Maintenance du systeme

Tout au long de ce livre, nous traiterons principalement de procedures d'installation et de conguration. Neanmoins, l'administration d'un systeme est bien plus que cela: une fois un service installe, vous devez le maintenir en parfait etat de fonctionnement. Dans la plupart des cas, il sut d'un peu d'attention; mais certains, comme le courrier et les News, necessitent un entretien de routine. Nous verrons en quoi consistent ces dierentes t^aches d'administration dans les chapitres qui vont suivre.

La maintenance minimale consiste a regarder regulierement les chiers de trace du systeme et des dierentes applications, a la recherche d'eventuelles erreurs ou evene- ments inhabituels. Le plus simple est d'ecrire quelques shell-scripts qui seront executes automatiquement par cron a certaines heures. Les applications importantes, comme C News ou smail, sont souvent fournies avec de tels programmes qu'il ne vous reste plus qu'a modier legerement pour les adapter a vos besoins particuliers.

La sortie de tous les travaux executes par cron doit faire l'objet d'un courrier envoye dans la bo^te aux lettres d'un compte administratif. Par defaut, beaucoup d'applica- tions postent leurs erreurs ou statistiques a l'utilisateur

root

. Cela n'a d'inter^et que si vous vous connectez souvent sous ce compte, ce qui est deconseille. Une solution bien meilleure sera de rediriger le courrier de

root

vers votre compte personnel en declarant un alias, comme decrit dans le chapitre 14.

Quel que soit le soin apporte a la conguration de votre site, les lois de Murphy garan- tissent que malgre tout, certains problemes se produiront. Par consequent, maintenir un systeme signie egalement ^etre disponible pour repondre aux reclamations. Gene- ralement, on considere que l'administrateur systeme doit au minimum pouvoir ^etre joint par courrier electronique au compte

root

, mais il existe aussi d'autres adresses traditionnellement utilisees pour des aspects ou services speciques. Par exemple, tout ce qui concerne le fonctionnement du courrier electronique est envoye a

postmaster

, alors que pour ce qui est des News Usenet, il s'agira de

newsmaster

ou

usenet

. Un message a destination de

hostmaster

devra ^etre redirige vers la personne en charge de la conguration reseau de base, et du serveur de noms si vous fournissez un DNS.

1.5.1 Securite du systeme

Proteger votre machine et ses utilisateurs des intrus est un aspect tres important de l'administration systeme dans un environnement reseau. Negliger ce point peut orir de nombreuses cibles aux malfaisants, les attaques pouvant aller de tentatives de decryptage des mots de passe a l'analyse de datagrammes, avec des consequences diverses comme courriers falsies, destructions de donnees ou entrave a la vie privee de vos utilisateurs. Nous mentionnerons quelques-uns de ces problemes lorsque nous decrirons le contexte dans lequel chacun peut se produire, et les solutions les plus courantes employees pour se proteger.

Il est evidemment impossible de detailler ici tous les ennuis de securite auxquels vous serez peut-^etre confronte. La lecture d'un ouvrage specialiseest absolument necessaire, particulierement en environnement reseau. Le livre(( Practical UNIX Security)), de

Simson Garnkel (voir [Spaf93]) est hautement recommande.

La securite commence par une bonne administration systeme. Cela comprend la ve- rication des proprietaires et droits d'acces des chiers vitaux et des repertoires, l'observation de l'utilisation des comptes privilegies, etc. Le programme COPS, par exemple, permet de tester le systeme de chiers et la conguration courante a la re- cherche de permissions dangereuses ou autres anomalies. Il est souvent raisonnable d'utiliser une gestion des mots de passe les rendant plus diciles a deviner. L'ensemble shadow password suite, par exemple, demande entre autres choses qu'ils aient une lon- gueur minimale de cinq caracteres et comportent un ensemble de lettres minuscules, majuscules et chires.

Lors de la creation d'un service accessible par reseau, assurez-vous de ne lui donner que les privileges minimaux, ne lui permettez pas de faire des choses inutiles pour son fonctionnement normal. Par exemple, vous ne devez faire de programmes setuid a

root

ou tout autre utilisateur privilegie que lorsque c'est vraiment necessaire. Si vous desirez n'utiliser un service que pour une application tres limitee, n'hesitez pas a le congurer de maniere aussi restrictive que possible. Si par exemple vous comptez au- toriser des stations diskless a s'amorcer depuis votre machine, vous devez orir TFTP (Trivial File Transfer Protocol) an qu'elles puissent telecharger leur conguration de base depuis le repertoire /boot. Toutefois, utilise sans restrictions, TFTP permet a n'importe quel utilisateur du monde de telecharger tout chier de votre machine qui soit lisible par tous. Si ce n'est pas ce que vous desirez, pourquoi ne pas restreindre le service TFTP au repertoire /boot ?11.

Dans le m^eme ordre d'idees, vous pouvez restreindre l'acces a certains services a des utilisateurs de certains h^otes, par exemple ceux de votre reseau local. Dans le chapitre 9, nous presenterons tcpd, qui permet cette operation pour une grande variete d'applications reseaux.

Un autre point tres important: eviter les logiciels a risque. Bien s^ur, tous les pro- grammes que vous utilisez peuvent ^etre dangereux, puisqu'ils peuvent receler des bogues que des personnes malintentionnees pourraient exploiter pour penetrer dans votre systeme. Ce genre de situation arrive, et il n'existe malheureusement pas de protection a toute epreuve. Ces problemes aectent aussi bien les applications du domaine public que les produits commerciaux12. Toutefois, les programmes neces-

sitant des privileges particuliers sont fatalement plus dangereux que les autres, car le moindre trou de securite peut avoir de graves consequences13. Si vous installez

11:Nous reviendrons sur ce sujet dans le chapitre 9.

12:Il y a eu des systemes UNIX commerciaux (qui co^utent une petite fortune), fournis avec un

shell script setuid-root, qui permettait a tous les utilisateurs d'obtenir en une fraction de seconde tous les privilegesrootpar un simple tour d'adresse.

13:En 1988, le ver RTM provoqua l'arr^et presque complet de la plus grande partie de l'Internet,

en exploitant une grosse breche dans quelques versions du programmesendmail. Ce trou de securite a ete corrige depuis.

un programme setuid, redoublez de prudence et assurez-vous de ne rien rater de sa documentation, an d'eviter de creer une breche de securite par erreur ou omission. Malgre tout le soin que vous pourrez apporter a la securite, vous ne pourrez jamais vous considerer comme totalement a l'abri. Par consequent, vous devez pouvoir de- tecter les eventuels intrus le plus t^ot possible. La lecture des chiers de trace du systeme est un bon point de depart, mais les pirates le sachant aussi bien que vous, ils ne manqueront pas d'eacer tout ce qui pourrait les denoncer. Il existe neanmoins des outils comme tripwire14, qui calcule regulierement dierents checksums sur ces

chiers, et les stocke dans une base de donnees. Lors des acces ulterieurs, ces valeurs sont recalculees et comparees avec celles precedemment trouvees an de detecter toute modication anormale de ces traces.

Chapitre 2

Dans le document [PDF] Cours informatique administration reseau prives pdf | Cours informatique (Page 32-36)