овка нормальных значений для fsize и isize Теперь, когда вы знаете точное местоположение fsize и isize в суперблоке, вы можете использовать fsdb, чтобы перейти непос- редственно к соответствующему адресу, пройти суперблок по словам и присвоить адресу новое значение. Замечание Прежде чем пользоваться командой fsdb, убедитесь в том, что файловая система демонтирована. Чтобы перейти к первому адресу суперблока, введите команду абсолютного адреса, который фиксирован для файловой системы (512 для файловых систем UNIX и 1024 для файловых систем XENIX). В следующем примере проверяется файловая система UNIX: +-------------------------------------------------------------- | 512 | 001000: 000173 (123) | По умолчанию fsdb считывает адреса, вводимые вами в виде деся- тичных слов (512), а выводит адреса восьмеричными байтами (001000). Значение, хранящееся по заданному адресу, также выво- дится в восьмеричном виде (в скобках дается десятичный эквива- лент). Введя адрес в виде слова, можете нажимать <Return>, чтобы продвигаться в суперблоке каждый раз на одно слово. +-------------------------------------------------------------- | 002000: 000173 (123) | <Return> | 002002: 000000 (0) | <Return> | 002004: 007461 (3889) | В файловых системах UNIX для достижения значения fsize нужно дважды нажать <Return>, а в файловых системах XENIX - только один раз. (Это связано со способом хранения значений в супербло- ке для файловых систем UNIX.) . - 4-25 - Замечание Если при вводе начального адреса на экране появится следую- щее сообщение об ошибке: block out of range (блок вне диапазона) то это значит, что запорченное значение fsize настолько мало, что программа fsdb решила, что вы не сможете продвинуться в су- перблоке так далеко. Чтобы отключить регистрацию ошибок, введите заглавную букву O. Теперь можно беспрепятственно вводить адрес. В любой момент можно нажать клавишу INTERRUPT (DEL) или <CTL>d, чтобы прекратить вывод адресов на экран. Предположим, что при переходе ко второму значению в суперб- локе на экран выдано значение fsize, равное 0 (вместо нормально- го значения 3889): +-------------------------------------------------------------- | 002000: 000173 (123) | <Return> | 002002: 000000 (0) | <Return> | 002004: 000000 (0) | Вы можете присвоить новое значение адресу, который вы види- те в данный момент, с помощью команды присваивания fsdb. (Перед тем, как вносить какие-либо изменения, убедитесь, что вы знаете, что вы собираетесь сделать. fsdb сразу пишет прямо на диск, не ожидая sync.) Введите знак равенства, и за ним - новое значение: +-------------------------------------------------------------- | 002002: 000000 (0) | <Return> | 002004: 000000 (0) | =3889 | 002004: 007461 (3889) | q | Когда fsdb выдаст подтверждение на запрошенное вами измене- ние, выйдите из fsdb. Теперь снова можно попробовать выполнить fsck. - 4-26 - Замечание Перед изменением isize не забудьте выполнить вычисления (деление на 16 и прибавление 2) для величины ISIZE, выданной ко- мандой fsdb во время нормальной работы системы. В случае fsize используйте значение FSIZE, выданное fsdb при нормальной работе системы, без каких-либо вычислений. Глава 5 ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ СИСТЕМЫ Введение 5-1 Что такое надежная система? 5-3 Концепции надежной системы 5-3 Работа надежной системы 5-7 Назначение административных ролей с помощью авторизаций 5-7 Административное управление подсистемами с помощью sysadmsh 5-9 Назначение авторизаций ядра 5-9 Использование параметров секретности, настроенных или принятых по умолчанию 5-11 Управление системным доступом 5-11 Использование подсистемы контроля 5-14 Компоненты подсистемы контроля 5-15 Механизм контроля ядра 5-15 Драйвер устройства контроля 5-15 Демон контроля 5-16 Доступ к контролю через sysadmsh 5-17 Методология контроля 5-18 Авторизации контроля 5-18 Источники контрольных записей 5-18 Учитываемость в контроле 5-20 Типы событий контроля 5-21 Эффективный системный контроль 5-23 Административные аспекты 5-23 Процедуры контроля 5-26 Установка схемы сбора данных 5-27 Включение/выключение контроля 5-32 Сопровождение файлов контроля 5-32 Вывод списка контрольных записей 5-33 Дублирование контрольных записей 5-33 Составление контрольных отчетов 5-34 Понятие редукции данных 5-36 Форматы записей для системных вызовов 5-36 Контрольные записи прикладных программ 5-41 Проблемные области подсистемы контроля 5-44 Пространство на диске 5-44 Фатальные сбои системы 5-45 . Сообщения подсистемы 