Жанр: Учеба
SCO: Пособие администратора системы Unix
..._______________
- 10-24 -
Привилегированный пользователь и администраторы с соответс-
твующими правами доступа
Большинство полномочий, нормально выполняемых привилегированным
пользователем в менее защищенной системе, разрешено в защищенных
системах, о которых шла речь ранее. Однако, некоторые
функции требую авторизации основного пользователя. Это необходимо
помнить, когда Вы устанавливаете права. Назначение права su
позволяет административному пользователю иметь привилегированную
учетную информацию su(C).
Права привилегированного пользователя требуются для выполнения
следующих задач:
1. Установка программного обеспечения
2. Разбивка диска на разделы и поддержка файловой системы
3. Перезапись, восстановление файлов и установка доступа к
файлу
4. Останов системы
5. Исправление неисправностей
Права на доступ к ядру
Права на доступ к ядру определяют действиями, которые пользователи
осуществляют для выполнения специального обслуживания
операционной системы. Например, возможность изменения собственности
файла управляется правом chown. Права доступа к ядру по
умолчанию применяются только тогда, когда не указаны права доступа
к ядру для пользователя. Поэтому пользователи, которым необходимы
большие права, могут иметь специальные для каждого из
них элементы в базе данных, определяющие их права, тогда как
обычные пользователи могут иметь их набор прав по умолчанию, содержащийся
в системной базе данных значений по умолчанию.
- 10-24a -
Таблица 10.4
Права на доступ к ядру
+----------------------------------------------------------------+
| Права Действия |
+------------------+---------------------------------------------+
| configaudit | Конфигурация параметров подсистемы контро-|
| | ля |
| writeaudit | Запись элементов контроля в контрольный|
| | след |
| execsuid | Возможность запуска программ SUID |
| chmodsugid | Возможность устанавливать биты SUID и SGID|
| | в файлы |
| chown | Возможность менять собственника объекта |
| suspendaudit | Приостанавливать контроль операционной|
| | системы за процессом |
| nopromain | Доступ в качестве пользователя извне к ос-|
| | новному каталогу |
+------------------+---------------------------------------------+
Ограничения, обеспечиваемые этими правами, являются комплексными;
они конфигурируются по умолчанию для функционирования
под уровнем защиты С2. Параметры контроля применяются только для
операций контроля и не должны быть назначены для пользователей;
- 10-25 -
этот параметр описан в "Использовании подсистемы контроля" в
главе "Поддержка Системной защиты" этого руководства.
Права Ъ1execsuid, chmodsugidЪ3 Ъ0и Ъ1chownЪ3 опописаны в разделах
"Назначение прав доступа к ядру" и "Исключительные операции вЪ3исистеме
защиты" в главе "Поддержка системной защиты" этого руководства.
Права доступа к ядру и административные пользователи
Вы должны назначить специфические права доступа к ядру наряду
с правами доступа к подсистемам. Хотя большинство из них
уже назначено по умолчанию, они перечислены в таблице 10.5, если
Вы захотите изменить эти значения по умолчанию. Исключением является
подсистема контроля, которая требует дополнительных прав
configaudit и suspendaudit. Эти права никогда не должны назначаться
по умолчанию или для обычных пользователей. Другим исключением
является право sysadmin, которое требует право доступа к
ядру chmodsugid, хотя проще запустить программу integrity(ADM) в
качестве основного пользователя.
Таблица 10.5
Соответствия прав по доступу к подсистемам и к ядру
+--------------------------------------------------------+
| Права по требуемые права по доступу к |
| доступу к ядру |
| подсистемам |
+--------------------------------------------------------+
| audit configaudit,suspendaudit,execsuid |
| auth chown,execsuid |
| backup execsuid |
| lp chown |
| cron execsuid,chown,chmodsugid |
| sysadmin execsuid,chmodsugid,chown |
+--------------------------------------------------------+
- 10-26 -
________________________________________________________________
Управление входом в систему с терминала
База данных управления терминалами содержит параметры системных
терминалов. Эта база данных представляет возможность администратору
управлять количеством неуспешных попыток входов в
систему до блокировки терминала. Она также содержит информацию
о деятельности по входу в систему для каждого терминала. Когда
Вы устанавливаете терминал или принтер, эта информация автоматически
записывается в базу данных управления терминалами. Однако,
Вы должны изменить эти элементы для того, чтобы установить как
они могут быть использованы и какая процедура защиты будет за
этим наблюдать.
