1、Solaris 操 作 系 统安 全 配 置 规 范安 全 配 置 规 范Specification for Solaris OS Configuration Used in China Mobile版 本 号 ： 1.0.0网络与信息安全规范编号: 【网络与信息安全规范】【第四层：技术规范Solaris 操作系统】【第 4505 号】2007-12-19 发 布 2008-01-01 实 施目录1 概述 11.1 适用范围 .11.2 内部适用性说明 .11.3 外部引用说明 .31.4 术语和定义 .31.5 符号和缩略语 .32 SOLARIS 设备安全配置要求 .32.1 账号管理、认
2、证授权 .32.1.1 账号 .32.1.2 口令 .62.1.3 授权 .92.2 日志配置要求 .122.3 IP 协议安全配置要求 .152.3.1 IP协议安全 152.3.2 路由协议安全 .182.4 设备其他安全配置要求 .202.4.1 屏幕保护 .202.4.2 文件系统及访问权限 .212.4.3 物理端口及 EEPROM 的口令设置 .222.4.4 补丁管理 .232.4.5 服务 .242.4.6 内核调整 .272.4.7 启动项 .27前言本标准由中国移动通信有限公司网络部提出并归口。本标准由标准提出并归口部门负责解释。本标准起草单位：中国移动通信有限公司网络部。
3、本标准解释单位：同提出单位。11 概述1.1 适用范围本规范适用于中国移动通信网、业务系统和支撑系统中使用 SOLARIS 操作系统的设备。本规范明确了 SOLARIS 操作系统配置的基本安全要求，在未特别说明的情况下，均适用于所有运行的 SOLARIS 操作系统版本。1.2 内部适用性说明本规范是在中国移动设备通用设备安全功能和配置规范 （以下简称通用规范 ）各项设备配置要求的基础上，提出的 Solaris 操作系统安全配置要求。以下分项列出本规范对通用规范设备配置要求的修订情况：编号 采纳意见 补充说明安全要求-设备-通用- 配置-1- 可选 增强要求 安全要求-设备-SOLARIS-配置
4、 -1安全要求-设备-通用- 配置-2- 可选 增强要求 安全要求-设备-SOLARIS-配置 -2安全要求-设备-通用- 配置-3-可选 增强要求 安全要求-设备-SOLARIS-配置 -3安全要求-设备-通用- 配置-4 完全采纳安全要求-设备-通用- 配置-5 完全采纳安全要求-设备-通用- 配置-6- 可选 完全采纳安全要求-设备-通用- 配置-7- 可选 完全采纳安全要求-设备-通用- 配置-9 完全采纳安全要求-设备-通用- 配置-12 完全采纳安全要求-设备-通用- 配置-13-可选 部分采纳,需要应用系统的支持安全要求-设备-SOLARIS-配置 -15-可选安全要求-设备-通
5、用- 配置-24-可选 完全采纳安全要求-设备-通用- 配置-14-可选 完全采纳安全要求-设备-通用- 配置-16-可选 不采纳 需要采用第三方产品支持2安全要求-设备-通用- 配置-17-可选 完全采纳安全要求-设备-通用- 配置-19-可选 完全采纳安全要求-设备-通用- 配置-20-可选 完全采纳安全要求-设备-通用- 配置-27-可选 完全采纳本规范新增的安全配置要求，如下：安全要求-设备-SOLARIS-配置 -4-可选安全要求-设备-SOLARIS-配置 -5-可选安全要求-设备-SOLARIS-配置 -6安全要求-设备-SOLARIS-配置 -12-可选安全要求-设备-SOLA
6、RIS-配置 -13-可选安全要求-设备-SOLARIS-配置 -18-可选安全要求-设备-SOLARIS-配置 -19-可选安全要求-设备-Solaris-配置-21-可选安全要求-设备-Solaris-配置-22-可选安全要求-设备-SOLARIS-配置 -23-可选安全要求-设备-SOLARIS-配置 -24-可选安全要求-设备-Solaris-配置-27-可选安全要求-设备-SOLARIS-配置 - 28-可选安全要求-设备-SOLARIS-配置 -30-可选安全要求-设备-SOLARIS-配置 -31-可选安全要求-设备-Solaris-配置-32-可选安全要求-设备-Solaris
7、-配置-33安全要求-设备-Solaris-配置-34-可选安全要求-设备-Solaris-配置-35-可选安全要求-设备-Solaris-配置-36-可选安全要求-设备-Solaris-配置-PZ -37本规范还针对直接引用通用规范的配置要求，给出了在 Solaris 操作系统上的具体配置方法和检测方法。31.3 外部引用说明中国移动通用安全功能和配置规范1.4 术语和定义1.5 符号和缩略语（对于规范出现的英文缩略语或符号在这里统一说明。 ）缩写 英文描述 中文描述2 Solaris 设备安全配置要求本规范所指的设备为采用 SOLARIS 操作系统的设备。本规范提出的安全配置要求，在未特别
