【文章內(nèi)容簡介】 略得到保證 。用戶必須嚴格按照此策略設定自己的密碼。增大入侵者猜測密碼的難度。 擴展密碼限制 編號： 6013 名稱： 擴展密碼限制 重要等級： 高 基本信息： 密碼程序是否接受或拒絕密碼所使用的規(guī)則（密碼構(gòu)成限制），可由系統(tǒng)管理員進行擴展，以提供特定于站點的限制。通過添加方法（在更改密碼過程中調(diào)用）來擴展限制。 /etc/security/user 文件中的 pwdchecks 屬性指定調(diào)用的方法。 檢測內(nèi)容： 《 AIX 5L 技術(shù)參考大全》 包含對 pwdrestrict_method 的描述， 它是指定的密碼限制方法必須符合的子例程接口。要正確擴展密碼構(gòu)成限制，則系統(tǒng)管理員必須在編寫密碼限制方法時對該接口編程。請謹慎對待擴展密碼設置限制。這些擴展將直接影響 login 命令、 passwd 命令、 su 命令以及其它程序。系統(tǒng)安全性可能被惡意的或有缺陷的代碼輕易破壞。 建議操作： 通過提供附加的編程接口，允許管理員實現(xiàn)定制的密碼限制策略。 請參考 AIX 程序設計 參考。 操作結(jié)果： 實現(xiàn)用戶 定制的密碼限制策略。 3 訪問控制 保護使用者環(huán)境設定 (User Configurations) 編號： 6014 名稱： 保護使用者環(huán)境設定 重要等級： 中 基本信息： 在 /usr/lib/security/ 文件中包含創(chuàng)建帳戶的預設參數(shù)， 如使用者的主要群組 (primary group)。 我們建議修改這些參數(shù)設定。 檢測內(nèi)容： 若審計系統(tǒng) (audit subsystem)啟用的話， 在 user 和 admin 段落中加入一行， 來設定新使用者的 auditclasses: auditclasses = user， config， mail， chcron， SRC， chtcpip AIX 中創(chuàng)建新的帳戶時， 一個基本示例文件 /etc/profile 會被復制到該使用者的 home directory ， 它的文件名為 .profile。 下列的默認值應該被指定在 /etc/profile: PATH=/usr/bin:/etc:/usr/sbin:/usr/ucb:/usr/bin/X11:/sbin:/usr/local/bin umask=077 PS1=‘$HOSTNAME:$PWD $’ export PATH PS1 要確定 root 設 定 umask 為 077 或 027。 創(chuàng)建新的帳戶時 ， 使用者的 home directory 是屬于該使用者 ， 而且目錄的群組會設定為使用者的 primary group。 一個新使用者的特性文件 (profile)是依照系統(tǒng)管理者的 umask， 來得到檔案的存取權(quán)限。 而 umask 設定為 077 可以確認使用者的 home directories 只可以被該使用者來存取。 PATH 環(huán)境變量是指定在目前作業(yè)環(huán)境中 ， 尋找執(zhí)行檔案的路徑。 請確定 root 擁有一個安全的搜尋路徑 ， 如 : /usr/bin:/sbin:/usr/sbin 若針對 PATH 變量 ， 有額外的修改 ， 請遵循下列建議步驟。 它會幫助你避免執(zhí)行非授權(quán)的程序或木馬程序 (Trojan horses)： PATH ， 在找尋 home directories 之前 ， 應先找尋標準的系統(tǒng)目錄 ； 當前目錄 (.)不應在 PATH 之中； PATH 不應包括任何”不受保護” ( “unprotected” ) 的目錄。 對一般使用者來說， 指那些可以被其它一般使用者有寫入權(quán)限的目錄。 對系統(tǒng)管理者而言， 指那些可以讓非系統(tǒng)管理者可以有寫入 權(quán)限的目錄； PS1 環(huán)境變量，該指定系統(tǒng)的”命令顯示” (prompt)。 該變量應該清楚的定義出使用者是用什么系統(tǒng)，及是使用哪些目錄。 另外，帳戶信息是可以利用使用者名稱 (user name)以及 user identification number (UID)來識別。 每個使用者應該有一個唯一的 UID。 用 smit (fastpath smit mkuser)命令來增加使用者，會自動地產(chǎn)生唯一的 UID。