Вышла новая версия ОС Solaris
Корпорация Sun Microsystems анонсировала 10-ую версию операционной системы Solaris, представляющей пользователям новые возможности. Solaris 10 работает не только на архитектуре SPARC, но и на x86 и AMD64. То есть корпорация Sun Microsystems готова предложить своему заказчику широкий спектр возможностей - на любой платформе. При создании этой версии Solaris уделялось особое внимание безопасности ПО, быстродействию системы и снижению стоимости эксплуатации.
Solaris 10- это единственная ОС, оптимизированная для работы на нескольких основных платформах: SPARC, x86, AMD64, что позволяет защитить инвестиции, сделанные заказчиком в свою инфраструктуру.
В Solaris 10 обеспечивается совместимость на уровне исходных кодов для Solaris SPARC и Solaris x86 , а так же совместимость на уровне исполняемых кодов для Linux x86 и Solaris x86.
Быстродействие системы:
Динамическая трассировка задач (Dynamic Tracing, DTrace) - это мощный инстумент для диагностики узких мест в режиме реального времени. Эта система позволяет отслеживать узкие места в производительности приложений, проводить тюнинг, анализ и диагностику системы. Динамическая трассировка может значительно повысить производительность отдельных приложений и упростить задачу настройки производительности разработчикам. Использование динамической трассировки задач позволяет повысить скрость выполнения приложений до 30 раз.
Надежность ПО:
Преветивная самодиагностика (Predictive Self Healing) - это новое слово в определении и автоматическом восстановлении. Solaris 10 автоматически перезапускает приложения и сервисы, в которых были обнаружены нарушения работы ,причем весь процесс обнаружения и диагностики занимает миллисекунды, а не часы.
Мониторинг аппаратной и программной платформы оказывается прозрачным для системного администратора и для пользователей, описание ошибок в данной версии Solaris значительно упрощен, а вся сервисная информация хранится в центральной директории.
Встроенные средства защиты информации - Зоны и Контейнеры (Solaris Containers):
Solaris 10 позволяет системному администратору организовывать виртуальные системные разделы, называемые зонами. Внутри каждой зоны существует собственное пространство имен и пространство процессов. Каждая зона является самостоятельной системой, со своим набором пользователей, своими каталогами, своими сетевыми адресами, своими процессами. Зоны изолированы друг от друга, так что процессы и пользователи, работающие в одной зоне, не имеют доступа к процессам и ресурсам другой. Важно отметить, что даже суперпользователь (root) зоны не имеет возможности увидеть, что делается в другой зоне. Даже в случае "взлома" отдельной зоны злоумышленник не получает доступа ко всей системе, а остается в рамках этой зоны.
Технология контейнеров предназначена для распределения системных ресурсов между отдельными процессами, группами процессов, пользователями. Так, администратор имеет возможность выделить 40 частей (shares) процессорных ресурсов серверу баз данных, 30 частей - серверу приложений и 5 раз по 10 частей пяти веб-серверам, работающим в режиме горизонтального масштабирования.
Сочетание технологий зон и контейнеров, называемое Solaris Containers, дает администратору уникальную возможность создания "виртуальных серверов", не пересекающихся друг с другом ни по пользователям, ни по процессам. Каждый из этих виртуальных серверов можно независимо перезагружать, запускать и останавливать сервисы в них, давать пользователям доступ, не опасаясь, что это затронет другие виртуальные серверы, работающие на этой машине.
Важной особенностью реализации Solaris Containers является то, что поддержка даже нескольких десятков и сотен виртуальных серверов не увеличивает нагрузку на администратора: все контейнеры работают в рамках одной копии ОС Solaris и могут наследовать все установленные пакеты и патчи, а также глобальные настройки. Таким образом, администратор не должен поддерживать каждый виртуальный сервер по отдельности, использование технологии контейнеров не накладывает на него дополнительных обязанностей. Кроме того, эта технология является экономичной и с точки зрения системных ресурсов: на каждый контейнер требуется менее 1% накладных расходов.
Управление правами процессов:
Одно важнейших нововведений в Solaris 10 - возможность ограничения прав процессов только самыми необходимыми потребностями. Прежде, если процессу нужно было обеспечить доступ к системному файлу или привилегированному сетевому порту, единственным выходом было присвоение этому процессу статуса суперпользовательского (root), что давало ему широчайший доступ ко всем системным ресурсам. В результате, если злоумышленник получал доступ к этому процессу, он получал доступ ко всей системе. В Solaris 10 администратор имеет возможность ограничить права доступа для конкретного процесса или группы процессов только теми привилегиями, которые ему реально необходимы. Таким образом, даже если процесс будет захвачен злоумышленником, он не сможет получить права суперпользователя.
