使用cfengine安全加固Solaris服务器(上)

　　一、cfengine简介

　　cfengine(配置引擎)是一种 UNIX 管理工具，其目的是使简单的管理的任务自动化，使困难的任务变得较容易。它的目标是使系统从任何状态收敛到一种理想状态。依照它的作者 Mark Burgess 所说，cfengine 总是使您的系统更接近于您所定义的配置;它决不会使系统变得更糟。cfengine 将改变您的系统管理方法。然而，cfengine 并不能代替您思考。在将配置文件放入产品之前，您仍需要编写它并对它进行测试。 而另一方面，cfengine 所做的事情几乎很少会造成损害。Cfengine 适用于管理各种环境，从一台主机到上万台主机的机群均可使用。到2.2 版本为止，我们现在所知的用于一般性管理的最大安装机群约为20，000 台。Cfengine 可从很多方面对系统配置和维护进行管理，包括以下几点：

　　完成后期安装任务，例如配置网络界面信息。

　　编辑系统配置文件以及其它文件。

　　建立信号连接。

　　检验、更正文件许可及所有权。

　　删除无用文件。

　　压缩被选文件。

　　在网络中分发文件。

　　自动挂载NFS文件系统。

　　检查重要文件和文件系统是否存在及其完整性。

　　执行命令及脚本。

　　应用安全相关的补丁以及相似系统的修正。

　　管理系统服务器进程。

　　二、Unix服务器的推和拉

　　cfengine的另一个优点是从服务器执行“拉”操作而不是从主系统执行“推”操作。如果拥有一组可靠的正常运行的本地服务器，则两者不会有多大的区别，但如果系统扩展到不可靠的网络和/或网络无法始终运行，则“拉”方法是非常可靠的。如果某些系统既可从Unix引导，又可从Windows引导，则只要在Unix中运行，它们就可从服务器拉出内容。相反，如果使用