aix7.1重装6.1_AIX V6.1远程登录会话管理

最新推荐文章于 2022-09-18 20:37:52 发布

cusi77914

最新推荐文章于 2022-09-18 20:37:52 发布

阅读量512

点赞数

文章标签：信息安全 linux java ssh 数据库

原文链接：https://www.ibm.com/developerworks/aix/library/au-aixremotelogin61/index.html

版权

AIX V6.1配备了各种安全性功能，有助于遵守适用于不同工业部门（例如联邦，金融，医疗保健等）的各种法规遵从性。功能涵盖从静态安全数据到传输中的安全数据到登录名和密码管理。这些功能使AIX V6.1成为了一个利润丰厚的基于UNIX的系统，可以承载法规遵从性驱动行业的解决方案和应用程序。

基于UNIX的系统和解决方案倾向于广泛使用远程登录和文件传输技术，例如FTP，TELNET和SSH，不仅用于管理任务，而且还用于整个解决方案的其他各个方面。对此类远程登录会话的正确使用属于各种合规性的审核范围。从合规性角度来看，这些实用程序的远程登录会话要考虑的两个主要因素是具有安全传输的身份验证和远程会话的自动注销。前者可以通过使用Kerberos（请参阅参考资料）和类似的网络安全协议来完成，而后者则需要特殊的管理调整。在本文中，我们将把远程会话的自动注销需求映射到各种合规性，并随后说明在AIX V6.1系统上启用远程会话所必需的管理过程。本文将帮助管理员在其AIX系统上调整远程实用程序会话，以遵守法规要求并解决与远程会话相关的风险。

什么是自动注销？

自动注销是为了保护到给定系统（通常是远程的，但不一定是远程系统）的Hibernate会话免受恶意使用，以帮助减轻恶意攻击的风险。授权用户多次使用登录机制（例如SSH，TELNET，FTP等）登录系统，或者由于疏忽而忘记退出会话，或者由于不活动而使会话保持Hibernate状态。在这种情况下，如果恶意用户利用这些会话，则该用户可能会破坏系统。自动注销功能通过使用建议的Hibernate超时值自动禁用会话，从而有助于减轻此类风险。

合规性和自动注销

政府规定的不同工业部门的法规合规性不同。大多数法规遵从性直接影响企业IT解决方案的设计，开发和部署，以确保安全和经过审核的环境。这些合规中的大多数要求其IT系统具有自动注销功能，以帮助保护它们免受恶意影响。例如：

《健康保险可移植性和责任法案》（HIPAA）为涵盖实体持有的个人健康信息提供联邦保护，并赋予患者与该信息有关的一系列权利。标题为“ 自动注销 ”的HIPAA安全规则第164.312（a）s（2）（iii）节指示要求为“在预定的非活动时间后终止电子会话的实施过程” （请参阅参考资料）。
美国的俄克拉荷马州有一项特殊的俄克拉荷马州信息安全政策，程序和指南，用于保护该州的信息资产。俄克拉荷马州信息安全策略状态要求自动注销，该状态指出： “第7.4节：访问控制指示在闲置15分钟后使会话超时” （请参阅参考资料）。
美国食品药品管理局（FDA）联邦法规第11部分第21标题要求药品制造商，医疗设备制造商，生物技术公司，生物制剂开发商和其他FDA管制的行业（食品制造商除外）实施控制措施，包括审核，验证系统和文档-用于在业务运营和产品开发过程中处理多种形式数据的软件和系统。第300（d）节指出“使用交易安全措施防止未经授权使用密码和/或识别码，并立即紧急检测并报告任何未经授权使用的尝试，并向系统安全部门报告，并酌情，进行组织管理。” （请参阅参考资料）。

指出需要类似功能的其他合规性法规包括：

FERPA：34 CFR第99部分[《家庭教育权和隐私权法》
GLB：16 CFR第314部分，用于保护客户信息的标准[《格拉姆-里奇-布里利法案》（“ GLB法案”）第501（b）节]
美国爱国者法案

有关更多详细信息，请参阅俄克拉荷马大学制定的“信息技术安全策略”（请参阅参考资料）。

这说明了自动注销配置对于各种法规遵从性的重要性。在下一部分中，我们将说明通过AIX V6.1通过最流行的远程登录实用程序启用自动注销的过程。

AIX V6.1（FTP，TELNET，SSH）的自动注销过程

文件传输协议（FTP），TELNET和SSH（安全外壳）是流行的AIX V6.1远程登录机制，以各种方式用于在给定解决方案中满足各种目的。 AIX V6.1提供了特殊的管理过程来帮助使用这些实用程序配置自动注销功能。以下说明并提供了有关这些过程的示例：

