検索
連載

Tripwireのポリシーを最適化する：止められないUNIXサーバのセキュリティ対策（最終回）（2/3 ページ）

[木村靖，三井物産GTI] PC用表示 関連情報
Share
Tweet
LINE
Hatena
前のページへ | 次のページへ

1. セクションの定義

　ポリシーファイルをセクションによって区分させる。セクションは、@@sectionというディレクティブ【注】によって定義され、テンプレートではGLOBALとFSの予約された2つのセクションが定義されている。

ディレクティブ名 内容
@@section セクションを定義する。予約されているセクション名にはGLOBALとFSがある。GLOBALは、ポリシーファイル全体に適用されるセクションを意味する。また、FSはUNIX系OSの場合に指定するセクション名で、OSによって異なる（例えばWindowsの場合はNTFSなどを指定）
@@ifhost
@@else
@@endif 		ifhost、else endifでホスト名による条件分岐を指定する。||により複数のホスト名を指定できる
@@print メッセージを標準出力（STDOUT）に出力。引数には出力するメッセージを指定する。主にデバッグ時に利用される
@@error メッセージを標準出力（STDOUT）に出力し、終了する。引数には出力するメッセージを指定する。主にデバッグ時に利用される
@@end ポリシーファイルの終わりを示す。@@end以降は無視する
表1 ディレクティブ名
【注】Tripwireのディレクティブ（命令語）には、表1に示すようなものがあるが、通常の運用では@@section以外は使うことはほとんどない。

・GLOBALセクション（@@section GLOBAL）

　GLOBALセクションには、ポリシーファイル全体に適用される変数が指定されている。例えば、RedHat Linux RPM付属のテンプレートの場合、以下のような変数が定義されている。なお、ポリシーでは、#から行末まではコメントとして扱われる。

TWROOT="/usr/sbin"; # Tripwireのトップディレクトリ
TWBIN="/usr/sbin"; # Tripwireの関連プログラムの格納先
TWPOL="/etc/tripwire"; # ポリシーファイルの格納先
TWDB="/var/lib/tripwire"; # Tripwireデータベースの格納先
TWSKEY="/etc/tripwire"; # サイトキーの格納先
TWLKEY="/etc/tripwire"; # ローカルキーの格納先
TWREPORT="/var/lib/tripwire/report"; # レポートの格納先
HOSTNAME=atmarkit.example.co.jp; # このホストのホスト名　
RedHat Linux RPM付属のテンプレート

・FSセクション（@@section FS）

　FSセクションには、FSセクション内で利用する変数やルールが指定される。ルールには、Tripwireの監査対象となるファイルや監査内容などを定義する。なお、ルールの詳細については、後述の「3. ルールの定義」で説明する。

2. 変数の定義

　各セクションには、GLOBALセクションで説明した変数や、例えば以下のような変数が定義されている。これらの変数値は、環境に応じて必要であれば変更する。なお、変数値に空白やスラッシュ（/）が含まれる場合は、ダブルクオート（"）で囲む必要があるので注意すること。例えば、TWROOT変数には/usr/sbinという値がセットされている。

TWROOT = "/usr/sbin" ;
SEC_CRIT = $(IgnoreNone)-SHa ;
SEC_SUID = $(IgnoreNone)-SHa ;
SEC_BIN = $(ReadOnly) ;
SEC_CONFIG = $(Dynamic) ;
SEC_LOG = $(Growing) ;
SEC_INVARIANT = +tpug ;
SIG_LOW = 33 ;
SIG_MED = 66 ;
SIG_HI = 100 ;
変数の定義例

　また、上記のSEC_CRIT変数には、$(IgnoreNone)などのような置換変数が指定されている。置換変数は「$(変数名)」の形式で指定し、定義済みの変数を値に置換させたい場合に指定する。例えばSEC_CRIT変数には、「IgnoreNone変数の値-SHa」がセットされる。

