跳过导航链接 | |
退出打印视图 | |
Oracle Solaris 11 安全准则 Oracle Solaris 11.1 Information Library (简体中文) |
安装后,Oracle Solaris 可防止系统被入侵并可监视登录尝试,同时还提供其他安全功能。
初始用户帐户和 root 角色帐户-初始用户帐户可以从控制台登录。为该帐户指定了 root 角色。这两个帐户的口令最初是相同的。
登录后,初始用户可承担 root 角色对系统进行进一步配置。承担角色后,系统将提示用户更改 root 口令。请注意,没有角色可以直接登录,包括 root 角色。
在 /etc/security/policy.conf 文件中为初始用户指定了缺省设置。缺省设置包括 "Basic Solaris User"(基本 Solaris 用户)权限配置文件和 "Console User"(控制台用户)权限配置文件。通过这些权限配置文件,用户可以读取和写入 CD 或 DVD,在没有特权的系统上运行任何命令,并在控制台中停止和重新启动系统。
还为初始用户帐户指定了 "System Administrator"(系统管理员)权限配置文件。因此,在不承担 root 角色的情况下,初始用户具有一些管理权限,如安装软件和管理命名服务的权限。
口令要求-用户口令长度必须至少为六个字符,且至少包含两个字母字符和一个非字母字符。口令通过 SHA256 算法进行散列处理。更改口令时,所有用户(包括 root 角色)必须遵守这些口令要求。
受限网络访问-安装后,可保护系统免受网络入侵。允许初始用户通过使用 ssh 协议的已验证加密连接进行远程登录。这是唯一一个接受传入包的网络协议。ssh 密钥通过 AES128 算法进行包装。进行加密和验证后,用户访问系统时不会遭到拦截、修改或欺骗。
记录的登录尝试-为所有 login/logout 事件(登录、注销、切换用户、启动和停止 ssh 会话以及屏幕锁定)和所有无归属(失败)登录启用审计服务。由于 root 角色无法登录,因此可在审计迹中跟踪充当 root 的用户的名称。初始用户可根据通过 "System Administrator"(系统管理员)权限配置文件授予的权限查看审计日志。
初始用户登录后,内核、文件系统和桌面应用程序受最小特权、权限和基于角色的访问控制 (role-based access control, RBAC) 保护。
内核保护-对于许多守护进程和管理命令,只为它们指定了使它们能够成功执行所必需的特权。许多守护进程通过没有 root (UID=0) 特权的特殊管理帐户运行,因此它们不会被劫持转而执行其他任务。这些特殊管理帐户无法登录。设备受特权保护。
文件系统-缺省情况下,所有文件系统均为 ZFS 文件系统。用户的 umask 是 022,因此当某个用户创建新文件或目录时,仅允许该用户对其进行修改。允许用户组的成员读取和搜索目录以及读取文件。用户组之外的登录可列出目录并读取文件。目录权限为 drwxr-xr-x (755)。文件权限为 -rw-r--r-- (644)。
桌面 applet-桌面 applet 受 RBAC 保护。例如,只有初始用户或 root 角色可以使用软件包管理器 applet 安装新软件包。对于没有为其指定使用软件包管理器权限的一般用户,不显示软件包管理器。
Oracle Solaris 11 提供了可用于配置系统和用户以满足站点安全要求的安全功能。
基于角色的访问控制 (role-based access control, RBAC)-Oracle Solaris 提供了大量授权、特权和权限配置文件。root 是唯一定义的角色。权限配置文件为您创建的角色提供了良好的基础。此外,一些管理命令需要 RBAC 授权才能成功执行。没有授权的用户无法运行命令,即使这些用户具有所需的特权。
用户权限-在 /etc/security/policy.conf 文件中为用户指定了基本特权集、权限配置文件和授权,就如同系统访问受限制和监视中介绍的初始用户一样。用户登录尝试不受限制,但审计服务会记录所有失败的登录。
系统文件保护-系统文件受文件权限保护。只有 root 角色可以修改系统配置文件。