[port139ml:02294] Re: 第2回 ログファイルの改ざん

[KOJIMA Hajime / 小島肇 <kjm@xxxxxxxxxxxxxxxxxx>]

題名: [port139ml:02292] Re: 第2回 ログファイルの改ざん
(<20030214163519.5B97.HIDEAKI@xxxxxxxxxxxxx>) において
Hideaki Ihara さんがおっしゃるには:
| >  これかしら:
| 
| こっちだったり：
| 
| 10.3.6. ファイルの完全性のチェック: バイナリ, 設定ファイルなど
| http://www.freebsd.org/ja/handbook/securing-freebsd.html
| 
| >ことこの問題に至ると, システム管理者にできることは, 便利さ 
| >という要素がその醜い頭を上げない程度に, コアシステムの設定
| >と制 御ファイルを防御することだけです. たとえば, / および
| >/usr にある 大部分のファイルに schg ビットを設定するために
| >chflags を使用するのは, おそらく逆効果 でしょう. なぜなら,
| >そうすることでファイルは保護できますが, 侵 入を検出する窓を
| >閉ざしてしまうことにもなるからです. セキュリティ のタマネギ
| >の最後の層はおそらく最も重要なもの - 検出です. セキュリティ
| >の残りのものは, 突然の侵入を検出できなければ, まったく有用
| >ではありません (あるいは, もっと悪ければ, 安全性に対する間
| >違った感覚を植え付けてしまいます). 
| >タマネギの仕事の半分は, もう半分の検出側が攻撃者を攻撃の最
| >中に捕えるようにするた めに, 攻撃者を食い止めるのではなく
| >侵入を遅らせることなのです.

  これって実は「機能の不足」の言い訳のような気がするんです。本来は、
  schg なファイルを操作しようとした時点で alert が上がるべきなので
  は。それこそが「検出」だと思うのですが。

  まあ、何を守りたいかに依存するのでしょうけれど。

- kjm