Sicurezza degli utenti

Al termine della procedura, solo l'utente iniziale che può assumere il ruolo root ha la possibilità di accedere al sistema. È consigliabile eseguire le seguenti attività nell'ordine indicato, prima che gli utenti con ruoli regolari possano eseguire il login.

Impostazione di password più complesse

Utilizzare questa procedura se le impostazioni predefinite non soddisfano i requisiti di sicurezza del sito. I passaggi seguono l'elenco di voci nel file /etc/deault/passwd .

Prima di cominciare

Prima di modificare le impostazioni predefinite, verificare che tali modifiche consentano a tutti gli utenti di autenticarsi nelle rispettive applicazioni e negli altri sistemi presenti in rete.

È necessario utilizzare il ruolo root.

• Modificare il file /etc/default/passwd.
  1. Imporre agli utenti la modifica delle password ogni mese ma con una frequenza non superiore a tre settimane.

     ## /etc/default/passwd
     ##
     MAXWEEKS=
     MINWEEKS=
     MAXWEEKS=4
     MINWEEKS=3

  2. Impostare una password di almeno otto caratteri.

     #PASSLENGTH=6
     PASSLENGTH=8

  3. Conservare una cronologia delle password.

     #HISTORY=0
     HISTORY=10

  4. Imporre una differenza minima tra la vecchia e la nuova password.

     #MINDIFF=3
     MINDIFF=4

  5. Richiedere almeno un carattere maiuscolo.

     #MINUPPER=0
     MINUPPER=1

  6. Richiedere almeno un carattere numerico.

     #MINDIGIT=0
     MINDIGIT=1

Vedere anche

• Per l'elenco di variabili che costituiscono i limiti di creazione della password, vedere il file /etc/default/passwd. Nello stesso file sono indicate anche le impostazioni predefinite.

• Per i criteri della password in uso dopo l'installazione, vedere Accesso al sistema limitato e monitorato.

• Pagina man passwd(1)

Impostazione di un blocco dell'account per gli utenti regolari

Utilizzare questa procedura per bloccare gli account degli utenti regolari dopo un certo numero di tentativi di login non riusciti.

Prima di cominciare

È necessario utilizzare il ruolo root. Non impostare questa protezione a livello di sistema se quest'ultimo viene utilizzato per attività amministrative.

1. Impostare l'attributo di sicurezza LOCK_AFTER_RETRIES su YES.
   • Impostare a livello di sistema.

     # vi /etc/security/policy.conf
     ...
     #LOCK_AFTER_RETRIES=NO
     LOCK_AFTER_RETRIES=YES
     ...

   • Impostare a livello di utente.

     # usermod -K lock_after_retries=yes username

2. Impostare l'attributo di sicurezza RETRIES su 3.

   # vi /etc/default/login
   ...
   #RETRIES=5
   RETRIES=3
   ...

Vedere anche

• Per informazioni sugli attributi di sicurezza di utente e ruolo, vedere Capitolo 10, Security Attributes in Oracle Solaris (Reference) in Oracle Solaris Administration: Security Services.

• Le pagine man selezionate includono policy.conf(4) e user_attr(4).

Impostazione di un valore umask più restrittivo per gli utenti regolari.

Se il valore predefinito umask, 022, non è sufficientemente restrittivo, impostare una maschera più restrittiva come descritto di seguito.

Prima di cominciare

È necessario utilizzare il ruolo root.

• Modificare il valore di umask nei profili di login nelle directory skeleton per diverse shell.

  Oracle Solaris fornisce directory che gli amministratori possono utilizzare per personalizzare le impostazioni predefinite della shell utente. Tali directoy skeleton includono file quali .profile , .bashrc e .kshrc.

  Scegliere uno dei valori seguenti:

  • umask 027: fornisce una protezione moderata del file

    (740): w per gruppo, rwx per altri

  • umask 026: fornisce una protezione leggermente più rigida del file

    (741): w per gruppo, rw per altri

  • umask 077: fornisce una protezione completa del file

    (700): nessun accesso per gruppo o altri

Vedere anche

Per maggiori informazioni, vedere:

• Setting Up User Accounts in Oracle Solaris Administration: Common Tasks

• Default umask Value in Oracle Solaris Administration: Security Services

• Le pagine man selezionate includono usermod(1M) e umask(1).