Выбор терминала в меню "Учетная информация" предложит Вам
следующее меню:
Examine Просмотр/модификация существующих элементов о
(просмотр) терминалах
Create Создать новый элемент о терминале
(создание)
Delete Удалить некоторый существующий элемент о
(удаление) терминале
Lock Заблокировать отдельный элемент
(блокировка)
Unlock Разблокировать отдельный элемент
(разблокировка)
Assign Управление базой данных эквивалентных имен
(назначение) устройств
Основной элемент в базе данных управления терминалами автоматически
создается когда tty устройства добавляются в систему.
Выборы, которые Вы чаще всего используете - это просмотр, блокировка,
разблокировка. По умолчанию система управляет должным образом
элементами базы.
Остальные пункты: Создание, Удаление, Назначение являются
специальными, они используются, когда в систему добавляются новые
программное или техническое обеспечение, и это требует ручной
настройки конфигурации.
Просмотр элемента о терминале
Для изменения установленных значений бля терминала выберите:
Учетная информация-" Терминал-" Просмотр
На экране отобразится следующая форма:
- 10-27 -
+---------------------------------------------------------------------+
| Examine |
| (просмотр) |
| Enter the name of terminal device in /dev |
| (Введите имя терминального устройства в /dev) |
| /tcb/files/auth 03/23/89 10:57 |
|+------------------Terminal Database Entry--------------------------+|
|| (Элемент базы данных терминала) ||
|| ||
|| Terminal device: [ ] Locked? (Y/N) : n ||
|| (терминальное устройство) (заблокировано (Да/Нет)) ||
|| Last login : User: ||
|| (последний вход (пользователь) ||
|| в систему) Time: ||
|| (время) ||
|| Last logout : User: ||
|| (последний выход (пользователь) ||
|| из системы) Time: ||
|| (время) ||
|| Last filed login : User: ||
|| (последний (пользователь) ||
|| ошибочный Time: ||
|| вход в систему) (время) ||
||Current consecutive failed logins: Exceeded? (Y/N) :n ||
||(Текущее количество последовательных (превышено (Да/Нет)) ||
||ошибочных входов) ||
||Consecutive failed logins allowed:[Specify]Default of [ ]Value :[ ]||
||(Количество позволенных (указать)(по умолчанию)(значение)||
||последовательных ошибочных ||
||входов в систему) ||
||Delay between logins attempts :[Specify]Default of [ ]Value :[ ]||
||(Задержка между попытками (указать)(по умолчанию)(значение)||
||входа в систему ) ||
|+-------------------------------------------------------------------+|
+---------------------------------------------------------------------+
Этот экран предоставляет Вам возможность просмотреть текущий
статус терминала. Во всех случаях просмотра необходимо ввести
имя терминала, которое является элементом каталога для этого
терминала в каталоге /dev. Значение "INFINITE
(неопределенный)" для "Количества позволенных последовательных
ошибочных входов в систему" приводит к тому, что тип блокировки
для этого терминала становится недоступным (применяется аббревиатура).
Элемент управления терминалом связан базой данных назначения
устройств, как описано далее в этой главе.
- 10-27a -
________________________________________________________________
Примечание
Привилегированный пользователь может отменить блокировку
терминала с системной консоли. Это сделано для того, чтобы избежать
полной блокировки всех пользователей. Так как доступен специальный
вход в систему, Вы можете физически защитить системную
консоль.
________________________________________________________________
Переопределение ограничения числа попыток входа в систему
Если ограничения входов в систему с терминала не удовлетворительны
или очень ослаблены, используйте выбор в среде
sysadmsh, для определения этих ограничений:
Учетная информация-" Терминалы-" Просмотр
- 10-28 -
В предыдущем разделе описывается форма, которая будет отображена
на экране. Далее измените значения "Количество позволенных
последовательных неправильных входов в систему" и "Задержка
между попытками входа в систему".
Блокировка/разблокировка терминала
Для того, чтобы заблокировать и разблокировать используйте
соответственно выбор в среде sysadmsh:
Учетная информация-" Терминалы-" Блокировка
Учетная информация-" Терминалы-" Разблокировка
Когда появится запрос для терминала, введите его имя, например,
tty01. Когда терминал заблокирован, то на экране во время
попытки входа в систему появляется следующее сообщение:
Terminal is disabled — see Authentication Administrator
(терминал недоступен — смотри раздел администратора
идентификации)
Установка базы данных эквивалентов устройств
Цель существования базы назначения устройств - содержать
записи о терминальных устройствах, которые физически одни и те
же, а обращение к ним идет по различным именам путей (Для них
установлены связи, или они являются устройствами с использованием
или без использования модемов и др.). Это гарантирует, что
отслеживание входов в систему и блокировка терминалов будут применяться
правильно, в зависимости от того, по какому имени пути
система обращается к ним.