　なお、変数名の中には、表2に示すとおり特殊な意味を持つ予約変数がある。これらは複数からなるプロパティ値（後述）を、分かりやすい変数名で利用できるようにしたものである。

変数名 内容
ReadOnly 読み取り専用ファイル
プロパティ値+pinugtsdbmCM-rlacSHと同じ意味を持つ
Dynamic 可変ファイル
プロパティ値+pinugtd-srlbamcCMSHと同じ意味を持つ
Growing サイズが増加するファイル
プロパティ値+pinugtdl-srbamcCMSHと同じ意味を持つ
Device デバイスファイル
プロパティ値+pugsdr-intlbamcCMSHと同じ意味を持つ
IgnoreAll すべてのプロパティを無視する
プロパティ値-pinugtsdrlbamcCMSHと同じ意味を持つ
IgnoreNone すべてのプロパティを有効にする
プロパティ値+pinugtsdrbamcCMSH-lと同じ意味を持つ
表2 特殊変数

3. ルールの定義

　FSセクションなどで定義されているルールでは、監査対象となるファイルの指定やどのような整合性チェックを行うかを定義する。一般的な書式は次のとおりとなる。

(ルール属性)
{
　　オブジェクト名1 -> 置換変数1;
　　オブジェクト名2 -> 置換変数2;
　　オブジェクト名3 -> 置換変数3 (ルール属性);
　　オブジェクト名4 -> プロパティ1;
　　オブジェクト名5 -> プロパティ2;
　　オブジェクト名6 -> プロパティ3 (ルール属性);
　　（以下必要分を定義）
}
ルールの書式

　{ }内が1つのルールとなり、最初の( )でそのルールに適用されるルール属性を定義する。

・ルール属性

　ルール属性には、表3で示すような値をセットする。{ }の前に定義した場合、属性はそのルール全体に適用され、オブジェクト名に指定した場合は、そのオブジェクトのみに適用される。

　例えば、Webページ関連の監査を行うために、ルール名「Web contents」を新たに定義したい場合は、以下のように追加すればよい。

(
　　rulename = "Web contents",
　　emailto = www@atmarkit.example.co.jp,
　　severity = 100
)
{
　　/www/htdocs -> $(ReadOnly) (recurse = true);
}
ルール名「Web contents」

　( )内がこのルールの属性で、rulenameでWeb contentsというルール名を定義し、emailtoでこのルール内で違反が発生した際の連絡先を指定し、severityで重用度を100に設定している。また、オブジェクトごとの属性指定として、Webコンテンツが格納されているディレクトリの/www/htodcsに対しては、recurse = tureで/www/htdocs以下のすべてのファイルやディレクトリを監査対象とするように指定している。

属性名 意味
rulename ルール名を指定する
emailto ルール違反が発生した際の通知先メールアドレス-M (--email-report)オプションで使用される
severity 重要度を指定する。0から1000000の範囲で指定（デフォルトは0）
recurse 監査対象ディレクトリ内を再帰的にチェックする階層を指定
true(-1)、false(0)または、数値（-1から1000000）を指定
trueは、ディレクトリ内のすべてのファイルやサブディレクトリを再帰的にチェックし、逆にfalseはチェックしない。
表3 ルール属性

・オブジェクト名とプロパティ

　オブジェクト名には、主に監査対象となるファイルを定義し、プロパティにはオブジェクトに対する実際の監査内容を定義する（表4）。

属性名 意味
- プロパティをチェックしない
+ プロパティをチェックする
a アクセス時刻（ファイルへのアクセス時刻が変更）
b ブロック割り当て番号
c iノードの時刻
d iノードが存在するデバイスのID
g ファイルのグループID（gid）
i iノード番号
l サイズが増加したファイル
m 修正時刻（ファイルの修正時刻が変更）
n リンク番号（iノードの参照回数）
p ファイルパーミッション
r iノードによって示されるデバイスID
s ファイルサイズ
t ファイルタイプ
u ファイルの所有者ID（uid）
C CRC-32ハッシュ値
H Havalハッシュ値
M MD5ハッシュ値
S SHAハッシュ値
表4 プロパティ

