Navigationslinks überspringen | |
Druckansicht beenden | |
Oracle Solaris 11 - Sicherheitsbestimmungen Oracle Solaris 11.1 Information Library (Deutsch) |
1. Übersicht über die Oracle Solaris-Sicherheitsfunktionen
Oracle Solaris -Sicherheitsschutzmechanismen
Oracle Solaris-Sicherheitstechnologien
Zufällige Anordnung des Adressraumlayouts
Dateiberechtigungen und Zugriffskontrolleinträge
Passwörter und Passwortbeschränkungen
Pluggable Authentication Module
Berechtigungen in Oracle Solaris
Oracle Solaris 11-Standardsicherheitseinstellungen
Eingeschränkter und überwachter Systemzugriff
Kernel-, Datei- und Desktopschutz
Zusätzliche Sicherheitsfunktionen
Oracle Solaris 11 Sicherheitsevaluierung
Standortsicherheitsrichtlinien und deren Umsetzung
2. Konfigurieren der Oracle Solaris-Sicherheitsfunktionen
3. Überwachen und Verwalten der Oracle Solaris-Sicherheitsfunktionen
Die Sicherheitsfunktionen von Oracle Solaris können so konfiguriert werden, dass Ihre Standortsicherheitsrichtlinie implementiert werden kann.
Auf den folgenden Seiten werden die Oracle Solaris-Sicherheitsfunktionen kurz vorgestellt. Die Beschreibungen enthalten Verweise auf ausführlichere Informationen und Anweisungen in diesem Handbuch sowie auf andere Oracle Solaris-Systemadministrationshandbücher, die diese Funktionen veranschaulichen.
Die zufällige Anordnung des Adressraumlayouts (ASLR) ordnet die Adressen, die von einem vorgegebenen Binärcode verwendet werden zufällig an. ASLR kann bestimmten Angriffsarten, die auf der exakten Speicherortkenntnis bestimmter Speicherbereiche basieren, vorbeugen und bereits den Versuch erkennen, wenn das ausführbare Programm gestoppt wird. Weitere Informationen erhalten Sie unter Address Space Layout Randomization in Oracle Solaris 11.1 Administration: Security Services.
Bei der Prüfung werden Daten über die Nutzung der Systemressourcen erfasst. Die Prüfdaten stellen ein Protokoll zu sicherheitsbezogenen Systemereignissen bereit. Anhand dieser Daten können Sie anschließend die Verantwortlichkeit für die auf einem System ausgeführten Aktionen zuweisen.
Prüfungen sind eine Grundanforderung bei Sicherheitsevaluierungen, Validierungen und Zertifizierungsstellen. Sie können zudem eine abschreckende Wirkung auf potenzielle Eindringlinge haben.
Weitere Informationen finden Sie hier:
Eine Liste von Manpages zu Prüfungen erhalten Sie in Kapitel 29, Auditing (Reference) in Oracle Solaris 11.1 Administration: Security Services.
Richtlinien finden Sie unter Wichtige Ereignisse außer Anmelden/Abmelden prüfen und auf den Manpages.
Eine Übersicht über das Prüfungsverfahren finden Sie in Kapitel 26, Auditing (Overview) in Oracle Solaris 11.1 Administration: Security Services.
Prüfaufgaben finden Sie in Kapitel 28, Managing Auditing (Tasks) in Oracle Solaris 11.1 Administration: Security Services.
Die BART-Funktion von Oracle Solaris ermöglicht eine umfassende Validierung von Systemen, indem über einen längeren Zeitraum hinweg Überprüfungen auf Dateiebene in einem System durchgeführt werden. Sie können durch die Erstellung von BART-Manifesten auf einfache, zuverlässige Weise Informationen über die Komponenten des Software-Stacks sammeln, der auf dem verteilten System installiert ist.
BART ist ein nützliches Tool für das Integritätsmanagement in einem System oder Systemnetzwerk.