Ролевой доступ:
Система ролевого доступа (RBAC - Role Based Access Control) предназначена для решения "проблемы суперпользователя" - ситуации, когда один пользователь имеет доступ ко всем ресурсам системы. Такой подход нельзя назвать безопасным, поэтому в Solaris введена возможность разделения прав суперпользователя между несколькими пользователями. Одному пользователю может быть предоставлено только право чтения системных журналов (например, для аудита), другому - право добавления новых пользователей, третьему - право подключения и конфигурирования внешних устройств. Рекомендации экспертов по безопасности говорят о том, что в идеале в системе вообще не должно быть суперпользователя, а все его права должны быть разделены между различными ролями.
Средства обеспечения режима безопасности (JASS, BART):
Важным свойством Solaris 10 является то, что система обладает сильной степенью защиты сразу же после установки. Для заказчиков, предъявляющих повышенные требования к безопасности, разработаны специальные процедуры и технические средства, позволяющие повысить защищенность системы до максимума. К таким средствам относятся Solaris Security Toolkit (также известный как JASS - JumpStart Architecture and Security Scripts) и BART - Basic Audit and Reporting Tool.
Solaris Security Toolkit был разработан специалистами Sun Microsystems на основе многолетнего опыта обеспечения информационной безопасности в организациях заказчиков, работающих под управлением Solaris. Это средство представляет собой набор скриптов и утилит, которые позволяют администратору автоматизировать такие функции, как минимизация наборов сервисов операционной системы, которые могут быть использованы для проникновения в систему, "упрочнение" системных настроек, минимизация прав доступа для процессов и пользователей, контроль и установка безопасных атрибутов файлов.
BART (Basic Audit and Reporting Tool) предназначен для контроля целостности файлов в операционной системе. Сразу же после установки BART генерирует эталонные контрольные суммы для файлов системы. В процессе работы эта утилита настраивается системным администратором на периодическую проверку целостности файлов с целью выявления возможных случайных или злонамеренных модификаций.
Защита от атак, использующих переполнение буфера:
Большинство атак на системы в той или иной мере используют режим переполнения буфера с тем, чтобы получить доступ к привилегированным процессам. Solaris 10 включает специальное средство защиты от таких атак, позволяющее предотвратить исполнение программных кодов, находящихся в системном стеке.
Solaris 10- это единственная ОС, оптимизированная для работы на нескольких основных платформах: SPARC, x86, AMD64, что позволяет защитить инвестиции, сделанные заказчиком в свою инфраструктуру.
В Solaris 10 обеспечивается совместимость на уровне исходных кодов для Solaris SPARC и Solaris x86 , а так же совместимость на уровне исполняемых кодов для Linux x86 и Solaris x86.
Быстродействие системы:
Динамическая трассировка задач (Dynamic Tracing, DTrace) - это мощный инстумент для диагностики узких мест в режиме реального времени. Эта система позволяет отслеживать узкие места в производительности приложений, проводить тюнинг, анализ и диагностику системы. Динамическая трассировка может значительно повысить производительность отдельных приложений и упростить задачу настройки производительности разработчикам. Использование динамической трассировки задач позволяет повысить скрость выполнения приложений до 30 раз.
Надежность ПО:
Преветивная самодиагностика (Predictive Self Healing) - это новое слово в определении и автоматическом восстановлении. Solaris 10 автоматически перезапускает приложения и сервисы, в которых были обнаружены нарушения работы ,причем весь процесс обнаружения и диагностики занимает миллисекунды, а не часы.
Мониторинг аппаратной и программной платформы оказывается прозрачным для системного администратора и для пользователей, описание ошибок в данной версии Solaris значительно упрощен, а вся сервисная информация хранится в центральной директории.
Встроенные средства защиты информации - Зоны и Контейнеры (Solaris Containers):
Solaris 10 позволяет системному администратору организовывать виртуальные системные разделы, называемые зонами. Внутри каждой зоны существует собственное пространство имен и пространство процессов. Каждая зона является самостоятельной системой, со своим набором пользователей, своими каталогами, своими сетевыми адресами, своими процессами. Зоны изолированы друг от друга, так что процессы и пользователи, работающие в одной зоне, не имеют доступа к процессам и ресурсам другой. Важно отметить, что даже суперпользователь (root) зоны не имеет возможности увидеть, что делается в другой зоне. Даже в случае "взлома" отдельной зоны злоумышленник не получает доступа ко всей системе, а остается в рамках этой зоны.