Одним из примеров является то, что кто-нибудь делает недоступным
"tty1a", а затем доступным "tty1A". Так как база данных
назначения устройств содержит эквиваленты этих устройств, счетчик
неуспешных входов в систему,например, будет поддерживаться.
С другой стороны, система выполняет эти действия автоматически
для устройств, которые она распознает по умолчанию. Некоторые
специальные узлы устройств созданные для необычных физических
устройств или программного обеспечения должны быть включены в
конфигурацию и добавлены вручную. Вы должны это делать, только
если в документации существует рекомендация, что это должно быть
сделано, или Вы знаете что делаете.
- 10-29 -
________________________________________________________________
Генерация отчетов о деятельности системы
Создание отчетов возможно по статусу трех важных аспектов
действия системы:
Пароли Отчет по статусам пароле в учетной инфор-
мации
Терминалы Отчет по статусу терминалов при доступе
Входы в систему Отчет по входам в систему пользователей,
группы пользователей и терминалов
Выбор отчетов может генерировать различные отчеты. Вы можете
использовать отчеты для целей защиты (например, просмотр параметров
в базах данных защищенных паролей и управления терминалами).
Так как эти отчеты показывают использование системы и
периферии, Вы можете их использовать для настройки и реконфигурации
системы.
Для всех отчетов, после подготовки отчета Вы будете опрошены
куда направить выходную информацию на экран, принтер или в
файл.
Вы можете установить фильтр на выходную информацию посредством
использования системных программ подготовки страниц. Программа
more устанавливается по умолчанию. При выводе на принтер,
Вы можете указать имя устройства печати; если Вы не укажите имя,
система будет использовать вывод на устройство, принятое по
умолчанию. Если Вы перенаправляете выход в файл, Вы должны указать
полное имя пути. Все равно какую категорию отчета Вы выберете,
Вы будете опрошены куда Вы хотите направить информацию: На
экран, принтер или в файл.
Отчет по статусу паролей
При выборе первого типа отчета, опрашивается база данных
паролей, генерируется отчет по учетной информации и параметрам
паролей, установленных для учетной информации. Этот вид отчета
извлекает инфорацию из базы данных защищенных паролей. Статус
паролей освещается по следующим категориям:
Impending Отчеты по срокам действия паролей в
(пароли, у которых учетной информации
кончается срок
действия)
Expired Отчеты по учетной информации с пароля-
(пароли, у которых ми, у которых кончился срок действия
кончился срок
действия)
- 10-30 -
Dead Отчеты по учетной информации с перес-
(переставший тавшими существовать паролями
существовать
пароль)
User Отчет по одному пользователю
(пароль
пользователя)
Group Отчет по одной группе пользователей
(пароль группы)
Full Список всех элементов базы данных паро-
(полный) лей.
Опция Impending создает отчеты по учетной информации,
которая имеет, или скоро будет иметь пароли с завершившимся сроком
действия. Эти отчеты включают всю учетную информацию, для
которой у паролей уже исчерпан срок действия или срок действия
паролей кончается в течение недели. Хотя угроза завершения срока
действия не является сама по себе ошибкой, этот отчет позволяет
Вам определить пользователей, которые ожидают последнего момента
для того, чтобы изменить пароль. Вы можете провести ревизию
на основе полученной информации по системе в целом или для каждого
пользователя в отдельности в отношении периода действия паролей.
Опция Expired создает отчеты по учетной информации с паролями,
у которых окончен срок действия. Это могут быть и
пароли,прекратившие свое существование. Для такой учетной информации
требуются некоторые действия администратора до того как
они смогут быть использованы; минимальным действием может быть
изменение пароля.
Опция Dead генерирует отчеты по учетной информации с паролями
срок существования которых окончился, что приводит к тому,
что такая учетная информация становится непригодной для дальнейшего
входа в систему.
Опция User генерирует отчет по одному пользователю, которого
Вы должны указать. Введите имя для входа в систему этого
пользователя для того, чтобы активизировать отчет по нему.
Опция Group генерирует отчет по отдельной указанной группе.
