SEGURIDAD EN UNIX Y REDES

9.4. HP-UX 149un exceso de procesos activos en la tabla. La gravedad del problema aumenta si pensamos quetambién es muy habitual que los usuarios lancen simulaciones que tardan en ejecutarse varios días(o varias semanas), de forma que una parada inesperada puede causar la pérdida de muchas horasde trabajo. Por tanto, parece obvio que es recomendable limitar el número de procesos simultáneospor usuario; en Solaris este número está ilimitado por defecto, por lo que si deseamos asignar unvalor máximo hemos de editar el fichero /etc/system e incluir una línea como la siguiente:set maxuprc=60De esta forma limitamos el número de procesos por usuario a 60 (un número aceptable en la mayoríade sistemas 3 ), consiguiendo así que un error en un programa no sea capaz de detener la máquina.Un parámetro del sistema operativo especialmente importante, y que quizás nos interese modificar(sobre todo en máquinas con pocos recursos) es maxusers. Al contrario de lo que muchagente cree, maxusers no hace referencia al número máximo de usuarios que pueden conectar simultáneamenteal sistema, sino que es un valor que escala a otros parámetros del núcleo (comomax nproc, número máximo de procesos en la tabla) o maxuprc. Para modificarlo, podemos incluiren /etc/system una línea con el valor deseado, generalmente el tamaño en MB de la memoria físicade nuestra máquina ([Dik99]):set maxusers=128También puede ser conveniente limitar parámetros del sistema operativo relativos al sistema deficheros, ya que también se pueden producir negaciones de servicio relacionadas con ellos. Por ejemplo,es interesante poder limitar el número máximo de ficheros abiertos mediante los parámetrosrlim fd max (límite hard) y rlim fd cur (límite soft) o evitar que los usuarios puedan utilizarchown() en sus ficheros, especificando un valor 1 para la variable rstchown (este es el comportamientopor defecto; si no lo seguimos, aparte de comprometer la seguridad los usuarios sin privilegiospodrían ignorar el sistema de quotas).En algunas arquitecturas SPARC (concretamente en sun4u, sun4d y sun4m) es posible estableceruna protección hardware para prevenir ataques de buffer overflow; para ello, en /etc/systemhemos de incluir una línea comoset noexec_user_stack=1Y si además queremos monitorizar los intentos de ataque de este tipo, incluimos en el archivo lalíneaset noexec_user_stack_log=1Si administramos un servidor nfs y deseamos que ignore las peticiones de clientes que no provengande puertos privilegiados (es decir, que no hayan sido solicitadas por un usuario privilegiado de lamáquina cliente) podemos definir la variable nfs portmon en /etc/system; si usamos versionesde Solaris anteriores a la 2.5, debemos incluir una línea comoset nfs:nfs_portmon = 1mientras que en Solaris 2.5 y posteriores utilizaremosset nfssrv:nfs_portmon = 19.4 HP-UXGeneralmente se recomienda utilizar la herramienta SAM (System Administration Manager) en lossistemas HP-UX, que además de las tareas clásicas de administración permite modificar parámetros3 Aunque en algunos documentos se recomienda, para otros Unices, un número máximo de 200 procesos ([CH99]).