインストール手順は省略し、Solaris OS に付属の Secure Shell ソフトウェアを使用できます。 |
Solaris 8 OS には Secure Shell クライアントは含まれません。。このため、システムが Solaris 8 OS を稼働させている場合は、Secure Shell クライアントをインストールしてリモート管理を行う必要があります。
Solaris Security Toolkit ソフトウェアを構成して、OpenSSH ツールをインストールできます。ここでは、install-openssh.fin スクリプトを使用します。このスクリプトは、xsp-firewall-secure.driver が使用する config.driver ファイルにリストされます。
|
1. デフォルトの config.driver を xsp-firewall-config.driver にコピーします。
2. ファイルのコピー内で install-openssh.fin の項目をコメント解除します。
3. xsp-firewall-secure.driver 内の config.driver を呼び出す項目を xsp-firewall-config.driver を呼び出すように変更します。
パッチや OS リリースと同様、OpenSSH の最新バージョンを使用します。最新リリースについては、OpenSSH の Web ページを参照してください。
5. 最新の OpenSSH パッケージをコンパイルし、名前を付けて、Packages ディレクトリにインストールします。
このパッケージについての詳細は、Sun BluePrints OnLine 掲載記事『Configuring OpenSSH for the Solaris Operating Environment』を参照してください。
6. install-openssh.fin スクリプトを正しい OpenSSH パッケージ名で更新します。
install-openssh.fin スクリプトの更新も必要な場合があります。このスクリプトは、フォーマットする OpenSSH パッケージのパッケージ名を次のように定義します。
ここでは、パッケージ名のあとにバージョン番号 (3.5p1) と、アーキテクチャー (sparc)、アーキテクチャーのバージョン (sun4u)、パッケージのコンパイル対象の OS (5.8)、pkg 接尾辞が続きます。
7. ファイアウォールソフトウェアを利用して SSH を実装することにより、SSH を xSP の管理ネットワーク上でのみ使用できるようにします。
ほかの要件の 1 つは、Secure Shell を xSP の管理ネットワーク上でのみ使用可能にすることでした。Solaris 8 OS の場合、この要件の実装には、システムに TCP ラッパーを組み込むか、ファイアウォールソフトウェアを利用します。このケースシナリオでは、ファイアウォールソフトウェアを利用します。この要件の実装は、Secure Shell サーバーの構成を変更して行うこともできます。
RPC サービスを有効のままにして、RPC を必要とするディスクミラーリングで Solstice DiskSuite を使用できるようにします。
固有の終了スクリプト disable-rpc.fin を使用すると、Solaris Security Toolkit の実行中に RPC サービスを無効にできるので、この変更は比較的簡単に行えます。
|
注 - システム上の RPC サービスへのリモートアクセスは、システムのファイアウォール構成によって明示的に拒否する必要があります。 |
|
xsp-firewall-hardening.driver 内の disable-rpc.fin の項目をコメントアウトします。
削除するのではなく、コメントにすることにより、ドライバからのスクリプトを無効にします。コメント値には特定の組み合わせしか使用できないため、JASS_SCRIPTS 定義内の項目をコメントアウトするときは注意が必要です。
次に示すのは、driver.funcs script 内のコメントです。これは、Solaris Security Toolkit ソフトウェアで、JASS_SCRIPTS 定義内のコメント指示子として認識される要素についてのコメントです。
このクライアントに必要な最後の変更は、xSP の中央 SYSLOG サーバーを使用するカスタム syslog.conf を作成することです。このカスタム syslog.conf ファイルは、各ファイアウォールシステムにインストールする必要があります。
|
1. xSP の標準 syslog.conf ファイルをコピーし、syslog.conf.jordan という名前を付けて、Files/etc ディレクトリに置きます。
Solaris Security Toolkit ソフトウェアでは、いくつか異なるモードでファイルをコピーできます。この構成に最適なオプションとしては、syslog.conf ファイルにファイアウォール固有の変更が含まれるので、システムのホスト名を接尾辞としてファイルに追加し、そのファイルを jordan にのみコピーすることです。ここの例では、クライアントは jordan と呼ばれているので、Files/etc で使用される実際のファイル名は syslog.conf.jordan です。JASS_FILES 定義にこの接尾辞が追加されないように注意が必要です。接尾辞についての詳細は、『Solaris Security Toolkit 4.2 リファレンスマニュアル』を参照してください。
2. xS の標準 syslog.conf ファイルを使用できない場合は、以下のようにカスタム syslog.conf ファイルを作成します。