Weitere Informationen finden Sie hier:
Manpages bart(1M), bart_rules(4) und bart_manifest(4)
Weitere Informationen zu Richtlinien erhalten Sie unter Erstellen eines BART-Schnappschusses des Systems, Die Dateiintegrität mittels BART überprüfen. und in den Manpages.
Eine Übersicht über BART finden Sie in Kapitel 6, Verifying File Integrity by Using BART (Tasks) in Oracle Solaris 11.1 Administration: Security Services.
Anwendungsbeispiele zu BART finden Sie unter Using BART (Tasks) in Oracle Solaris 11.1 Administration: Security Services und auf den Manpages.
Die Cryptographic Framework-Funktion und die KMF-Funktion (Key Management Framework) von Oracle Solaris bieten zentrale Repositorys für kryptografische Services und Schlüsselverwaltung. Hardware, Software und Endbenutzer können auf optimierte Algorithmen mühelos zugreifen. Durch die Übernahme der KMF-Schnittstellen werden die Schnittstellen der verschiedenen Speichersysteme, administrativen Dienstprogramme und Programmierungsschnittstellen für unterschiedliche PKIs (Public Key Infrastructure) vereinheitlicht.
Das Cryptographic Framework bietet Benutzern über einzelne Befehle kryptografische Services und Anwendungen, eine Programmierungsschnittstelle auf Benutzerebene, eine Schnittstelle für die Kernel-Programmierung sowie Frameworks auf Benutzer- und Kernel-Ebene. Das Cryptographic Framework stellt diese kryptografischen Services Anwendungen und Kernel-Modulen in aus Endbenutzersicht nahtlosen Weise bereit. Außerdem kann der Endbenutzer direkte kryptografische Services wie Ver- und Entschlüsselung für Dateien nutzen.
KMF bietet Tools und Programmierungsschnittstellen für die zentrale Verwaltung von Public Key-Objekten wie X.509-Zertifikaten und Public/Private Key-Paaren. Die Formate für die Speicherung dieser Objekte können variieren. KMF bietet darüber hinaus ein Tool für die Verwaltung von Richtlinien, die die Verwendung von X.509-Zertifikaten durch Anwendungen bestimmen. KMF unterstützt Plug-ins von Drittanbietern.
Weitere Informationen finden Sie hier:
Manpages cryptoadm(1M), encrypt(1), mac(1), pktool(1) und kmfcfg(1)
Eine Übersicht über kryptografische Services erhalten Sie in Kapitel 11, Cryptographic Framework (Overview) in Oracle Solaris 11.1 Administration: Security Services und Kapitel 13, Key Management Framework in Oracle Solaris 11.1 Administration: Security Services.
Anwendungsbeispiele zum Cryptographic Framework finden Sie in Kapitel 12, Cryptographic Framework (Tasks) in Oracle Solaris 11.1 Administration: Security Services und auf den Manpages.
Objekte in einem Dateisystem sind in erster Linie durch die UNIX-Berechtigungen geschützt, die jedem Dateisystemobjekt zugewiesen sind. UNIX-Berechtigungen unterstützen u. a. eindeutige Zugriffsrechte für den Eigentümer des Objekts und für eine dem Objekt zugewiesene Gruppe. Außerdem unterstützt ZFS ACLs, die auch als ACEs (Access Control Entries) bezeichnet werden und eine feiner abgestimmte Kontrolle des Zugriffs auf einzelne Dateisystemobjekte oder Dateisystemobjektgruppen bieten.
Weitere Informationen finden Sie hier:
Anweisungen zum Festlegen von ACLs bei ZFS-Dateien finden Sie auf der Manpage chmod(1).
Eine Übersicht über Dateiberechtigungen erhalten Sie in Using UNIX Permissions to Protect Files in Oracle Solaris 11.1 Administration: Security Services.
