Операционная система Solaris 10

МЕЖДУНАРОДНЫЙ БАНКОВСКИЙ ИНСТИТУТ
INTERNATIONAL BANKING INSTITUTE
Операционная система Solaris 10
http://www.lynx.ru/products/soft/sun/solaris_10
В последнее время особенно востребованы операционные
системы, которые могут работать в гетерогенных средах на
аппаратных платформах от
различных производителей,
а
большинство
инфраструктур,
находящихся
на
вооружении
предприятий, выглядят именно так. В этом случае на помощь
приходит ПО, которое способно работать на всех основных
платформах.
Solaris 10 работает не только на архитектуре SPARC, но и на x86
и AMD64. То есть корпорация Sun Microsystems готова предложить
своему заказчику широкий спектр возможностей - на любой
платформе. При создании этой версии Solaris уделялось особое
внимание безопасности ПО, быстродействию системы и снижению
стоимости эксплуатации.
Solaris 10 - это единственная ОС, оптимизированная для работы
на нескольких основных платформах:SPARC, x86, AMD64. Это
позволяет защитить инвестиции, сделанные заказчиком в свою
инфраструктуру.
В Solaris 10 обеспечивается совместимость на уровне исходных
кодов для Solaris SPARC и Solaris x86 , а так же совместимость на
уровне исполняемых кодов для Linux x86 и Solaris x86.
Быстродействие системы
Динамическая трассировка задач (Dynamic Tracing, DTrace) - это
мощный инстумент для диагностики узких мест в режиме реального
времени. Эта система позволяет отслеживать узкие места в
производительности приложений, проводить тюнинг, анализ и
диагностику системы. Динамическая трассировка может значительно
повысить производительность отдельных приложений и упростить
задачу настройки производительности разработчикам. Использование
динамической трассировки задач позволяет повысить скрость
выполнения приложений до 30 раз.
Надежность ПО
Превентивная самодиагностика (Predictive Self Healing) - это
новое слово в определении и автоматическом восстановлении. Solaris
10 автоматически перезапускает приложения и сервисы, в которых
МЕЖДУНАРОДНЫЙ БАНКОВСКИЙ ИНСТИТУТ
INTERNATIONAL BANKING INSTITUTE
были обнаружены нарушения работы ,причем весь процесс
обнаружения и диагностики занимает миллисекунды, а не часы.
Мониторинг аппаратной и программной платформы оказывается
прозрачным для системного администратора и для пользователей,
описание ошибок в данной версии Solaris значительно упрощен, а вся
сервисная информация хранится в центральной директории.
Встроенные средства защиты информации
Зоны и Контейнеры (Solaris Containers)
Solaris
10
позволяет
системному
администратору
организовывать виртуальные системные разделы, называемые
зонами. Внутри каждой зоны существует собственное пространство
имен
и
пространство
процессов.
Каждая
зона
является
самостоятельной системой, со своим набором пользователей, своими
каталогами, своими сетевыми адресами, своими процессами. Зоны
изолированы друг от друга, так что процессы и пользователи,
работающие в одной зоне, не имеют доступа к процессам и ресурсам
другой. Важно отметить, что даже суперпользователь (root) зоны не
имеет возможности увидеть, что делается в другой зоне. Даже в
случае "взлома" отдельной зоны злоумышленник не получает доступа
ко всей системе, а остается в рамках этой зоны.
Технология контейнеров предназначена для распределения
системных ресурсов между отдельными процессами, группами
процессов, пользователями. Так, администратор имеет возможность
выделить 40 частей (shares) процессорных ресурсов серверу баз
данных, 30 частей - серверу приложений и 5 раз по 10 частей пяти
веб-серверам,
работающим
в
режиме
горизонтального
масштабирования.
Сочетание технологий зон и контейнеров, называемое Solaris
Containers, дает администратору уникальную возможность создания
"виртуальных серверов", не пересекающихся друг с другом ни по
пользователям, ни по процессам. Каждый из этих виртуальных
серверов
можно
независимо
перезагружать,
запускать
и
останавливать сервисы в них, давать пользователям доступ, не
опасаясь, что это затронет другие виртуальные серверы, работающие
на этой машине.