具有自动注销功能的FTP

在AIX中，inetd守护程序为网络提供Internet服务管理，并且在每次启动系统时默认启动。 FTP具有理想的会话超时功能，但需要启用此功能，并且需要通知inetd守护程序，以防在特定时间段内处于不活动状态而使连接超时。 /etc/inetd.conf文件（inetd的配置文件）包含有关FTP服务行为的详细信息。如下所示，我们编辑/etc/inted.conf文件将FTP会话不活动的时间间隔设置为60秒。通常，此值将取决于业务策略以及法规遵从性指南。

代码1：使用自动注销功能为FTP配置inetd配置文件。

(0) root @ motu: 61H (0934A_61H) : / # hostname
motu.in.ibm.com

(0) root @ motu: 61H (0934A_61H) : / # vi /etc/inetd.conf
..........................
..........................

ftp     stream  tcp6    nowait  root    /usr/sbin/ftpd  ftpd -t 60

..........................
..........................
:wq

请注意， "ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd" etc / inetd.conf”文件中通常已经存在"ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd"条目。您只需在超时值后附加“ -t 60”即可添加超时值。

现在，FTP服务需要重新启动才能使更改生效。以下命令将停止并启动FTP服务。

代码2：重新启动FTP子服务器。

(0) root @ motu: 61H (0934A_61H) : / # stopsrc -t ftp
0513-127 The ftp subserver was stopped successfully.
(0) root @ motu: 61H (0934A_61H) : / # startsrc -t ftp
0513-124 The ftp subserver has been started.

让我们验证上面设置的自动注销配置。成功连接到FTP服务器（通过基本命令验证）后，我们将使会话保持Hibernate状态60秒钟。此后执行任何命令时，我们都应从服务器获取消息“ 421超时（60秒）：正在关闭连接”。表示已成功配置FTP自动注销。

代码3：验证FTP自动注销功能。

(0) root @ motu: 61H (0934A_61H) : / # ftp motu.in.ibm.com
Connected to motu.in.ibm.com.
220 motu.in.ibm.com FTP server (Version 4.2 Wed Jun 3 15:43:49 CDT 2009) ready.
Name (motu.in.ibm.com:root): root
331 Password required for root.
Password:
230-Last unsuccessful login: Mon Oct 26 12:20:34 IST 2009 on /dev/pts/0 from 
ssingh11.in.ibm.com

230-Last login: Tue Nov 24 15:36:56 IST 2009 on ftp
230 User root logged in.
ftp> cd
(remote-directory) /
250 CWD command successful.
ftp> lcd
Local directory now /
ftp> cd
(remote-directory) /
421 Timeout (60 seconds): closing connection.
ftp> quit

请注意，即使FTP服务器在闲置60秒后已自动关闭连接，也只会在超时后尝试执行命令时才通知客户端。

具有自动注销功能的安全TELNET

通过/ etc / profile中列出的参数来控制AIX V6.1上TELNET的自动注销设置。 / etc / profile文件是管理员控制的系统配置文件，它控制所有用户的系统范围的默认变量。为了防止潜在的安全隐患，因为用户可以不理会其帐户，管理员可以在/ etc / profile中设置一个名为“ TMOUT”的环境变量，该变量还控制TELNET的自动注销（如下所示）。在下面的示例中，第一个命令TMOUT = <时间间隔（以秒为单位）>设置不活动的时间间隔，该时间间隔将导致会话自动注销。在这里，我们将值设置为60秒。此值将取决于业务策略以及合规性准则。下一条命令将该环境变量声明为只读，以便没有用户（管理员以外的其他人）可以覆盖此默认值，以使会话打开的时间超过设置的非活动时间间隔。在随后的远程登录系统时，环境变量“ TMOUT”将被设置为只读，并且非活动值是60秒。

代码4：配置配置文件配置文件以自动注销。

(0) root @ motu: 61H (0934A_61H) : / # vi /etc/profile
..........................
..........................

TMOUT=60
readonly TMOUT

..........................
..........................
:wq!

