エンベデッドシステムスペシャリスト 2017年午前2 問10

問題文

Linuxの拡張モジュールであるSELinux（Security-Enhanced Linux）を使用することによって可能になることはどれか。

🖊️ 解答を隠して解いてみる

ア：スーパユーザによるリソースへのアクセスを制限して、侵入された際の影響を最小限に抑える。（正解）

イ：接続元や使用するポート番号を制限して、侵入を防ぐ。

ウ：通信文を暗号化して、盗聴を防ぐ。

エ：ファイルを以前の状態と比較して、改ざんを検知する。

🔒 解説は解答すると表示されます

SELinuxは、Linuxに強制アクセス制御（MAC）を追加する仕組みです。ユーザーやプロセスに許可された権限だけでなく、セキュリティポリシーに基づいて、プロセスがアクセスできるファイルやリソースを制御します。

そのため、侵入者がスーパユーザ権限を得た場合でも、SELinuxのポリシーで許可されていない操作を制限できます。侵入後に実行できる操作の範囲を狭め、被害を抑えられるため、アが正解です。

ア：正解です。SELinuxは、ポリシーに基づいてプロセスなどのアクセスを制限します。スーパユーザであっても、ポリシーによって許可されない操作は制約される場合があります。
イ：接続元やポート番号による通信制御は、ファイアウォールの役割です。SELinuxの主な役割とは異なります。
ウ：通信内容の暗号化は、TLSなどの暗号化技術の役割です。SELinuxは通信文を暗号化する機能ではありません。
エ：ファイルの変更を検出する機能は、ファイル整合性監視ツールなどが担います。SELinuxはファイルの以前の状態との比較を主目的としていません。

SELinuxは侵入そのものを防ぐ機能だと思う
侵入を完全に防ぐのではなく、侵入後に実行できる操作を制限し、被害を抑えることが重要な役割です。
スーパユーザならすべての操作が可能だと思う
通常のLinux権限では強い権限を持つスーパユーザでも、SELinuxのポリシーによってアクセスを制限されることがあります。
ネットワーク通信を制御する機能だと思う
接続元やポートの制限は主にファイアウォール、通信の暗号化はTLSなどが担います。

Linuxの通常のアクセス制御は、ファイルの所有者や権限などに基づく任意アクセス制御（DAC）が基本です。SELinuxはこれに加えて、システム管理者が定めたポリシーによる強制アクセス制御を行います。

SELinuxには、ポリシー違反を制限する「Enforcing」モード、違反を記録するが制限しない「Permissive」モード、機能を無効にする「Disabled」モードがあります。

Q. SELinuxを有効にすれば、侵入を完全に防げますか？
A. いいえ。脆弱性対策や認証などの代わりにはなりません。侵入後に可能な操作を制限し、被害を抑えるための多層防御の一部です。

Q. SELinuxはスーパユーザにも制約をかけられますか？
A. はい。SELinuxのポリシーによって、スーパユーザのプロセスであっても特定のアクセスや操作が制限されることがあります。

関連キーワード: SELinux、強制アクセス制御、任意アクセス制御、セキュリティポリシー、最小権限、ファイアウォール

\ せっかくなら /

エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？

すぐに利用可能！