Supervisión y restricción de superusuario (tareas)

Una alternativa al uso de la cuenta de superusuario es establecer el control de acceso basado en roles (RBAC). Para obtener información general sobre RBAC, consulte Control de acceso basado en roles (descripción general). Para configurar RBAC, consulte el Capítulo 9, Uso del control de acceso basado en roles (tareas).

Cómo supervisar quién está utilizando el comando su

El archivo sulog lista cada uso del comando su, no sólo los intentos de su que se utilizan para cambiar de usuario a superusuario.

Antes de empezar

Debe tener el rol root.

• Supervise el contenido del archivo /var/adm/sulog de manera regular.

  # more /var/adm/sulog
  SU 12/20 16:26 + pts/0 stacey-root
  SU 12/21 10:59 + pts/0 stacey-root
  SU 01/12 11:11 + pts/0 root-rimmer
  SU 01/12 14:56 + pts/0 jdoe-root
  SU 01/12 14:57 + pts/0 jdoe-root

  Las entradas muestran la información siguiente:

  • La fecha y la hora en las que el comando se introdujo.

  • Si el intento tuvo éxito. Un signo más (+) indica un intento con éxito. Un signo menos (-) indica un intento fallido.

  • El puerto desde el que se ha ejecutado el comando.

  • El nombre del usuario y el nombre de la identidad cambiada.

  El registro de su en este archivo se habilita de manera predeterminada mediante la siguiente entrada en el archivo /etc/default/su:

  SULOG=/var/adm/sulog

Errores más frecuentes

Las entradas que incluyen ??? indican que el terminal de control para el comando su no se pueden identificar. Normalmente, las invocaciones del sistema del comando su antes de que el escritorio aparezca incluyen ???, como en SU 10/10 08:08 + ??? root-root. Después de que el usuario inicia una sesión de escritorio, el comando ttynam devuelve el valor del terminal de control a sulog: SU 10/10 10:10 + pts/3 jdoe-root.

Las entradas similares a las siguientes pueden indicar que el comando su no fue invocado en la línea de comandos: SU 10/10 10:20 + ??? root-oracle. Es posible que un usuario de Trusted Extensions haya cambiado al rol oracle utilizando una GUI.

Cómo restringir y supervisar inicios de sesión de superusuario

Este método permite detectar inmediatamente los intentos de acceso al sistema local por parte del usuario root.

Antes de empezar

Debe tener el rol root.

1. Consulte la entrada CONSOLE en el archivo /etc/default/login.

   CONSOLE=/dev/console

   De manera predeterminada, el dispositivo de consola se establece en /dev/console. Con este valor, root puede iniciar sesión en la consola. root no puede iniciar sesión de manera remota.

2. Verifique que root no pueda iniciar sesión de manera remota.

   Desde un sistema remoto, intente iniciar sesión como root.

   mach2 % ssh -l root mach1
   Password: <Type root password of mach1>
   Password: 
   Password: 
   Permission denied (gssapi-keyex,gssapi-with-mic,publickey,keyboard-interactive).

   En la configuración predeterminada, root es un rol, y los roles no pueden iniciar sesión. Además, en la configuración predeterminada el protocolo ssh impide el inicio de sesión por parte del usuario root.

3. Supervise intentos de convertirse en usuario root.

   De manera predeterminada, los intentos de convertirse en usuario root se imprimen en la consola mediante la utilidad SYSLOG.

   1. Abra una consola del terminal en el escritorio.
   2. En otra ventana, utilice el comando su para convertirse en superusuario.

      % su -
      Password: <Type root password>
      #

      Se imprime un mensaje en la consola del terminal.

      Sep 7 13:22:57 mach1 su: 'su root' succeeded for jdoe on /dev/pts/6

Ejemplo 3-7 Registro de intentos de acceso de superusuario

En este ejemplo, los intentos de superusuario no están siendo registrados por SYSLOG. Por lo tanto, el administrador está registrando esos intentos eliminando el comentario de la entrada #CONSOLE=/dev/console en el archivo /etc/default/su.

# CONSOLE determines whether attempts to su to root should be logged
# to the named device
#
CONSOLE=/dev/console

Cuando un usuario intenta convertirse en superusuario, el intento se imprime en la consola del terminal.

SU 09/07 16:38 + pts/8 jdoe-root

Errores más frecuentes

Para convertirse en superusuario de un sistema remoto cuando el archivo /etc/default/login contiene la entrada CONSOLE predeterminada, los usuarios deben, primero, iniciar sesión con su nombre de usuario. Después de iniciar sesión con su nombre de usuario, los usuarios pueden utilizar el comando su para convertirse en superusuario.

Si la consola muestra una entrada similar a Mar 16 16:20:36 mach1 login: ROOT LOGIN /dev/pts/14 FROM mach2.Example.COM, el sistema permite inicios de sesión root remotos. Para evitar el acceso remoto de superusuario, cambie la entrada #CONSOLE=/dev/console a CONSOLE=/dev/console en el archivo /etc/default/login.