 |
» |
|
|
|
HP-UX Bastille - HPUXBastille - è contenuto nel supporto degli ambienti
operativi come software consigliato ed è possibile installarlo
ed eseguirlo con Ignite-UX o con Update-UX (vedere “Livelli di protezione
predefiniti”). HP-UX Bastille è uno strumento di inasprimento e
bloccaggio, che è possibile usare per migliorare la sicurezza
del sistema operativo HP-UX. Fornisce un blocco personalizzato sistema
per sistema, mediante la funzionalità di codifica simile
a Bastion Host ed altre elenchi di controllo per inasprimento e
bloccaggio. | | | |  | NOTA: Per ulteriori informazioni su HP-UX Bastille, consultare
le Informazioni sulla release di HP-UX
11i v3 e Guida
all'amministrazione di sistemi HP-UX. | | | | |
Livelli di protezione
predefiniti | |
Al momento dell’installazione a freddo o dell’aggiornamento, è possibile scegliere
uno dei livelli di protezione elencati nella Tabella 3-2, “Configurazione predefinita di protezione”, con un livello di sicurezza via via maggiore. Tabella 3-2 Configurazione predefinita di protezione Livello di protezione | Nome del file di configurazione[1] | Descrizione |
|---|
Sec00Tools[2] | Non applicabile | Infrastruttura di sicurezza della fase d’installazione; nessuna
modifica della sicurezza. | Sec10Host[3] | HOST.config | Blocco su base host: pre-abilitazione
del firewall; alcuni servizi comuni in testo in chiaro sono disattivati,
tranne Telnet ed FTP. | Sec20MngDMZ[3] | MANDMZ.config | Blocco, ma è consentita la gestione
protetta: il firewall IPFilter blocca le connessioni entranti, tranne
i protocolli di gestione comuni e relativamente sicuri. | Sec30DMZ[3] | DMZ.config | Blocco Network-DMZ: IPFilter blocca tutte
le connessioni entrati, tranne HP-UX Secure Shell. |
| | | | | NOTA: Scegliendo i livelli di protezione Sec30DMZ o MngDMZ, IPFilter limiterà le connessioni di rete in
ingresso. Per ulteriori informazioni su come aggiungere delle porte
di ingresso al file /etc/opt/ipf.customerrules, consultare HP-UX IPFilter (Versione A.03.05.09
e successive) Administrator's Guide e Guida
all'amministrazione di sistemi HP-UX. | | | | |
Selezione del livello di protezione al momento
dell’installazioneDurante
l’installazione, è possibile configurare i livelli
di protezione andando alla scheda System oppure a quella Software dalla finestra di dialogo Installation and Configuration
dell’interfaccia utente grafica di Ignite-UX. La scheda
System consente di configurare le informazioni uniche del proprio
sistema, come i livelli di protezione, il nome host, l’indirizzo
IP, la password di root ed il fuso orario. Per semplicità d’uso, HP consiglia
di utilizzare la scheda System per selezionare il livello di protezione adeguato all’installazione,
come descritto oltre. Eseguire una
delle operazioni seguenti: Utilizzando
l’interfaccia utente di Ignite-UX, andare alla scheda
System - dalla finestra
di dialogo Installation and Configuration di Ignite-UX - e
selezionare Security Choices. Utilizzando Install HP-UX Wizard di Ignite, andare alla schermata Additional Software e scegliere Security Choices.
Saranno visualizzati i quattro livelli di protezione. Per
impostazione predefinita, è selezionato Sec00Tools. Scegliere il livello di protezione
adeguato alla propria situazione. Per ulteriori informazioni, vedere “Livelli di protezione
predefiniti”. Scegliere OK.
Configurazione di Serviceguard - di
postinstallazione - per consentirne l’uso con
i livelli di portezione | |
Configurazione
di Sec20MngDMZ oppure di Sec30DMZ per l’utilizzo con ServiceguardServiceguard utilizza le porte dinamiche. Per abilitarne il
funzionamento, è necessario aprire l’intervallo
di porte utilizzabili da SG. L’apertura di un intervallo
di porte non è coerente con gli obiettivi di protezione
di Sec20MngDMZ (MANDMZ.config) e di Sec30DMZ (DMZ.config), dato che più servizi - tra cui altre
applicazioni del tipo rpc - possono anch’essi
essere in ascolto nel medesimo intervallo di porte. Il firewall,
tuttavia, fornirà la protezione conforme al modello dell’installazione
della protezione di Serviceguard, così come descritto nel
documento Securing Serviceguard, disponibile
all’indirizzo: http://docs.hp.com/ Prima di aprire l’intervallo di porte per Serviceguard,
esaminare le regole necessarie per IPFilter-SG, documentate in HP-UX
IPFilter (Versione A.03.05.09 e successive) Administrator's Guide,
disponibile all’indirizzo: http://docs.hp.com/en/B9901-90021/B9901-90021.pdf Quando è stata installata la patch di protezione
del 2004 per Serviceguard, questo richiede un servizio addizionale, identd. Abilitarlo eseguendo le seguenti operazioni. Modificare il
file di configurazione /etc/opt/sec_mgmt/bastille/config di HP-UX Bastille, cambiando la risposta alla domanda: Should Bastille ensure inetd's ident service does not run on this system? Cambiare la risposta da “Y” a “N” nel
modo seguente: SecureInetd.deactivate_ident="N" Applicare le modifiche eseguite
al file di configurazione. È possibile aggiornare la configurazione
del sistema manualmente, oppure eseguire questo aggiornamento utilizzando
HP-UX Bastille. Il primo richiederà meno operazioni nei
sistemi che sono stati configurati manualmente dopo che l’utente
li ha configurati utilizzando Bastille, il secondo necessiterà di
minori operazioni in quei sistemi che non sono stati configurati
manualmente dopo avere utilizzato Bastille. Eseguire una delle operazioni
seguenti: Aggiornare
manualmente la configurazione del sistema: modificare il file
/etc/inetd.conf rimuovendo il carattere di commento - # - dalla
riga seguente: #auth stream tcp6 wait bin /usr/lbin/identd identd Obbligare inetd a rileggere la configurazione eseguendo il seguente
comando: # inetd -c Aggiornare la configurazione
con HP-UX Bastille: ripristinare la configurazione precedente di
HP-UX Bastille; quindi appllicare la nuova configurazione di HP-UX
Bastille.
