第7回 LIDSのACLをチューニングする
面 和毅サイオステクノロジー株式会社
インフラストラクチャービジネスユニット
Linuxテクノロジー部
OSSテクノロジーグループ
シニアマネージャ
2006/6/2
前回「TDEポリシーとアプリケーションのサンドボックス化」では、TDE（Trusted Path Execution）とサンドボックスについて説明しました。これで一通り、機能の説明が終わりましたので、今回からはLIDSのコマンドの使用方法や、実際のACL設定方法を詳しく見ていきましょう。
LIDSを実際にインストールしてみよう
いままではLIDSがすでに設定されているVMwareイメージを使用して説明していました。今回からは実際にユーザーの環境にLIDSをインストールするための方法を簡単に説明します。
LIDSは、LIDS-1系列／LIDS-2系列ともに
- カーネルに当てるパッチ
- lidstools（LIDSを設定するためのコマンド集）
の2つからできており、最新版がLIDSのWebサイトからダウンロードできます。
| LIDS公式サイト http://www.lids.org |
LIDSのパッチは、基本的にftp.kernel.orgからダウンロードできる「素」のカーネルに対して当てるように構成されています。それ故、LIDSを導入するには、ユーザーが利用中のディストリビューションから提供されているカーネルではなく、素のカーネルでシステムが立ち上がるようにする必要があります。
しかし、LIDS-JPのメンバーの協力により、LIDSパッチをすでに当ててある各ディストリビューションのカーネルパッケージやlidstoolsのパッケージが提供されています。ディストリビューション依存のカーネルを使用したい場合には、LIDS-JPサイトをチェックしてみてください。
| LIDS-JP公式サイト http://www.selinux.gr.jp/LIDS-JP |
素のカーネルでLIDSをインストールする手順は、
- 素のカーネルでシステムが立ち上がるようにする
- 素のカーネルソースにLIDSパッチを当てる
- menuconfigなどでLIDSのオプションを選び、LIDSパッチが当たったカーネルをmakeする
- lidstoolsをmakeして、インストールする。この際、LFS（後述）用のパスワードを設定する
- システムをACL_DISCOVERYモード（後述）にして再起動する
という順番になります。
カーネルパッケージがRPMなどで提供されていた場合には、
- RPMでカーネルパッケージをインストールする
- RPMでlidstoolsパッケージをインストールする。この際、「lidsconf -P」でLFS用のパスワードを設定する
- システムをACL_DISCOVERYモードにして再起動する
となります。
LIDS-1系列のカーネルオプションの詳しい説明は、http://www.selinux.gr.jp/LIDS-JP/document/Configure.help.jp.txtにありますので参考にしてください。
LIDS Free Session（LFS）
LIDSのアクセス制御はMAC（強制アクセス制御）になっており、システム起動中は変更できなくなっています。LIDSの導入されたシステムが運用されている間は、ACLを変更するには、システムを再起動してGRUBやLILOで「lids=0」というパラメータを入力する必要があります。
しかし、システムが本番運用される前のACL調整時に、毎回システムを再起動してACLを設定していくのは非常に不便です。そのため、LIDSではLIDS Free Session（LFS）が用意されています。
LFSはLIDSの制限を一切受けないセッションになります。LFSを使用することにより、そのセッションでACLを調整して、システムにACLを再読み込みさせることが可能になり、毎回システムを再起動する必要がなくなります。
LFSには、パスフレーズによる認証がかかっています。また、LFSを使用できる端末をシリアル端末のみにしたり、システムコンソールのみにしたりするなどの制限をかけられるので、一定のセキュリティを保つことが可能です。
また、LFSを無効にすることにより、システム運用中には完全にACLの変更ができないようにすることも可能です。これは、カーネルのオプションで選択できます。
|
1/4
|
 |
| Index | |
| LIDSのACLをチューニングする | |
 |
Page1 LIDSを実際にインストールしてみよう LIDS Free Session（LFS） |
| Page2 ACL_DISCOVERYモード lidstools lidsadmコマンド |
|
| Page3 lidsadm -V |
|
| Page4 lidsadm -I lidsadm -S -- +/-"状態フラグ" |
|
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