Важной особенностью реализации Solaris Containers является то,
что поддержка даже нескольких десятков и сотен виртуальных
серверов не увеличивает нагрузку на администратора: все контейнеры
МЕЖДУНАРОДНЫЙ БАНКОВСКИЙ ИНСТИТУТ
INTERNATIONAL BANKING INSTITUTE
работают в рамках одной копии ОС Solaris и могут наследовать все
установленные пакеты и патчи, а также глобальные настройки. Таким
образом, администратор не должен поддерживать каждый
виртуальный сервер по отдельности, использование технологии
контейнеров не накладывает на него дополнительных обязанностей.
Кроме того, эта технология является экономичной и с точки зрения
системных ресурсов: на каждый контейнер требуется менее 1%
накладных расходов.
Управление правами процессов
Одно важнейших нововведений в Solaris 10 - возможность
ограничения прав процессов только самыми необходимыми
потребностями. Прежде, если процессу нужно было обеспечить
доступ к системному файлу или привилегированному сетевому порту,
единственным выходом было присвоение этому процессу статуса
суперпользовательского (root), что давало ему широчайший доступ ко
всем системным ресурсам. В результате, если злоумышленник
получал доступ к этому процессу, он получал доступ ко всей системе.
В Solaris 10 администратор имеет возможность ограничить права
доступа для конкретного процесса или группы процессов только теми
привилегиями, которые ему реально необходимы. Таким образом,
даже если процесс будет захвачен злоумышленником, он не сможет
получить права суперпользователя.
Ролевой доступ
Система ролевого доступа (RBAC - Role Based Access Control)
предназначена для решения "проблемы суперпользователя" ситуации, когда один пользователь имеет доступ ко всем ресурсам
системы. Такой подход нельзя назвать безопасным, поэтому в Solaris
введена возможность разделения прав суперпользователя между
несколькими пользователями. Одному пользователю может быть
предоставлено только право чтения системных журналов (например,
для аудита), другому - право добавления новых пользователей,
третьему - право подключения и конфигурирования внешних
устройств. Рекомендации экспертов по безопасности говорят о том,
что в идеале в системе вообще не должно быть суперпользователя, а
все его права должны быть разделены между различными ролями.
Средства обеспечения режима безопасности (JASS, BART)
МЕЖДУНАРОДНЫЙ БАНКОВСКИЙ ИНСТИТУТ
INTERNATIONAL BANKING INSTITUTE
Важным свойством Solaris 10 является то, что система обладает
сильной степенью защиты сразу же после установки. Для заказчиков,
предъявляющих
повышенные
требования
к
безопасности,
разработаны специальные процедуры и технические средства,
позволяющие повысить защищенность системы до максимума. К
таким средствам относятся Solaris Security Toolkit (также известный
как JASS - JumpStart Architecture and Security Scripts) и BART - Basic
Audit and Reporting Tool.
Solaris Security Toolkit был разработан специалистами Sun
Microsystems
на
основе
многолетнего
опыта
обеспечения
информационной
безопасности
в
организациях
заказчиков,
работающих под управлением Solaris. Это средство представляет
собой набор скриптов и утилит, которые позволяют администратору
автоматизировать такие функции, как минимизация наборов сервисов
операционной системы, которые могут быть использованы для
проникновения в систему, "упрочнение" системных настроек,
минимизация прав доступа для процессов и пользователей, контроль
и установка безопасных атрибутов файлов.
BART (Basic Audit and Reporting Tool) предназначен для контроля
целостности файлов в операционной системе. Сразу же после
установки BART генерирует эталонные контрольные суммы для
файлов системы. В процессе работы эта утилита настраивается
системным администратором на периодическую проверку целостности
файлов
с
целью
выявления
возможных
случайных
или
злонамеренных модификаций.
Защита от атак, использующих переполнение буфера
Большинство атак на системы в той или иной мере используют
режим переполнения буфера с тем, чтобы получить доступ к
привилегированным процессам. Solaris 10 включает специальное
средство защиты от таких атак, позволяющее предотвратить
исполнение программных кодов, находящихся в системном стеке. Все
системные привилегированные команды по умолчанию снабжены
такой защитой, и системный администратор может ,по необходимости,
устанавливать такую защиту на другие программы.