In questa sezione vengono descritti i meccanismi di sicurezza specifici offerti da ACSLS.
I requisiti di sicurezza di ACSLS sorgono dall'esigenza di proteggere i dati: in primo luogo da perdita e danni accidentali e in secondo luogo da tentativi deliberati non autorizzati di accesso o modifica di tali dati. La seconda preoccupazione include la protezione da ritardi indesiderati nell'accesso o nell'uso dei dati o persino da interferenze fino al punto di negazione del servizio.
Di seguito sono elencate le funzioni di sicurezza di importanza critica che offrono questa protezione.
Autenticazione: garantisce che solo le persone autorizzate ottengano l'accesso al sistema e ai dati.
Autorizzazione: fornisce il controllo dell'accesso ai privilegi di sistema e ai dati. Si basa sull'autenticazione per garantire che le persone ottengano solo il livello di accesso appropriato.
Controllo: consente agli amministratori di rilevare i tentativi di violazione del meccanismo di autenticazione e i tentativi o le violazioni al controllo dell'accesso.
Per impostazioni predefinita, in Linux o Solaris gli utenti di ACSLS vengono autenticati da PAM (Pluggable Authentication Modules). Consultare le pagine man Solaris o il manuale Linux-PAM System Administrators Guide.
Gli utenti dell'interfaccia GUI di ACSLS vengono autenticati dal server LDAP incorporato in WebLogic. Consultare il documento Managing the Embedded LDAP Server:
http://docs.oracle.com/cd/E13222_01/wls/docs81/secmanage/ldap.html
Gli utenti di ACSLS acsss e acssa devono effettuare il login a Solaris o Linux ed essere autenticati dal sistema operativo prima di utilizzare cmd_proc o, per l'utente acsss, eseguire le utility e i comandi di configurazione di ACSLS. L'ID utente acsdb viene utilizzato anche per le operazioni correlate al database. Come parte del processo di installazione di ACSLS, i clienti devono impostare le password per questi ID al primo login. Per informazioni dettagliate, consultare il manuale ACSLS Installation Guide.
Gli utenti della GUI di ACSLS devono eseguire il login ed essere autenticati da WebLogic. acsls_admin viene creato durante l'installazione di ACSLS e i clienti devono impostarne la password. I clienti possono aggiungere tutti gli utenti della GUI desiderati utilizzando la utility userAdmin.sh. Per informazioni dettagliate, consultare il manuale ACSLS Installation Guide e la sezione su userAdmin.sh nel capitolo ”Utilities” del manuale ACSLS Administrator’s Guide.
Di seguito sono riportate considerazioni generali sul controllo valide per ACSLS.
Sebbene il controllo non comporti praticamente alcun costo, è opportuno limitare il più possibile il numero di eventi controllati. In tal modo si riduce l'impatto sulle prestazioni dell'esecuzione delle istruzioni controllate e la dimensione dell'audit trail, semplificandone l'analisi, la comprensione e la gestione.
Per delineare una strategia di controllo, attenersi alle regole generali indicate di seguito.
ACSLS dispone di diversi log di informazioni che consentono di registrare ed esaminare l'attività di ACSLS.
La maggior parte dei log può essere visualizzata utilizzando vi e altri editor. Gli eventi di sistema possono essere visualizzati solo utilizzando la GUI di ACSLS.
La maggior parte di questi log può essere archiviata automaticamente quando raggiunge una dimensione definita dal cliente. Verrà conservato solo un numero di log specificato dal cliente. Per evitare di riempire il file system di ACSLS, è previsto un limite configurabile al numero di log che verranno conservati. Se si desidera conservare un numero maggiore di questi file di log o conservarli su un altro sistema, è necessario sviluppare una procedura personalizzata per archiviarli in un'ubicazione dove è presente spazio sufficiente.
La dimensione, il numero di log archiviati da conservare e altre caratteristiche di questi file sono definite dalle variabili dinamiche e statiche di ACSLS.
