Protección de los usuarios

En este momento, sólo el usuario inicial que pueda asumir el rol root tiene acceso al sistema. La mejor manera de realizar las siguientes tareas es siguiendo el orden, antes de que los usuarios comunes puedan iniciar sesión.

Cómo establecer restricciones de contraseñas más seguras

Utilice este procedimiento si los valores predeterminados no cumplen con los requisitos de seguridad del sitio. Los pasos siguen la lista de entradas en el archivo /etc/default/passwd.

Antes de empezar

Antes de cambiar los valores predeterminados, asegúrese de que los cambios permitan a todos los usuarios realizar la autenticación en sus aplicaciones y en otros sistemas de la red.

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

• Edite el archivo /etc/default/passwd.
  1. Solicite a los usuarios que cambien sus contraseñas todos los meses, pero nunca cada menos de tres semanas.

     ## /etc/default/passwd
     ##
     MAXWEEKS=
     MINWEEKS=
     MAXWEEKS=4
     MINWEEKS=3

  2. Solicite una contraseña de al menos ocho caracteres.

     #PASSLENGTH=6
     PASSLENGTH=8

  3. Mantenga un historial de contraseñas.

     #HISTORY=0
     HISTORY=10

  4. Requiera que haya alguna diferencia mínima con la última contraseña.

     #MINDIFF=3
     MINDIFF=4

  5. Solicite que haya al menos una letra en mayúscula.

     #MINUPPER=0
     MINUPPER=1

  6. Solicite que haya al menos un dígito.

     #MINDIGIT=0
     MINDIGIT=1

Véase también

• Para ver la lista de variables que limitan la creación de contraseñas, consulte el archivo /etc/default/passwd. Los valores predeterminados se indican en el archivo.

• Para obtener información sobre las limitaciones de contraseña que se aplican después de la instalación, consulte El sistema de acceso está limitado y supervisado.

• Página del comando man passwd(1).

Cómo establecer el bloqueo de cuenta para usuarios normales

Utilice este procedimiento para bloquear cuentas de usuarios comunes después de un determinado número de intentos de inicio de sesión fallidos.

Antes de empezar

No establezca esta protección en la totalidad de un sistema que utilice para las actividades administrativas.

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

1. Establezca el atributo de seguridad LOCK_AFTER_RETRIES en YES (sí).
   • Para todo el sistema.

     # pfedit /etc/security/policy.conf
     ...
     #LOCK_AFTER_RETRIES=NO
     LOCK_AFTER_RETRIES=YES
     ...

   • Para un usuario.

     # usermod -K lock_after_retries=yes username

2. Establezca el atributo de seguridad RETRIES en 3.

   # pfedit /etc/default/login
   ...
   #RETRIES=5
   RETRIES=3
   ...

Véase también

• Para obtener una explicación de los atributos de seguridad de los usuarios y los roles, consulte el Capítulo 10, Atributos de seguridad en Oracle Solaris (referencia) de Administración de Oracle Solaris 11.1: servicios de seguridad.

• Las páginas del comando man seleccionadas son: policy.conf(4) y user_attr(4).

Cómo definir un valor umask más restrictivo para usuarios normales

Si el valor umask predeterminado (022) no es lo suficientemente restrictivo, defina una máscara más restrictiva mediante el siguiente procedimiento.

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

• Modifique el valor de umask en los perfiles de inicio de sesión de la estructura básica de directorios para los distintos shells.

  Oracle Solaris proporciona directorios para que los administradores personalicen los valores predeterminados de shell de usuario. Estas estructuras de directorios incluyen archivos, como .profile, .bashrc y .kshrc.

  Elija uno de los siguientes valores:

  • umask 026: proporciona una protección de archivos moderada

    (741): r para el grupo, x para otros

  • umask 027: proporciona una protección de archivos estricta

    (740): r para el grupo, sin acceso para otros

  • umask 077: proporciona una protección de archivos completa

    (700): sin acceso ni para el grupo ni para otros

Véase también

Para obtener más información, consulte lo siguiente:

• Configuración y gestión de cuentas de usuario mediante la interfaz de línea de comandos de Gestión de las cuentas de usuario y los entornos de usuario en Oracle Solaris 11.1

• Valor umask predeterminado de Administración de Oracle Solaris 11.1: servicios de seguridad

• Las páginas del comando man seleccionadas son: usermod(1M) y umask(1)

Cómo auditar eventos importantes además del inicio y el cierre de sesión

Utilice este procedimiento para auditar los comandos administrativos, los intentos de invasión del sistema y otros eventos importantes según lo especificado por la política de seguridad.

