AIX V6.1配备了各种安全性功能，有助于遵守适用于不同工业部门（例如联邦，金融，医疗保健等）的各种法规遵从性。功能涵盖从静态安全数据到传输中的安全数据到登录名和密码管理。 这些功能使AIX V6.1成为了一个利润丰厚的基于UNIX的系统，可以承载法规遵从性驱动行业的解决方案和应用程序。
基于UNIX的系统和解决方案倾向于广泛使用远程登录和文件传输技术，例如FTP，TELNET和SSH，不仅用于管理任务，而且还用于整个解决方案的其他各个方面。 对此类远程登录会话的正确使用属于各种合规性的审核范围。 从合规性角度来看，这些实用程序的远程登录会话要考虑的两个主要因素是具有安全传输的身份验证和远程会话的自动注销。 前者可以通过使用Kerberos（请参阅参考资料 ）和类似的网络安全协议来完成，而后者则需要特殊的管理调整。 在本文中，我们将把远程会话的自动注销需求映射到各种合规性，并随后说明在AIX V6.1系统上启用远程会话所必需的管理过程。 本文将帮助管理员在其AIX系统上调整远程实用程序会话，以遵守法规要求并解决与远程会话相关的风险。
自动注销是为了保护到给定系统（通常是远程的，但不一定是远程系统）的Hibernate会话免受恶意使用，以帮助减轻恶意攻击的风险。 授权用户多次使用登录机制（例如SSH，TELNET，FTP等）登录系统，或者由于疏忽而忘记退出会话，或者由于不活动而使会话保持Hibernate状态。 在这种情况下，如果恶意用户利用这些会话，则该用户可能会破坏系统。 自动注销功能通过使用建议的Hibernate超时值自动禁用会话，从而有助于减轻此类风险。
政府规定的不同工业部门的法规合规性不同。 大多数法规遵从性直接影响企业IT解决方案的设计，开发和部署，以确保安全和经过审核的环境。 这些合规中的大多数要求其IT系统具有自动注销功能，以帮助保护它们免受恶意影响。 例如：
《健康保险可移植性和责任法案》（HIPAA）为涵盖实体持有的个人健康信息提供联邦保护，并赋予患者与该信息有关的一系列权利。 标题为“ 自动注销 ”的HIPAA安全规则第164.312（a）s（2）（iii）节指示要求为“在预定的非活动时间后终止电子会话的实施过程” （请参阅参考资料 ）。 美国的俄克拉荷马州有一项特殊的俄克拉荷马州信息安全政策，程序和指南，用于保护该州的信息资产。 俄克拉荷马州信息安全策略状态要求自动注销，该状态指出： “第7.4节：访问控制指示在闲置15分钟后使会话超时” （请参阅参考资料 ）。 美国食品药品管理局（FDA）联邦法规第11部分第21标题要求药品制造商，医疗设备制造商，生物技术公司，生物制剂开发商和其他FDA管制的行业（食品制造商除外）实施控制措施，包括审核，验证系统和文档-用于在业务运营和产品开发过程中处理多种形式数据的软件和系统。 第300（d）节指出“使用交易安全措施防止未经授权使用密码和/或识别码，并立即紧急检测并报告任何未经授权使用的尝试，并向系统安全部门报告，并酌情，进行组织管理。” （请参阅参考资料 ）。指出需要类似功能的其他合规性法规包括：
FERPA：34 CFR第99部分[《家庭教育权和隐私权法》 GLB：16 CFR第314部分，用于保护客户信息的标准[《格拉姆-里奇-布里利法案》（“ GLB法案”）第501（b）节] 美国爱国者法案有关更多详细信息，请参阅俄克拉荷马大学制定的“信息技术安全策略”（请参阅参考资料 ）。
这说明了自动注销配置对于各种法规遵从性的重要性。 在下一部分中，我们将说明通过AIX V6.1通过最流行的远程登录实用程序启用自动注销的过程。
文件传输协议（FTP），TELNET和SSH（安全外壳）是流行的AIX V6.1远程登录机制，以各种方式用于在给定解决方案中满足各种目的。 AIX V6.1提供了特殊的管理过程来帮助使用这些实用程序配置自动注销功能。 以下说明并提供了有关这些过程的示例：
在AIX中，inetd守护程序为网络提供Internet服务管理，并且在每次启动系统时默认启动。 FTP具有理想的会话超时功能，但需要启用此功能，并且需要通知inetd守护程序，以防在特定时间段内处于不活动状态而使连接超时。 /etc/inetd.conf文件（inetd的配置文件）包含有关FTP服务行为的详细信息。 如下所示，我们编辑/etc/inted.conf文件将FTP会话不活动的时间间隔设置为60秒。 通常，此值将取决于业务策略以及法规遵从性指南。