　オブジェクトとプロパティの例を以下にいくつか示す。

/etc -> +p;
/etc -> -p;
/etc -> +pinugtsdbmCM-rlacSH;
/etcディレクトリに関する設定例

　上記はいずれも/etcディレクトリに関する設定例だが、1行目は/etcディレクトリのパーミッション（p）をチェックする（+）ことを示している。逆に、2行目のルールはチェックしない（-）ことを示している。

　3行目は、プロパティを複数指定した場合の例で、p、i、n、u、g、t、s、d、b、m、C、Mはチェックするが、-以降のr、l、a、c、S、Hはチェックしないことを示している。

　ただし、通常の運用では、こういったプロパティを個別指定するのではなく、表2に示した特殊変数の方を指定するのがよいだろう。ちなみに3行目のプロパティ値 +pinugtsdbmCM-rlacSHは、ReadOnly変数が同じ意味を持つ。

/etc -> $(ReadOnly);
特殊変数を用いた設定例

・オブジェクトをチェック対象外にしたい場合

　特定のオブジェクトをチェック対象外にしたい場合、オブジェクト名の前にエクスクラメーションマーク（!）を付け加えればよい。

! オブジェクト名 ;
オブジェクトをチェック対象外にする

　例えば、Webコンテンツディレクトリ/www/htdocs内のwhatsnew.htmlファイルのみチェック対象外としたい場合は、以下のとおり指定すればよい。

{
　　/www/htdocs -> $(ReadOnly) (recurse = true);
　　!/www/htdocs/whatsnew.html
}
チェックを対象外にする例

ポリシーの更新

　クリアテキストのポリシーファイルを修正したら、ポリシーファイルの暗号化・署名、およびデータベースの更新を行う。ポリシーの暗号化・署名は、前回説明したとおりとなる。

# twadmin -m P twpol.txt
Wrote policy file: /etc/tripwire/tw.pol
ポリシーの暗号化・署名

上記の例では、クリアテキストのポリシーファイル（twpol.txt）を基に、tw.polの暗号化・署名されたポリシーファイルを更新している。更新が完了したら、新しいポリシーファイルの内容をチェックするのを忘れずに行うこと。

# twadmin -m p
ポリシーファイルの内容の確認

Copyright © ITmedia, Inc. All Rights Reserved.

前のページへ | 次のページへ

Security & Trust 記事ランキング

  1. 増える標的型ランサムウェア被害、現場支援から見えてきた実態と、脆弱性対応が「限界」の理由
  2. 日本人の約半数が「1年前より危険」と考えるオンライン詐欺とは　マカフィーがホリデーショッピング詐欺に関して調査
  3. ランサムウェア攻撃を受けた企業、約6割が「サプライチェーンのパートナー経由で影響を受けた」　OpenText調査
  4. 米国／英国政府が勧告する25の脆弱性、活発に悪用されている9件のCVEとは、その対処法は？　GreyNoise Intelligence調査
  5. インサイダーが原因の情報漏えいを経験した国内企業が約3割の今、対策における「責任の所在」の誤解とは
  6. 6年間でAndroidにおけるメモリ安全性の脆弱性を76％から24％まで低減　Googleが語る「Safe Coding」のアプローチと教訓とは
  7. 2024年10月現在で「過度な期待」をされているセキュリティ技術は何？　ガートナーがハイプ・サイクルを発表
  8. 徳丸氏がクラウド事故から考える、バックアップ、コンテナ、マイクロセグメンテーションを用いた本質的な「レジリエンス」とは
  9. 「DX推進」がサイバー攻撃を増加させている？　Akamaiがセキュリティレポートを公開
  10. 情報システム担当者1000人が本音で答える「EDRの理想と現実」　エムオーテックス調査
ページトップに戻る