8、说明的情况下，均适用于采用 SOLARIS 操作系统的设备。本规范从运行 SOLARIS 操作系统设备的认证授权功能、安全日志功能、IP网络安全功能，其他自身安全配置功能四个方面提出安全配置要求。2.1 账号管理、认证授权2.1.1 账号编号： 安全要求-设备-SOLARIS- 配置-1要求内容 应按照不同的用户分配不同的账号，避免不同用户间共享账号，4避免用户账号和设备间通信使用的账号共享。操作指南 1、参考配置操作为用户创建账号：#useradd username #创建账号#passwd username #设置密码修改权限：#chmod 750 directory #其中 755 为设
9、置的权限，可根据实际情况设置相应的权限，directory 是要更改权限的目录 )使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。2、补充操作说明检测方法 1、判定条件能够登录成功并且可以进行常用操作；2、检测操作使用不同的账号进行登录并进行一些常用操作；3、补充说明编号： 安全要求-设备-SOLARIS- 配置-2要求内容 应删除或锁定与设备运行、维护等工作无关的账号。系统内存在不可删除的内置账号，包括 root,bin 等。操作指南 1、参考配置操作删除用户：#userdel username; 锁定用户：1)修改/etc/shadow 文件，用户名后加*LK*2)将/e
10、tc/passwd 文件中的 shell 域设置成/bin/false3)#passwd -l username只有具备超级用户权限的使用者方可使用，#passwd -l username 锁定用户,用#passwd d username 解锁后原有密码失效，登录需输入新密码，修改/etc/shadow 能保留原有密码。2、补充操作说明需要锁定的用户：listen,gdm,webservd,nobody,nobody4、noaccess 。检测方法 1、判定条件被删除或锁定的账号无法登录成功；2、检测操作使用删除或锁定的与工作无关的账号登录系统；3、补充说明需要锁定的用户：listen,gdm
11、,webservd,nobody,nobody4、noaccess 。5编号： 安全要求-设备-SOLARIS- 配置-3要求内容 限制具备超级管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限账号后执行相应操作。操作指南 1、 参考配置操作编辑/etc/default/login，加上：CONSOLE=/dev/console # If CONSOLE is set, root can only login on that device.此项只能限制 root 用户远程使用 telnet 登录。用 ssh 登录，修改此项不会看到效果的2、补
12、充操作说明如果限制 root 从远程 ssh 登录，修改/etc/ssh/sshd_config 文件，将PermitRootLogin yes 改为 PermitRootLogin no，重启 sshd 服务。Solaris 8上没有该路径/usr/local/etc下有该文件Solaris 9上有该路径/文件检测方法 1、判定条件root 远程登录不成功，提示“Not on system console” ；普通用户可以登录成功，而且可以切换到 root 用户；2、检测操作root 从远程使用 telnet 登录；普通用户从远程使用 telnet 登录；root 从远程使用 ssh 登录；
13、普通用户从远程使用 ssh 登录；3、补充说明限制 root 从远程 ssh 登录，修改/etc/ssh/sshd_config 文件，将PermitRootLogin yes 改为 PermitRootLogin no，重启 sshd 服务。编号： 安全要求-设备-SOLARIS- 配置-4- 可选要求内容 根据系统要求及用户的业务需求，建立多帐户组，将用户账号分配到相应的帐户组。操作指南 1、参考配置操作创建帐户组：#groupadd g GID groupname #创建一个组，并为其设置 GID 号，若不设 GID，系统会自动为该组分配一个 GID 号；#usermod g group
14、 username #将用户 username 分配到 group 组中。查询被分配到的组的 GID：#id username可以根据实际需求使用如上命令进行设置。62、补充操作说明可以使用 -g 选项设定新组的 GID。0 到 499 之间的值留给 root、bin、mail 这样的系统账号，因此最好指定该值大于 499。如果新组名或者 GID 已经存在，则返回错误信息。当 group_name 字段长度大于八个字符，groupadd 命令会执行失败；当用户希望以其他用户组成员身份出现时，需要使用 newgrp 命令进行更改，如#newgrp sys 即把当前用户以 sys 组身份运行；检测
