SEGURIDAD EN UNIX Y REDES

9.6. SCO OPENSERVER 151nproc = 400 (0x190)systune-> nproc = 500nproc = 400 (0x190)Do you really want to change nproc to 500 (0x1f4)? (y/n) yIn order for the change in parameter nproc to become effective /unix.installmust be moved to /unix and the system rebootedsystune-> quit#En este ejemplo acabamos de consultar y modificar el valor del parámetro nproc, que indica elnúmero máximo de procesos en la máquina (a continuación se comentarán con detalle algunos deestos parámetros útiles de cara a la seguridad). Podemos comprobar que tras modificar su valor loscambios se almacenan en un fichero llamado /unix.install, que no es más que la nueva imagendel núcleo que acabamos de crear; para que los cambios tengan efecto hemos de reiniciar el sistema,lo que automáticamente moverá este nuevo kernel al fichero /unix: por eso hemos de guardarpreviamente una copia de la imagen original en /unix.SAV, por ejemplo.Limitando el número total de procesos en la máquina a un valor aceptable para nuestro sistemapodemos evitar muchas negaciones de servicio; otra forma de evitarlas es modificando el parámetromaxup, que representa el número máximo de procesos por usuario; su valor, que por defecto es 150,siempre se recomienda que sea menor que nproc-5 ([Zur94]).Si lo que queremos es limitar el el número máximo de ficheros abiertos por cada proceso podemosasignar el valor que nos interese al parámetro rlimit nofile cur, que por defecto está a 200;el valor que le asignemos siempre ha de ser menor que rlimit nofile max, por lo que quizás tambiénnecesitemos modificar este parámetro.Otros parámetros del núcleo que quizás nos resulte interesante modificar de cara a nuestra seguridadson nosuidshells (si su valor es distinto de 0 evita que las aplicaciones puedan crearshells setuidados y pertenecientes al administrador), restricted chown, que define si el estilo dela llamada chown() es bsd (con un valor 0, indicando que sólo el administrador puede cambiar lapropiedad de los archivos) o System V (si su valor es 1 indica que cualquier usuario puede utilizarchown()) o nfs portmon (si es 1 los clientes NFS sólo pueden ser lanzados por administradoresremotos, porque han de utilizar puertos privilegiados).Pasando ya a la configuración del subsistema de red, si en IRIX queremos deshabilitar el IP Forwarding(por defecto está activado en máquinas con más de un interfaz) hemos de editar una configuracióndel kernel (/var/sysgen/master.d/bsd) y modificar el valor de la variable ipforwardingde 1 a 0:int ipforwarding = 0;Una vez modificado este archivo hemos de ejecutar la orden autoconfig -f, que al igual quesysinfo -i genera un fichero /unix.install que se convierte en /unix (la imagen del núcleo) alreiniciar el sistema.Antes de finalizar esta sección hay que citar como consulta obligatoria [JZRT99], una obra queproporciona a cualquier administrador de IRIX una visión particular de la seguridad para este sistemaoperativo, desde un repaso a las herramientas de backup hasta una descripción de las listasde control de acceso, pasando por el sistema de monitorización en IRIX.9.6 SCO OpenserverLa configuración de tunables en SCO Openserver se puede realizar utilizando diversas herramientasdel operativo, generalmente configure, idtune, getconf o inconfig ([MS94]); por ejemplo,