使用Yassp工具包安装安全的Solaris系统 （二）
2024-07-26 00:29:37
供稿：网友
4、在/etc/vfsab文件中对安装文件系统做限制
在安装文件系统时，使用一些参数可以提高文件系统的安全性和鲁棒性。使用mount命令检查哪些
参数生效，这些参数包括：nosuid、logging、noatime、size=xxxm、ro。
Mount参数
OS版本
描 述
用 途
nosuid
2.x
关闭SUID程序及SUID设备
不允许存在SUID的/var、 /home或者数据磁盘分区及设备(建议使用chroot environments).。如
果/tmp分区
不在磁盘上，此参数无效。
logging
2.7或者更高版本
为分区记录transaction日志。可以大提高文件系统检查的速度，特别是针对大容量的磁盘。缺点
是需要耗费时间进行写log的操作。
/usr /opt /home分区
建议除根区（如果使用了Veritas的VxVM）和对磁盘写性能要求非常高的分区外，都使用此参数。
noatime
2.7或者更高版本
允许mount的文件系统，在每次访问文件时对文件节点号不做更新，这样可以显著提高某些服务，
如对大量小文件进行频繁IO操作的web cache或者新闻服务。
/var或者文件频繁存取的分区 (web缓存或news分区)。
size=100m
2.5.1 or later
允许/tmp分区只使用100MB的交换空间。这个值通常取交换的30％。
在mount /tmp时使用
ro
2.x
只读。将文件系统mount成为只读只能对文件系统做有限制的保护（因为攻击者一旦取得root权限
，他可以将文件系统重新mount成读写）。
可以缩短系统启动时，执行fsck的时间，提高性能的同时，可以避免管理员无意中的错误（如误
删除文件等）。
/usr及/opt分区最好mount成为只读方式，但是将/usr分区mount成为只读方式的情况下，通常需
要将/usr/local建立的另外的分区上。
在编辑vfstab文件时要特别小心，对/ 及/usr分区的错误改动可能会导致系统不能引导。如果出
现这种情况，使用安装光盘将以单用户模式引导后，mount上有错误的磁盘，更正vfstab文件后，
reboot使改动生效。
下面是vfstab文件的两个例子：
一个只有/及/var的服务器，操作系统是Solaris2.8
fd - /dev/fd fd - no -
/PRoc - /proc proc - no -
/dev/dsk/c0t3d0s1 - - swap - no logging
/dev/dsk/c0t3d0s0 /dev/rdsk/c0t3d0s0 / ufs 1 no logging
/dev/dsk/c0t3d0s7 /dev/rdsk/c0t3d0s7 /var ufs 1 no logging,nosuid,noatime
swap - /tmp tmpfs - yes size=100m
有较多分区的服务器
fd - /dev/fd fd - no -
/proc - /proc proc - no -
swap - /tmp tmpfs - yes size=200m
/dev/dsk/c0t8d0s0 /dev/rdsk/c0t8d0s0 / ufs 1 no logging
/dev/dsk/c0t8d0s1 - - swap - no -
/dev/dsk/c0t8d0s4 /dev/rdsk/c0t8d0s4 /usr ufs 1 no logging
/dev/dsk/c0t8d0s6 /dev/rdsk/c0t8d0s6 /var ufs 1 no nosuid,noatime,logging
/dev/dsk/c0t8d0s5 /dev/rdsk/c0t8d0s5 /opt ufs 2 yes logging
5、在Solaris 8中安装Sunscreen EFS防火墙
安装本地防火墙对系统进行保护。
1． 在Solaris 8系统的iplanet CD#2光盘上，带有Sunscreen EFS的限制版。也可以从Sun的主页
下载此版本。
2． 对于老版本的Solaris系统，可以使用Ipfilter作为本机防火墙。
Sunscreen EFS可以保护网络通信，下面使用命令行对防火墙规则的设置作简单介绍。
* 防火墙的安装：在最终用户模式安装Solaris8系统，安装防火墙时，如果提示没有安装
SUNWsprot，需要用Solaris2号光盘先行安装：
pkgadd -d /cdrom/sol_8_sparc_2/Solaris_8/Product SUNWsprot
再使用iPlanet CD#2光盘，启动Sunscreen安装工具：
/cdrom/cdrom0/SunScreen/screenInstaller
除了Naming services=DNS(不使用NIS)外，其它选项都使用缺省设置。
配置：设置简单的防火墙规则，找到正在运行的防火墙规则，显示缺省规则并对其进行编辑。
#cd /opt/SUNWicg/SunScreen/bin;
#./ssadm active
Active configuration:www default Initial.2
#./ssadm edit Initial
edit>list rule
1 "common""*""*"ALLOW
edit>list address
"*"RANGE 0.0.0.0 255.255.255.255
"le0.net"RANGE 176.17.17.0 176.17.17.255
"localhost"HOST
"smtp-server"HOST 1.1.1.1
"www_le0"GROUP{}{}
edit>list service common
"commom"GROUP"tcp all""udp all""syslog""dns""rpc all""nfs prog""icmp
all""rip""ftp""real audio""pmap udp all""pmap tcp all""rpc tcp
all""nis""archie""traceroute""ping"
可以看出，缺省的规则让很少的服务通过。
我们假设在设置一台HTTPD服务器（在80端囗），并使用SSH进行管理。允许使用ping和
traceroute命令进行初步的错误检查。我们需要如下设置防火墙的规则：
#./ssadm edit Initial
edit>add service ssh SINGLE FORWARD "tcp" PORT 22
edit>add service myhttp GROUP ping traceroute ssh www
edit>replace rule 1 ALLOW myhttp"*""*"
edit>list rule
1 "myhttp""*""*"ALLOW
edit>save
edit>verify
Configuration verified successfully(not activated)
edit>quit
www#./ssadm activate Initial
Configuration activated successfully on www
* 在一台管理机上，允许使用ssh和smtp(用来email报警)，可以对外使用ping/traceroute,进行
检查，为降低风险，只响应其它管理主机的ping/traceroute请求。允许通过HTTPS及使用dns查询
。
# cd /opt/SUNWicg/SunScreen/bin;
# ./ssadm edit Initial
edit> add address mgt_net RANGE 176.17.17.0 176.17.17.255
edit> add service mgt GROUP ping traceroute ssh
edit> add service https SINGLE FORWARD"tcp" PORT 443
edit> add service outgoing GROUP ping traceroute dns
edit>
edit> replace rule 1 ALLOW www "*" localhost
edit> replace rule 2 ALLOW https "*" localhost
edit> replace rule 3 ALLOW mgt mgt_net localhost
edit> replace rule 4 ALLOW outgoing localhost "*"
edit> replace rule 5 ALLOW smtp localhost mgt_net
edit>
edit> save
edit> verify
Configuration verified successfully (not activated).