15、方法 1、判定条件可以查看到用户账号分配到相应的帐户组中；或都通过命令检查账号是否属于应有的组：#id username 2、检测操作查看组文件：cat /etc/group 3、补充说明文件中的格式说明：group_name:GID:user_list 编号： 安全要求-设备-SOLARIS- 配置-5- 可选要求内容 对系统账号进行登录限制，确保系统账号仅被守护进程和服务使用，不应直接由该账号登录系统。如果系统没有应用这些守护进程或服务，应删除这些账号。操作指南 1、参考配置操作禁止账号交互式登录：修改/etc/shadow 文件，用户名后密码列为 NP；删除账号：#userdel use
16、rname;2、补充操作说明禁止交互登录的系统账号，比如daemon,bin,sys、adm 、lp、uucp、nuucp、smmsp 等等检测方法 1、判定条件被禁止账号交互式登录的帐户远程登录不成功；2、检测操作用 root 登录后，新建一账号，密码不设，从远程用此帐户登录，登录会显示 login incorrect，如果 root 用户没设密码没有任何提示信息直接退出；3、补充说明2.1.2 口令编号： 安全要求-设备- 通用-配置-47要求内容 对于采用静态口令认证技术的设备，口令长度至少 6 位，并包括数字、小写字母、大写字母和特殊符号 4 类中至少 2 类。操作指南 1、参考配置操
17、作vi /etc/default/passwd ，修改设置如下PASSLENGTH = 6 #设定最小用户密码长度为 6 位MINALPHA=2；MINNONALPHA=1 #表示至少包括两个字母和一个非字母；具体设置可以参看补充说明。当用 root 帐户给用户设定口令的时候不受任何限制，只要不超长。2、补充操作说明Solaris10 默认如下各行都被注释掉，并且数值设置和解释如下：MINDIFF=3 # Minimum differences required between an old and a new password.MINALPHA=2 # Minimum number of a
18、lpha character required.MINNONALPHA=1 # Minimum number of non-alpha (including numeric and special) required.MINUPPER=0 # Minimum number of upper case letters required.MINLOWER=0 # Minimum number of lower case letters required.MAXREPEATS=0 # Maximum number of allowable consecutive repeating characte
19、rs.MINSPECIAL=0 # Minimum number of special (non-alpha and non-digit) characters required.MINDIGIT=0 # Minimum number of digits required.WHITESPACE=YESSolaris8 默认没有这部分的数值设置需要手工添加NIS 系统无法生效，非 NIS 系统或 NIS+系统能够生效。 检测方法 1、判定条件不符合密码强度的时候，系统对口令强度要求进行提示；符合密码强度的时候，可以成功设置；2、检测操作1、检查口令强度配置选项是否可以进行如下配置：i. 配置口令
20、的最小长度；ii. 将口令配置为强口令。2、创建一个普通账号，为用户配置与用户名相同的口令、只包含字符或数字的简单口令以及长度短于 6 位的口令，查看系统是否对口令强度要求进行提示；输入带有特殊符号的复杂口令、普通复杂口令，查看系统是否可以成功设置。3、补充说明对于 Solaris 8 以前的版本，PWLEN 对应 PASSLENGTH 等，需根8据/etc/default/passwd 文件说明确定。NIS 系统无法生效，非 NIS 系统或 NIS+系统能够生效。编号： 安全要求-设备- 通用-配置-5要求内容 对于采用静态口令认证技术的设备，帐户口令的生存期不长于 90天。操作指南 1、参
21、考配置操作vi /etc/default/passwd 文件：MAXWEEKS=13 密码的最大生存周期为 13 周；（Solaris 8 #修改目录 dir 的权限为所有人都为只读。根据实际情况设置权限；2、补充操作说明如果用户需要使用一个不同于默认全局系统设置的 umask，可以在需要的时候通过命令行设置，或者在用户的 shell 启动文件中配11置。检测方法 1、判定条件权限设置符合实际需要；不应有的访问允许权限被屏蔽掉；2、检测操作查看新建的文件或目录的权限，操作举例如下：#ls -l dir ; #查看目录 dir 的权限#cat /etc/default/login 查看是否有 u
