コンピュータシステムに接続された周辺機器は、セキュリティーリスクをもたらします。たとえば、マイクは会話をキャッチし、その会話をリモートシステムに送信します。CD-ROM の場合、その情報を CD-ROM に残して、CD-ROM デバイスを次に使うユーザーが読み取れるようにすることができます。プリンタは、リモートサイトからもアクセスできます。システムの必須デバイス (たとえば、bge0 などのネットワークインタフェース) もまた、セキュリティー問題を引き起こす可能性があります。
Oracle Solaris ソフトウェアには、デバイスへのアクセスを制御するための方法がいくつか用意されています。
デバイスポリシーを設定する – 特定のデバイスにアクセスしているプロセスが特定の特権セットで実行されるように要求できます。それらの権限を持たないプロセスは、そのデバイスを使用できません。ブート時に、Oracle Solaris ソフトウェアはデバイスポリシーを構成します。サードパーティーのドライバは、そのインストール時にデバイスポリシーを構成できます。インストール後、管理者はデバイスポリシーをデバイスに追加できます。
デバイスを割り当て可能にする – ユーザーがデバイスを使用する前に割り当てる必要があるように要求できます。割り当てによって、デバイスの使用が一度に 1 人のユーザーに制限されます。さらに、ユーザーがそのデバイスの使用を承認されていることを要求できます。
デバイスの使用を防ぐ – コンピュータシステム上のどのユーザーも特定のデバイス (マイクなど) を使用できないように設定できます。たとえば、ある種のデバイスを使用できないようにする例としては、コンピュータキオスクが挙げられます。
デバイスを特定のゾーンに限定する – デバイスの使用を非大域ゾーンに割り当てることができます。詳細は、Oracle Solaris ゾーンの作成と使用 の 非大域ゾーンでのデバイスの使用を参照してください。デバイスおよびゾーンのより一般的な説明については、Oracle Solaris ゾーン構成リソース の 非大域ゾーンの /dev ファイルシステムを参照してください。
デバイスポリシーメカニズムを使用することで、デバイスを開こうとするプロセスに特定の権限を要求するように指定できます。デバイスポリシーによって保護されたデバイスをアクセスできるのは、デバイスポリシーで指定されている権限で稼働しているプロセスだけです。Oracle Solaris はデフォルトのデバイスポリシーを提供します。たとえば、bge0 などのネットワークインタフェースでは、そのインタフェースにアクセスするプロセスが net_rawaccess 特権で実行されていることが必要です。この要件はカーネルで適用されます。特権の詳細は、Oracle Solaris 11.3 でのユーザーとプロセスのセキュリティー保護 の プロセス権管理を参照してください。
Oracle Solaris では、デバイスはファイルアクセス権とデバイスポリシーで保護されます。たとえば、/dev/ip ファイルのアクセス権は 666 です。しかし、このデバイスは適切な権限を持つプロセスによってしかオープンできません。
デバイスポリシーの構成は監査の対象とすることができます。デバイスポリシーの変更は、AUE_MODDEVPLCY 監査イベントによって記録されます。
デバイスポリシーの詳細は、次のページを参照してください。
デバイス割り当てメカニズムを使用すれば、CD-ROM などの周辺機器に対するアクセスを制限できます。デバイス割り当てが有効になっていない場合、周辺機器の保護はファイルアクセス権によってのみ行われます。たとえば、デフォルトでは周辺機器は次のように使用できます。
CD-ROM ドライブまたはディスクの読み取りと書き込みは、任意のユーザーが行うことができます。
すべてのユーザーがマイクを接続できます。
すべてのユーザーが接続されたプリンタにアクセスできます。
デバイス割り当てを行うことで、承認されたユーザーにだけデバイスの使用を限定できます。デバイス割り当てによって、デバイスアクセスを完全に防ぐこともできます。デバイスを割り当てるユーザーは、そのユーザー自身が割り当てを解除するまでそのデバイスを独占的に使用できます。デバイスの割り当てが解除される際には、残っているすべてのデータがデバイスクリーンスクリプトによって消去されます。デバイスにスクリプトがない場合には、デバイスクリーンスクリプトを作成してそのデバイスから情報を一掃できます。この例は、新しいデバイスクリーンスクリプトの作成を参照してください。
デバイス割り当てに関連した試み (デバイスの割り当て、デバイスの割り当て解除、割り当て可能なデバイスの一覧表示) は、監査の対象とすることができます。監査イベントは、other 監査クラスの一部です。
デバイス割り当てについての詳細は、次を参照してください。