Seccheck är en funktionsrik, modulär, värd-nivå säkerhetskontrollen för Solaris 10.
På granska de utmärkta säkerhetsriktmärken som finns över på CI Security, ville jag att automatisera kontroll av Solaris 10 servrar säkerhet och producerar en mycket detaljerad rapport som listar alla säkerhetsvarningar, tillsammans med rekommendationer för deras upplösning. Lösningen blev seccheck - ett modulärt värdsäkerhetsskanning verktyg. Lätt utbyggbar och funktionsrik, men just nu endast tillgängligt för Solaris 10.
Detta omfattar inte 100% av de kontroller som rekommenderas av CI Security, men har 99% av dem - de som jag anser vara viktiga. Till exempel tror jag inte kontrollera X-konfiguration eftersom jag alltid se mina servrar inte köra X.
Installation
Fördelningen källa bör vara packas upp på ett lämpligt ställe. Jag föreslår att göra något i stil med följande:
# Mkdir / usr / local / seccheck
# Chown root: root / usr / local / seccheck
# Chmod 700 / usr / local / seccheck
# Cd / usr / local / seccheck
# Mkdir bin utgång
# Cd / varhelst / du / hem / seccheck
# Gzip -dc ./seccheck-0.7.1.tar.gz | tar xf -
# Cd seccheck-0.7.1
# Mv modules.d seccheck.sh / usr / local / seccheck / bin
Allt genomförs som bash skalskript, så det finns inga riktigt strikta riktlinjer installations placera filer var du vill. Du kan ange en alternativ plats för modulerna katalogen med alternativet -m ändå.
Använda seccheck
Som standard kommer seccheck.sh söka efter en modules.d katalog i samma katalog där seccheck.sh skriptet ligger. Om dina moduler inte finns där, kan du använda alternativet -m för att ange en alternativ modul plats, till exempel:
# ./seccheck.sh -m / Säkerhet / seccheck / mymodules
seccheck kommer sedan skanna igenom modules.d för giltiga seccheck moduler (bestäms av filnamn). En seccheck modul filnamn ska ha följande format:
seccheck_nn_somename.sh
Om nn är ett tvåsiffrigt tal som bestämmer i vilken ordning modulerna ska utföras. Till exempel, ingår i den nuvarande seccheck distributions du hittar följande filer i modules.d:
# ls -1 modules.d
seccheck_00_services.sh
seccheck_01_users.sh
seccheck_03_kernelcheck.sh
seccheck_05_logging.sh
seccheck_10_accessauth.sh
seccheck_99_perms.sh
seccheck_NN_template.sh.NOT
Du kan se att seccheck_00_services.sh kommer att behandlas före seccheck_01_users.sh, och så vidare. Du kan inaktivera en modul genom att döpa om det är något annat än konventionen, till exempel genom att lägga en .not suffix till modulen filnamn.
En mall ges så att du kan skriva dina egna seccheck moduler.
Som standard kommer seccheck skriva ut allt till stdout och STDERR. Om du vill dirigera om till en utdatafil, bara använda -o och ange en utgång katalog. Efter att ha kört manuset, kommer du vara kvar med en fil som:
$ {OUTPUT_DIR} / seccheck-
innehåller produktionen av dina moduler.
Vad är nytt i den här versionen:
Kommentarer hittades inte