22、mask 027 内容3、补充说明umask 的默认设置一般为 022，这给新创建的文件默认权限755（777-022=755） ，这会给文件所有者读、写权限，但只给组成员和其他用户读权限。umask 的计算：umask 是使用八进制数据代码设置的，对于目录，该值等于八进制数据代码 777 减去需要的默认权限对应的八进制数据代码值；对于文件，该值等于八进制数据代码 666 减去需要的默认权限对应的八进制数据代码值。编号： 安全要求-设备-SOLARIS-配置-13-可选要求内容 控制 FTP 进程缺省访问权限，当通过 FTP 服务创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。操作
23、指南 1、参考配置操作a. 限制某些系统帐户不准 ftp 登录:通过修改 ftpusers 文件，增加帐户#vi /etc/ftpusers #Solaris 8#vi /etc/ftpd/ftpusers #Solaris 10b.限制用户可使用 FTP 不能用 Telnet，假如用户为 ftpxll创建一个/etc/shells 文件, 添加一行 /bin/true;修改/etc/passwd 文件，ftpxll:x:119:1:/home/ftpxll:/bin/true注：还需要把真实存在的 shell 目录加入/etc/shells 文件，否则没有用户能够登录 ftpc. 限制 ft
24、p 用户登陆后在自己当前目录下活动编辑 ftpaccess，加入如下一行 restricted-uid *(限制所有)，restricted-uid username（特定用户） ftpaccess 文件与 ftpusers 文件在同一目录d. 设置 ftp 用户登录后对文件目录的存取权限，可编辑/etc/ftpd/ftpaccess。chmod no guest,anonymous delete no guest,anonymous overwrite no guest,anonymous rename no guest,anonymous umask no anonymous2、补充操作说
25、明查看# cat ftpusers12说明: 在这个列表里边的用户名是不允许 ftp 登陆的。rootdaemonbinsysadmlpuucpnuucplistennobodynoaccessnobody4检测方法 1、判定条件权限设置符合实际需要；不应有的访问允许权限被屏蔽掉；2、检测操作查看新建的文件或目录的权限，操作举例如下：#more /etc/ftpusers #Solaris 8#more /etc/ftpd/ftpusers #Solaris 10#more /etc/passwd#more /etc/ftpaccess #Solaris 8#more /etc/ftpd/ft
26、paccess #Solaris 103、补充说明查看# cat ftpusers说明: 在这个列表里边的用户名是不允许 ftp 登陆的。rootdaemonbinsysadmlpuucpnuucplistennobodynoaccessnobody4132.2 日志配置要求本部分对 SOLARIS 操作系统设备的日志功能提出要求，主要考察设备所具备的日志功能，确保发生安全事件后，设备日志能提供充足的信息进行安全事件定位。根据这些要求，设备日志应能支持记录与设备相关的重要事件，包括违反安全策略的事件、设备部件发生故障或其存在环境异常等，以便通过审计分析工具，发现安全隐患。如出现大量违反 ACL
27、 规则的事件时，通过对日志的审计分析，能发现隐患，提高设备维护人员的警惕性，防止恶化。编号： 安全要求-设备- 通用-配置-12要求内容 设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的 IP 地址。操作指南 1、参考配置操作修改文件：vi /etc/default/login ，设置 SYSLOG=YES。,SOLARIS10 是 wtmpx 文件,Solaris8 是 wtmp,wtmps,文件中记录着所有登录过主机的用户，时间，来源等内容，这两个文件不具可读性，可用 last 命令来看。2、补充操作说明检测方法 1
28、、判定条件列出用户账号、登录是否成功、登录时间、远程登录时的 IP 地址。2、检测操作查看文件：more /etc/default/login 中的 SYSLOG=YES/var/adm/wtmpx 或者 wtmp,wtmps 文件中记录着所有登录过主机的用户，时间，来源等内容，该文件不具可读性，可用 last 命令来看。# last 3、补充说明如果/var/adm/wtmpx 或者 wtmp,wtmps 文件会增长很快，大小达到2G 以上，可先压缩，FTP 出来后，删除该文件，再创建空文件，一定要创建空文件，否则可能出现系统无法启动。编号： 安全要求-设备-SOLARIS-配置-15-可选