Audit di eventi rilevanti oltre a Login/Logout

Utilizzare questa procedura per l'audit dei comandi amministrativi, per i tentativi di intrusione nel sistema e per altri eventi rilevanti come specificato dai criteri di sicurezza del sito.

Prima di cominciare

È necessario utilizzare il ruolo root. Con la seguente procedura è possibile implementare i criteri di sicurezza del sito relativi all'auditing.

1. Eseguire l'audit di qualsiasi utilizzo di comandi privilegiati da parte di utenti e ruoli.

   Per tutti gli utenti e i ruoli, aggiungere l'evento di audit AUE_PFEXEC nella relativa maschera di preselezione.

   # usermod -K audit_flags=lo,ps:no username

   # rolemod -K audit_flags=lo,ps:no rolename

2. Registrare gli argomenti nei comandi sottoposti ad auditing.

   # auditconfig -setpolicy +argv

3. Registrare l'ambiente in cui vengono eseguiti i comandi sottoposti ad auditing.

   # auditconfig -setpolicy +arge

Vedere anche

• Per informazioni sul criterio di audit, vedere Audit Policy in Oracle Solaris Administration: Security Services .

• Per esempi sui flag dell'audit delle impostazioni, vedere Configuring the Audit Service (Tasks) in Oracle Solaris Administration: Security Services e Troubleshooting the Audit Service (Tasks) in Oracle Solaris Administration: Security Services .

• Per configurare l'auditing, vedere la pagina man auditconfig(1M).

Monitoraggio degli eventi lo in tempo reale

Utilizzare questa procedura per attivare il plugin audit__syslog per eventi che si desidera monitorare sin dalla loro comparsa.

Prima di cominciare

È necessario utilizzare il ruolo root per modificare il file syslog.conf. Per eseguire ulteriori passaggi è necessario disporre del profilo di diritti di configurazione audit (Audit Configuration).

1. Invia della classe lo al plugin audit_syslog e attivazione.

   # auditconfig -setplugin audit_syslog active p_flags=lo

2. Aggiungere una voce audit.notice al file syslog.conf.

   La voce predefinita include la posizione del file di log.

   # cat /etc/syslog.conf
   …
   audit.notice       /var/adm/auditlog

3. Creazione del file di log.

   # touch /var/adm/auditlog

4. Aggiornamento delle informazioni di configurazione del servizio syslog.

   # svcadm refresh system/system-log

5. Aggiornare il servizio di audit.

   Il servizio di audit legge le modifiche del plugin di audit dopo l'aggiornamento.

   # audit -s

Vedere anche

• Per inviare riepiloghi di audit a un altro sistema, vedere ad esempio How to Configure syslog Audit Logs in Oracle Solaris Administration: Security Services .

• Il servizio di audit può generare output di grandi dimensioni. Per gestire i log, vedere la pagina man logadm(1M).

• Per controllare l'output, vedere Monitoraggio dei riepiloghi di audit audit__syslog.

Rimozione di privilegi di base non necessari all'utente

In alcuni casi, almeno uno dei tre privilegi di base può essere rimosso da un set di base di un utente regolare.

• file_link_any: consente di eseguire un processo per creare collegamenti hard a file il cui proprietario ha un UID diverso dall'UID effettivo del processo.

• proc_fork: consente a un processo di esaminare lo stato di altri processi ai quali non invia segnali. I processi che non possono essere esaminati non vengono visualizzati in /proc e risultano inesistenti.

• proc_session: consente a un processo di inviare segnali o processi di tracing al di fuori della propria sessione.

Prima di cominciare

È necessario utilizzare il ruolo root.

1. Impedire a un utente di utilizzare il collegamento a un file non di sua proprietà.

   # usermod -K defaultpriv=basic,!file_link_any user

2. Impedire a un utente di esaminare processi non di sua proprietà.

   # usermod -K defaultpriv=basic,!proc_info user

3. Impedire a un utente di avviare una seconda sessione, ad esempio avviandone una ssh, dalla sessione corrente.

   # usermod -K defaultpriv=basic,!proc_session user

4. Rimuovere tutti e tre i privilegi da un set di base dell'utente.

   # usermod -K defaultpriv=basic,!file_link_any,!proc_info,!proc_session user

Vedere anche

Per ulteriori informazioni, vedere Capitolo 8, Using Roles and Privileges (Overview) in Oracle Solaris Administration: Security Services e la pagina man privileges(5).