La directory di log di ACSLS è controllata dalla variabile statica LOG_PATH. Il valore predefinito è la directory $ACS_HOME/log. Questa directory include i log elencati di seguito.
Registra i messaggi per eventi di sistema, eventi della libreria ed errori significativi di ACSLS.
Quando acsss_event.log raggiunge una dimensione limite definita dalla variabile dinamica LOG_SIZE, viene copiato in event0.log e cancellato. Durante il processo di copia, i log degli eventi conservati vengono copiati nei log conservati con numero maggiore e i log conservati con numero superiore vengono sovrascritti. Ad esempio: event8.log viene copiato in event9.log, event7.log viene copiato in event8.log, …, event0.log viene copiato in event1.log, acsss_event.log viene copiato in event0.log e acsss_event.log viene cancellato. Questa operazione è controllata dalle variabili indicate di seguito.
EVENT_FILE_NUMBER specifica il numero di log degli eventi da conservare.
LOG_SIZE specifica la dimensione limite raggiunta la quale il log degli eventi viene copiato in un log degli eventi conservato e viene troncato.
Utilizzare la utility greplog per filtrare il log acsss_event in modo che includa o escluda i messaggi contenenti parole chiave specifiche. Per ulteriori dettagli, consultare la sezione su greplog nel capitolo ”Utilities” del manuale ACSLS Administrator’s Guide.
Sono disponibili due log in cui vengono registrati i dettagli quando ACSLS aggiorna la configurazione della libreria archiviata nel database ACSLS. Le modifiche alla configurazione apportate tramite acsss_config e Dynamic Config (utility config) vengono registrate in questi log.
Registra i dettagli di tutte le configurazioni o riconfigurazioni delle librerie supportate da ACSLS. L'ultima modifica alla configurazione viene aggiunta al record delle configurazioni precedenti.
Registra gli eventi durante il processo di configurazione o riconfigurazione.
Registra la risposta a tutte le richieste per ACSLS dai client ACSAPI o cmd_proc, nonché tutte le richieste alla GUI o all'interfaccia client SCSI alle librerie logiche, ad eccezione delle query di database. Le informazioni registrate includono il richiedente, la richiesta e la data e l'ora della richiesta.
rpTrail.log è gestito dalle variabili indicate di seguito.
LM_RP_TRAIL abilita questo audit trail di eventi ACSLS. Il valore predefinito è TRUE.
RP_TRAIL_LOG_SIZE specifica la dimensione limite raggiunta la quale rpTrail.log viene compresso e archiviato.
RP_TRAIL_FILE_NUM specifica il numero di log rpTrail archiviati da conservare.
RP_TRAIL_DIAG specifica se i messaggi rpTrail devono includere informazioni di diagnostica aggiuntive. Il valore predefinito è FALSE.
Registra tutti gli eventi che riguardano i volumi (cartucce) in una libreria a nastro, ad esempio se un volume viene installato, disinstallato, spostato, inserito, espulso o trovato dal controllo o dal recupero cartucce. Se le statistiche sui volumi della libreria sono abilitate, queste informazioni vengono registrate in acsss_stats.log.
Le statistiche sui volumi della libreria sono gestite dalle variabili indicate di seguito.
LIB_VOL_STATS abilita le statistiche sui volumi della libreria. Il valore predefinito è OFF.
VOL_STATS_FILE_NUM specifica il numero di file acsss_stats.log archiviati da conservare.
VOL_STATS_FILE_SIZE specifica la dimensione limite raggiunta la quale il file acsss_stats.log viene archiviato.
Nella directory dei log di ACSLS le informazioni sulla GUI di ACSLS e sull'interfaccia client SCSI per le librerie logiche vengono registrate nella directory sslm. Questa directory include collegamenti ai log di controllo di WebLogic. La directory sslm include i log indicati di seguito.
Registra sia gli eventi della GUI di ACSLS che quelli dell'interfaccia client SCSI. Include messaggi di modifica alla configurazione della libreria logica ed eventi del client SCSI.