Этот отчет включает всех пользователей, находящихся в этой группе
(как показано в поле Group Membership экрана поддержки учетной
информации пользователя).
В заключении, опция Full генерирует статистику для всех
пользователей системы.
- 10-30a -
Отчеты имеют следующую аббревиатуру:
Dflt по умолчанию
Y,N,D Да, нет, по умолчанию. Некоторый выбор поле имеет
три возможных значения: да, нет, по умолчанию ис-
пользуемые системой, которые могут быть выбраны.
Пример отчета: Group
Следующий пример является отчетом деятельности группы с паролем
"hamster". Аббревиатура в полях "Параметры пароля" соответствуют
параметрам пароля, принимаемым системой по умолчанию.
- 10-31 -
Password Database Report
(отчет по базе данных паролей)
System UNIX
(система UNIX)
Wed Mar 22 10:56:29 1989
Password Parameters
(параметры паролей)
[1] User Name Type Min Exp Life Rnd? Pck? Rst? Lck?
(имя пользо (тип)
вателя)
____ ____ ____ ___ ___ ____ ____ ____ ____ ____
Last Changes Last Logins Consec
(последнее изменение) (последний вход в (число
систему) попыток)
[2] Succes Failed Succes Failed #Failed
(успешн.) (ошиб.) (успешн.) (ошиб.) (ошиб.)
______ ______ ______ ______ _______
[3] Kernel Authorizations
(права доступа к ядру)
______ ______________
[1] alvin general Dflt Dflt Dflt D D D Y
[2] 03/22/89 NEVER 03/22/89 NEVER -
[3] DEFAULT
[1] simon general Dflt Dflt Dflt D D D N
[2] 03/22/89 NEVER 03/22/89 NEVER -
[3] DEFAULT
[1] theodore general Dflt Dflt Dflt D D D N
[2] 03/22/89 NEVER 03/22/89 03/22/89 -
Генерация отчетов о работе терминалов
Если Вы выберете опцию Terminal в меню учетной информации,
Вы можете получить статистику по базе данных управления терминалами.
Этот отчет содержит условия блокировки, неуспешные попытки
входа в систему с терминала и задержку между попытками входа.
Подобно генерации отчетов по паролям, Вы можете выбрать отчеты
для одного терминала, лексической группы терминалов или для всех
терминалов.
- 10-31a -
Когда Вы выбираете пользователя или группу, отчет включает
как последнюю успешную попытку входа так и последнюю неуспешную.
Количество неуспешных попыток также включается в отчет. Как это
число, определяющее максимальное число попыток входа в систему
для учетной информации, Вы должны указать причину возникновения
проблемы. Большинство учетной информации должно показывать меньшее
число попыток входа.
Когда Вы выбираете один или более терминалов, отчет содержит
последний успешный и последний неуспешный вход в систему, а
также выход из системы с терминала. Число неуспешных попыток с
этого терминала также включается в отчет. Оба типа отчетов могут
обеспечить Вас полезной информацией об использовании системы.
Далее приводится пример отчета о терминалах:
- 10-32 -
Terminal Database Report
(отчет по базе данных терминалов)
System UNIX
(система UNIX)
Wed Mar 22 10:58:42 1989
Admin Login Unsucc Max Unsuc
админ. вход неусп. max неусп.
Tty Name Lck? Delay Attempts Attempts
имя tty бл. Задер. Попыт. Попыт.
___ ____ ____ _____ ________ ________
console D Dflt 2 Dflt
tty02 D Dflt None Dflt
tty03 D Dflt None Dflt
tty04 D Dflt None Dflt
tty05 D Dflt 1 Dflt
tty06 D Dflt None Dflt
tty07 D Dflt None Dflt
tty08 D Dflt None Dflt
tty09 D Dflt None Dflt
tty10 D Dflt None Dflt
tty11 D Dflt None Dflt
tty12 D Dflt None Dflt
Генерация отчетов по входам в систему
Отчеты по входам в систему могут быть сгенерированы по трем
категориям: по пользователю, группе и терминалу.
Далее приводится листинг отчета по входам в систему с терминала:
- 10-32a -
Login Activity Report
(отчет по входам в систему)
System UNIX
(система UNIX)
Wed Mar 22 14:43:53 1989
Last Good Login Last Bad Login Last Logout
(последний усп. (последний неусп. (последний
вход) вход) выход)
Tty Name User Name Date User Name Date User Name Date #Failed
(имя tty)(имя польз-(дата) (имя польз-(дата) (имя польз-(дата) (ошиб.)