a. Solaris Security Toolkit に付属する syslog.conf ファイルをコピーし、syslog.conf.jordan という名前を付けて、Files/etc ディレクトリに置きます。
b. syslog.conf.jordan を変更して、SYSLOG の xSP 標準に準拠させます。
3. /etc/syslog.conf ファイルが xsp-firewall-hardening.driver の JASS_FILES 定義に表示されることを確認します。
デフォルトでは、xsp-firewall-hardening.driver 内の変更された JASS_FILE 定義は、以下のように表示されます。
|
/etc/init.d/set-tmp-permissions /etc/rc2.d/S00set-tmp-permissions |
これで、必要な変更がすべて完了しました。OS のインストール、最小化、および強化が特定のアプリケーション用にカスタマイズされ、完全に自動化されます。唯一完全に自動化されないプロセスは、ファイアウォールソフトウェアと Solstice DiskSuite の構成とインストールです。これらの構成は、JumpStart テクノロジを使用して実行できますが、このマニュアルでは説明しません。Sun BluePrints マニュアル『JumpStart Technology: Effective Use in the Solaris Operating Environment』を参照してください。
ドライバにすべての変更を加えたら、この節での説明に従って、クライアントをインストールします。
|
1. ドライバに必要な変更をすべて加えたら、JumpStart インフラストラクチャーを使用してクライアントをインストールします。
クライアントの ok プロンプトから、次のコマンドを使用します。
2. エラーが検出された場合は、それを修正してクライアントの OS を再インストールします。
一連の作業の最後に、システムが提供するアプリケーションとサービスが正しく機能することを確認します。また、セキュリティープロファイルに必要な変更が正しく実装されていることも確認します。
この作業は、強化および最小化したプラットフォームの再起動の直後に入念に行うことが重要であり、検出された障害や問題はすぐに修正してください。この作業は、プロファイルのインストールの検証と、アプリケーションおよびサービスの機能性の検証という 2 つの作業に分かれています。
|
Solaris Security Toolkit ソフトウェアによってセキュリティープロファイルが正しくインストールされ、エラーがないことを確認するには、次の点を確認および評価します。
このファイルは、JASS_REPOSITORY/jass-install-log.txt にインストールされています。
|
注 - このログファイルから、Solaris Security Toolkit ソフトウェアがシステムに実行した処理内容を正確に把握できます。実行のたびに、その開始時刻に基づいて、ディレクトリ内に新しいログファイルが保存されます。これらのファイルや、JASS_REPOSITORY ディレクトリ内のほかのファイルを直接変更してはなりません。 |
2. 監査オプションを使用して、システムのセキュリティー構成を評価します。
監査オプションについての詳細は、第 6 章を参照してください。このシナリオでは、クライアント上の Solaris Security Toolkit ソフトウェアのインストール先ディレクトリから以下のコマンドを使用します。
Solaris Security Toolkit の確認で何らかの矛盾が検出された場合は、その内容が記録されます。実行レポートの最後に、矛盾箇所の検出数の合計が記録されます。実行の出力全体は、JASS_REPOSITORY ディレクトリ内にあります。
|
アプリケーションとサービスの確認作業では、適切に定義されたテストおよび受け入れ計画を実行します。この計画を使用して、システムやアプリケーションの各種のコンポーネントを実行し、それらが使用可能で正常に機能する状態であることを確認します。このような計画を用意できない場合は、システムの使用方法に応じて妥当な方法でテストします。目標は、強化プロセスがアプリケーションやサービスの機能の実行に一切影響していないことを確認することです。
1. システムの強化後にアプリケーションやサービスが正常に機能しないことが検出された場合は、第 2 章で説明する方法で問題を特定します。
たとえば、truss コマンドを使用します。このコマンドを使用すると、アプリケーションの問題がどの段階で発生するかを特定できます。問題が発生する段階がわかれば、問題箇所を絞り込んで、Solaris Security Toolkit ソフトウェアが行った変更箇所まで遡ることができます。
|
注 - このマニュアルに記載のアプローチは、Solaris Security Toolkit ソフトウェアを配備した多くのユーザーの経験に基づいているため、ほとんどの問題を回避できます。 |
2. 同様の方法で、Check PointFirewall-1 NG ソフトウェアをテストし、Solaris Security Toolkit ソフトウェアによる変更箇所までさかのぼって問題を修正します。
3. パッケージの最終的なリストを変更する必要がある場合は、プロファイルを変更してシステムを再インストールし、テストを繰り返します。
| Solaris Security Toolkit 4.2 管理マニュアル | 819-3789-10 |
|
Copyright© 2005, Sun Microsystems, Inc. All rights reserved.
セキュリティーソフトウェアをダウンロードしてインストールする