| ナビゲーションリンクをスキップ | |
| 印刷ビューの終了 | |
|
Oracle Solaris 11 セキュリティーガイドライン Oracle Solaris 11 Information Library (日本語) |
| ナビゲーションリンクをスキップ | |
| 印刷ビューの終了 | |
|
|
Oracle Solaris 11 セキュリティーガイドライン Oracle Solaris 11 Information Library (日本語) |
1. Oracle Solaris 11 セキュリティーの概要
Oracle Solaris 11 セキュリティーのデフォルト値
2. Oracle Solaris 11 セキュリティーの構成
Oracle Solaris のセキュリティー機能は、サイトのセキュリティーポリシーを実装するように構成できます。
次のセクションでは、Oracle Solaris のセキュリティー機能について簡単に紹介します。このガイドおよびこれらの機能を実証するその他の Oracle Solaris システム管理ガイドには、より詳細な説明および手順への参照が記載されています。
監査とは、システムリソースの使用状況に関するデータを収集することです。監査データは、セキュリティーに関連するシステムイベントの記録を提供します。このデータは、システムで発生する動作に対する責任の割り当てに使用できます。
監査は、セキュリティーの評価、検証、および認証機関に対する基本的な要件です。監査は、疑わしい侵入者に対する抑止力にもなります。
詳細については、次を参照してください。
監査関連のマニュアルページの一覧については、『Oracle Solaris の管理: セキュリティーサービス』の第 29 章「監査 (参照)」を参照してください。
ガイドラインについては、「ログイン/ログアウトに加えて重要なイベントの監査」およびマニュアルページを参照してください。
監査の概要については、『Oracle Solaris の管理: セキュリティーサービス』の第 26 章「監査 (概要)」を参照してください。
監査作業については、『Oracle Solaris の管理: セキュリティーサービス』の第 28 章「監査の管理 (タスク)」を参照してください。
Oracle Solaris の基本監査報告機能 (BART) を使用すると、一定期間にわたってシステムのファイルレベルチェックを行い、システムを包括的に検証できます。BART マニフェストを作成すると、配備されたシステムにインストールされたソフトウェアスタックのコンポーネントに関する情報を、簡単かつ確実に収集できます。
BART は、1 つのシステム上またはシステムのネットワーク上で整合性管理を行う際に役立つツールです。
詳細については、次を参照してください。
選択したマニュアルページには、bart(1M)、bart_rules(4)、および bart_manifest(4) が含まれています。
ガイドラインについては、「システムの BART スナップショットの作成」、「基本監査報告機能 (BART) の使用」、およびマニュアルページを参照してください。
BART の概要については、『Oracle Solaris の管理: セキュリティーサービス』の第 6 章「基本監査報告機能の使用方法 (タスク)」を参照してください。
BART の使用例については、『Oracle Solaris の管理: セキュリティーサービス』の「BART の使用方法 (タスク)」およびマニュアルページを参照してください。
Oracle Solaris の暗号化フレームワーク機能および Oracle Solaris の鍵管理フレームワーク (KMF) 機能では、暗号化サービスおよび鍵管理のための中央リポジトリが提供されます。ハードウェア、ソフトウェア、およびエンドユーザーは、最適化されたアルゴリズムにシームレスにアクセスできます。各種公開鍵インフラストラクチャー (PKI) のためのさまざまなストレージメカニズム、管理ユーティリティー、およびプログラムインタフェースでは、KMF インタフェースを導入するときに、統合されたインタフェースを使用できます。
暗号化フレームワークは、各コマンド、ユーザーレベルのプログラミングインタフェース、カーネルプログラミングインタフェース、およびユーザーレベルとカーネルレベルのフレームワークを使用して、暗号化サービスをユーザーおよびアプリケーションに提供します。暗号化フレームワークは、これらの暗号化サービスをエンドユーザーに対してシームレスな方法で、アプリケーションおよびカーネルモジュールに提供します。また、直接的な暗号化サービス (ファイルの暗号化や復号化など) もエンドユーザーに提供します。
KMF は、公開鍵オブジェクト (X.509 証明書や公開と非公開鍵のペアなど) を中央で管理するためのツールおよびプログラミングインタフェースを提供します。これらのオブジェクトの格納形式としては、さまざまなものが使えます。また、KMF では、アプリケーションによる X.509 証明書の使用方法を定義したポリシーを管理するためのツールも提供されます。KMF では、サードパーティーのプラグインがサポートされています。
詳細については、次を参照してください。
選択したマニュアルページには、cryptoadm(1M)、 encrypt(1)、 mac(1)、pktool(1)、および kmfcfg(1) が含まれています。
暗号化サービスの概要については、『Oracle Solaris の管理: セキュリティーサービス』の第 11 章「暗号化フレームワーク (概要)」および『Oracle Solaris の管理: セキュリティーサービス』の第 13 章「鍵管理フレームワーク」を参照してください。