ователя) ователя) ователя)
___ ____ ____ ____ ____ ____ ____ ____ ____ ____ ____ _______
console alvin 03/22/89 UNKNOWN 03/22/89 alvin 03/22/89 2
tty02 root 03/21/89 root 03/21/89 root 03/19/89 0
tty03 maryt 03/21/89 UNKNOWN 03/21/89 root 03/19/89 0
tty04 root 03/19/89 root 03/13/89 root 03/19/89 0
tty05 UNKNOWN NEVER root 03/13/89 UNKNOWN NEVER 1
tty06 UNKNOWN NEVER UNKNOWN NEVER UNKNOWN NEVER 0
tty07 UNKNOWN NEVER UNKNOWN NEVER UNKNOWN NEVER 0
tty08 UNKNOWN NEVER UNKNOWN NEVER UNKNOWN NEVER 0
tty09 UNKNOWN NEVER UNKNOWN NEVER UNKNOWN NEVER 0
tty10 UNKNOWN NEVER UNKNOWN NEVER UNKNOWN NEVER 0
tty11 UNKNOWN NEVER UNKNOWN NEVER UNKNOWN NEVER 0
tty12 UNKNOWN NEVER UNKNOWN NEVER UNKNOWN NEVER 0
Глава 11
ПОСТРОЕНИЕ УДАЛЕННОЙ СЕТИ С ПОМОЩЬЮ UUCP
ВВЕДЕНИЕ 11-1
Что такое UUCP 11-1
Как пользоваться настоящим руководством 11-2
Что вам нужно 11-2
Команды UUCP 11-3
Каталоги UUCP 11-5
Фоновые программы UUCP 11-6
Как работает UUCP 11-6
Пример транзакции UUCP 11-7
СОЕДИНЕНИЕ ДВУХ ЛОКАЛЬНЫХ СИСТЕМ С ПОМОЩЬЮ ПРЯМОЙ ШИНЫ 11-10
Выбор последовательного порта 11-10
Подключение последовательного кабеля 11-11
ПОДКЛЮЧЕНИЕ УДАЛЕННЫХ СИСТЕМ UUCP ЧЕРЕЗ МОДЕМ 11-13
Выбор последовательного порта 11-13
Установка кодового вызова 11-14
Подключение модема 11-15
Включение в конфигурацию HAYES 2400
или совместимого с ним модема 11-16
Модемы с переменной скоростью передачи данных 11-18
Тестирование модема 11-18
НАСТРОЙКА UUCP В ВАШЕЙ СИСТЕМЕ 11-20
Настройка управляющих файлов с помощью uuinstall 11-20
Установка имени абонента в файле /etc/systemid 11-23
Выбор и описание порта UUCP 11-24
Образование учетных данных регистрации для
абонента с режимом кодового вызова 11-26
Добавление записей для удаленных абонентов в файл 11-27
Ограничение доступа через файл Permissions 11-33
Добавление в файл Devices записей об устройствах 11-42
Использование одного порта для получения и
посылки кодового вызова 11-48
СПЕЦИАЛЬНЫЕ ОПЦИИ НАСТРОЙКИ UUCP 11-49
Добавление наборных устройств в файл Dialers 11-49
Применение Dialcodes для образования мобильного
файла Systems 11-51
Применение файла Devconfig 11-53
Образование альтернативных управляющих файлов
через Sysfiles 11-53
Изменение параметров пакета uucico 11-54
Защита от входа в систему неизвестного абонента 11-55
Связь абонентов Micnet с сетью UUCP 11-55
- 11-ii -
АДМИНИСТРИРОВАНИЕ ВАШЕЙ СИСТЕМЫ UUCP 11-57
Планирование связи с другими системами 11-57
Автоматизированное обслуживание 11-59
Получение отчетов о регистрации при использовании
UUCP:uulog 11-60
Каталог общего пользования UUCP 11-62
ПОИСК НЕИСПРАВНОСТЕЙ 11-65
Проверка работоспособности автоматического
наборного устройства/модема 11-65
Проверка файла Systems 11-65
Отладочная передача 11-66
Проверка базовой информации 11-66
КОНТРОЛЬ СЕТЕВОЙ ПЕРЕДАЧИ ДАННЫХ И ПЕРЕГРУЗКИ 11-68
Переполнение каталогов и отсутствие места 11-68
Истощение запасов обработки 11-68
Оценка ст
...Закладка в соц.сетях