5-45 Терминология контроля 5-45 Средства защиты файловой системы 5-48 Очистка битов SUID/SGID и sticky-бита при записи 5-48 Sticky-бит и каталоги 5-49 Промены 5-51 Импортирование данных 5-51 Файлы 5-51 Файловые системы 5-52 Шифрование данных 5-53 Установка бита GID каталога 5-53 Проверка целостности системы 5-54 /etc/fsck 5-54 Контрольный журнал 5-54 Порядок проверок после фатального сбоя системы 5-55 Защищенные базы данных 5-55 Проверка базы данных аутентификации 5-57 Проверка целостности системы 5-57 Сообщения об ошибках, связанных с секретностью 5-59 Сообщения об ошибках регистрации в системе 5-59 Условия ошибок контроля 5-60 Проблемы авторизации 5-61 Функционирование демонов в надежной системе 5-62 Включение защиты с помощью кодового пароля 5-64 Разрешение пользователям монтировать файловые системы 5-65 Авторизация использования команд планирования заданий 5-66 Изменение авторизации на планирования заданий, принятой по умолчанию 5-66 Разрешение/запрещение использования cron отдельными пользователями 5-67 Просмотр пользовательских разрешений на cron 5-68 Разрешение/запрещение использования at/batch отдельными пользователями 5-68 Просмотр пользовательских разрешений на at/batch 5-68 Использование файлов среды для команд at/batch 5-69 . - 5-1 - ВВЕДЕНИЕ Каждая компьютерная система нуждается в защите от несанкци- онированного доступа к компьютеру, дискам и системным файлам. Средства обеспечения безопасности, имеющиеся в вашей системе, представляют собой расширение базовых средств обеспечения безо- пасности операционных систем UNIX. Операционная система спроек- тирована таким образом, чтобы удовлетворять требованиям класса надежности C2, согласно "Критерию оценки надежности компьютерных систем" Министерства обороны (так называемая "Оранжевая книга"). В данной главе показано, как пользоваться средствами обес- печения безопасности для поддержания надежности системы. Средс- тва, касающиеся обычного пользователя, описаны в главе "Исполь- зование надежной системы" в "Руководстве пользователя" (User's Guide). Данная глава содержит следующую информацию: * общий обзор безопасности системы * описание защищенных подсистем * как назначать административные роли * административное управление подсистемами с помощью sysadmsh * использование подсистемы контроля * защита файловых систем * проверка целостности системы * сообщения об ошибках * работа демонов в защищенной системе * включение защиты с помощью кодового пароля * как пользователи могут монтировать файловые системы * как пользователи могут планировать задания - 5-2 - Замечание О физической секретности Средства обеспечения безопасности в операционной системе будут бесполезны, если аппаратная часть и носители не защищены. Вы должны защитить от несанкционированного доступа сам компь- ютер, дистрибутивные дискеты и все носители с резервными копия- ми. Для этого нужно соблюсти следующие правила: 1. В отсутствие оператора держите систему "под замком". 2. Соберите и заприте все носители с резервными копиями. . - 5-3 - ЧТО ТАКОЕ НАДЕЖНАЯ СИСТЕМА? Поскольку не существует компьютерной системы, в которой риск сведен к нулю, для систем употребляется термин "надежная" (trusted) вместо "безопасная" (secure). Здесь имеется в виду то, что понимается под классом надежности С2. "Надежная" система - это система, в которой достигается некоторый уровень контроля над доступом к информации, обеспечивающий механизмы предотвраще- ния (или по крайней мере фиксирования) несанкционированного дос- тупа. Средства секретности операционной системы являются расшире- нием средств, имеющихся в типичных, менее "надежных" системах UNIX. Наряду с расширением возможностей защиты пользовательской и системной информации, обеспечивается полная совместимость с существующими механизмами UNIX. Большая часть работы администра- тора системы включает сопровождение и защиту системной информа- ции, как описано в настоящем разделе. При установке системы, если включен контроль, система кон- фигурируется для работы в "надежном" состоянии. В этом состоянии только назначенный администратор может обращаться к системной информации и изменять ее. Как только система переходит в нор- мальный режим работы, надежное состояние системы следует поддер- живать, если вы намерены полностью использовать средства надеж- ности. Если вы будете следовать приведенным рекомендациям, сис- темная информация останется защищенной. Имеется также возможность приспособить эти требования к нуждам вашей вычислительной установки. Можно