暗号化フレームワークの使用例については、『Oracle Solaris の管理: セキュリティーサービス』の第 12 章「暗号化フレームワーク (タスク)」およびマニュアルページを参照してください。
ファイルシステムのオブジェクトを保護する防御の第一線は、すべてのファイルシステムオブジェクトに割り当てられたデフォルトの UNIX アクセス権です。UNIX アクセス権では、一意のアクセス権をオブジェクトの所有者、オブジェクトに割り当てられたグループ、および他の任意のユーザーに割り当てることがサポートされています。さらに、ZFS ではアクセス制御リスト (ACL) がサポートされています。これはアクセス制御エントリ (ACE) とも呼ばれ、ファイルシステムオブジェクトの個人またはグループへのアクセスをより細かく制御します。
詳細については、次を参照してください。
ZFS ファイルに ACL を設定する手順については、chmod(1) のマニュアルページを参照してください。
ファイルアクセス権の概要については、『Oracle Solaris の管理: セキュリティーサービス』の「UNIX アクセス権によるファイル保護」を参照してください。
ZFS ファイルの保護の概要および例については、『Oracle Solaris の管理: ZFS ファイルシステム』の第 8 章「ACL および属性を使用した Oracle Solaris ZFS ファイルの保護」およびマニュアルページを参照してください。
パケットのフィルタリングは、ネットワークベースの攻撃に対する基本的な保護を提供します。Oracle Solaris には、IP フィルタ機能および TCP ラッパーがあります。
Oracle Solaris の IP フィルタ機能は、ネットワークベースの攻撃を防ぐファイアウォールを作成します。
特に、IP フィルタはステートフルパケットフィルタリング機能を提供し、 IP アドレスまたはネットワーク、ポート、プロトコル、ネットワークインタフェース、およびトラフィックリダイレクションでパケットをフィルタリングできます。また、ステートレスパケットフィルタリングと、アドレスプールの作成および管理を行う機能もあります。さらに、IP フィルタには、ネットワークアドレス変換 (NAT) およびポートアドレス変換 (PAT) を実行する機能もあります。
詳細については、次を参照してください。
選択したマニュアルページには、ipfilter(5)、ipf(1M)、 ipnat(1M)、svc.ipfd(1M)、および ipf(4) が含まれています。
IP フィルタの概要については、『Oracle Solaris の管理: IP サービス』の第 20 章「Oracle Solaris の IP フィルタ (概要)」を参照してください。
IP フィルタの使用例については、『Oracle Solaris の管理: IP サービス』の第 21 章「IP フィルタ (手順)」およびマニュアルページを参照してください。
IP フィルタポリシー言語の構文の詳細および例については、ipnat(4) のマニュアルページを参照してください。
TCP ラッパーは、特定のネットワークサービスを要求するホストのアドレスを ACL と突き合わせて検査することによるアクセス制御の実装方法を提供します。要求は、状況に応じて、許可されたり拒否されたりします。また、TCP ラッパーはネットワークサービスへのホスト要求のログを記録します。これは、便利な監視機能です。Oracle Solaris の Secure Shell および sendmail 機能は、TCP ラッパーを使用するように構成できます。アクセス制御下に置かれたネットワークサービスには、ftpd および rpcbind が含まれています。
TCP ラッパーでは、組織がセキュリティーポリシーをグローバルにだけでなく、サービスごとに指定することもできる多機能な構成ポリシー言語がサポートされています。サービスへの追加アクセスは、ホスト名、IPv4 または IPv6、ネットグループ名、ネットワーク、および DNS ドメインに基づいて許可または制限できます。
詳細については、次を参照してください。
TCP ラッパーの詳細については、『Oracle Solaris の管理: IP サービス』の「TCP ラッパーを使って TCP サービスのアクセスを制御する方法」を参照してください。
TCP ラッパーのアクセス制御言語の構文の詳細および例については、 hosts_access(4) のマニュアルページを参照してください。
強固なユーザーパスワードは、総当たりの推測などの攻撃に対して防御する際に役立ちます。
Oracle Solaris には、強固なユーザーパスワードを推進する際に使用できる数多くの機能があります。パスワードの長さ、内容、変更の頻度、および変更の要件を設定したり、パスワード履歴を保持したりできます。避けるべきパスワードのパスワードディクショナリが提供されます。複数のパスワードアルゴリズムが利用可能です。
詳細については、次を参照してください。
選択したマニュアルページには、passwd(1) および crypt.conf(4) が含まれています。
プラグイン可能認証モジュール (PAM) フレームワークを使用すると、アカウント、資格、セッション、およびパスワードに対するユーザー認証要件を調整および構成できます。