Технология контейнеров предназначена для распределения системных ресурсов между отдельными процессами, группами процессов, пользователями. Так, администратор имеет возможность выделить 40 частей (shares) процессорных ресурсов серверу баз данных, 30 частей - серверу приложений и 5 раз по 10 частей пяти веб-серверам, работающим в режиме горизонтального масштабирования.
Сочетание технологий зон и контейнеров, называемое Solaris Containers, дает администратору уникальную возможность создания "виртуальных серверов", не пересекающихся друг с другом ни по пользователям, ни по процессам. Каждый из этих виртуальных серверов можно независимо перезагружать, запускать и останавливать сервисы в них, давать пользователям доступ, не опасаясь, что это затронет другие виртуальные серверы, работающие на этой машине.
Важной особенностью реализации Solaris Containers является то, что поддержка даже нескольких десятков и сотен виртуальных серверов не увеличивает нагрузку на администратора: все контейнеры работают в рамках одной копии ОС Solaris и могут наследовать все установленные пакеты и патчи, а также глобальные настройки. Таким образом, администратор не должен поддерживать каждый виртуальный сервер по отдельности, использование технологии контейнеров не накладывает на него дополнительных обязанностей. Кроме того, эта технология является экономичной и с точки зрения системных ресурсов: на каждый контейнер требуется менее 1% накладных расходов.
Управление правами процессов:
Одно важнейших нововведений в Solaris 10 - возможность ограничения прав процессов только самыми необходимыми потребностями. Прежде, если процессу нужно было обеспечить доступ к системному файлу или привилегированному сетевому порту, единственным выходом было присвоение этому процессу статуса суперпользовательского (root), что давало ему широчайший доступ ко всем системным ресурсам. В результате, если злоумышленник получал доступ к этому процессу, он получал доступ ко всей системе. В Solaris 10 администратор имеет возможность ограничить права доступа для конкретного процесса или группы процессов только теми привилегиями, которые ему реально необходимы. Таким образом, даже если процесс будет захвачен злоумышленником, он не сможет получить права суперпользователя.
Ролевой доступ:
Система ролевого доступа (RBAC - Role Based Access Control) предназначена для решения "проблемы суперпользователя" - ситуации, когда один пользователь имеет доступ ко всем ресурсам системы. Такой подход нельзя назвать безопасным, поэтому в Solaris введена возможность разделения прав суперпользователя между несколькими пользователями. Одному пользователю может быть предоставлено только право чтения системных журналов (например, для аудита), другому - право добавления новых пользователей, третьему - право подключения и конфигурирования внешних устройств. Рекомендации экспертов по безопасности говорят о том, что в идеале в системе вообще не должно быть суперпользователя, а все его права должны быть разделены между различными ролями.
Средства обеспечения режима безопасности (JASS, BART):
Важным свойством Solaris 10 является то, что система обладает сильной степенью защиты сразу же после установки. Для заказчиков, предъявляющих повышенные требования к безопасности, разработаны специальные процедуры и технические средства, позволяющие повысить защищенность системы до максимума. К таким средствам относятся Solaris Security Toolkit (также известный как JASS - JumpStart Architecture and Security Scripts) и BART - Basic Audit and Reporting Tool.
Solaris Security Toolkit был разработан специалистами Sun Microsystems на основе многолетнего опыта обеспечения информационной безопасности в организациях заказчиков, работающих под управлением Solaris. Это средство представляет собой набор скриптов и утилит, которые позволяют администратору автоматизировать такие функции, как минимизация наборов сервисов операционной системы, которые могут быть использованы для проникновения в систему, "упрочнение" системных настроек, минимизация прав доступа для процессов и пользователей, контроль и установка безопасных атрибутов файлов.
BART (Basic Audit and Reporting Tool) предназначен для контроля целостности файлов в операционной системе. Сразу же после установки BART генерирует эталонные контрольные суммы для файлов системы. В процессе работы эта утилита настраивается системным администратором на периодическую проверку целостности файлов с целью выявления возможных случайных или злонамеренных модификаций.
Защита от атак, использующих переполнение буфера:
Большинство атак на системы в той или иной мере используют режим переполнения буфера с тем, чтобы получить доступ к привилегированным процессам. Solaris 10 включает специальное средство защиты от таких атак, позволяющее предотвратить исполнение программных кодов, находящихся в системном стеке.
