デバイスアクセスの制御

コンピュータシステムに接続された周辺機器は、セキュリティーリスクをもたらします。たとえば、マイクは会話をキャッチし、その会話をリモートシステムに送信します。CD-ROM の場合、その情報を CD-ROM に残して、CD-ROM デバイスを次に使うユーザーが読み取れるようにすることができます。プリンタは、リモートサイトからもアクセスできます。システムの必須デバイスもまた、セキュリティー問題を引き起こす可能性があります。たとえば、bge0 などのネットワークインタフェースは不可欠なデバイスとみなされます。

Oracle Solaris ソフトウェアには、デバイスアクセスを制御する方法が 2 つ用意されています。「デバイスポリシー」は、システムに不可欠なデバイスに対するアクセスの制限または防止を行うものです。デバイスポリシーはカーネル内で適用されます。「デバイス割り当て」は、周辺機器に対するアクセスの制限または防止を行う作業です。デバイス割り当ては、ユーザー割り当ての時点で適用されます。

デバイスポリシーは、特権を使用して、選択されたデバイスをカーネル内で保護します。たとえば、bge などのネットワークインタフェース上のデバイスポリシーには、読み取りまたは書き込みのためのすべての特権が必要です。

デバイス割り当ては、承認を利用してプリンタやマイクなどの周辺機器を保護します。デフォルトでは、デバイス割り当ては無効な状態になっています。デバイス割り当てが有効な状態では、この構成を変更してデバイスの使用を防いだり、デバイスアクセスに承認が必要なように設定したりできます。デバイスの使用割り当てが行われると、現在のユーザーがその割り当てを解除するまでほかのユーザーはそのデバイスにアクセスできません。

デバイスアクセスを制御する手段として、次に示すようないくつかの方法で Oracle Solaris システムを構成できます。

• デバイスポリシーを設定する - Oracle Solaris では、特定のデバイスにプロセスがアクセスする場合、そのプロセスが特定の権限のもとで実行されていることを必要条件とすることができます。それらの権限を持たないプロセスは、そのデバイスを使用できません。ブート時に、Oracle Solaris ソフトウェアはデバイスポリシーを構成します。サードパーティーのドライバは、そのインストール時にデバイスポリシーを組み込むことができます。インストール後、管理者はデバイスポリシーをデバイスに追加できます。

• デバイスを割り当て可能にする – デバイス割り当てを有効にする際には、一度に 1 人しかそのデバイスを使用できないように制限できます。また、ユーザーが何らかのセキュリティー要件を満たすように要求することも可能です。たとえば、そのデバイスを使用する承認を得ていることを要求できます。

• デバイスの使用を防ぐ – コンピュータシステム上のどのユーザーも特定のデバイス (マイクなど) を使用できないように設定できます。特定のデバイスを使用できない状態にする例としては、コンピュータキオスクが挙げられます。

• デバイスを特定のゾーンに限定する – デバイスの使用を非大域ゾーンにだけ割り当てることができます。詳細は、『Oracle Solaris のシステム管理 (Oracle Solaris ゾーン、Oracle Solaris 10 ゾーン、およびリソース管理)』の「非大域ゾーンでのデバイスの使用」を参照してください。デバイスとゾーンのより一般的な説明については、『Oracle Solaris のシステム管理 (Oracle Solaris ゾーン、Oracle Solaris 10 ゾーン、およびリソース管理)』の「ゾーンで構成されるデバイス」を参照してください。

デバイスポリシー (概要)

デバイスポリシーメカニズムを使用することで、デバイスを開こうとするプロセスに特定の権限を要求するように指定できます。デバイスポリシーによって保護されたデバイスをアクセスできるのは、デバイスポリシーで指定されている権限で稼働しているプロセスだけです。Oracle Solaris はデフォルトのデバイスポリシーを提供します。たとえば、bge0 などのネットワークインタフェースでは、そのインタフェースにアクセスするプロセスが net_rawaccess 特権で実行されていることが必要です。この要件はカーネルで適用されます。権限の詳細は、「特権 (概要)」を参照してください。

以前のリリースでは、デバイスノードの保護はファイルアクセス権だけで行われました。たとえば、グループ sys が所有しているデバイスをオープンできるのはこのグループのメンバーだけでした。デバイスを開くことができるユーザーをアクセス権が予測することはありません。デバイスは、ファイルアクセス権によって保護されるとともに、デバイスポリシーでも保護されます。たとえば、/dev/ip ファイルのアクセス権は 666 です。しかし、このデバイスは適切な権限を持つプロセスによってしかオープンできません。

デバイスポリシーの構成は監査の対象とすることができます。デバイスポリシーの変更は、AUE_MODDEVPLCY 監査イベントによって記録されます。

デバイスポリシーの詳細は、次のページを参照してください。

• 「デバイスポリシーの構成 (タスクマップ)」

• 「デバイスポリシーコマンド」

• 「特権とデバイス」

デバイス割り当て (概要)

デバイス割り当てメカニズムを使用すれば、CD-ROM などの周辺機器に対するアクセスを制限できます。このメカニズムは、システム管理者によってローカルに管理されます。デバイス割り当てが有効になっていない場合、周辺機器の保護はファイルアクセス権によってのみ行われます。たとえば、デフォルトでは周辺機器は次のように使用できます。

• すべてのユーザーがフロッピーディスクや CD-ROM の読み取りと書き込みが行えます。

• すべてのユーザーがマイクを接続できます。

• すべてのユーザーが接続されたプリンタにアクセスできます。

デバイス割り当てを行うことで、承認されたユーザーにだけデバイスの使用を限定できます。デバイス割り当てによって、デバイスアクセスを完全に防ぐこともできます。デバイスを割り当てるユーザーは、そのユーザー自身が割り当てを解除するまでそのデバイスを独占的に使用できます。デバイスの割り当てが解除される際には、残っているすべてのデータがデバイスクリーンスクリプトによって消去されます。デバイスにスクリプトがない場合には、デバイスクリーンスクリプトを作成してそのデバイスから情報を一掃できます。この例は、「新しいデバイスクリーンスクリプトの作成」を参照してください。

デバイス割り当てに関連した試み (デバイスの割り当て、デバイスの割り当て解除、割り当て可能なデバイスの一覧表示) は、監査の対象とすることができます。監査イベントは、other 監査クラスの一部です。

デバイス割り当てについての詳細は、次を参照してください。

• 「デバイス割り当ての管理 (タスクマップ)」

• 「デバイスの割り当て」

• 「デバイス割り当てコマンド」