Eine Übersicht und Beispiele für den Schutz von ZFS-Dateien finden Sie in Kapitel 7, Using ACLs and Attributes to Protect Oracle Solaris ZFS Files in Oracle Solaris 11.1 Administration: ZFS File Systems und auf den Manpages.
Die Paketfilterung bietet allgemeinen Schutz vor netzwerkbasierten Angriffen. Oracle Solaris umfasst die IP Filter-Funktion und TCP-Wrapper.
Die IP Filter-Funktion von Oracle Solaris erstellt eine Firewall, um netzwerkbasierte Angriffe abzuwenden.
IP Filter bietet insbesondere eine statusbehaftete Paketfilterung und kann Pakete nach IP-Adresse, Netzwerk, Port, Protokoll, Netzwerkschnittstelle und Netzverkehrsrichtung filtern. Darüber hinaus bietet sie eine statusfreie Paketfilterung sowie die Möglichkeit, Adresspools zu erstellen und zu verwalten. Mit IP Filter können außerdem Network Address Translation (NAT) und Port Address Translation (PAT) durchgeführt werden.
Weitere Informationen finden Sie hier:
Manpages ipfilter(5), ipf(1M), ipnat(1M), svc.ipfd(1M) und ipf(4)
Eine IP Filter-Übersicht finden Sie in Kapitel 4, IP Filter in Oracle Solaris (Overview) in Securing the Network in Oracle Solaris 11.1.
Anwendungsbeispiele zu IP Filter finden Sie in Kapitel 5, IP Filter (Tasks) in Securing the Network in Oracle Solaris 11.1 sowie auf den Manpages.
Informationen zu und Syntaxbeispiele für die IP Filter-Richtliniensprache erhalten Sie auf der Manpage ipnat(4).
TCP-Wrapper dienen zur Implementierung der Zugriffskontrollen; dazu wird die Adresse eines Hosts, der einen bestimmten Netzwerkdienst anfordert, anhand einer Zugriffskontrollliste geprüft. Anforderungen werden dann entsprechend genehmigt oder verweigert. TCP-Wrapper bieten zudem eine hilfreiche Überwachungsfunktion, denn sie protokollieren Hostanforderungen für Netzwerkdienste. Die Secure Shell- und sendmail-Funktionen von Oracle Solaris sind für die Verwendung von TCP-Wrappern konfiguriert. Zu den Netzwerkservices, die mit einer Zugriffskontrolle belegt werden können, gehören proftpd und rpcbind.
TCP-Wrapper unterstützen eine erweiterte Richtliniensprache, mit der Organisationen Sicherheitsrichtlinien nicht nur global, sondern auch pro Service definieren können. Ein umfassenderer Zugriff auf Services kann basierend auf dem Hostnamen, der IPv4- oder IPv6-Adresse, dem Netzgruppennamen, dem Netzwerk und sogar der DNS-Domain zugelassen oder eingeschränkt werden.
Weitere Informationen finden Sie hier:
Weitere Informationen über TCP-Wrapper erhalten Sie unter How to Use TCP Wrappers to Control Access to TCP Services in Configuring and Administering Oracle Solaris 11.1 Networks.
Informationen und Syntaxbeispiele für die Zugriffskontrollsprache für TCP-Wrapper finden Sie auf der Manpage hosts_access(4).
Sichere Passwörter bieten Schutz vor Brute Force-Zugriffsversuchen.
Oracle Solaris unterstützt die Passwortsicherheit mit einer Reihe von entsprechenden Funktionen. Die Passwortlänge, die verwendeten Zeichen, die Häufigkeit der Passwortänderung sowie Änderungsanforderungen können festgelegt und eine Passwortabfolge angelegt werden. Außerdem ist ein Passwortwörterbuch mit ungeeigneten Passwörtern vorhanden. Ferner sind mehrere Passwortalgorithmen verfügbar.