PAM フレームワークを使用すると、組織がアカウント、セッション、およびパスワード管理機能に加えて、ユーザー認証エクスペリエンスもカスタマイズできます。login や ftp などのシステムエントリサービスは、PAM フレームワークを使用して、システムのすべてのエントリポイントがセキュリティー保護されていることを確認します。このアーキテクチャーでは、フィールド内の認証モジュールを交換または変更することによって、PAM フレームワークを使用するシステムサービスを変更せずに、新たに見つかった弱点からシステムをセキュリティー保護できます。
詳細については、次を参照してください。
特権は、カーネルで強制されるプロセス上の適切に調整された個別の権限です。Oracle Solaris では、file_read のような基本特権から proc_clock_highres のようなより特化した特権まで、80 以上の特権が定義されています。特権はコマンド、ユーザー、役割、またはシステムに付与できます。多くの Oracle Solaris コマンドおよびデーモンは、作業を実行するために必要な特権でしか実行されません。特権の使用は、プロセス権管理とも呼ばれます。
特権対応のプログラムによって、侵入者がプログラム自体で使用される特権以外の特権を取得することを回避できます。さらに、特権を使用すると、組織がシステムで実行されるサービスおよびプロセスに付与される特権を制限することもできます。
詳細については、次を参照してください。
選択したマニュアルページには、ppriv(1) および privileges(5) が含まれています。
リモートアクセス攻撃によって、システムおよびネットワークが損害を受ける可能性があります。ネットワークアクセスをセキュリティー保護することは、現在のインターネット環境で必要であり、WAN および LAN 環境でも役立ちます。
IP セキュリティー (IPsec) は、パケットの認証またはパケットの暗号化 (あるいはその両方) を行うことによって、IP パケットを保護します。Oracle Solaris では、IPv4 と IPv6 の両方の IPsec がサポートされています。IPsec はアプリケーション層によく実装されるため、インターネットアプリケーションはコードを変更する必要なく IPsec を利用できます。
IPsec およびそのキー変換プロトコル (IKE) では、暗号化フレームワークのアルゴリズムが使用されます。さらに、暗号化フレームワークは、メタスロットを使用するアプリケーションに softtoken キーストアを提供します。メタスロットを使用するように IKE を構成すると、組織はキーを格納する場所として、ディスク、接続したハードウェアキーストア、またはソフトトークンキーストアを選択できます。
正しく管理すれば、IPsec は、ネットワークトラフィックの保護に有効なツールとなります。
詳細については、次を参照してください。
『Oracle Solaris の管理: IP サービス』の第 14 章「IP セキュリティーアーキテクチャー (概要)」
選択したマニュアルページには、ipsecconf(1M) および in.iked(1M) が含まれています。
Oracle Solaris の Secure Shell 機能を使用すると、ユーザーまたはサービスが、暗号化された通信チャネル経由で、リモートシステム間でファイルにアクセスしたりファイルを転送できます。Secure Shell では、すべてのネットワークトラフィックが暗号化されます。また、Secure Shell は、認証および暗号化されたネットワークリンク経由で、ローカルシステムとリモートシステム間で X ウィンドウシステムトラフィックを転送したり、各ポート番号に接続したりできるオンデマンド仮想プライベートネットワーク (VPN) としても使用できます。
したがって、Secure Shell では、不審な侵入者が傍受された通信を読み取ったり、敵対者がシステムになりすましたりすることが回避されます。デフォルトでは、Secure Shell は新たにインストールされたシステムで唯一のアクティブなリモートアクセスメカニズムです。
詳細については、次を参照してください。
『Oracle Solaris の管理: セキュリティーサービス』の第 17 章「Secure Shell の使用 (タスク)」
選択したマニュアルページには、ssh(1)、sshd(1M)、sshd_config(4)、および ssh_config(4) が含まれています。
Oracle Solaris の Kerberos 機能を使用すると、Kerberos サービスを実行する異機種システム混在ネットワーク上でも、シングルサインオンおよびセキュリティー保護されたトランザクションが可能です。
Kerberos は、マサチューセッツ工科大学 (MIT) で開発された Kerberos V5 ネットワーク認証プロトコルに基づいています。Kerberos サービスは、ネットワーク経由でのセキュリティー保護されたトランザクションを提供するクライアントサーバーアーキテクチャーです。Kerberos サービスでは、強力なユーザー認証とともに、整合性とプライバシを提供します。Kerberos サービスを使用して、他のシステムに 1 度ログインしてアクセスしたり、コマンドを実行したり、データを交換したり、ファイルを安全に転送したりできます。さらに、このサービスを使用して、管理者がサービスおよびシステムへのアクセスを制限することもできます。
詳細については、次を参照してください。
選択したマニュアルページには、kerberos(5) および kinit(1) が含まれています。
RBAC では、組織が独自のニーズおよび要件に応じて、選択的に管理者権限をユーザーまたは役割に付与できるようにすることによって、最小特権のセキュリティー原則が適用されます。
