Linuxセキュリティメカニズムの詳細

10年以上の開発を経て、Linuxの機能は常に強化され、そのセキュリティメカニズムは徐々に向上しています。 TCSECの評価基準によると、Linuxの現在のセキュリティレベルは基本的にC2に達しており、より高いセキュリティレベルのLinuxシステムが開発中です。

Linuxの既存のセキュリティメカニズムを見てみましょうこれらのメカニズムの中には標準のLinuxで受け入れられているものもあれば、 "Patch"プログラムだけを提供しているものもあります。

PAMメカニズム

PAM（Pluggable Authentication Modules）は、共有ライブラリのセットです。目的は、フレームワークとプログラミングインターフェイスのセットを提供することです。認証作業は、プログラマによって管理者に渡されます。PAM管理者は、認証関連のアプリケーションを再コンパイルせずにローカル認証方法を変更できる複数の認証方法を選択できます。

PAMの機能は次のとおりです。

●暗号化されたパスワード（DES以外のアルゴリズムを含む）;

●DOS攻撃を防ぐためのユーザーのリソース制限;

●ランダムなShadowパスワードを許可する。

●特定のユーザが指定された場所から指定された時間にログインするのを制限する。

●PAMがC /Sアプリケーションをサポートできるようにする。機械 - 機械の認証は可能です。

PAMを使用すると、より効率的な認証方法の開発が容易になり、これに基づいて、スマートカード、指紋認識、その他の認証方法など、従来のユーザー名とパスワードに代わる認証方法を簡単に開発できます。

侵入検知システム

侵入検知技術は比較的新しい技術で、侵入検知ツールをインストールしているオペレーティングシステムはほとんどありません。リリース版も最近このツールが装備されています。侵入検知システムの歴史は非常に短いですが、開発は非常に速く、現在最も普及している侵入検知システムはSnort、Portsentry、Lidsなどです。

Linux搭載のツールとインターネットからダウンロードしたツールを使用して、Linuxは以下を含む高度な侵入検知機能を持つことができます。

●侵入の試みを記録し、攻撃が発生したときに通知するAdministrator;

●指定された攻撃が発生したときに事前に指定されたアクションを実行します;

●他のオペレーティングシステムに偽装するなどのエラーメッセージを送信し、攻撃者はそれらを攻撃者と見なします Windows
NTまたはSolarisシステムを攻撃する。

ファイルシステムの暗号化

暗号化テクノロジは、現代のコンピュータシステムのセキュリティにおいてますます重要な役割を果たしています。ファイルシステムを暗号化することは、ファイルシステムに暗号化サービスを導入して、コンピュータシステムのセキュリティを向上させることです。ハードドライブの盗難防止、不正アクセスの防止など、ファイルシステムを暗号化する理由は多すぎます。

現在、LinuxにはCFS、TCFS、CRYPTFSなどのさまざまな暗号化ファイルシステムがあり、さらに代表的なものはTCFS（Transparent Cryptogr APhic File System）です。ユーザーがファイルの暗号化プロセスを感じないように、暗号化サービスとファイルシステムを緊密に統合します。 TCFSはファイルシステムのデータ構造を変更しません、そしてバックアップと修復の意味論と機密ファイルへのユーザーアクセスは変わりません。

TCFSは、機密ファイルを次のユーザーに読めないようにします。

●正当な所有者以外のユーザー;

●ユーザーとリモートファイルシステムの通信回線リスナー;

●ファイルシステムサーバーのスーパーユーザー。

正当なユーザーにとって、機密ファイルへのアクセスは通常のファイルへのアクセスとほとんど見分けがつきません。

セキュリティ監査

システム管理者がさまざまなセキュリティ対策を精力的に講じていますが、残念ながら新しい脆弱性がいくつか発見されています。攻撃者はこの脆弱性が修正される前に、できるだけ多くのコンピュータを突破する機会を素早く捉えます。 Linuxはいつホストが攻撃されるのか予測できませんが、攻撃者の所在を記録することができます。

Linuxは時間情報とネットワーク接続を検出、記録することもできます。この情報は将来の参照のためにログにリダイレクトされます。

ロギングはLinuxセキュリティアーキテクチャの重要な部分であり、攻撃の唯一の本当の証拠です。今日利用可能なさまざまな攻撃方法のために、Linuxはネットワーク、ホスト、およびユーザーレベルのログ情報を提供します。たとえば、Linuxは次の情報を記録できます。

