Configuración de política de dispositivos (tareas)

La política de dispositivos restringe o impide el acceso a los dispositivos que son una parte integral del sistema. La política se aplica en el núcleo.

Configuración de política de dispositivos (mapa de tareas)

El siguiente mapa de tareas hace referencia a los procedimientos de configuración de dispositivos relativos a la política de dispositivos.

Cómo ver una política de dispositivos

• Visualice la política de dispositivos para todos los dispositivos del sistema.

  % getdevpolicy | more
  DEFAULT
  read_priv_set=none
  write_priv_set=none
  ip:*
  read_priv_set=net_rawaccess
  write_priv_set=net_rawaccess
  …

Ejemplo 5-1 Visualización de la política de dispositivos para un dispositivo específico

En este ejemplo, se muestra la política de dispositivos para tres dispositivos.

% getdevpolicy /dev/allkmem /dev/ipsecesp /dev/bge
/dev/allkmem
read_priv_set=all
write_priv_set=all
/dev/ipsecesp
read_priv_set=sys_net_config
write_priv_set=sys_net_config
/dev/bge
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess

Cómo cambiar la política de dispositivos en un dispositivo existente

Antes de empezar

Se debe tener asignado el perfil de derechos de seguridad de dispositivos.

1. Conviértase en administrador con los atributos de seguridad necesarios.

   Para obtener más información, consulte Cómo obtener derechos administrativos.

2. Agregue una política a un dispositivo.

   # update_drv -a -p policy device-driver

   -a

   Especifica una política para controlador_dispositivo.

   -p política

   Es la política de dispositivos para controlador_dispositivo. La política de dispositivos especifica dos conjuntos de privilegios. Un conjunto es necesario para leer el dispositivo. El otro conjunto es necesario para escribir en el dispositivo.

   controlador_dispositivo

   Es el controlador del dispositivo.

   Para obtener más información, consulte la página del comando man update_drv(1M).

Ejemplo 5-2 Cómo agregar una política a un dispositivo existente

En el ejemplo siguiente, la política de dispositivos se agrega al dispositivo ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=none
write_priv_set=none
# update_drv -a \
-p 'read_priv_set=net_rawaccess write_priv_set=net_rawaccess' ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess

Ejemplo 5-3 Eliminación de una política de un dispositivo

En el ejemplo siguiente, el conjunto de privilegios de lectura se elimina de la política de dispositivos para el dispositivo ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess
# update_drv -a -p write_priv_set=net_rawaccess ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=none
write_priv_set=net_rawaccess

Cómo auditar cambios en la política de dispositivos

De manera predeterminada, la clase de auditoría as incluye el evento de auditoría AUE_MODDEVPLCY.

Antes de empezar

Debe tener asignado el perfil de derechos de configuración de auditoría.

1. Conviértase en administrador con los atributos de seguridad necesarios.

   Para obtener más información, consulte Cómo obtener derechos administrativos.

2. Preseleccione la clase de auditoría que incluye el evento de auditoría AUE_MODDEVPLCY.

   # auditconfig -getflags
   current-flags
   # auditconfig -setflags current-flags,as

   Para obtener instrucciones detalladas, consulte Cómo preseleccionar clases de auditoría.

Cómo recuperar información MIB-II IP de un dispositivo /dev/*

Las aplicaciones que recuperan información MIB-II IP de Oracle Solaris deben abrir /dev/arp, no /dev/ip.

1. Determine la política de dispositivos en /dev/ip y /dev/arp.

   % getdevpolicy /dev/ip /dev/arp
   /dev/ip
   read_priv_set=net_rawaccess
   write_priv_set=net_rawaccess
   /dev/arp
   read_priv_set=none
   write_priv_set=none

   Tenga en cuenta que se requiere el privilegio net_rawaccess para la lectura y escritura en /dev/ip. No se requieren privilegios para /dev/arp.

2. Abra /dev/arp y utilice los módulos tcp y udp.

   No se requieren privilegios. Este método es equivalente a abrir /dev/ip y utilizar los módulos arp, tcp y udp. Como la apertura de /dev/ip requiere ahora un privilegio, es preferible usar el método /dev/arp.