Дараах нь зөв тохируулсан бодлогуудын хамтаар төрөл бүрийн MAC модулиудыг ашиглан аюулгүй орчинг үүсгэхийг харуулах болно. Энэ нь зөвхөн тест бөгөөд хүн бүгдийн аюулгүй байдлын асуудалд бүрэн хариулт болно гэж тооцох ёсгүй юм. Бодлогыг зөвхөн шийдэж түүнийг орхигдуулах нь хэзээ ч ажиллахгүй бөгөөд жинхэнэ ажиллаж байгаа үйлдвэрлэлийн орчинд сүйрлийн болж болох юм.
Энэ процессийг эхлүүлэхээсээ өмнө multilabel
тохируулга файлын систем бүр дээр энэ бүлгийн эхэнд дурдсаны дагуу
тавигдах ёстой. Ингэж хийхгүй бол алдаа гарах болно. Энд байхдаа
net-mngt/nagios-plugins
,
net-mngt/nagios
, болон
www/apache22
портууд
бүгд суулгагдаж тохируулагдаж зөв ажиллаж байгаа эсэхийг шалгаарай.
Дараах хэрэглэгчийн ангиллыг /etc/login.conf
файлд нэмж:
мөн дараах мөрийг анхдагч хэрэглэгчийн ангилалд нэмж процедурыг эхэлнэ:
Энэ хийгдсэний дараа мэдээллийн баазыг дахин бүтээхийн тулд дараах тушаалыг ажиллуулах ёстой:
#
cap_mkdb /etc/login.conf
Дахин ачаалах гэсний хэрэггүй, шаардлагатай модулиудыг
систем эхлүүлэхэд дуудахын тулд дараах мөрүүдийг
/boot/loader.conf
файлд нэмнэ:
root
хэрэглэгчийг анхдагч ангилалд
доор дурдсаныг ашиглан тохируулна:
#
pw usermod root -L default
root
эсвэл системийн хэрэглэгчид биш
бүх хэрэглэгчийн бүртгэлүүд одоо нэвтрэлийн ангилал шаардах болно.
Нэвтрэлтийн ангилал шаардлагатай, түүнгүй бол хэрэглэгчид vi(1)
зэрэг нийтлэг тушаалд хандах боломжгүй болно.
Дараах sh
скрипт үүнийг хийх болно:
#
for x in `awk -F: '($3 >= 1001) && ($3 != 65534) { print $1 }' \
/etc/passwd`; do pw usermod $x -L default; done;
nagios
болон www
хэрэглэгчдийг insecure ангилалд оруулна:
#
pw usermod nagios -L insecure
#
pw usermod www -L insecure
Сэдвийн файл нь одоо үүсгэгдсэн байх ёстой; дараах жишээ файлыг
/etc/policy.contexts
-д
байрлуулах ёстой.
Энэ бодлого нь мэдээллийн урсгалд хязгаарлалтуудыг тавьж аюулгүй
байдлыг хангадаг. Энэ тусгайлсан тохиргооны хувьд хэрэглэгчид,
root
болон бусад хэрэглэгчид
Nagios програмд хандахаар хэзээ ч
зөвшөөрөгдсөн байх ёсгүй. Nagios-ийн
тохиргооны файлууд болон процессууд нь бүр мөсөн өөртөө багтсан буюу
шоронд хийгдсэн байх болно.
Одоо энэ файлыг өөрийн систем уруу уншуулахдаа дараах тушаалыг ажиллуулна:
#
setfsmac -ef /etc/policy.contexts /
#
setfsmac -ef /etc/policy.contexts /
Дээрх файлын системийн байршил орчноосоо хамааран өөр байж болно; гэхдээ үүнийг файлын систем бүр дээр ажиллуулах ёстой.
/etc/mac.conf
файл гол хэсэгт
дараах өөрчлөлтүүдийг шаарддаг:
Дараах мөрийг /boot/loader.conf
-д
нэмнэ:
Тэгээд дараа нь доор дурдсаныг rc.conf
файлд
хадгалагдсан сүлжээний картны тохиргоонд нэмнэ. Хэрэв анхдагч Интернэтийн
тохиргоо DHCP-ээр хийгдсэн бол системийг
ачаалах болгоны дараа үүнийг гараараа тохируулах хэрэгтэй болох юм:
Вэб сервер болон Nagios
нь системийг эхлүүлэхэд ажиллахааргүй байгаа эсэхийг шалгаад дахин ачаална.
root
хэрэглэгч Nagios-ийн
тохиргооны сан дахь ямар ч файлд хандаж чадах ёсгүйг баталгаажуулна.
Хэрэв root
нь /var/spool/nagios
-д
ls(1)-ийг ажиллуулж чадаж байвал ямар нэг юм буруу байна гэсэн үг.
Зөв бол «permission denied» алдаа буцаагдах
ёстой.
Хэрэв бүгд зүгээр юм шиг санагдвал Nagios, Apache, болон Sendmail-ийг одоо аюулгүй байдлын бодлогод тааруулж ажиллуулж болно. Үүнийг дараах тушаал хийх болно:
#
cd /etc/mail && make stop && \
setpmac biba/equal make start && setpmac biba/10\(10-10\) apachectl start && \
setpmac biba/10\(10-10\) /usr/local/etc/rc.d/nagios.sh forcestart
Бүгд зөв ажиллаж байгаа эсэхийг баталгаажуулж дахин шалгаарай. Хэрэв үгүй бол бүртгэлийн файлуудаас алдааны мэдэгдлүүд байгаа эсэхийг шалгана. sysctl(8) хэрэгсэл ашиглаж mac_biba(4) аюулгүй байдлын бодлогын модулийн үйлчлэлийг хааж бүгдийг эхнээс нь эхлэхийг оролдоорой.
root
хэрэглэгч аюулгүй байдлын үйлчлэлийг өөрчилж
тохиргооны файлыг айлгүйгээр засварлаж чадна. Дараах тушаал нь шинээр үүсгэсэн
бүрхүүлийн хувьд аюулгүй байдлын бодлогыг доод зэрэг уруу орж буурахыг
зөвшөөрөх болно:
#
setpmac biba/10 csh
Үүнийг болгохгүй байлгахын тулд login.conf(5)-оор
хэрэглэгчийг хүрээнд оруулна. Хэрэв setpmac(8) тушаалыг
тасалгааных нь хүрээнээс гадна ажиллуулах гэж оролдвол алдаа буцаагдах
бөгөөд тушаал ажиллахгүй байх болно. Энэ тохиолдолд root-ийг
biba/high(high-high)
болгож
тохируулна.
Энэ болон бусад баримтуудыг ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/ хаягаас татаж авч болно.
FreeBSD-ийн талаар
<questions@FreeBSD.org>
хаягтай холбоо барихаасаа өмнө
баримтыг уншина уу.
Энэ бичиг баримттай холбоотой асуулт байвал
<doc@FreeBSD.org>
хаягаар цахим захидал явуулна уу.
Энэ бичиг баримтын орчуулгатай холбоотой асуулт байвал
<admin@mnbsd.org>
хаягаар цахим захидал явуулна уу.