29、要求内容 设备应配置日志功能，记录用户对设备的操作，包括但不限于以下内容：账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。需记录要包含用户账号，操作时间，操作内容以及操作结果。14操作指南 1、参考配置操作通过设置日志文件可以对每个用户的每一条命令进行纪录，这一功能默认是不开放的，为了打开它，需要执行/usr/lib/acct 目录下的 accton 文件，格式如下 /usr/lib/acct/accton /var/adm/pacct，执行读取命令 lastcomm user name。2、补充操作说明检测方法 1、判定条件能
30、够显示出包含配置内容中所要求的全部内容。2、检测操作# lastcomm user name3、补充说明编号： 安全要求-设备- 通用-配置-24- 可选要求内容 设备应配置日志功能，记录对与设备相关的安全事件。操作指南 1、参考配置操作修改配置文件 vi /etc/syslog.conf，配置如下类似语句：*.err;kern.debug;daemon.notice; /var/adm/messages定义为需要保存的设备相关安全事件。2、补充操作说明检测方法 1、判定条件查看/var/adm/messages，记录有需要的设备相关的安全事件。2、检测操作修改配置文件 vi /etc/sys
31、log.conf，配置如下类似语句：*.err;kern.debug;daemon.notice; /var/adm/messages定义为需要保存的设备相关安全事件。3、补充说明编号： 安全要求-设备- 通用-配置-14- 可选要求内容 设备配置远程日志功能，将需要重点关注的日志内容传输到日志服务器。操作指南 1、参考配置操作修改配置文件 vi /etc/syslog.conf，加上这一行：*.* 192.168.0.1可以将“*.*“替换为你实际需要的日志信息。比如： kern.* / mail.* 等等。可以将此处 192.168.0.1 替换为实际的 IP 或域名。重新启动 syslo
32、g 服务，依次执行下列命令：/etc/init.d/syslog stop15/etc/init.d/syslog start 2、补充操作说明注意： *.*和之间为一个 Tab适用于 Solaris 9 之前版本， Solaris 10 测试未成功；检测方法 1、判定条件设备配置远程日志功能，将需要重点关注的日志内容传输到日志服务器。2、检测操作查看日志服务器上的所收到的日志文件。3、补充说明编号： 安全要求-设备-SOLARIS-配置-18-可选要求内容 设备应配置日志功能，记录用户使用 SU 命令的情况，记录不良的尝试记录。操作指南 1、参考配置操作修改文件：vi /etc/defaul
33、t/su 设置 SYSLOG=YES.使用以下方法使尝试登录失败记录有效：touch /var/log/loginlog;chmod 600 /var/log/loginlog;chgrp sys /var/log/loginlog查看 sulog 日志，记载着普通用户尝试 su 成为其它用户的纪录，more /var/adm/sulog 2、补充操作说明它的格式为： 发生时间 +/-(成功/ 失败) pts 号 当前用户欲 su 成的用户检测方法 1、判定条件有类似如下格式记录：SU 01/01 00:30 + console root-root或SU 08/20 13:44 + pts/2
34、 xll-root2、检测操作查看 sulog 日志，记载着普通用户尝试 su 成为其它用户的纪录more /var/adm/sulog3、补充说明它的格式为： 发生时间 +/-(成功/ 失败) pts 号 当前用户欲 su 成的用户编号： 安全要求-设备-SOLARIS-配置-19-可选要求内容 系统上运行的应用/服务也应该配置相应日志选项，比如 cron。操作指南 1、参考配置操作对所有的 cron 行为进行审计：在 /etc/default/cron 里设置“CRONLOG=yes“ 来记录 corn 的动作。2、补充操作说明16检测方法 1、判定条件日志中能够列出相应的应用/服务的详细
35、日志信息；2、检测操作查看日志存放文件，如 cron 的日志：more /var/cron/log 3、补充说明2.3 IP 协议安全配置要求2.3.1 IP协议安全编号： 安全要求-设备- 通用-配置-17- 可选要求内容 对于使用 IP 协议进行远程维护的设备，设备应配置使用 SSH 等加密协议。操作指南 1、参考配置操作Solaris 10 以前的版本需另外安装，才能使用 SSH。Solaris 10 启用 SSH 的命令：svcadm enable sshSolaris 10 禁用 Telnet 的命令：svcadm disable telnetSolaris 8 如果安装 opens
