SEGURIDAD EN UNIX Y REDES

9.3. SOLARIS 1479.3 Solaris9.3.1 El subsistema de redComo en el caso de Linux – y de cualquier Unix – es conveniente detener los paquetes que contenganen ellos el camino a seguir hasta su destino (lo que se conoce por source routing, encaminamientoen origen); en Solaris esto se consigue con la ordenanita:~# /usr/sbin/ndd -set /dev/ip ip_forward_src_routed 0La orden ndd se utiliza para visualizar y modificar los parámetros de un determinado driver; porejemplo, si quisiéramos comprobar los parámetros de /dev/ip, lo haríamos con la ordenanita:~# /usr/sbin/ndd /dev/ip \?El uso del carácter ‘\’ no es más que un escape del shell para el símbolo ‘?’.Mientras que en Linux era necesario el IP Forwarding para que el sistema de filtrado de paquetes funcionecorrectamente, en Solaris es conveniente deshabilitar esta opción para evitar que nuestro equipose convierta en un router. En algunas versiones de Solaris basta crear el fichero /etc/notrouterpara deshabilitar el rutado, pero se suele utilizar más a menudo la siguiente orden:anita:~# /usr/sbin/ndd -set /dev/ip ip_forwarding 0Si queremos prevenir ataques de ARP Spoofing es conveniente dar un tiempo de vida a las entradasde la tabla de direcciones físicas. En este caso las órdenes a ejecutar (para un tiempo de vida deun minuto) sonanita:~# /usr/sbin/ndd -set /dev/ip ip_ire_flush_interval 60000anita:~# /usr/sbin/ndd -set /dev/arp arp_cleanup_interval 60Una máquina Solaris con más de un interfaz de red actúa automáticamente como un router depaquetes entre los interfaces; hemos desabilitado el IP Forwarding, pero para conseguir que lospaquetes que lleguen por un interfaz y tengan otro como destino se descarten, previniendo así elHost Spoofing hemos de modificar las siguientes variables del kernel:anita:~# /usr/sbin/ndd -set /dev/ip ip_strict_dst_multihoming 1anita:~# /usr/sbin/ndd -set /dev/ip ip_ignore_redirect 1Hay que resaltar que la configuración mediante ndd de los parámetros anteriores permanecerá hastaque el sistema se reinicie, pero en ese momento se perderá y todos los parámetros volverán a susvalores por defecto; para solucionarlo, podemos crear un script que se ejecute al iniciar el sistemay que lanze todas las órdenes vistas anteriormente. Esto se puede hacer, por ejemplo, creando elfichero /etc/init.d/nddconfig con el siguiente contenido 2 :#!/bin/sh## /etc/init.d/nddconfig## Fix for broadcast ping bug/usr/sbin/ndd -set /dev/ip ip_respond_to_echo_broadcast 0# Block directed broadcast packets/usr/sbin/ndd -set /dev/ip ip_forward_directed_broadcasts 02 Ejemplo extraído de Solaris Security Guide, documento disponible en http://www.sabernet.net, de autor desconocido.