Überwachen und Beschränken des Superusers

Eine Alternative zur Verwendung des Superuser-Kontos ist die Einrichtung einer rollenbasierten Zugriffssteuerung. Die rollenbasierte Zugriffssteuerung wird auch als RBAC (Role Based Access Control) bezeichnet. Eine Übersicht über RBAC finden Sie unter Rollenbasierte Zugriffssteuerung (Übersicht). Informationen zur Einrichtung von RBAC finden Sie unter Kapitel 9Rollenbasierte Zugriffssteuerung (Aufgaben).

So überwachen Sie, wer den Befehl su ausführt

In der Datei sulog wird jede Verwendung des Befehls su aufgezeichnet, nicht nur die Versuche, um mit dem Befehl su vom normalen zum Superuser zu wechseln.

• Überwachen Sie regelmäßig den Inhalt der Datei /var/adm/sulog.

  # more /var/adm/sulog
  SU 12/20 16:26 + pts/0 stacey-root
  SU 12/21 10:59 + pts/0 stacey-root
  SU 01/12 11:11 + pts/0 root-rimmer
  SU 01/12 14:56 + pts/0 pmorph-root
  SU 01/12 14:57 + pts/0 pmorph-root

  Die Einträge enthalten folgende Informationen:

  • Datum und Uhrzeit der Befehlseingabe

  • Erfolg des Versuchs. Ein Pluszeichen (+) gibt an, dass der Versuch erfolgreich war. Ein Minuszeichen (-) kennzeichnet einen fehlgeschlagenen Versuch.

  • Der Port, über den der Befehl eingegeben wurde

  • Der Name des Benutzers und der Name der gewechselten Identität

  Die su-Protokollierung in dieser Datei wird standardmäßig durch folgenden Eintrag in der Datei /etc/default/su aktiviert:

  SULOG=/var/adm/sulog

Allgemeine Fehler

Wenn die Einträge ??? enthalten, weist das darauf hin, dass das Steuerungsterminal für den Befehl su nicht identifiziert werden kann. Üblicherweise enthalten Systemaufrufe des Befehls su vor der Desktopanzeige die Zeichen ???, beispielsweise SU 10/10 08:08 + ??? root-root. Nachdem der Benutzer eine Desktopsitzung gestartet hat, gibt der Befehl ttynam den Wert des Steuerungsterminals an die Datei sulog zurück: SU 10/10 10:10 + pts/3 jdoe-root.

Einträge ähnlich dem folgenden können darauf hinweisen, dass der Befehl su nicht über die Befehlszeile aufgerufen wurde: SU 10/10 10:20 + ??? root-oracle. Der Benutzer kann mithilfe einer GUI zu einer oracle-Rolle gewechselt sein.

So beschränken und überwachen Sie Superuser-Anmeldungen

Diese Methode erkennt automatisch alle Superuser-Zugriffsversuche auf das lokale System.

1. Zeigen Sie den Eintrag CONSOLE in der Datei /etc/default/login an.

   CONSOLE=/dev/console

   Standardmäßig ist für das Konsolengerät /dev/console eingestellt. Mit dieser Einstellung kann sich der root-Benutzer bei der Konsole anmelden. Der root-Benutzer kann keine Remote-Anmeldung durchführen.

2. Vergewissern Sie sich, dass der root-Benutzer keine Remote-Anmeldung durchführen kann.

   Versuchen Sie, sich über ein Remote-System als Superuser anzumelden.

   mach2 % rlogin -l root mach1
   Password: <Type root password of mach1>
   Not on system console
   Connection closed.

3. Überwachen Sie die Superuser-Anmeldungsversuche.

   Standardmäßig werden Anmeldeversuche eines Superusers auf der Konsole vom Dienstprogramm SYSLOG ausgegeben.

   1. Öffnen Sie eine Terminalkonsole auf Ihrem Desktop.
   2. Geben Sie in einem anderen Fenster den Befehl su ein, um sich als Superuser anzumelden.

      % su -
      Password: <Type root password>
      #

      Auf der Terminalkonsole wird eine Meldung ausgegeben.

      Sep 7 13:22:57 mach1 su: 'su root' succeeded for jdoe on /dev/pts/6

Beispiel 3-7 Aufzeichnen von Superuser-Zugriffsversuchen

In diesem Beispiel werden Superuser-Anmeldeversuche nicht von SYSLOG aufgezeichnet. Daher sorgt der Administrator für die Aufzeichnung dieser Versuche, indem er das Kommentarzeichen vor dem Eintrag #CONSOLE=/dev/console in der Datei /etc/default/su entfernt.

# CONSOLE determines whether attempts to su to root should be logged
# to the named device
#
CONSOLE=/dev/console

Wenn ein Benutzer versucht, sich als Superuser anzumelden, wird der Versuch auf der Terminalkonsole ausgegeben.

SU 09/07 16:38 + pts/8 jdoe-root

Allgemeine Fehler

Um von einem Remote-System aus Superuser-Rechte zu erhalten, wenn die Datei /etc/default/login den standardmäßigen CONSOLE-Eintrag enthält, müssen sich Benutzer zuerst mit ihrem Namen anmelden. Danach können sie mit dem Befehl su zum Superuser wechseln.

Wenn die Konsole Mar 16 16:20:36 mach1 login: ROOT LOGIN /dev/pts/14 FROM mach2.Example.COM oder einen ähnlichen Eintrag anzeigt, lässt das System root-Anmeldungen über ein Remote-System zu. Um Superuser-Zugriff über ein Remote-System zu verhindern, ändern Sie in der Datei /etc/default/login den Eintrag #CONSOLE=/dev/console in CONSOLE=/dev/console.