Leadersは2012年5月に「OSS鳥瞰図」を作成・公開した。あり多岐にわたるOSSを鳥の目で俯瞰的に理解できるように、という意図で作成したものだ。OSSの進化は急ピッチである。クラウド技術部会が完全リニューアルし、「OSS鳥瞰図2017年α版」を作成した。今回はセキュリティにスポットを当てる。オープンさとセキュリティ。相反するようですが、セキュリティ領域には様々なOSSが存在します。2017年度版のOSS鳥瞰図(http://ossforum.jp/node/1332)における「セキュリティ」カテゴリでは、エンタープライズ用途で注目すべきOSSを厳選してリストアップしています。今回はその中の認証・アクセス管理カテゴリから強制アクセス制御のSELinux、AppArmor、および認証サーバーKeycloakを、アンチウィルス/脆弱性管理からOpenSCAPを紹介します。コンテナ環境で必須の強制アクセス制御:SELinuxとAppArmorSELinuxとAppArmorはいずれも、Linuxのカーネルに「強制アクセス制御」と呼ばれる機能を追加するモジュールです。従来のアクセス制御は、ファイルパーミッションのようにファイル所有者が勝手にパーミッション設定でき、またLinuxで最上位かつ広範なroot権限を持つユーザー(やプロセス)はそれを無視できるため、「任意アクセス制御」と呼ばれていました。強制アクセス制御では、セキュリティポリシー(AppArmorではプロファイルと呼ばれる)に従い、全てのプロセスの動作を厳しく制限し、仮に何らかの脆弱性があったとしても被害を最少限にします。そのためroot権限を持つプロセスであっても制限は回避できず、必ずポリシーやプロファイル設定に従わなければなりません。名前がややこしいですが、SELinuxはLinuxディストリビューション(OSそのもの)ではないことに注意して下さい。Linuxに、それぞれ2000年代後半とかなり以前から標準で取り込まれています。ところが「設定が難しい」というイメージが先行したため、実用段階ではシステム構築時に無効にされてきました。昨今では無効にするリスクが日に日に高まっており、また仮想化環境のセキュリティを担保する前提として用いられるため、今回の鳥瞰図に新たに取り込みました。軽量の仮想環境である「コンテナ」技術が広がる中で、強制アクセス制御は欠かせません(図1)。コンテナはLinuxカーネルを共用しますので、脆弱性があるとあるコンテナが別のコンテナを破壊したり、ホストOSのファイルを破壊できてしまうからです。強制アクセス制御を有効にすることで、コンテナから別のコンテナのファイルへのアクセスやホストOSのファイルなどへのアクセスは全てチェックされ、違反するものをブロックできます。実証実験でRPAの大幅な業務削減効果を確認。Libraryもご利用いただけます。実証実験でRPAの大幅な業務削減効果を確認。ご所属のお客様でも、ご所属企業(または団体)におけるIT化を推進されるお立場の方にもお読みいただけます。Leadersは2012年5月に「OSS鳥瞰図」を作成・公開した。あり多岐にわたるOSSを鳥の目で俯瞰的に理解できるように、という意図で作成したものだ。OSSの進化は急ピッチである。クラウド技術部会が完全リニューアルし、「OSS鳥瞰図2017年α版」を作成した。今回はセキュリティにスポットを当てる。