再起動が完了したらログインしてみます。ポリシー修正が行われたことで、gdmからログインするとセキュリティコンテキストは正しく「user_u:user_r:user_t:SystemLow」となりました。ポリシー修正後のセキュリティコンテキストを確認する今回の目的のためには、さらに作業が必要です。運用に合わせたポリシーの修正と変更いままでは「Permissive」モードで動作させていましたが、実際の運用には「Enforcing」モードで使用可能である必要があります。試しにこの状態で「Enforcing」モードに切り替えると、VNCの接続が切れ、二度と接続できなくなります。rootユーザーでsshからログインした後モードを切替えるここからは、VNCサーバに合わせて新しくポリシーを追加してやる必要があります。手で一からVNC接続用のポリシーを記述することも可能ですが、とても時間がかかりますし、セキュリティを厳しく設定するには、SELinuxを熟知していることが必要で、実際の運用ではなかなかそこまでは手が回りません。今回は「audit2allow」コマンドを使用することで、バイナリポリシーモジュールを生成して解決してみましょう。第5回「Referenceポリシーの作成と動作テスト」にて、新しくなったaudit2allowコマンドでポリシーモジュールを生成できることを紹介しました。具体的には以下のようにします。バイナリポリシーモジュールの自動生成(syslog)今回はログを確認しやすく、取り扱いやすいという理由から2.のsyslogの情報からポリシーを生成してみます。「/var/log/messages」ファイルを強制的にローテートして空にします。次に、「reboot」して再起動を行ってから再度VNC経由で一般ユーザーとしてログインし、OpenOffice.orgを起動してみます。そのとき、発生するSELinuxのすべてのアクセス拒否ログは「/var/log/messages」に出力されます。これを使用してaudit2allowでポリシーモジュールを作成します。audit2allowでの自動ポリシー生成このとき、生成されるポリシーは非常に大きなサイズになります。これは前回再起動してから行われた動作がすべて反映されたものだからです。自動生成で生成されたポリシーファイル生成されたポリシーは次のようにインストールできます。バイナリポリシーモジュールのインストールと確認インストールされたポリシーは再起動後も有効になります。あとは「Enforcing」モードで起動して動作を確認してみてください。「/var/log/messages」に記録されるSELinuxのアクセス拒否ログは、ほとんどの場合、本当に正しく拒否されるべきものを含んでいます。従って、今回の例では無条件のポリシーを作成しインストールしましたが、本来は拒否ログの1つ1つについて、妥当性を評価する必要があります重要ドキュメントとユーザーの管理ユーザーの管理にはMCSのときと同じく「semanage」コマンドを使用します。SystemLowからUnclassfiedまでを取り扱うユーザー、engineer1は次のように追加します。ユーザーengineerの追加と設定このようにしてポリシーと管理用の設定を整え、SELinuxのセキュリティ上の保証と、実際に業務に必要な動作の許可を設定していきます。MLSでは今回説明したように、MCSに加えてさらにセキュリティ階層ごとのアクセス制御が実現できるため、NDA関連文書や、人事、経理などの重要度の高いデータをこのようなサーバ上でのみ取り扱うこととすれば、情報の漏えい、データの改ざんが防げるはずです。今回はMLSでのソリューション例とその設定方法について解説しました。これはいままでの内容のまとめにもなっていたかと思います。一度復習してみてください。Linuxテクノロジー部OSSテクノロジーグループ学生時代にUNIXマシン欲しさ、触りたさに秋葉原へ通い詰める。秋葉原でAT互換機や中古UNIXマシンの販売などを経て、IT業界に転職。その後Linuxのエンタープライズ分野での性能評価や、構築案件などを経験し、2004年にテンアートニ(現・サイオステクノロジー)入社。Linuxのサポート業務、構築案件に取り組んできた。現在はサイオステクノロジーでSELinuxの調査・研究、ビジネスでの普及活動に注力している。10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。WannaCryがホンダやマクドにも。(2017/7/11)2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。(2017/7/5)人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。Threat)対策の観点から考える。