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

1. Audite todos los usos de los comandos con privilegios por parte de los usuarios y los roles.

   Para todos los usuarios y los roles, agregue el evento de auditoría AUE_PFEXEC a su máscara de preselección.

   # usermod -K audit_flags=lo,ps:no username

   # rolemod -K audit_flags=lo,ps:no rolename

2. Registre los argumentos de los comandos auditados.

   # auditconfig -setpolicy +argv

3. Registre el entorno en el que se ejecutan los comandos auditados.

   # auditconfig -setpolicy +arge

Véase también

• Para obtener información sobre la política de auditoría, consulte Política de auditoría de Administración de Oracle Solaris 11.1: servicios de seguridad.

• Para obtener ejemplos de cómo establecer indicadores de auditoría, consulte Configuración del servicio de auditoría (tareas) de Administración de Oracle Solaris 11.1: servicios de seguridad and Solución de problemas del servicio de auditoría (tareas) de Administración de Oracle Solaris 11.1: servicios de seguridad.

• Para ver cómo configurar la auditoría, consulte la página del comando man auditconfig(1M).

Cómo supervisar eventos lo en tiempo real

Utilice este procedimiento para activar el complemento audit_syslog para los eventos que desea supervisar en el momento en que se producen.

Antes de empezar

Debe asumir el rol root para modificar el archivo syslog.conf. Para realizar otros pasos debe tener asignado el perfil de derechos de configuración de auditoría. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

1. Envíe la clase lo al complemento audit_syslog, y active el complemento.

   # auditconfig -setplugin audit_syslog active p_flags=lo

2. Determine qué instancia de servicio system-log está en línea.

   # svcs system-log
   STATE          STIME    FMRI
   disabled       13:11:55 svc:/system/system-log:rsyslog
   online         13:13:27 svc:/system/system-log:default

   ---

   Consejo - Si la instancia de servicio rsyslog está en línea, modifique el archivo rsyslog.conf.

   ---

3. Agregue una entrada audit.notice al archivo syslog.conf.

   La entrada predeterminada incluye la ubicación del archivo de registro.

   # cat /etc/syslog.conf
   …
   audit.notice       /var/adm/auditlog

4. Cree el archivo de registro.

   # touch /var/adm/auditlog

5. Refresque la información de la configuración para el servicio system-log.

   # svcadm refresh system-log:default

   ---

   Nota - Refresque la instancia de servicio system-log:rsyslog si el servicio rsyslog está en línea.

   ---

6. Refresque el servicio de auditoría.

   El servicio de auditoría lee los cambios en el complemento de auditoría tras el refrescamiento.

   # audit -s

Véase también

• Para ver cómo enviar resúmenes de auditoría a otro sistema, consulte el ejemplo de Cómo configurar registros de auditoría syslog de Administración de Oracle Solaris 11.1: servicios de seguridad.

• El servicio de auditoría puede generar muchas salidas. Para gestionar los registros, consulte la página del comando man logadm(1M).

• Para ver cómo supervisar la salida, consulte Supervisión de los resúmenes de auditoría de audit_syslog.

Cómo eliminar privilegios básicos innecesarios de los usuarios

En determinadas circunstancias, uno o más de los tres privilegios básicos se pueden quitar del conjunto básico de un usuario común.

• file_link_any: permite a un proceso crear enlaces físicos con archivos que sean propiedad de un UID distinto del UID efectivo del proceso.

• proc_info: permite a un proceso examinar el estado de los procesos que no sean aquellos a los que puede enviar señales. Los procesos que no se pueden examinar no se pueden ver en /proc y aparecen como no existentes.

• proc_session: permite a un proceso enviar señales o rastrear procesos fuera de su sesión.

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados de Administración de Oracle Solaris 11.1: servicios de seguridad.

1. Impida que el usuario cree un enlace con un archivo que no sea de su propiedad.

   # usermod -K 'defaultpriv=basic,!file_link_any' user

2. Impida que el usuario examine procesos que no sean de su propiedad.

   # usermod -K 'defaultpriv=basic,!proc_info' user

3. Impida que el usuario inicie una segunda sesión, como el inicio de una sesión ssh, desde la sesión actual del usuario.

   # usermod -K 'defaultpriv=basic,!proc_session' user

4. Quite los tres privilegios del conjunto básico de un usuario.

   # usermod -K 'defaultpriv=basic,!file_link_any,!proc_info,!proc_session' user

Véase también

Para obtener más información, consulte el Capítulo 8, Uso de roles y privilegios (descripción general) de Administración de Oracle Solaris 11.1: servicios de seguridad y la página del comando man privileges(5).