даже установить конфигурацию вашей системы таким образом, чтобы она работала в ненадежном режиме, совместимом с другими системами UNIX. Это описано в разделе "Конфигурация для ведения учета, устанавливае- мая по умолчанию". Заметим, что если вы решили смягчить требова- ния, определяющие надежное состояние своей системы, ее нельзя с достоверностью восстановить на уровень С2. Ваши действия как администратора являются решающими для сопровождения надежной системы. Любые упущения в секретном сос- тоянии чреваты проникновением в систему. Чтобы эффективно вести административную работу, вы должны понимать, в чем состоит сис- темная стратегия секретности, как она контролируется системной информацией (базами данных) и как вносимые вами изменения влияют на действия пользователя и администратора. Концепции надежной системы Ниже приводятся основные понятия, связанные с надежной сис- темой. Будучи администратором, вы для успешной работы системы должны усвоить эти понятия и знать, где хранится информация, связанная с секретностью. Настоящий раздел является вводным в эту тему; в последующих разделах данной главы приводятся подроб- ности, а также процедуры сопровождения. . - 5-4 - Возможность учета Говорят, что некоторое действие поддается учету, если его можно отследить вплоть до источника - реального пользователя. В безопасной системе все пользователи несут ответственность за свои действия, и каждое действие можно отследить до пользовате- ля, ответственного за него. В большинстве систем UNIX отсутству- ет хорошая учитываемость: некоторые действия нельзя отследить ни до какого пользователя. Например, псевдо-пользовательские бюдже- ты, такие как lp или cron, выполняются анонимно; их действия можно обнаружить только по изменениям в системной информации. Как будет описано ниже, надежная система UNIX повышает учитывае- мость за счет сопоставления каждому бюджету реального пользова- теля, контроля над каждым действием и сопоставления каждого действия конкретному пользователю в системе. В типичной системе UNIX у каждого процесса есть реальный и эффективный идентификаторы пользователя, равно как и реальный и эффективный идентификаторы группы. Процесс с эффективным иденти- фикатором пользователя root может устанавливать эти идентифика- торы для любых пользователей. Концепция идентификации пользова- теля расширена включением дополнительного идентификатора, назы- ваемого регистрационным идентификатором пользователя (LUID). Это нечто вроде нестираемой метки, проставляемой на каждом процессе, связанном с пользователем. LUID идентифицирует пользователя, от- ветственного за сессию процесса. LUID процесса, будучи однажды проставлен, не может быть изменен никем. Дочерние процессы нас- ледуют родительский LUID. Дискреционное управление доступом Средства дискреционного управления доступом позволяют опре- делить, имеет ли некоторый пользователь доступ к информации, ко- торую он хочет получить. Эта информация находится внутри некото- рого объекта (файла, устройства и т.д.), которым пользователь- ский процесс пытается воспользоваться. В большинстве систем UNIX защита объекта осуществляется через взаимосвязь между пользова- телем и группой процесса, с одной стороны, и битами режимов объ- екта (владелец, группа, прочие), с другой стороны. Атрибуты за- щиты для этих объектов находятся на усмотрении владельца объек- та. Поэтому эти атрибуты владелец может сделать ограничивающими (контролируемый доступ) или разрешающими (открытый доступ). В надежной системе UNIX стандартные правила дискреционного управ- ления доступом расширены так, что они обеспечивают более полную защиту системной информации (системных баз данных), разделяемой информации (временных каталогов) и входных файлов программы SUID (установка идентификатора пользователя при выполнении) - напри- мер, сообщения почты. Помимо этого, в дискреционную стратегию доступа для UNIX добавлен механизм, который может воспрепятствовать получению программой SUID доступа к файлам запустившего ее пользователя. Пользователь может создать промен (promain - protected domain, т.