Weitere Informationen finden Sie hier:
Maintaining Login Control in Oracle Solaris 11.1 Administration: Security Services
Securing Logins and Passwords (Tasks) in Oracle Solaris 11.1 Administration: Security Services
Manpages passwd(1) und crypt.conf(4)
Mit dem PAM-Framework (Pluggable Authentication Module) können Sie Anforderungen für die Benutzerauthentifizierung für Konten, Berechtigungsnachweise, Sitzungen und Passwörter koordinieren und konfigurieren.
Organisationen können mit dem PAM-Framework die Benutzerauthentifizierungserfahrung sowie Konten-, Sitzungs- und Passwortverwaltungsfunktionen anpassen. Systemeintragsservices wie login und ftp nutzen das PAM-Framework, um sicherzustellen, dass alle Einstiegspunkte für das System gesichert sind. Diese Architektur ermöglicht das Ersetzen oder Ändern von Authentifizierungsmodulen im Feld, sodass das System vor neuen bekannten Sicherheitsrisiken geschützt ist, ohne dass Änderungen an Systemservices, die das PAM-Framework nutzen, erforderlich sind.
Weitere Informationen finden Sie hier:
Manpage pam.conf(4)
Berechtigungen sind fein abgestimmte, einzelne Rechte für Prozesse, welche im Kernel durchgesetzt werden. Oracle Solaris definiert über 80 Berechtigungen wie file_read oder Berechtigungen für einen bestimmten Zweck wie proc_clock_highres. Berechtigungen können einem Befehl, einem Benutzer, einer Rolle oder einem System gewährt werden. Viele Oracle Solaris-Befehle und -Dämonen werden nur mit den Berechtigungen ausgeführt, die für die Aufgabe erforderlich sind. Die Verwendung von Berechtigungen wird auch als Prozessberechtigungsverwaltung bezeichnet.
Berechtigungen erkennende Programme können verhindern, dass Eindringlinge mehr Berechtigungen als das Programm selbst erlangen können. Außerdem können Organisationen mithilfe von Berechtigungen bestimmen, welche Berechtigungen den auf ihren Systemen ausgeführten Services und Prozessen gewährt werden.
Weitere Informationen finden Sie hier:
Privileges (Overview) in Oracle Solaris 11.1 Administration: Security Services
Using Privileges (Tasks) in Oracle Solaris 11.1 Administration: Security Services
Kapitel 2, Developing Privileged Applications in Developer’s Guide to Oracle Solaris 11 Security
Manpages ppriv(1) und privileges(5)
Angriffe über Remote-Zugriff können Systemen und Netzwerken Schaden zufügen. Für die heutigen Internetumgebungen und sogar für WAN- und LAN-Umgebungen ist ein Zugriffschutz für Netzwerke erforderlich.
Internet Protocol Security (IPsec) bietet Schutz für IP-Pakete durch die Authentifizierung und/oder Verschlüsselung der Pakete. Oracle Solaris unterstützt IPsec sowohl für IPv4 als auch IPv6. Da IPsec unterhalb der Anwendungsschicht implementiert ist, können Internetanwendungen IPsec ohne Änderungen an deren Code nutzen.
IPsec und sein Key Exchange-Protokoll IKE verwenden Cryptographic Framework-Algorithmen. Darüber hinaus stellt das Cryptographic Framework stellt einen Softtoken-Schlüsselspeicher für Anwendungen zur Verfügung, die den Metaslot nutzen. Wenn IKE so konfiguriert ist, dass es den Metaslot verwendet, können Organisationen die Schlüssel auf einer Festplatte, einem angeschlossenen Schlüsselspeichergerät oder im Softtoken-Schlüsselspeicher speichern.
Wenn es richtig vewaltet wird, ist IPsec ein wirksames Tool bei der Sicherung des Netzwerkverkehrs.