# bastille -r
# bastille -b
Configurazione
di Sec10Host per HP-UX BastillePer configurare HP-UX Bastille Sec10 Host, consultare il documento Securing
Serviceguard, all’indirizzo: http://docs.hp.com/ Dipendenze
delle opzioni di sicurezza | |
Il livello di protezione Sec00Tools è installato nel sistema per impostazione predefinita.
Sebbene Sec00Tools non esegua alcuna modifica della protezione al momento
dell’installazione a freddo o dell’aggiornamento,
garantisce che sia installato il software necessario (Figura 3-1, “Dipendenze del software di protezione al
momento dell’installazione”). Il livello di protezione Sec00Tools contiene i file di configurazione precompilati che è possibile
utilizzare per la creazione di un livello di protezione, oppure
utilizzare come modello per la creazione di una configurazione di
protezione personalizzata. Il livello di protezione Sec00Tools garantisce inoltre che sia presente il software necessario
per questi livelli di protezione. In alternativa, è possibile bloccare il sistema usando
uno dei seguenti livelli di protezione selezionabili al momento
dell’installazione a freddo o dell’aggiornamento: Sec10Host, Sec20MngDMZ e Sec30DMZ dipendono da Sec00Tools. Servizi
e protocolli sicuri | |
Ogni livello di protezione
fornisce sicurezza via via superiore, bloccando vari protocolli
e servizi. HP-UX Bastille usa una serie di domande per stabilire
quali servizi e protocolli proteggere. Usando uno dei livelli di protezione,
si applica un profilo di protezione predefinito, semplificando il processo
di blocco. Le seguenti tabelle offrono i dettagli dei servizi e dei protocolli
interessati dai livelli di protezione, elencati nella Tabella 3-2, “Configurazione predefinita di protezione”, se si sceglie di applicarne
uno al momento dell’installazione a freddo o dell’aggiornamento. Tabella 3-3 Impostazioni di sicurezza al momento dell’installazione
di Sec10Host su base host[1] Categoria | Azioni |
|---|
Accesso e password | | Rifiuto dell’accesso,
a meno che esista la directory home | | Rifiuto degli accessi non di root se esiste il file /etc/nologin | | Impostazione di un percorso predefinito per il comando su | | Disattivazione degli accessi di root da tty di rete | | Occultamento delle password crittografate | | Disattivazione degli accessi degli account di sistema ftpd | | Disattivazione degli accessi X remoti |
| Filesystem, rete e kernel | | Modifica delle impostazioni ndd [2],[3] | | Limitazione dell’accesso remoto a swlist | | Impostazione predefinita di umask | | Abilitazione della protezione di esecuzione dello stack
su base kernel |
| Daemon | | Disabilitazione di ptydaemon | | Disabilitazione di pwgrd | | Disabilitazione di rbootd | | Disabilitazione dei daemon client NFS | | Disabilitazione del server NFS | | Disabilitazione dei programmi client NIS | | Disabilitazione dei programmi server NIS | | Disabilitazione di SNMPD |
| Servizi inetd | | Disattivazione di bootp | | Disattivazione dei servizi incorporati di inetd | | Disattivazione dei servizi helper di CDE | | Disattivazione di finger | | Disattivazione di ident | | Disattivazione di klogin e kshell | | Disattivazione di ntalk | | Disattivazione dei servizi login, shell ed exec | | Disattivazione di swat | | Disattivazione di printer | | Disattivazione di recserv | | Disattivazione di tftp | | Disattivazione di time | | Disattivazione di uucp | | Disattivazione delle comunicazioni di rete di Event Monitoring
Service (EMS) | | Abilitazione della registrazione per tutte le connessioni inetd |
| sendmail | | Esecuzione di sendmail attraverso cron per elaborare la coda | | Arresto di sendmail dall’esecuzione in modalità daemon | | Disabilitazione dei comandi vrfy ed expn |
| Altre impostazioni | | Disattivazione del web
server HP su base Apache 2.x[4] | | Configurazione del job cron per Security Patch Check[2] |
|
Tabella 3-4 Impostazioni aggiuntive
di protezione di Sec20MngDMZ al momento dell’installazione[1] Categoria | Azioni |
|---|
Servizi inetd | Comprende tutti i servizi inetd disattivati mostrati nella Tabella 3-3, “Impostazioni di sicurezza al momento dell’installazione
di Sec10Host su base host” e:
| Disattivazione di ftp | | Disattivazione di telnet |
| Configurazione di IPFilter[2] | | Blocco delle connessioni
di interrogazione DNS entranti | | Blocco delle connessioni di amministrazione HIDS entranti[3],[4] | | Configurazione di IPFilter, per consentire il traffico in
uscita, bloccare il traffico entrante con le opzioni IP impostate
e tutto il resto del traffico tranne per HP-UX Secure Shell, l’agente
HIDS, WBEM, web admin ed avvio automatico di web admin,[5] echo ICMP. |
|
Tabella 3-5 Impostazioni di sicurezza
al momento dell’installazione di Sec30DMZ aggiuntive[1] |
Versione stampabile