Oracle Solaris の役割に基づくアクセス制御 (RBAC) 機能は、通常は root 役割に制限されるような作業へのユーザーアクセスを制御します。RBAC では、プロセスやユーザーにセキュリティー属性を適用することで、管理者権限を複数の管理者に分配できます。RBAC はユーザー権限管理とも呼ばれます。
詳細については、次を参照してください。
選択したマニュアルページには、rbac(5)、roleadd(1M)、profiles(1)、および user_attr(4) が含まれています。
Oracle Solaris のサービス管理機能 (SMF) は、サービスを追加、削除、構成、および管理する際に使用されます。SMF は RBAC を使用して、システム上のサービス管理機能へのアクセスを制御します。特に、SMF は承認を使用して、サービスを管理するユーザーおよびそのユーザーが実行できる機能を判定します。
SMF を使用すると、組織がサービスへのアクセスを制御することに加えて、それらのサービスの起動、停止、および再表示する方法も制御できます。
詳細については、次を参照してください。
選択したマニュアルページには、svcadm(1M)、svcs(1)、および smf(5) が含まれています。
ZFS は Oracle Solaris 11 のデフォルトファイルシステムです。基本的に、ZFS ファイルシステムでは、Oracle Solaris ファイルシステムが管理される方法が変更されています。ZFS は堅牢かつスケーラブルで、管理が容易です。ZFS でのファイルシステム作成は軽量なので、割り当ておよび予約された容量を簡単に構築できます。UNIX アクセス権と ACE 保護ファイル、および RBAC では、ZFS データセットの委任管理がサポートされています。
詳細については、次を参照してください。
『Oracle Solaris の管理: ZFS ファイルシステム』の第 1 章「Oracle Solaris ZFS ファイルシステム (概要)」
『Oracle Solaris の管理: ZFS ファイルシステム』の第 3 章「Oracle Solaris ZFS ファイルシステムと従来のファイルシステムの相違点」
『Oracle Solaris の管理: ZFS ファイルシステム』の第 6 章「Oracle Solaris ZFS ファイルシステムの管理」
Oracle Solaris ゾーンソフトウェアのパーティション分割テクノロジーを使用すると、サーバーごとに 1 つのアプリケーションという開発モデルを保持しながら、同時にハードウェア資源を共有できます。
ゾーンは仮想化されたオペレーティング環境であり、複数のアプリケーションを同じ物理ハードウェア上にある他の各アプリケーションから分離して実行できます。この分離によって、ゾーン内で実行されるプロセスが、他のゾーンで実行されるプロセスを監視または適用したり、相互のデータを表示したり、基礎となるハードウェアを操作したりすることが回避されます。ゾーンは、アプリケーションが配備されたシステムの物理属性 (物理デバイスパスやネットワークインタフェース名など) からアプリケーションを分離する抽象レイヤーも提供します。
詳細については、次を参照してください。
選択したマニュアルページには、brands(5)、zoneadm(1M)、および zonecfg(1M) が含まれています。
Oracle Solaris の Trusted Extensions 機能は、データの安全性ポリシーをデータ所有者から分離できるセキュリティー保護されたラベル作成テクノロジーがオプションで有効化された層です。Trusted Extensions では、所有権に基づいた従来の随意アクセス制御 (DAC) ポリシーと、ラベルに基づいた必須アクセス制御 (MAC) ポリシーの両方がサポートされています。Trusted Extensions 層が有効になっている場合を除いて、すべてのラベルは同じであるため、カーネルは MAC ポリシーを強制するように構成されません。ラベルに基づいた MAC ポリシーが有効になっている場合は、アクセスを要求するプロセス (サブジェクト) とデータを含むオブジェクトに関連付けられたラベルの比較に基づいて、すべてのデータフローが制限されます。その他の大部分のマルチレベルオペレーティングシステムとは異なり、Trusted Extensions にはマルチレベルデスクトップが含まれています。
Trusted Extensions は、Common Criteria Labeled Security Protection Profile (LSPP)、Role-Based Access Protection Profile (RBACPP)、および Controlled Access Protection Profile (CAPP) の要件を満たしています。ただし、Trusted Extensions の実装は、互換性を最大限にし、オーバーヘッドを最小限にしながら高保証を実現できるという点で独自性があります。
詳細については、次を参照してください。
Trusted Extensions の構成と管理の詳細については、『Trusted Extensions 構成と管理』を参照してください。
マルチレベルデスクトップの使用についての詳細は、『Trusted Extensions ユーザーガイド』を参照してください。
選択したマニュアルページには、trusted_extensions(5) と labeld(1M) が含まれています。
|