36、sh正常可以通过#/etc/init.d/sshd start 来启动 SSH;通过#/etc/init.d/sshd stop 来停止 SSH2、补充操作说明查看 SSH 服务状态：# ps elf|grep sshSolaris 10 还可以通过命令：# svcs -a |grep ssh 若为 online，即为生效。检测方法 1、 判定条件# ps elf|grep ssh是否有 ssh 进程存在Solaris 10 还可以通过命令# svcs -a |grep sshSSH 服务状态查看结果为：online telnet 服务状态查看结果为：disabled2、检测操作查看 SSH
37、服务状态：17# ps elf|grep ssh查看 telnet 服务状态：# ps elf|grep telnet3、补充说明查看 SSH 服务状态：Solaris 10 还可以使用# svcs -a |grep ssh 查看 telnet 服务状态：Solaris 10 还可以使用# svcs -a |grep telnet编号： 安全要求-设备-SOLARIS-配置-21-可选要求内容 设备应支持列出对外开放的 IP 服务端口和设备内部进程的对应表。操作指南 1、参考配置操作开放的服务列表SOLARIS8export TMOUT 改变这项设置后，重新登录才能有效。212、补充操作说明若
38、修改了 login 文件，如下：vi /etc/default/login # TIMEOUT sets the number of seconds (between 0 and 900) to wait before # abandoning a login session. TIMEOUT=180 这里的超时设置针对登录过程，而不是登录成功后的 shell 会话超时设置。检测方法 1、判定条件若在设定时间内没有操作动作，能够自动退出，即为符合；2、检测操作用 root 帐户登录后，在设定时间内不进行任何操作，检查帐户是否登出。3、补充说明编号： 安全要求-设备- 通用-配置-20- 可选要
39、求内容 对于具备图形界面（含 WEB 界面）的设备，应配置定时自动屏幕锁定。操作指南 1、参考配置操作在 CDE 面板中(打印机右边)，打开 style manager；或者使用命令#/usr/dt/bin/dtstyle 可以调出 style manager；选中 ScreenScreen Saver - onScreen Lock - on 2、补充操作说明手动锁屏幕方法：直接点击桌面上的锁图标 。检测方法 1、判定条件登录后，在设定时间内不进行任何操作，检查屏幕被锁定即为符合。2、检测操作登录后，在设定时间内不进行任何操作，检查屏幕是否被锁定。3、补充说明222.4.2 文件系统及访问权
40、限编号： 安全要求-设备-SOLARIS-配置-27-可选要求内容 涉及账号、账号组、口令、服务等的重要文件和目录的权限设置不能被任意人员删除，修改。操作指南 1、参考配置操作查看重要文件和目录权限：ls l更改权限：对于重要目录，建议执行如下类似操作：# chmod -R 750 /etc/init.d/*这样只有 root 可以读、写和执行这个目录下的脚本。2、补充操作说明检测方法 1、判定条件用 root 外的其它帐户登录，对重要文件和目录进行删除、修改等操作不能够成功即为符合。2、检测操作查看重要文件和目录权限：ls l用 root 外的其它帐户登录，对重要文件和目录进行删除、修改等操
41、作3、补充说明编号： 安全要求-设备-SOLARIS-配置-28-可选要求内容 应该从应用层面进行必要的安全访问控制，比如 FTP 服务器应该限制 ftp 可以使用的目录范围。操作指南 1、参考配置操作限制 ftp 用户登陆后在自己当前目录下活动编辑 ftpaccess，加入如下一行 restricted-uid *(限制所有用户) ，restricted-uid username（特定用户） 2、补充操作说明ftpaccess 文件与 ftpusers 文件在同一目录 ,Solaris 8 为/etc/, Solaris 10 为/etc/ftpd/ 3、补充说明检测方法 1、判定条件访问被
42、禁止或被限制；2、检测操作root 帐户从远程访问3、补充说明232.4.3 物理端口及 EEPROM 的口令设置编号： 安全要求-设备- 通用-配置-27- 可选要求内容 对于具备 console 口的设备，限制 root 用户只能从 console 口本地登录操作指南 1、参考配置操作连接 CONSOLE 物理端口,使用命令 setup platform(菜单式操作), 根据提示设置 passwd,即可.2、补充操作说明此项只能对 SUN Fire 产品系列生效，对于 SUN Enterprise 产品系列不适用。检测方法 1、判定条件登录提示需要输入用户及密码2、检测操作连接 CONSO
43、LE 物理端口，需输入用户及密码才能进入。3、补充说明此项只能对 SUN Fire 产品系列生效，对于 SUN Enterprise 产品系列不适用。编号： 安全要求-设备-SOLARIS-配置-30-可选要求内容 设置 eeprom 安全密码。操作指南 1、参考配置操作增加 eeprom 硬件口令保护：# /usr/sbin/eeprom (显示当前 eeprom 配置) # /usr/sbin/eeprom security-mode=command ( 可选的有 command, full, none)# eeprom security-password 命令给 openboot 设置强