е. защищенный домен). Промен является иерархией каталогов (поддеревом). Когда пользователь запускает программу SUID, она может произвести доступ к своим личным файлам только в том слу- чае, если эти файлы находятся в упомянутом поддереве. Вне проме- . - 5-5 - на программа SUID имеет доступ только к тем файлам, к которым имеют доступ и активизатор программы, и ее владелец. Это сужает рамки разрушения, которое может быть вызвано программой SUID в данном каталоге. Такой механизм подробно описывается в странице Руководства для promain(M) в "Справочнике пользователя" (User's Reference). Авторизации Авторизация - это право на доступ к некоторому объекту или на выполнение какого-либо системного действия. В большинстве систем UNIX все решения по поводу доступа принимаются на основе простых дискреционных критериев, или исходя из того, является ли root владельцем процесса, осуществляющего доступ. Корневой бюд- жет имеет полномочия на выполнение таких системных действий, ка- кие не может выполнять никакой другой процесс. Операционная Сис- тема определяет два типа авторизаций: авторизации ядра и авторизации подсистемы. Авторизации ядра связаны с процессами. (Процесс - это программа, выполняющаяся в системе в данный мо- мент.) Они разрешают процессу выполнять определенные действия, если процесс наделен требуемыми привилегиями. Авторизации под- системы связаны с пользователями. Они позволяют пользователю вы- полнять специальные действия с помощью команд подсистемы (надеж- ные утилиты и программы). Подсистема - это связный набор файлов, устройств и команд, служащих для выполнения некоторой функции. Например, подсистема lp состоит из файлов блока подкачки печати, печатающих устройств и команд, помогающих сопровождать подсисте- му, таких как lpadmin(ADM). Авторизации ядра хранятся в авторизационном наборе, который сопоставляется каждому процессу. Авторизационный набор - это список привилегий, который разрешает некоторый тип действий при наличии определенной привилегии и запрещает в ее отсутствие. Ав- торизации будут рассмотрены позже. Установление идентичности и аутентичности (I&A) Когда пользователь регистрируется в малонадежной системе UNIX, выполняется ограниченная процедура установления идентич- ности и аутентичности. Система ищет имя пользователя в базе дан- ных паролей (/etc/passwd). Если имя пользователя отыскивается, система устанавливает аутентичность пользователя, сравнивая вве- денный пароль с шифрованной версией пароля, содержащейся в стро- ке базы данных паролей пользователя. Предусмотрены некоторые правила относительно характеристик пароля и возможности его из- менения, но, как показала практика, этих правил недостаточно для предохранения от проникновения через защиту. Надежная система расширяет стандартные механизмы I&A. В ней предусмотрено больше правил, касающихся типов используемых паро- лей. Имеются процедуры генерации и изменения паролей. Изменены местоположение и механизм защиты некоторых частей базы данных паролей. И, наконец, администратор теперь обладает большими воз- можностями контроля над действиями пользователей. Для обеспече- ния этого аспекта системы создана специальная роль - Администра- тор аутентификации (авторизация подсистемы auth). Обязанности этого администратора подробно описываются в последующих разделах. . - 5-6 - Контроль (audit) В большинстве систем UNIX ведется ограниченная регистрация системных действий с помощью соответствующей учетной подсистемы. Учетная подсистема пишет одну учетную запись при завершении каж- дого пользовательского процесса. Надежная операционная система обеспечивает продолжительный ряд записей о действиях - журнал (trail). В этот журнал заносится запись о каждом доступе, осу- ществляемом между субъектом и объектом, и о каждом изменении субъекта, объекта и системных характеристик. Подсистема контроля управляется специальной ролью, называемой Администратором конт- роля (авторизация подсистемы audit). Администратор контроля ре- шает, сколько информации следует записать и насколько надежно она записывается, а также сопровождает информацию, когда она собрана. Подсистема контроля предоставляет Администратору конт- роля обширную историю системных действий. Это помогает админист- ратору идентифицировать, что произошло в системе, когда и с чьим участием. Защищенные подсистемы В системах UNIX существуют механизмы setuid - установка идентификатора пользователя (SUID) - и setgid - установка иден- тификатора группы (SGID). С их помощью можно составлять програм- мы, обеспечивающие личную информацию. Доступ к этой информации и ее изменение разрешены только операциям, включенным в данные программы. Операционная Система определяет несколько защищенных подсистем. Каждая из таких подсистем состоит из совокупности личной информации (файлы и/или базы данных), любых связанных с ними устройств, а также утилит и команд, используемых для сопро- вождения этой информации. Защищенные