# ./ssadm activate Initial
Configuration activated successfully on www.
检查网络连接，确定改动的规则已经生效。如果要恢复初始设置，将所有的规则删除后，加入下
面一行：
replace rule 1 ALLOW "common""*""*"
最后，关闭防火墙的远程图形管理功能，只使用"ssadm"命令行工具进行管理。
注释掉/etc/rc2.d/S63sunscreen文件中的下面一行：
$SS_LIBDIR/run_httpd start efshttpd
在/opt/SUNWicg/SunScreen/lib/ss_boot中，注释掉:
$SS_LIBDIR/ssadmserver star>/dev/console 2>&1
6、进一步增强系统的可靠性：路由、邮件、 解析及工具的设置
到此，系统已经进行了初步的加固，以root方式登录。
* 设置路由
* 对于缺省路由，将网关的IP地址添加到/etc/defaultrouter文件中。
* 对于静态路由，使用route命令创建/etc/init.d/static_routes文件及
/etc/rc2.d/S99static_routes符号连接
* 清空路由表，为特定网络指定路由，如：
route -f add net 129.97 `cat /etc/defaultrouter`
* 如果需要运行路由守护进程(不建议使用)，要清楚其工作原理，否则它可能会导致你网络通信
的不正常。使用'-q'参数的“安静”模式(quiet mode)，或者在使用ifconfig命令配置网络接囗
设备时，使用'private'参数，告诉网络接囗设备不要对外广播路由信息。运行“安静”模式，要
在/etc/yassp.conf文件中设置SUNSTARTUP=YES并确定没有设置缺省路由。
* 配置/etc/hosts文件，添加不想通过DNS解晰的服务器名。
* DNS客户端：(对于关键任务的主机不要设置)在/etc/resolv.conf文件中添加域名及DNS服务器
名，在/etc/nsswitch.conf文件中hosts行添加DNS条目。
* 环境的设置：在/.cshrc /.profile:设置aliases和变量(如VISUAL,EDITOR和PATH，路径的环境
变量中不要包括当前路径".")。
* 使用useradd工具在系统中添加新的用户。首次运行后，会产生/etc/sadm/defadduser缺省新加
用户设置。可以编辑此文件，对新增用户做缺省的设置。
* 邮件客户端的设置：如果不对外网外送邮件，则不需要配置mailhost alias(在/etc/hosts文
件中)，如果不需要任何形式的邮件服务，删除/etc/lib/sendmail程序。否则：
* 编辑/etc/mail/aliases文件，至少将mailer-daemon、根及其它系统帐户指向其真实地址。
* 在/etc/hosts文件中加入带有IP地址的邮件服务器条目，alias用mailhost。
* 将完整的域名添加到/etc/hosts中,设置hostname.YOURDOMAIN.COM的alias。
* 在/etc/mail/sendmail.cf文件中作如下设置，确保所有的外发邮件通过邮件主机发送（前面两
行在Solaris8中无需设置）：
Dj$w.YOURDOMAIN.COM.
DSmailhost
DRmailhost
Dhmailhost
O FallbackMXhost=mailhost
* 在root的cron中加入如下条目，将缓存的邮件在工作时间内每小时发送一次
0 6-22 * * 1-5 /usr/lib/sendmail -q
* 发送一封测试邮件，对配置进行检查
mailx -v -s test_email root * Email服务器：设置Email服务器（运行SMTP服务），在这里不做详细介绍。
Reboot，查错
安装相应的工具及脚本，确保程序已经在其它主机上编辑测试通过。
* 将安全工具安装在/secure目录中，如下面会用到的：rotate_cron，rotate_log，wtrim.pl，
rdistd，Saveit，Weekly。然后将/secure目录模式设置为：
chmod 700 /secure；chown -R root /resure
* 在Solaris8系统的附件光盘上，如Software Companion光盘带有许多常用的工具，如PPP、
samba、wu-ftp(出于安全性考虑，避免使用)、Development/Libraries、Development/Tools、
X11应用、vim/emacs、Windows管理器等。使用图形化的安装工具或者通过SSH和X11隧道登录到服
务器上，进入相应的目录，使用pkgadd命令进行安装。
* 安装其它的常用工具，如traceroute、top或者lsof(不要设置SUID位)。
* 安装perl,并建立/bin/perl符号链接（ln -s /usr/local/bin/perl /bin/perl）。
Solaris8系统已经内置了一个版本的perl，但最好删除它（pkgrm SUNWpl5u SUNWpl5p SUNWpl5m
）,从Sunfreeware.com下载最新的版本进行安装（pkgadd -d perl-5.6.0-sol8.sparc-local）。