让我们验证先前的设置。如下所示，当我们远程登录机器时，命令“ echo $ TMOUT”给出的输出为60，表明已正确设置了新值。同样，可以看出，由于将变量设置为只读，因此无法更改该变量的值。随后，如果我们使TELNET会话保持不活动状态60秒钟，则该会话将自动注销（如下所示），从而成功启用了通过AIX V6.1进行TELNET的自动会话注销。请注意，在下面的清单中，我们使用的是bash shell：

代码5：验证TELNET自动注销功能。

(0) root @ motu: 61H (0934A_61H) : / # telnet motu.in.ibm.com
Trying...
Connected to motu.in.ibm.com.
Escape character is '^]'.


telnet (motu.in.ibm.com)

AIX Version 6
Copyright IBM Corporation, 1982, 2009.
login: root
root's Password:
*****************************************************************************
*                                                                           *
*                                                                           *
*  Welcome to AIX Version 6.1!                                              *
*                                                                           *
*                                                                           *
*  Please see the README file in /usr/lpp/bos for information pertinent to  *
*  this release of the AIX Operating System.                                *
*                                                                           *
*                                                                           *
*****************************************************************************
Last unsuccessful login: Mon Oct 26 12:20:34 IST 2009 on /dev/pts/0 from
ssingh11.in.ibm.com

Last login: Tue Nov 24 15:40:50 IST 2009 on /dev/pts/1

(0) root @ motu: 61H (0934A_61H) : / # echo $TMOUT
60
(0) root @ motu: 61H (0934A_61H) : / # echo $SHELL
/usr/bin/bash
(0) root @ motu: 61H (0934A_61H) : / #  export TMOUT=200
-bash: TMOUT: readonly variable
(1) root @ motu: 61H (0934A_61H) : / # timed out waiting for input: auto-logout
Connection closed.
(0) root @ motu: 61H (0934A_61H) : / #

请注意，如果将更改提交到/ etc / profile后重新启动系统，则不仅将为远程登录设置超时值，还将为物理登录设置超时值。

具有自动注销功能的安全SSH

许多解决方案都倾向于使用SSH而非TELNET，因为它具有默认的安全行为。顺便说一句，在/ etc / profile文件（先前解释）中为TELNET自动注销所做的配置也适用于SSH。

因此，让我们使用SSH代替计算机代替TELNET并测试行为。我们将使用root以外的其他用户SSH进入计算机，其默认shell设置为ksh（Korn shell）。登录系统后，我们将执行一系列与先前执行的命令类似的命令，以确认环境变量“ TMOUT”的值实际上设置为60，并且该变量确实是只读的，并且该值无法更改。现在，闲置60秒钟后，我们从远程计算机收到一条连接关闭消息，表明已成功为SSH设置自动注销。

代码6：验证SSH自动注销功能。

(0) root @ motu: 61H (0934A_61H) : / # ssh bhushan@motu.in.ibm.com
bhushan's Password:
1 unsuccessful login attempt since last login.
Last unsuccessful login: Tue Nov 24 18:35:22 IST 2009 on ssh
Last login: Tue Nov 24 18:27:43 IST 2009 on /dev/pts/2
*****************************************************************************
*                                                                           *
*                                                                           *
*  Welcome to AIX Version 6.1!                                              *
*                                                                           *
*                                                                           *
*  Please see the README file in /usr/lpp/bos for information pertinent to  *
*  this release of the AIX Operating System.                                *
*                                                                           *
*                                                                           *
*****************************************************************************
Could not chdir to home directory /home/bhushan: A file or directory in the 
path name does not exist.

$ echo $TMOUT
60
$ echo $SHELL
/usr/bin/ksh
$ export TMOUT=200
ksh: TMOUT: This variable is read only.
$ pwd
/
Shell will time out in 60 seconds.
ksh: Timed out waiting for input.
Connection to motu.in.ibm.com closed.
(1) root @ motu: 61H (0934A_61H) : / #

请注意，对于AIX V6.1，shell的类型或用户帐户类型对通过在/ etc / profile文件中设置TMOUT环境变量启用的自动超时功能的行为没有任何影响。此外，此环境变量可确保在闲置之后的一段时间内，用于登录系统的任何登录机制都将自动超时。

结论

在本文中，我们描述了自动注销的重要性及其与法规遵从性的关系。我们已经了解了在AIX V6.1上为FTP，TELNET和SSH会话设置自动注销所需的管理程序，这将有助于遵守法规并提供安全的环境。

致谢

作者衷心感谢IBM Corporation的Sandeep R Patil（rsandeep@in.ibm.com）所发表的宝贵见解，丰富的见解和动力，并帮助将该主题传达给社区，客户和从业人员。

翻译自: https://www.ibm.com/developerworks/aix/library/au-aixremotelogin61/index.html