подсистемы пользуются меха- низмами SUID/SGID для защиты своих личных файлов, баз данных и устройств от неограниченного доступа. Операционная Система рас- ширяет понятие защищенной подсистемы в нескольких аспектах: * в ней определена большая грануляция пользователей и групп, обеспечивающих определенные наборы системных ресурсов (личная информация); * она ведет специальную базу данных для пользователей, ко- торым разрешено выполнять программы, сопровождающие личную ин- формацию; * в ней не требуется, чтобы пользователи регистрировались в качестве администратора подсистемы; вместо этого используется база данных для проверки авторизации подсистемы. Этого достаточ- но для удовлетворения всех требований относительно полной учиты- ваемости любых действий, выполняемых программами подсистемы. . - 5-7 - РАБОТА НАДЕЖНОЙ СИСТЕМЫ В данном разделе обсуждается концептуальная структура соп- ровождения надежной системы. Первое основное решение, которое вы должны принять, - кто будет ее сопровождать. Вы можете иметь од- ного всемогущего супер-пользователя, зарегистрированного как root, или можно распределить административные обязанности между другими пользователями, выделяя им ровно столько возможностей, сколько необходимо для административного управления каким-либо одним аспектом работы системы. Назначение административных ролей с помощью авторизаций В надежной системе UNIX административные задачи распадаются на несколько логических ролей. Каждая роль ответственна за соп- ровождение одного аспекта системы. Идея о специфических адми- нистративных ролях (и соответствующих им задачах и обязанностях) является кардинальной в вашем представлении о надежной операци- онной системе. Любая логическая роль может быть назначена одному и тому же пользователю или различным членам некоторой админист- ративной группы. С каждой расширенной ролью связана специальная авторизация. Эта связь, наряду со сложной системой трассировки, позволяет администратору вести полную регистрацию административ- ных действий. Это помогает предотвращать одни проблемы и облег- чать идентификацию и устранение других проблем. Для выполнения задач, связанных с административной ролью, администратор должен иметь соответствующую авторизацию. В приво- димой ниже таблице перечисляются административные роли, связан- ные с ними авторизации, а также разделы системы, сопровождаемые каждой ролью. . - 5-8 - Таблица 5.1 Защищенные подсистемы и административные роли ---------------------------------------------------------------- Роль | Авторизация | Раздел системы | подсистемы | ---------------------------------------------------------------- Администратор | auth | Системный учет аутентификации | | Администратор принтера | lp | Подсистема устройства | | построчной печати Администратор терминала*| terminal | Разрешения для терми- | | нального устройства Администратор cron * | cron | Подсистема at и cron Администратор памяти * | mem | Доступ к памяти системы Администратор контроля | audit | Базы данных контроля и | | контрольный журнал Оператор | backup | Резервные копии файловой | | системы Администратор системы | su | Доступ su к бюджету | | супер-пользователя | sysadmin | Использование программы | | integrity(ADM) --------------- * В действительности эти роли не совсем административные, как поясняется ниже. Вы обязательно должны понять, какие обязанности включает в себя каждая роль, и как ваши действия повлияют на секретность системы. При формировании конфигурации и работе системы вы долж- ны исходить из чувствительности информации, хранящейся на вашей вычислительной установке, осознания степени взаимодействия и компетенции ваших пользователей, и угрозы (извне или изнутри) проникновения через защиту или неправильной работы. Лишь ваша бдительность и корректное использование системы смогут сохранить ее надежность и защитить ее целостность. Для назначения авторизации подсистемы необходимо в sysadmsh сделать следующий выбор: Accounts -> User -> Examine:Privilege Замечание Вы, вероятно, заметили, что каждая авторизация подсистемы оказывается идентичной групповому имени этой подсистемы. Это оз- начает, что если какой-то пользователь является членом группы подсистемы, то тем самым он имеет доступ к файлам подсистемы. Тем не менее, это не дает требуемой авторизации подсистемы. На самом деле никогда не следует делать пользователя членом группы подсистемы, так как это подвергнет риску актуальные файлы дан- ных. Для разрешения доступа к подсистеме используйте