17.3. Explicación de MAC

Con todos estos nuevos terminos en mente, considere como la estructura MAC aumenta la seguridad de el sistema como un todo. Los varios módulos de políticas de seguridad provistos por la estructura MAC pueden ser usados para proteger la red y los sistemas de archivos, bloquear usuarios de accesar ciertos puertos y sockets, y más. Quizás el mejor uso de los módulos de políticas es el de mezclarlos juntos, por medio del cargado de varios módulos de políticas de seguridad al mismo tiempo para un ambiente de seguridad multicapa. En un ambiente de seguridad multicapa, múltiples módulos de políticas están en efecto para mantener la seguridad. Esto es diferente a un política de endurecimiento, la cual tipicamente endurece elementos de un sistema que es utilizado solamente para propositos específicos. El único lado malo es la carga administrativa en casos de sistemas de archivos con etiquetas múltiples, configuraciones de control de acceso a red usuario por usuario, etc.

Estas desventajas son mínimas cuando se comparan con el efecto perdurable de la estructura; por ejemplo, la habilidad de seleccionar y elegir que políticas son requeridas para una configuración específica mantiene la sobrecarga de ejecución abajo. La reducción de soporte para políticas innecesarias puede elevar la ejecución total del sistema así como también ofrecer flexibilidad de elección. Una buena implementación podría considerar los requerimientos de seguridad total e implementar efectivamente los varios módulos de políticas de seguridad ofrecidos por la estructura.

Así un sistema utilizando una propiedad MAC debería al menos garantizar que a un usuario no se le permitirá cambiar atributos de seguridad a su antojo; todos las utilidades de usuario, programas y scrips deben trabajar dentro de las restricciones de las reglas de acceso provistas por el módulo de políticas de seguridad seleccionado; y ese control total de las reglas de acceso MAC están en las manos del administrador del sistema.

Es deber solamente del administrador de sistema seleccionar cuidadosamente los módulos de políticas de seguridad correctos. Algunos ambientes pueden necesitar limitar el control de acceso a través de la red; en estos casos los módulos de políticas mac_portacl(4), mac_ifoff(4) e incluso mac_biba(4) pueden ser un buen punto de inicio. En otros casos, confidencialidad estricta de objetos del sistema de archivos puede ser requerida. Módulos de políticas como mac_bsdextended(4) y mac_mls(4) existen para este propósito.

Desiciones de política pueden hacerse basándose en la configuración de red. Quizás solo a ciertos usuarios se les debería permitir acceso a facilidades proporcionadas por ssh(1) para accesar la red o Internet. El módulo de políticas mac_portacl(4) podría ser la opción para estas situaciones. Pero, ¿que debería hacerse en el caso de sistemas de archivos?, ¿los accesos a ciertos directorios deberían ser cortados de otros grupos o usuarios específicos?, ¿o deberíamos limitar accesos a usuarios o utilidades a archivos específicos poniendo ciertos objetos como clasificados?

En el caso de sistemas de archivo, el acceso a los objetos puede ser considerado confidencial a algunos usuarios, pero no a otros. Por ejemplo, un gran grupo de desarrolladores puede ser dividido en pequeños grupos de individuos. Desarrolladores en el proyecto A no se les debe permitir accesar objetos escritos por desarrolladores del proyecto B. Pero pueden necesitar accesar objetos creados por desarrolladores del proyecto C; esa es una situación complicada. Utilizando los diferentes módulos de políticas de seguridad proporcionados por la estructura MAC; los usuarios pueden ser divididos en estos grupos y entonces otorgarles acceso a las áreas apropiadas sin temor de filtrado de información.

Así, cada módulo de poliíticas de seguridad tiene un modo único de tratar con la seguridad de un sistema en general. La selección de módulo debería basarse en una poliítica de seguridad bien planeada. En muchos casos, la poliítica general tal vez necesite ser revisada y reimplementada en el sistema. Entender los diferentes módulos de poliíticas de seguridad ofrecidos por la estructura MAC le ayudará a los administradores a elegir las mejores poliíticas para sus situaciones.

El kernel por omisión de FreeBSD no incluye la opción para la estructura MAC; así que la siguiente opción del kernel debe ser agregada antes de usar cualquiera de los ejemplos o la información de este capítulo:

options    MAC

Y el kernel requerirá una recosntrucción y una reinstalación.

AtenciónMientras varias páginas de manual para módulos de políticas MAC afirman que pueden ser construidos dentro del kernel, es posible cortar el acceso del sistema a la red y más. Implementar MAC es muy parecido a implementar un firewall, se debe tener cuidado en prevenir que el sistema quede bloqueado totalmente. La habilidad de retornar a una configuración previa debería ser considerada durante la implementación de MAC, remotamente debe realizarse con precaución extrema.

Éste y otros documentos pueden obtenerse en ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/.

Para preguntas acerca de FreeBSD, leer la documentación antes de contactar con la lista <questions@FreeBSD.org>.
Para preguntas acerca de esta documentación, e-mail a <doc@FreeBSD.org>.