Weitere Informationen finden Sie hier:
Kapitel 6, IP Security Architecture (Overview) in Securing the Network in Oracle Solaris 11.1
Kapitel 7, Configuring IPsec (Tasks) in Securing the Network in Oracle Solaris 11.1
Kapitel 9, Internet Key Exchange (Overview) in Securing the Network in Oracle Solaris 11.1
Kapitel 10, Configuring IKE (Tasks) in Securing the Network in Oracle Solaris 11.1
Manpages ipsecconf(1M) und in.iked(1M)
Mit der Secure Shell-Funktion von Oracle Solaris können Benutzer oder Services zwischen Remote-Systemen über einen verschlüsselten Kommunikationskanal auf Dateien zugreifen oder sie übertragen. Der gesamte Netzwerkverkehr ist bei Secure Shell verschlüsselt. Secure Shell kann zudem als bedarforientiertes VPN eingesetzt werden, das X Window-Systemverkehr weiterleiten oder sich über eine authentifizierte und verschlüsselte Netzwerkverbindung zwischen einem lokalen System und Remote-Systemen mit einzelnen Portnummern verbinden kann.
So wird durch Secure Shell das Lesen abgefangener Mitteilungen durch potenzielle Eindringlinge und Spoofing-Angriffe unterbunden. Auf neu installierten Systemen kann nur Secure Shell für den Remote-Zugriff verwendet werden.
Weitere Informationen finden Sie hier:
Kapitel 15, Using Secure Shell in Oracle Solaris 11.1 Administration: Security Services
Manpages ssh(1), sshd(1M), sshd_config(4) und ssh_config(4)
Die Kerberos-Funktion von Oracle Solaris ermöglicht Single Sign-On und sichere Übertragungen, auch über heterogene Netzwerke, wenn sie Kerberos ausführen.
Kerberos basiert auf dem Kerberos V5-Netzwerkauthentifizierungsprotokoll, das am MIT (Massachusetts Institute of Technology) entwickelt wurde. Der Kerberos-Service ist eine Client-Server-Architektur für sichere Netzwerktransaktionen. Der Service bietet Authentifizierung über sichere Passwörter, Integrität und Vertraulichkeit. Mit dem Kerberos-Service können Sie nach einmaliger Anmeldung sicher auf andere Rechner zugreifen, Befehle ausführen, Daten austauschen und Dateien übertragen. Darüber hinaus können Administratoren mithilfe des Service den Zugriff auf Services und Systeme einschränken.
Weitere Informationen finden Sie hier:
Teil VI, Kerberos Service in Oracle Solaris 11.1 Administration: Security Services
Manpages kerberos(5) und kinit(1)
RBAC (Role-Based Access Control) wendet das Sicherheitsprinzip der geringsten Berechtigungen an, indem es Organisationen ermöglicht, administrative Rechte bestimmten Benutzern oder Rollen entsprechend ihrer Anforderungen zu gewähren.
Die RBAC-Funktion von Oracle Solaris steuert den Benutzerzugriff auf Aufgaben, die normalerweise der root-Rolle vorbehalten sind. Durch das Anwenden von Sicherheitsattributen auf Prozesse und Benutzer kann RBAC administrative Rechte auf mehrere Administratoren aufteilen. Bei RBAC spricht man auch von Verwaltung von Benutzerrechten.
Weitere Informationen finden Sie hier:
Manpages rbac(5), roleadd(1M), profiles(1) und user_attr(4)
Mithilfe der SMF-Funktion (Service Management Facility) von Oracle Solaris werden Services hinzugefügt, entfernt, konfiguriert und verwaltet. SMF nutzt RBAC für die Zugriffskontrolle bei systemeigenen Serviceverwaltungsfunktionen. Insbesondere nutzt SMF Autorisierungen, um zu festzustellen, welche Personen einen Service verwalten und welche Aufgaben sie durchführen können.
SMF ermöglicht Organisationen die Kontrolle über den Zugriff auf Services sowie über die Art und Weise, wie diese gestartet, gestoppt und aktualisiert werden.
