4.1.2. Решения по ос hp-ux для обеспечения корпоративной безопасности

Для контроля за соблюдением принципов ИБ, описанных выше, для ОС HP-UX должен быть выполнен следующий набор работ.

1. Включить и настроить аудит ОС HP-UX:

1.1. Установить ОС HP-UX в режим Trusted HP-UX для расширенной аутентификации пользователей. Trusted HP-UX предоставляет следующие дополнительные функции управления учетными записями пользователей и паролями:

– зашифровывать файл паролей (shadowed passwd file);

– ограничить время пользователя, количество попыток входа в систему, пароль и срок действия учетной записи;

– требовать пароль от пользователя при входе в систему в одномодовом режиме (single-mode);

– настроить автоматическое отключение долгосрочных неиспользуемых учетных записей.

Для этого требуется войти в консоль сервера под именем root и использовать утилиту sam для выполнения необходимых действий. Затем необходимо перегрузить ОС путем ввода shutdown –r now с консоли.

1.2. Обеспечить невозможность неконтролируемого администрирования системы аудита ОС администратором ОС, для чего:

– запретить пользователю root работу в нормальном режиме, так как действия пользователя root не регистрируются в ОС. Это можно сделать, разделив пароль входа для root, ограничив доступ к файлу пароля ОС. После установки ОС разделите пароль root на две части, одна из которых передается в административную группу ИС, а другая – в группу безопасности. Первоначальное разделение паролей и их изменение осуществляется их совместным набором администратором ИС и AИБ в соответствии с принятой политикой защиты паролей;

– создать учетные записи AИБ и, в дополнение к пользователю root, создать администратора ОС. Разделите свои разрешения, чтобы запретить АИБ настраивать ОС и администратору ОС доступ к журналам аудита. Обеспечить, чтобы администратор ОС и АИБ обладали необходимыми и достаточными полномочиями для выполнения своих функциональных обязанностей, запретив при этом АИБ вносить какие-либо изменения в настройки ОС, а администратору ОС – искажать журналы аудита для чего реализовать их перенос на сервер аудита безопасности в режиме реального времени;

– включить аудит всех команд, выполняемых администратором ОС HP-UX, а также аудит операций удаления/записи в файлы конфигурации системы HP-UX OC и СУБД Oracle.

– с помощью штатных средств HP-UX запретить администратору ОС управление журналами аудита ОС, а именно: запретить ему доступ к командам audsys, audusr, audevent audisp, audomon, а также запись в каталог аудита. Администратор безопасности не должен изменять настройки HP-UX при сохранении возможности управления аудитом (права на выполнение команд для чтения и записи в файлы аудита).

1.3. Обеспечить оперативный контроль за аудиторской информацией, для чего:

– настройте параметры syslogd и аудита таким образом, чтобы информация аудита дублировалась на сервере аудита безопасности;

– включите аудит всех команд, выполняемых администратором HPUX, а также операций удаления/записи в файлы конфигурации системных настроек, например, OC HP-UX и СУБД Oracle;

– поскольку система HP-UX не обеспечивает аудит пользователя root, используйте этот идентификатор только в том случае, если идентификатор администратора HP-UX не может быть использован.

1.4. Обеспечить оперативный анализ и периодическое архивирование аудиторской информации, а также порядок взаимодействия отделов по результатам анализа аудиторской информации.

Каталог для размещения файлов аудита необходимо поместить в отдельную файловую систему размером не менее 512 МБ, чтобы избежать переполнения диска в корневой файловой системе и отключения ОС. После этого ОС считается готовой к включению подсистемы аудита.

2. Оптимизировать набор сервисов и системного ПО на серверах, для чего:

2.1. Ограничьте набор услуг, загружаемых в ОС HP-UX, услугами, необходимыми для работы и администрирования ИС и систем резервного копирования. Также необходимо ограничить набор установленного системного ПО только программными пакетами, необходимыми для работы ИС, в частности, не устанавливать компиляторы. Чтобы минимизировать риск безопасности серверов HP-UX, необходимо ограничить набор сервисов HP-UX, загружаемых ОС, только необходимыми для работы (табл. 4.1).

Таблица 4.1.

Минимальный набор сервисов необходимых для работы ОС HP-UX

Номер сервиса	Вид сервиса	Название сервиса
23	Tcp	telnet
53	Tcp	Domain
111	Tcp	Sunrpc
113	Tcp	authentication
135	Tcp/Udp	Unknown
177	Udp	Unknown
382	Tcp	Pvserver
512	Udp	Syslog
515	Tcp	Printer
543	Tcp	Klogin
544	Tcp	Kshell
806	Udp	Unknown
808	Tcp	Unknown
812	Tcp	Unknown
816	Tcp/Udp	Unknown
821	Tcp	Unknown
824	Tcp	Unknown
825	Tcp	Unknown
826	Udp	Unknown
827	Udp	Unknown
891	Udp	Unknown
1023	Udp	Unknown
2049	Udp	nfs
6112	Tcp	Dtsps

3. Обеспечить контроль целостности программных компонент и конфигурационных файлов ОС, а именно:

– файлов системных настроек (каталог /etc);

– всех исполняемых файлов и библиотек ОС;

– ядра операционной системы;

– файлов драйверов устройств (каталог /dev).

4. Обеспечить своевременное получение обновлений ОС (patches) от поставщиков ОС. О недостатках безопасности ОС HP-UX АИБ следует сообщать администратору ОС.

5. Обеспечить своевременное установления обновлений ОС.

6. Обеспечить периодическое тестирование ОС с помощью сканеров безопасности (например, ISS System Scanner).