使用者的帳戶信息應該保密且不該被公開。 PATH 環(huán)境變量是一個重要的安全控制。它指定搜索 的目錄來查找命令。缺省系統(tǒng)范圍的 PATH 值在 /etc/profile 文件中進行指定，而且每個用戶通常在自己的 $HOME/.profile 文件中都有一個 PATH 值。 .profile 文件中的 PATH 值可以將系統(tǒng)范圍 PATH 值覆蓋，或向它添加額外的目錄。 對 PATH 環(huán)境變量的未授權(quán)更改可能使得系統(tǒng)中的用戶“欺騙”其它用戶（包括 root 用戶）。電子欺騙程序（也稱為特洛伊木馬程序）更換了系統(tǒng)命令，然后捕獲給該命令的信息，例如用戶密碼。 例如，假定用戶更改 PATH 值使系統(tǒng)運行命 令時首先查找 /tmp 目錄。然后該用戶在 /tmp 目錄中放置一個稱為 su 的程序，該程序就象 su 命令一樣要求 root 密碼。接著，該 /tmp/su 程序?qū)? root 密碼郵寄給該用戶，并在退出前調(diào)用 su 命令。在這種情況下，任何使用 su 命令的 root 用戶將暴露 root 密碼，而且自己甚至還未意識到。 系統(tǒng)管理員和用戶要防止關(guān)于 PATH 環(huán)境變量的任何問題，請執(zhí)行以下操作： 當感到懷疑時，請指定全路徑名。如果指定了全路徑名，將忽略 PATH 環(huán)境變量。 切勿將當前目錄（ 由 . 指定（句點））插入為 root 用戶指定的 PATH 值中。切勿允許在 /etc/profile 中指定當前目錄。 root 用戶應當在其私有的 .profile 文件中有自己的 PATH 規(guī)范。通常，/etc/profile 中的規(guī)范列出了對于所有用戶的最少標準，然而 root 用戶可能需要比缺省值更多或更少的目錄。 警告其它用戶在沒有咨詢系統(tǒng)管理員的情況下，不要更改他們的 .profile 文件。否則，可信的用戶可能做出更改允許無意識的訪問。應將用戶 .profile 文件的許可權(quán)設置 為 740。 系統(tǒng)管理員不應使用 su 命令從用戶會話中取得 root 用戶特權(quán)，因為在 .profile 文件中指定的該用戶 PATH 值是有效的。用戶可以設置他們自己的 .profile 文件。系統(tǒng)管理員應當作為 root 用戶或最好使用他們自己的標識登錄到用戶的機器，然后使用以下命令： /usr/bin/su root 這確保在會話過程中使用 root 環(huán)境。如果系統(tǒng)管理員在另一用戶會話中以 root 身份操作，則在整個會話中系統(tǒng)管理員應當指定全路徑名。 保護輸入字段分隔符（ IFS）環(huán) 境變量以免在 /etc/profile 文件中更改。 .profile 中的 IFS 環(huán)境變量可以用于修改 PATH 值。 建議操作： 參考前面設定用戶屬性一節(jié)。通過 lsuser 命令檢查用戶屬性。通過 env檢查用戶環(huán)境變量的設定。通過 ls – l命令檢查用戶 .profile 文件的訪問權(quán)限。 操作結(jié)果： 確保用戶基本設定文件和變量的有效性。并避免無關(guān)人員的訪問。 使用 Noshell 編號： 6015 名稱： 使用 noshell 重要等級： 高 基本信息： 從過去歷史來看，當一帳號被 停用，此帳戶的登陸 shell 將截取任何登陸并結(jié)束，而不作任何進一步行動。這樣，可防止此帳戶被攻擊并作進一步存取。通常登陸的 shell 執(zhí)行程序是 /bin/false，但 /bin/false 并非總是程序，事實上，它可能是一個 shell script ，而使用 shell script 將使系統(tǒng)置于風險中。 nonshell 被發(fā)展來提供管理者有監(jiān)督這類存取停用帳戶企圖的能力。 檢測內(nèi)容： 請合理設定 /etc/passwd 中關(guān)于用戶等錄初始化程序的設定字段。用安全的 nonshell 方式 予以替代。 建議操作： 最新版本的 noshell 可用 anonymous ftp 從下列地址得到： 如果 noshell 被使用，而有攻擊者持續(xù)嘗試被停用的帳戶密碼來激活使用者的 shell，則 noshell 將被執(zhí)行且結(jié)束此使用者的訪問。執(zhí)行下列以激活 nonshell: 1. 