Weitere Informationen finden Sie hier:
Kapitel 1, Managing Services (Overview) in Managing Services and Faults in Oracle Solaris 11.1
Kapitel 2, Managing Services (Tasks) in Managing Services and Faults in Oracle Solaris 11.1
Manpages svcadm(1M), svcs(1) und smf(5)
ZFS ist das Standarddateisystem für Oracle Solaris 11. Das ZFS-Dateisystem ändert die Art der Verwaltung von Dateisystemen unter Oracle Solaris grundlegend. ZFS ist stabil, skalierbar und einfach zu verwalten. Da die ZFS-Dateisystemerstellung unkompliziert ist, können Sie auf einfache Weise Kontingente und Speicherplatzreservierungen erstellen. UNIX-Berechtigungen und ACE bieten Schutz für Dateien, und eine Verschlüsselung der gesamten Datengruppe ist bereits bei ihrer Erstellung möglich. RBAC unterstützt die delegierte Administration von ZFS-Datensätzen.
Weitere Informationen finden Sie hier:
Mit der Partitionierungstechnologie von Oracle Solaris Zones können Sie bei einem Bereitstellungsmodell, das eine Anwendung pro Server vorsieht, Hardwareressourcen gemeinsam mit anderen nutzen.
Bei Zonen handelt es sich um virtualisierte Betriebssystemumgebungen, in denen mehrere voneinander isolierte Anwendungen auf derselben physischen Hardware ausgeführt werden. Durch diese Isolation wird verhindert, dass ein Prozess, der innerhalb einer Zone ausgeführt wird, Prozesse in anderen Zonen überwacht oder beeinflusst, dass Daten des anderen Prozesses angezeigt werden oder die zugrunde liegende Hardware manipuliert wird. Zonen bieten zudem eine Abstraktionsschicht, die Anwendungen von physischen Systemattributen trennt, auf denen sie verteilt werden, zum Beispiel physische Gerätepfade und Netzwerkschnittstellennamen. Unter Oracle Solaris 11 können Sie eine schreibgeschützte Zonen-Root konfigurieren.
Weitere Informationen finden Sie hier:
Manpages brands(5), zoneadm(1M) und zonecfg(1M)
Die Trusted Extensions-Funktion von Oracle Solaris ist eine optionale Sicherheitsschicht, mit der Richtlinien zur Datensicherheit von der Dateneigentümerschaft getrennt werden können. Trusted Extensions unterstützt sowohl klassische, auf Eigentümerschaft basierende DAC-Richtlinien (Discretionary Access Control) als auch bezeichnungsbasierte MAC-Richtlinien (Mandatory Access Control). Wenn die Trusted Extensions-Schicht nicht aktiviert ist, sind alle Bezeichnungen gleich, sodass der Kernel nicht so konfiguriert wird, um die MAC-Richtlinien durchzusetzen. Werden die bezeichnungsbasierten MAC-Richtlinien aktiviert, wird der Datenfluss auf Grundlage eines Bezeichnungsvergleichs im Zusammenhang mit den Prozessen (Subjekte), die Zugriff anfordern, und den Objekten, die die Daten enthalten, eingeschränkt. Im Gegensatz zu den meisten anderen mehrstufigen Betriebssystemen verfügt Trusted Extensions über einen mehrstufigen Desktop.
Trusted Extensions erfüllt die Anforderungen der allgemeinen Kriterien von LSPP (Labeled Security Protection Profile), RBACPP (Role-Based Access Protection Profile) und CAPP (Controlled Access Protection Profile). Die Trusted Extensions-Implementierung bietet eine beispiellos hohe Zusicherung, erzielt ein Maximum an Kompatibilität und beschränkt den Aufwand auf ein Minimum.
Weitere Informationen finden Sie hier:
Informationen zur Konfiguration und Verwaltung von Trusted Extensions erhalten Sie in Trusted Extensions Configuration and Administration.
Informationen zur Nutzung des mehrstufigen Desktops erhalten Sie in Trusted Extensions User’s Guide.
Manpages trusted_extensions(5) und labeld(1M)