Protezione dei sistemi dall'accesso da parte di dispositivi remoti

Per proteggere il sistema da un'intrusione tramite l'accesso remoto, osservare le seguenti precauzioni:

Richiedere l'uso di un sistema hardware di chiamata di ritorno per tutti i modem interattivi.
Richiedere un'ulteriore password agli utenti dei modem, aggiungendo in /etc/dialups una voce per il dispositivo modem e, facoltativamente, in /etc/d_passwd. Vedere la Sezione .
Chiedere agli utenti di rinnovare spesso gli account con chiamate in ingresso.
Rimuovere rapidamente l'accesso al sistema una volta che l'utente non faccia più parte dell'azienda.
Stabilire un programma regolare di auditing per controllare l'uso in modalità remota.
Connettere i modem e le attrezzature di chiamata di ritorno ad un solo sistema HP-UX e consentire ai servizi di rete di raggiungere il sistema di destinazione partendo da quel punto.
Creare eccezioni per le chiamate di ritorno per l'accesso UUCP. Con una corretta configurazione di UUCP sono possibili delle ulteriori restrizioni. Per ulteriori informazioni, vedere uucp(1).
Un'altra possibile eccezione è il trasferimento di file con kermit. Per ulteriori informazioni, vedere kermit(1).
In caso di violazione della protezione per fattori sconosciuti, interrompere sia l'accesso di rete, sia quello telefonico ed informare l'amministratore di rete.
Per massimizzare la protezione durante la configurazione di sistema di chiamata di ritorno con modem, dedicare il meccanismo delle chiamate in uscita a questa sola funzione. Non deve essere configurato per accettare le chiamate in ingresso. Per il servizio di chiamate in ingresso, usare un altro modem in un'altra linea telefonica.
Conservare degli elenchi dei numeri telefonici dei modem al di fuori di un elenco ed in un sistema diverso da quello per gli altri telefoni aziendali. Non divulgare i numeri telefonici utilizzati per le chiamate in ingresso.
Proteggere fisicamente i modem.
Per identificare tutte le chiamate in ingresso di un modem, utilizzare l'ID del chiamante.
Non consentire nelle linee destinate ai modem il trasferimento di chiamate o altri servizi telefonici aggiuntivi. Non usare modem di telefoni cellulari.
Per l'accesso remoto e locale, prendere in considerazione l'installazione di un prodotto server HP-UX AAA. Usando il protocollo standard Remote Authentication Dial-In User Service (RADIUS), i server HP-UX AAA consentono l'autenticazione, l'autorizzazione e la gestione degli account nel punto di ingresso della rete degli accessi degli utenti. Per ulteriori informazioni, vedere HP-UX AAA Server Administrator's Guide.
Per le connessioni mobili che usano Mobile IPv6, per crittografare ed autenticare i messaggi nel protocollo Mobile IPv6 fra il client Mobile IPv6 e Home Agent, utilizzare HP-UX IPSec. Per ulteriori informazioni, vedere HP-UX IPSec Administrator's Guide.

Controllo degli accessi con /etc/dialups e /etc/d_passwd

Per una maggiore protezione nell'identificazione degli utenti remoti, aggiungere delle voci nei file /etc/dialups ed /etc/d_passwd. Questi file sono utilizzati per controllare le funzionalità di protezione delle chiamate telefoniche per l'accesso. Per ulteriori informazioni, consultare dialups(4) e login(1).

Se esiste il file /etc/dialups, la procedura di accesso confronta i terminali con quelli elencati in /etc/dialups. Se il terminale è elencato in /etc/dialups, il processo login richiederà una password. La password è quindi confrontata con quelle contenute in /etc/d_passwd.

Inoltre,per controllare la password è utilizzato il file /etc/passwd.

Quello seguente è un esempio di configurazione del file /etc/dialups:

# vi /etc/dialups (elenca i terminali autorizzati)

/dev/ttyd0p1

/dev/ttyd0p2

# vi /etc/d_passwd

/usr/bin/sh:xxxpassword_crittografataxxxxxxxxx:commenti

/usr/bin/ksh:xxxpassword_crittografataxxxxxxxx:commenti

/sbin/sh:xxxpassword_crittografataxxxxxxxxx:commenti

L'utente vedrà:

Login:
Password:

Dialup password:

Per cambiare le password in /etc/d_passwd, usare il comando passwd nel modo seguente:

# passwd -F /etc/d_passwd percorso_shell

Dove percorso_shell è il percorso della shell elencato in /etc/d_passwd.

Protezione dei sistemi dall'accesso da parte di dispositivi remoti

Documentazione tecnica

» Sommario

» Glossario

» Indice

Controllo degli accessi con /etc/dialups e /etc/d_passwd