44、壮口令2、补充操作说明警告：安全模式设置到 command，至少可以正常启动系统。于是只要记得 root 口令或者还有其他机会获得 root 权限，就可以通过设置安全模式为 none 而挽救回来。如果设置了 eeprom 为 security-mode=full，设置了保护口令而又忘记，会带来很多麻烦，务必小心。说明：none 不需要任何口令；command 除了 boot 和 go 之外的所有命令都需要口令 ；Full 除了 go 命令之外的所有 openboot 命令都需要 openboot 口令。检测方法 1、判定条件显示的级别配置为：security-mode=command24对于一
45、般用户，从硬盘启动，不需要输入密码；如果选择从光盘启动，则需要密码。2、检测操作# /usr/sbin/eeprom (显示当前 eeprom 配置)3、补充说明2.4.4 补丁管理编号： 安全要求-设备-SOLARIS-配置-31-可选要求内容 在系统安装时建议只安装基本的 OS 部份，其余的软件包则以必要为原则，非必需的包就不装。操作指南 1、 参考配置操作查询/etc/release 文件，看版本发布日期。执行下列命令，查看版本及大补丁号。#uname a执行下列命令，查看各包的补丁号#pkginfo 2、补充操作说明检测方法 1、 判定条件查询/etc/release 文件，看版本发布
46、日期。# uname a 查看版本及大补丁号#showrev p 命令检补丁号2、检测操作在系统安装时建议只安装基本的 OS 部份，其余的软件包则以必要为原则，非必需的包就不装。3、补充说明编号： 安全要求-设备-SOLARIS-配置-32-可选要求内容 应根据需要及时进行补丁装载。对服务器系统应先进行兼容性测试。操作指南 1、参考配置操作#showrev p 命令检补丁号；patchadd 命令给系统打补丁；更新更安全的补丁在 http:/ 1、判定条件查看最新的补丁号，确认已打上了最新补丁；2、检测操作#showrev p 命令检补丁号3、补充说明2.4.5 服务编号： 安全要求-设备-S
47、OLARIS-配置-33-可选要求内容 列出所需要服务的列表(包括所需的系统服务 )，不在此列表的服务需关闭。操作指南 1、参考配置操作查看所有开启的服务：#ps eaf #svcs a solaris 10在inetd.conf中关闭不用的服务 首先复制/etc/inet/inetd.conf。 #cp /etc/inet/inetd.conf /etc/inet/inetd.conf.backup 然后用vi编辑器编辑inetd.conf文件，对于需要注释掉的服务在相应行开头标记“#“字符，重启inetd 服务, 即可。对于Solaris 10，直接关闭某个服务 ，如telnet,可用如下
48、命令:svcadm disable svc:/network/telnet重新启用该服务，使用命令：svcadm enable svc:/network/telnetSolaris8 修改/etc/inet/inetd.conf 和/etc/inet/services 文件,注释掉对应的服务以及 TCP/IP 端口重启 inetd 进程kill HUP 2、补充操作说明在/etc/inetd.conf文件中禁止下列不必要的基本网络服务。time echo discard daytime chargen fs dtspc exec comsat talk finger uucp name xau
49、dio netstat ufsd rexd systat sun-dr uuidgen krb5_prop注意：改变了“inetd.conf ”文件之后，需要重新启动inetd。对必须提供的服务采用tcpwapper来保护检测方法 1、判定条件所需的服务都列出来；没有不必要的服务；2、检测操作Solaris10查看所有开启的服务：svcs aSolaris8查看所有开启的服务:cat /etc/inet/inetd.conf,cat /etc/inet/services263、补充说明在/etc/inetd.conf文件中禁止下列不必要的基本网络服务。time echo discard daytime chargen fs dtspc exec comsat talk finger uucp name xaudio netstat ufsd rexd systat sun-dr uuidgen krb5_prop注意：改变了“inetd.conf ”文件之后，需要重新启动inetd。对必须提供的服务采用tcpwapper来保护编号： 安全要求-设备-SOLARIS-配置