请注意， "ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd" etc / inetd.conf”文件中通常已经存在"ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd"条目。 您只需在超时值后附加“ -t 60”即可添加超时值。
现在，FTP服务需要重新启动才能使更改生效。 以下命令将停止并启动FTP服务。
让我们验证上面设置的自动注销配置。 成功连接到FTP服务器（通过基本命令验证）后，我们将使会话保持Hibernate状态60秒钟。 此后执行任何命令时，我们都应从服务器获取消息“ 421超时（60秒）：正在关闭连接”。 表示已成功配置FTP自动注销。
请注意，即使FTP服务器在闲置60秒后已自动关闭连接，也只会在超时后尝试执行命令时才通知客户端。
通过/ etc / profile中列出的参数来控制AIX V6.1上TELNET的自动注销设置。 / etc / profile文件是管理员控制的系统配置文件，它控制所有用户的系统范围的默认变量。 为了防止潜在的安全隐患，因为用户可以不理会其帐户，管理员可以在/ etc / profile中设置一个名为“ TMOUT”的环境变量，该变量还控制TELNET的自动注销（如下所示）。 在下面的示例中，第一个命令TMOUT = <时间间隔（以秒为单位）>设置不活动的时间间隔，该时间间隔将导致会话自动注销。 在这里，我们将值设置为60秒。 此值将取决于业务策略以及合规性准则。 下一条命令将该环境变量声明为只读，以便没有用户（管理员以外的其他人）可以覆盖此默认值，以使会话打开的时间超过设置的非活动时间间隔。 在随后的远程登录系统时，环境变量“ TMOUT”将被设置为只读，并且非活动值是60秒。
让我们验证先前的设置。 如下所示，当我们远程登录机器时，命令“ echo $ TMOUT”给出的输出为60，表明已正确设置了新值。 同样，可以看出，由于将变量设置为只读，因此无法更改该变量的值。 随后，如果我们使TELNET会话保持不活动状态60秒钟，则该会话将自动注销（如下所示），从而成功启用了通过AIX V6.1进行TELNET的自动会话注销。 请注意，在下面的清单中，我们使用的是bash shell：
请注意，如果将更改提交到/ etc / profile后重新启动系统，则不仅将为远程登录设置超时值，还将为物理登录设置超时值。
许多解决方案都倾向于使用SSH而非TELNET，因为它具有默认的安全行为。 顺便说一句，在/ etc / profile文件（先前解释）中为TELNET自动注销所做的配置也适用于SSH。
因此，让我们使用SSH代替计算机代替TELNET并测试行为。 我们将使用root以外的其他用户SSH进入计算机，其默认shell设置为ksh（Korn shell）。 登录系统后，我们将执行一系列与先前执行的命令类似的命令，以确认环境变量“ TMOUT”的值实际上设置为60，并且该变量确实是只读的，并且该值无法更改。 现在，闲置60秒钟后，我们从远程计算机收到一条连接关闭消息，表明已成功为SSH设置自动注销。
请注意，对于AIX V6.1，shell的类型或用户帐户类型对通过在/ etc / profile文件中设置TMOUT环境变量启用的自动超时功能的行为没有任何影响。 此外，此环境变量可确保在闲置之后的一段时间内，用于登录系统的任何登录机制都将自动超时。
在本文中，我们描述了自动注销的重要性及其与法规遵从性的关系。 我们已经了解了在AIX V6.1上为FTP，TELNET和SSH会话设置自动注销所需的管理程序，这将有助于遵守法规并提供安全的环境。
作者衷心感谢IBM Corporation的Sandeep R Patil（rsandeep@in.ibm.com）所发表的宝贵见解，丰富的见解和动力，并帮助将该主题传达给社区，客户和从业人员。
翻译自: https://www.ibm.com/developerworks/aix/library/au-aixremotelogin61/index.html
相关资源：jdk-8u281-windows-x64.exe