●すべてのシステムとカーネルの情報を記録します。

●すべてのネットワーク接続とその送信元IPアドレス、長さ、そして攻撃者のユーザーを記録します。使用する名前とオペレーティングシステム;

●リモートユーザーがアクセスを要求したファイルを記録する;

●ユーザーが制御できるプロセスを記録する;

●特定のユーザーが使用した各コマンドを記録する。

実際の攻撃の後に調査が行われたとしても、ネットワーク侵入者を調査する際にはログ情報が不可欠です。

強制アクセス制御

強制アクセス制御（MAC）は、システム全体の観点からシステム管理者によって定義および実装されているアクセス制御の一種です。主語と目的語は、情報の共有と流れを強制的に制限するので、異なるユーザーが指定された範囲の情報にしかアクセスできないため、情報の損失とアクセスの乱れを根本的に防ぐことができます。

従来のMACの実装はTCSECで定義されているMLS戦略に基づいていますが、MLS自体の欠点（柔軟性がない、互換性が低い、管理が難しいなど）のために、さまざまな方法が提案されています。 DTE、RBACなどのMACポリシーLinuxは無料のオペレーティングシステムであるため、必須のアクセス制御の実装はいくつかありますが、代表的なものにはSElinux、RSBAC、およびMACがあり、採用される戦略は異なります。

NSAによって導入されたSELinuxセキュリティアーキテクチャはFlaskと呼ばれており、この構造では、セキュリティポリシーのロジックはオペレーティングシステムとは別のコンポーネントにカプセル化されています。 。 SELinuxのセキュリティサーバーは、Type Enforcement（TE）、Role-based Access Control（RBAC）、およびMulti-level security（MLS）からなるハイブリッドセキュリティポリシーを定義しています。セキュリティサーバーを置き換えることで、さまざまなセキュリティポリシーをサポートできます。 SELinuxはポリシー設定言語を使ってセキュリティポリシーを定義します。セキュリティポリシーはcheckpolicyによってバイナリ形式にコンパイルされ、ファイル/ss_policyに格納され、カーネルの起動時にカーネルスペースに読み込まれます。つまり、セキュリティポリシーはシステムが起動するたびに異なります。 security_load_policyインターフェースを使用して、システム運用中にポリシーを変更することもできます（そのような変更を許可するようにポリシーが構成されている限り）。

RSBACの正式名称はRule Set Based Access Controlです。これは、AbramsとLaPadulaによって提案されたアクセス制御のための一般化フレームワーク（GFAC）モデルに基づいており、複数のモジュールに基づいて提供できます。柔軟なアクセス制御すべての安全関連システムコールはセキュリティ実装コードを拡張し、それが中央決定コンポーネントを呼び出し、次に中央決定コンポーネントがすべてのアクティブな決定モジュールを呼び出して包括的な決定を形成し、それがシステムコール拡張によって実装されます。現在RSBACに含まれているモジュールは主にMAC、​​RBAC、およびACLを含みます。

MACはMalcolm Beattie for Linux 2.2によって英国で書かれた非常に基本的なMACアクセス制御で、実行中のLinuxシステムを複数の見えない（または相互に制限された）サブシステムに分離します。サブシステムは単一システムとして管理できます。 MACは伝統的なBibaの完全性モデルとBLPモデルに基づいていますが、作者は彼の仕事を続けているようには見えません。

ファイアウォール

ファイアウォールは、保護されたネットワークとインターネット、または他のネットワーク間のアクセスを制限するコンポーネントまたは一連のコンポーネントです。

Linuxファイアウォールシステムには、次の機能があります。

●アクセス制御。アドレスベース（送信元と送信先）、ユーザーおよび時間のアクセス制御ポリシーを実行して、不正アクセスを防止します。同時に、内部ユーザーを保護するための正当なアクセスは影響を受けません。

●監査、それを介したネットワークアクセスの記録、完全なログの確立、ネットワークアクセスレコードの監査と追跡、および必要に応じたレポートの生成。

●アンチアタック、ファイアウォールシステムが信頼できないネットワークに直接さらされている外部の世界では、ファイアウォールによって保護されている内部ネットワークはポイントのようなものであり、すべての攻撃はそれに対して行われます。そのため、要塞マシンには高度なセキュリティとさまざまな攻撃に耐える能力が求められます。

●監査関連のアラームや侵入検知、アクセス制御関連の認証、暗号化と認証、さらにはVPNなどのその他の補助機能。