соответс- твующую авторизацию подсистемы. . - 5-9 - Административное управление подсистемами с помощью sysadmsh Некоторые подсистемы являются логическими разделами, а не действительными областями администрации системы. Например, под- система памяти по существу не подлежит административному управ- лению, но присваивание авторизации mem обеспечит контроль над доступом к структурам памяти ядра. Другие подсистемы нуждаются в администрации, и каждой из них соответствует определенный выбор в sysadmsh(ADM). Такие подсистемы могут быть назначены отдельным людям; по каждой области имеется документация. В таблице 5.2 приведен список административно управляемых подсистем, соответс- твующие им выборы sysadmsh и разделы или главы, в которых они рассматриваются. Таблица 5.2 Подсистемы и выборы sysadmsh ---------------------------------------------------------------- Защищенная | Выбор | Раздел или глава подсистема | sysadmsh | ---------------------------------------------------------------- Устройство постро-| Printers | "Использование принтеров" чной печати | | Дублирование | Backups | "Дублирование файловых систем" Аутентификация | Accounts | "Административное управление | | пользовательскими бюджетами" Cron | Jobs | "Авторизация использования | | команд планирования заданий" | | (в данной главе) Контроль | System->Audit | "Использование подсистемы | | контроля" (в данной главе) Подсистема audit описана ниже в данной главе. Подробное описание подсистем содержится в "Справочнике пользователя" (User's Reference), на странице, относящейся к subsystem(M). Там приведен список всех программ и файлов данных, связанных с каж- дой подсистемой. Большинство функциональных возможностей, обычно доступных супер-пользователю в других, менее надежных системах UNIX, переданы защищенным подсистемам, описываемым в данном раз- деле. Однако некоторые функции все равно должен выполнять супер- пользователь. К их числу относятся монтирование и демонтирование файловых систем, прохождение по полному дереву файла. Только су- пер-пользователь может делать все. Пользователи, обладающие ав- торизацией su, имеют доступ su(C) к бюджету супер-пользователя. Следует ограничить число пользователей, имеющих доступ к паролю root, и назначить ответственного пользователя для бюджета root. (Подробности см. в главе "Административное управление пользова- тельскими бюджетами" в настоящем руководстве.) Назначение авторизаций ядра В операционной системе имеется два типа авторизаций: для ядра и для подсистемы. Пользовательские процессы выполняются с набором авторизаций ядра, которые контролируют специальные права процесса на некоторые привилегированные системные действия. В Таблице 5.3 приведен список авторизаций ядра. . - 5-10 - Таблица 5.3 Авторизации ядра ---------------------------------------------------------------- Авторизация | Действие ---------------------------------------------------------------- configaudit | Модификация параметров контроля writeaudit | Внесение контрольных записей в контрольный журнал execsuid | Выполнение программ SUID chmodsugid | Возможность устанавливать бит SUID и SGID в файлах chown | Смена владельца объекта suspendaudit | Приостанов контроля процесса nopromain | Доступ пользователя извне каталога промена Большинству пользователей требуются только авторизации nopromain и execsuid для выполнения стандартных задач. (Промены используются для изолирования выполнения данной программы, а не как постоянная мера защиты. nopromain - это обычный режим, с ко- торым работает пользователь; он его временно отменяет для про- верки выполнения программы. Подробнее см. promain(M).) Чтобы вы- полнять программы SUID, пользователь должен иметь авторизацию execsuid. (Программы установки идентификатора пользователя вы- полняются под контролем идентификатора, отличного от идентифика- тора инициатора этих программ. Так сделано для того, чтобы про- цесс имел доступ к файлам и системным средствам, которые в противном случае были бы недоступны.) Если пользователю нужно создавать файлы с битами SUID или SGID, он должен иметь автори- зацию chmodsugid. Чтобы сменить владельца файла (отдать файл), нужна авторизация chown. Если у пользователя нет этой авториза- ции, владельца файла может изменить только root. Замечание Для соответствия NIST FIPS 151-1 необходимо ограничение на chown. Эту авторизацию не нужно выдавать пользователям, если вы намерены соблюдать требования NIST FIPS 151-1. У каждого процесса имеется набор авторизаций, в котором пе- речислены