第8回 Multi Level Securityで機密ファイルを管理する
古田 真己サイオステクノロジー株式会社
インフラストラクチャービジネスユニット
Linuxテクノロジー部
OSSテクノロジーグループ
2006/11/28
Fedora Core 6（FC6）が正式リリースされました。前回はFC6のTest 3を使ってMLSを紹介したので、今回はいよいよ正式版を使える、と考えていましたが、残念ながらうまく動作しませんでした。そのため今回はRaw Hide上でのMLSでのオペレーションの続きと、ポリシーソースのインストールと解析について解説したいと思います。
FC6のリリースとSELinux
はじめに書いたとおり、今回は正式リリースのFC6を使用して解説しようと考えましたが、問題が発生しましたのでRaw Hideを使用して行っています。
問題というのは、MLSポリシー（selinux-policy-mls）に必要な、policycoreutils-newroleパッケージの依存性が解決できなかったことです。このパッケージは最近別パッケージとしてpolicycoreutilsから分離したもののようで、/usr/bin/newroleコマンドとそのmanページだけが入っています。
| [root@localhost ~]# rpm -ql policycoreutils-newrole /usr/bin/newrole /usr/share/man/man1/newrole.1.gz [root@localhost ~]# rpm -q --qf '%{sourcerpm}\n' policycoreutils-newrole policycoreutils-1.32-2.src.rpm |
| 図1 policycoretutils-newroleパッケージの内容 |
最近のFedora Coreは、個人のデスクトップでの使用には十分なレベルになったという印象を持っていますが、SELinuxに関してはまだこれからだと思っています。特にFC5からはメジャーバージョンこそ変更されませんが、管理方法や、運用方法が頻繁にアップデートされています。
今回の作業に必要なSELinux関連のパッケージを下にまとめました。
パッケージ名 |
内容 |
| checkpolicy-1.32-1.fc6 | バイナリポリシー生成用のポリシーコンパイラ |
| libselinux-python-1.33.1-1 | semanageなどで使われているSELinux用のPythonバインディング |
| libselinux-1.33.1-1 | SELinux用のAPIを提供するライブラリ |
| libsemanage-1.6.17-1 | ポリシー管理用のライブラリ |
| libsepol-1.15.2-1 | バイナリポリシーを取り扱うためのライブラリ |
| mcstrans-0.1.8-3 | トランスレーション用のmcstransdサービス |
| policycoreutils-1.32-3 | SELinux用の基本的な管理コマンド群 |
| policycoreutils-newrole-1.32-3 | ロール変更のためのnewroleコマンド |
| selinux-policy-devel-2.4.3-10 | SELinuxポリシー用ヘッダファイルにあたるインターフェイスファイル（*.if）が含まれる |
| selinux-policy-mls-2.4.3-10 | SELinuxのMLSポリシー |
| selinux-policy-2.4.3-10 | SELinuxのドキュメントとmanページ |
| setools-gui-3.0-2.fc6 | TresysのSETools（GUI版） |
| setools-3.0-2.fc6 | TresysのSETools（コンソール版） |
| 表1 SELinux関連パッケージ（MLS関連） |
以下は今回の作業には含まれませんが、FC標準のMCSポリシーで有用なパッケージです。
パッケージ名 |
内容 |
| setroubleshoot-1.5-1.fc7 | SELinuxの警告ログに応じて、X Window System上にGUIでヒントを出力してくれる |
| 表2 SELinux関連パッケージ（MCS関連） |
MLSのウリは、ユーザー間の情報を慎重かつ厳重に取り扱うことができるところです。秘密の情報を慎重に取り扱うことが必要で、それぞれ異なるセキュリティレベルを持ったユーザー間での情報のやりとりをSELinuxで保護するソリューションを考えてみましょう。
|
1/4 |
 |
| Index | |
| Multi Level Securityで機密ファイルを管理する | |
 |
Page1 FC6のリリースとSELinux |
| Page2 社内機密ファイルの運用・管理をMLSで実現 インストールとRaw Hideへのアップデート サーバ側接続環境のセットアップ |
|
| Page3 実際の動作をテストする セキュリティコンテキストを調整する |
|
| Page4 システムへのログインと実行ドメインの確認 運用に合わせたポリシーの修正と変更 重要ドキュメントとユーザーの管理 |
|
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