復制程序到正確的系統(tǒng)目錄 2. 手動安裝 noshell 到正確的系統(tǒng)目錄需 root 權(quán)限： cp p noshell /usr/local/sbin 3. 設置 noshell 程序為合法的登陸 shell 4. noshell 必須被列入 /etc/shells 系統(tǒng)文件中，以便被承認合法的登入 shell，作法如下： /usr/local/sbin/noshell 5. 加入此行到停用帳戶的 shell 定義中以便激活 noshell。 操作結(jié)果： 停用用戶的登錄被確保受到了限制。 設置登錄控制 編號： 6016 名稱： 設置登陸控制 重要等級： 高 基本信息： 暴力法是一般最常用的攻擊方式。通過不停的猜測密碼，理論上可以突破任何系統(tǒng)。因此限制用戶的登錄次數(shù)是限制此類攻擊的有效手段。 檢測內(nèi)容： 要使得較難通過猜測密碼來攻擊系統(tǒng)，請在 /etc/security/ 文件中如下所示設置登錄控制： /etc/security/ 文件的“屬性”及“建議值”。 屬性 用于 PtYs（網(wǎng)絡） 用于 TTYs 建議值 注釋 sak_enabled Y Y false 很少需要“安全注意鍵”。 logintimes N Y 在此處指定允許登錄的次數(shù)。 logindisable N Y 4 在此終端連續(xù) 4 次試圖登錄失敗后，禁止其登錄。 logininterval N Y 60 在 60 秒內(nèi)進行了指定的無效嘗試后，禁用終端。 loginreenable N Y 30 在自動禁用終端 30 分鐘后重新啟用該終端。 logindelay Y Y 5 在兩次出現(xiàn)登錄提示之間的以秒為單位的時間間隔。這將隨著嘗試失敗的次數(shù)成倍地增加；例如，初始值為 5 時，該時間間隔就為 5 秒、 10 秒、 15 秒、 20 秒。 這些端口限制主要在已連接的串行終端上發(fā)揮作用，而不是在網(wǎng)絡登錄使用的偽終端上。您可在該文件中指定顯式終端，例如： /dev/tty0: logintimes = 06002200 logindisable = 5 logininterval = 80 loginreenable = 20 建議操作： 操作結(jié)果： 更改登錄屏幕的歡迎消息 編號： 6017 名稱： 更改登陸的歡迎信息 重 要等級： 中 基本信息： 檢測內(nèi)容： 為防止在登錄屏幕上顯示某些信息，請編輯 /etc/security/ 文件中的 herald 參數(shù)。缺省的 herald 包含隨登錄提示一起顯示的歡迎消息。您可用 chsec 命令或直接編輯文件來更改該參數(shù)。 建議操作： 以下示例用 chsec 命令更改缺省的 herald 參數(shù)： chsec f /etc/security/ a default herald Unauthorized use of this system is prohibited.\n\nlogin: 要直接編輯文件，請打開 /etc/security/ 文件并更新 herald 參數(shù)如下： 缺省值： herald =禁止未授權(quán)使用本系統(tǒng) \n\n登錄： sak_enable = false logintimes = logindisable = 0 logininterval = 0 loginreenable = 0 logindelay = 0 注 : 要使得該系統(tǒng)更安全 ， 請將 logindisable 和 logindelay 變量的值設置為大于 0（ 0） 。 操作結(jié)果： 防止了攻擊者的此類窮舉式攻擊。 更改公共桌面環(huán)境的登錄屏幕 編號： 6018 名稱： 更改 CDE 的登陸屏幕 重要等級： 中 基本信息： X登錄方式包括多種，其中在 AIX 環(huán)境中 CDE 使用最為普遍。 檢測內(nèi)容： 該安全性說明影響公共桌面環(huán)境（ CDE）的用戶。缺省情況下， CDE 登錄屏幕也顯示主機名和操作系統(tǒng)版本。要防止顯示此信息，請編輯 /usr/dt/config/$LANG/Xresources 文件，其中 $LANG 指的是安裝在您的機器上的本地語言。 示 例 中 ， 假 定 $LANG 設 置 為 C ， 將 該 文 件 復 制 到 /etc/dt/config/C/Xresources