его авторизации ядра. Процесс может выполнить некото- рое действие, только если соответствующая авторизация ядра вхо- дит в набор. Например, процесс с авторизацией configaudit может модифицировать параметры подсистемы контроля. Такой процесс вы- полняется Администратором контроля. Не следует выполнять никакие пользовательские процессы с какой-либо из авторизаций audit. Они предназначены для исключительного использования Администратором контроля. Для назначения авторизации ядра нужно сделать в sysadmsh следующий выбор: Account->User->Examine:Privileges . - 5-11 - Пользователи, которым присвоены административные роли, должны иметь определенные авторизации ядра, чтобы выполнять за- дачи, требуемые подсистемой. Если вы используете общесистемные авторизации ядра, принимаемые по умолчанию ("C2" или "Relaxed"), вам придется назначить лишь обязательные авторизации контроля; авторизации chown, execsuid и chown уже назначены. Таблица 5.4 Требования подсистем относительно авторизаций ядра ---------------------------------------------------------------- Подсистема | Требуемые авторизации ядра ---------------------------------------------------------------- audit | configaudit, suspendaudit, execsuid auth | chown, execsuid backup | execsuid lp | chown cron | execsuid, chown, chmodsugid sysadmin | execsuid, chmodsugid, chown Использование параметров секретности, настроенных или при- нятых по умолчанию По умолчанию параметры секретности устанавливаются согласно уровню надежности С2. Как упоминалось выше, существует два дос- тупных набора параметров, принимаемых по умолчанию: C2 и "Relaxed", соответствующий характеру работы менее надежных сис- тем UNIX. Кроме того, можно изменить любой параметр - и для от- дельных пользователей, и по всей системе. Изменение общесистем- ных параметров описано в разделе "Конфигурация для ведения уче- та, устанавливаемая по умолчанию" в главе "Административное уп- равление пользовательскими бюджетами". Информация о параметрах для отдельных пользователей приведена в разделе "Управление уче- том" той же главы. Управление системным доступом Одним из важных аспектов работы в надежной системе является выявление потенциальных проблем, относящихся к секретности. Ог- раничительные механизмы подразделяются на три категории, каждая из которых может быть приспособлена к конкретным требованиям и сопровождаться отчетами: * Статус пароля * Активность терминала * Активность начальной регистрации Каждая из этих областей имеет важное значение для точного определения потенциальных проблем с секретностью. Процедуры для выполнения этих отчетов можно найти в разделе "Генерация отчетов об активности" в главе "Административное управление пользова- тельскими бюджетами". В последующих подразделах поясняется, как реализуются эти ограничения. . - 5-12 - Статус пароля В качестве модели для введения ограничений на пароли был использован документ "Руководство по использованию паролей" (Password Management Guideline) Министерства обороны; поэтому пользователи подвергаются более серьезной проверке на пароли, чем в менее надежных системах UNIX. Администратор аутентификации может либо разрешить пользователям самим выбирать себе пароли, либо обязать систему генерировать для них пароли. Пароль, будучи однажды выбран, может подвергнуться большому числу элементарных проверок, что опять же зависит от Администратора аутентификации. Для паролей существует три уровня действительности, что яв- ляется расширением реализации процесса старения пароля в стан- дартной системе UNIX. Пароли остаются действительными, пока не настанет достигнут его срок истечения действия. Когда срок дейс- твия пароля истекает, пользователь (если ему разрешено это де- лать) получает приглашение на изменение своего пароля. Если пользователю не разрешено менять свой пароль, администратор дол- жен назначить новый пароль. Пароли считаются expired, пока не завершится их жизненный цикл. Мертвый пароль вызывает блокирование пользовательского бюджета. Снять эту блокировку может только Администратор аутен- тификации, используя выбор Accounts в sysadmsh. Если пользовате- лю не разрешено менять пароль, нужно назначить новый. Во избежание повторного использования паролей Администратор аутентификации может также установить минимальный срок изменения для пароля, до которого пользователь не имеет права менять паро- ли. Все эти параметры можно изменить - и по всей системе (база данных системных параметров, принимаемых по умолчанию), и для отдельных