SUN Solaris 10 and the word “Secure by Default” in practice

คำว่า secure by default คิดว่าหลายๆ คนในวงการ sysadmin ได้ยิน ได้เห็น แล้วคงต้องนึกถึง OS ที่ ถูกตั้งค่ามาให้มีความปลอดภัยแบบ  out of the box โดยแทบจะไม่ต้อง tune กันเลยทีเดียว อย่างเช่น ระบบปฏิบัติการที่เป็นที่รู้จักกันดีอย่าง OpenBSD นอกจากนั้น ระบบปฏิบัติการใหม่ๆ อย่าง ubuntu และ windows vista ก็เข้าข่าย secure by default กับเค้าบ้างเหมือนกัน โดย ubuntu และ vista มุ่งเน้นไปที่ administrative priviledges ใน ubuntu จะไม่มี root account มากับการติดตั้งครั้งแรก โดยจะให้สิทธิ์ super user กับ user account แรกของระบบ ส่วน windows vista ก็ได้เน้นเรื่องของ administrative priviledges เหมือนกัน โดยเมื่อมีการทำอะไรสักอย่างที่เกี่ยวข้องกับระบบ หรือ ระบบจะได้รับผลกระทบ ไม่ว่าจะเป็นการกระทำโดย Software หรือ User เอง ก็จะมี prompt ขึ้นมา alert ซึ่งก็คือ UAC นั่นเอง

Solaris/OpenSolaris เองก็ concern เรื่อง secure by default เหมือนกัน โดยวิธีการของ solaris ก็คือ สร้าง profile สำหรับ Service Management Facilities (SMF) เพื่อ limit การทำงาน service ต่างๆ ตามความเหมาะสมของ ระบบ

สำหรับการ apply profile ต่างๆ ให้กับ SMF สามารถทำได้ดังนี้

#svccfg apply /var/svc/profile/generic_limited_net.xml

หรือเข้าไปดู profile ทั้งหมดได้ที่ /var/svc/profile

#cd /var/svc/profile
#ls -la
drwxr-xr-x   2 root     sys          512 Apr 24 11:59 .
drwxr-xr-x   5 root     sys          512 Apr 24 11:26 ..
lrwxrwxrwx   1 root     other         18 Apr 24 11:26 generic.xml -> ./generic_open.xml
-r–r–r–   1 root     sys        11830 Mar 12  2008 generic_limited_net.xml
-r–r–r–   1 root     sys         5860 Mar 12  2008 generic_open.xml
-r–r–r–   1 root     sys         3118 Mar 12  2008 inetd_generic.xml
lrwxrwxrwx   1 root     other         17 Apr 24 11:26 inetd_services.xml -> inetd_generic.xml
-r–r–r–   1 root     sys          739 Jan 22  2005 inetd_upgrade.xml
lrwxrwxrwx   1 root     root          12 Apr 24 11:52 name_service.xml -> ns_files.xml
-r–r–r–   1 root     sys          755 Jan 22  2005 ns_dns.xml
-r–r–r–   1 root     sys          547 Jan 22  2005 ns_files.xml
-r–r–r–   1 root     sys          661 Jan 22  2005 ns_ldap.xml
-r–r–r–   1 root     sys          779 Jan 22  2005 ns_nis.xml
-r–r–r–   1 root     sys          785 Jan 22  2005 ns_nisplus.xml
-r–r–r–   1 root     sys         1762 Jan 22  2005 ns_none.xml
lrwxrwxrwx   1 root     root          18 Apr 24 11:59 platform.xml -> platform_i86pc.xml
-r–r–r–   1 root     sys          663 Jan 22  2005 platform_i86pc.xml
-r–r–r–   1 root     sys          560 Jan 22  2005 platform_none.xml
-r–r–r–   1 root     sys        13838 Aug  9  2007 prophist.SUNWcsr
-rw-r–r–   1 root     other       6618 Apr 24 11:37 upgrade.app.20090424115945

จะพบว่า solaris ได้จัดทำ Profile ไว้ให้เรียกใช้ ได้อย่างเหมาะสมตามความต้องการของการให้บริการ ซึ่งเป็นอีกวิธีหนึ่งที่จะช่วย disable service ที่ไม่จำเป็น ซึ่งจะส่งผลในแง่ของ security แล้วยังส่งผลในเรื่องของประสิทธิภาพของ resources ด้วย