.g# indica il numero di generazione di questo log.
.pp# indica il numero di processo parallelo di questo log. In caso di registrazione di più processi allo stesso tempo, ai log dei processi aggiuntivi verrà assegnato un numero di processo parallelo.
Tiene traccia dell'attività dei client SCSI per le librerie logiche ACSLS utilizzando l'emulazione dell'interfaccia SMC.
Si tratta di un collegamento al file access.log di WebLogic. Vedere Configurazione e uso dei log di controllo di WebLogic.
Si tratta di un collegamento al file AcslsDomain.log di WebLogic. Vedere Configurazione e uso dei log di controllo di WebLogic.
Si tratta di un collegamento al file AdminServer.log di WebLogic. Vedere Configurazione e uso dei log di controllo di WebLogic.
Accedere al Visualizzatore log dalla sezione di configurazione e amministrazione della struttura di navigazione della GUI. Il Visualizzatore log mostra le informazioni combinate di acsss_event.log e smce_trace.log.
È anche possibile visualizzare gli eventi di sistema dalla sezione di configurazione e amministrazione della struttura di navigazione della GUI. Nel log degli eventi di sistema vengono registrate tutte le operazioni della libreria discreta. Ciascun record in questo log contiene la data e l'ora, il tipo e una descrizione di un evento.
Determinare i criteri di controllo di Solaris. Per informazioni su quali eventi pianificare per il controllo, dove salvare i log di controllo e come esaminarli, consultare la sezione sul controllo in Oracle Solaris in Oracle System Administration: Security Services.
Se non sono stati abilitati gli audit trail personalizzati di Solaris, sono disponibili gli audit trail dei login e dei comandi Unix emessi dagli utenti acsss, acsdb e acssa elencati di seguito.
Gli utenti attualmente iscritti a Unix vengono registrati in utmpx di Unix e il precedente accesso degli utenti viene registrato nel database wtmpx.
Utilizzare il comando last per visualizzare tutti gli accessi di un ID utente (ad esempio last acsss). Per ulteriori informazioni, consultare le pagine man per: wtmpx, last e getutxent.
I comandi emessi da un utente vengono registrati nei file .*_history (ovvero [dot]*_history) nella directory home di tale utente.
Per l'utente acsss, possono essere:
.bash_history
.psql_history
.sh_history
In Solaris /var/adm/sulog registra i tentativi riusciti e non riusciti di eseguire su e diventare utente privilegiato o un altro utente.
Per informazioni dettagliate sulla raccolta e l'analisi dei log di controllo e di sistema, consultare le sezioni Configuring and Using Auditing e Configuring and Using System Logging in Oracle Linux: Security Guide for Release 6.
Per informazioni sulle opzioni di protezione di un server WebLogic e sulle possibilità di audit trail con WebLogic, consultare Oracle Fusion Middleware; Understanding Security for Oracle WebLogic Server 11g Release 1 (10.3.6).
WebLogic registra l'accesso alla GUI di ACSLS nella directory indicata di seguito.
/export/home/SSLM/AcslsDomain/servers/AdminServer/logs
Questa directory include i seguenti file:
access.log
Sono disponibili versioni archiviate denominate access.lognnnnn (ad esempio, access.log00001)
In questo modo si ottiene un audit trail dettagliato dell'attività di un utente della GUI.
Per i login, cercare "AcslsLoginForm".
Nota:
È disponibile un collegamento al log di accesso in: $ACS_HOME/logs/sslm/guiAccess.log.AcslsDomain.log
Sono riportate le operazioni di WebLogic e della GUI di ACSLS.
Nota:
È disponibile un collegamento al log di accesso in: $ACS_HOME/logs/sslm/AcslsDomain.log.AdminServer.log
Sono riportate le operazioni di WebLogic e della GUI di ACSLS.
Nota:
È disponibile un collegamento al log di accesso in: $ACS_HOME/logs/sslm/AdminServer.log.