пользователей (база данных защищенных паролей). Обще- системное изменение параметров паролей описано в разделе "Изме- нение ограничений на пароли, принятых по умолчанию" в главе "Ад- министративное управление пользовательскими бюджетами" настояще- го руководства, а полное описание процедур изменения паролей приведено в разделе "Изменение пароля пользователя или парамет- ров пароля" той же главы. Отчеты по паролям можно использовать для предотвращения блокировки пользовательских бюджетов; эта ситуация очень непри- ятна, если администратор системы отсутствует. Если в вашей сис- теме не принято ежедневное присутствие администраторов, вы имее- те право претендовать на соответствующее увеличение параметра жизненного цикла пароля. Активность терминала Терминал - это вход в вашу систему. Помимо использования паролей бюджетов, терминалы можно защитить от попыток проникно- вения в систему. Можно задать максимальное число неудачных попы- ток регистрации, которые обычно связаны с попытками угадать па- . - 5-13 - роль бюджета. Терминалы, для которых превышено максимально допустимое число попыток, будут заблокированы; снимать блокиров- ку должен Администратор бюджетов. Кроме того, можно задать ин- тервал времени, который должен пройти между попытками регистра- ции, что также может помочь пресечь попытки угадать пароль. (Аналогичные ограничения можно ввести для бюджетов, отличных от терминалов.) О том, как изменять или проверять ограничения для терминала, см. раздел "Управление регистрацией терминала" в гла- ве "Административное управление пользовательскими бюджетами" настоящего руководства. Активность начальной регистрации Как и в случае терминалов, у пользовательских бюджетов есть параметры, связанные с числом попыток регистрации и интервалом для повторной попытки, которые относятся к регистрации в бюдже- те, а не в терминале. О том, как изменять или проверять эти ог- раничения, см. раздел "Изменение ограничений при регистрации, принятых по умолчанию" в главе "Административное управление пользовательскими бюджетами" настоящего руководства. . - 5-14 - ИСПОЛЬЗОВАНИЕ ПОДСИСТЕМЫ КОНТРОЛЯ Подсистема контроля регистрирует события в системе, связан- ные с секретностью, записывая их в контрольный журнал, который затем можно просмотреть. В контрольных журналах, выдаваемых под- системой, можно фиксировать проникновение в систему и неправиль- ное использование ресурсов. Подсистема контроля спроектирована в соответствии с задачами контроля, определяемыми Национальным центром защиты данных компьютеров США. Контроль позволяет просматривать собранные данные для изу- чения образцов доступа к объектам и наблюдения за действиями от- дельных пользователей и их процессов. Попытки нарушения защиты и механизмов авторизации контролируются. Подсистема контроля дает высокую степень гарантии обнаружения попыток обойти механизмы обеспечения безопасности. Поскольку события, связанные с секрет- ностью, контролируются и поддаются учету вплоть до выявления конкретного пользователя, подсистема контроля служит сдерживаю- щим средством для пользователей, пытающихся неправильно восполь- зоваться системой. Подсистема контроля использует системные вызовы и утилиты для классификации действий пользователей, подразделяя их на типы событий. Это можно использовать для выборочной генерации и ре- дукции контроля. Один из этих типов событий, Отказ дискреционно- го доступа (DAC), регистрирует попытки такого использования объ- ектов, которое не допускается разрешениями для этого объекта. Например, если пользовательский процесс пытается писать в файл "только для чтения", регистрируется событие Отказа DAC, показы- вающее, что процесс пытался произвести запись в файл, на что у него не было права. Если просмотреть контрольный журнал, то лег- ко будет заметить повторяющиеся попытки доступа к файлам, на ко- торые не выданы разрешения. Для эффективности данных контроля существенна возможность учета пользователей, выполняющих действия, подлежащие контролю. Когда пользователи пытаются войти в систему, они должны пройти процесс идентификации и аутентификации, прежде чем им будет пре- доставлен доступ в систему. Механизм секретности снабжает каждый процесс, создаваемый пользователем, постоянным индикатором иден- тичности - регистрационным идентификатором пользователя (LUID). Этот идентификатор сохраняется невзирая на переходы от одного пользовательского бюджета к другому с помощью таких команд, как su(C). Каждая контрольная запись, генерируемая подсистемой, со- дер