Linuxのセキュリティ対策

• 基本
• SELinux
• AppArmor
• TOMOYO Linux
• ファイアウォール
• firewalld（RHEL7/CnetOS7以降）
• iptalbes
• Amazon EC2の場合は（EC2の）Security Groupsによる簡易ファイアウォールでも
• WAF
• ModSecurity
• ウィルス対策
• Clam AntiVirus
• Rootkit検査
• rkhunter
• chkrootkit
• 改鼠検知
• AIDE
• Tripwire

• OSSEC （2015/4/4追記）

• ログ報告
• Logwatch

SELinuxコマンドメモ

SELinuxの状態を確認する

/usr/sbin/getenforce

• "Enforcing"なら有効
• "Permissive"なら無効

SELinuxを一時的に無効/有効にする
無効

/usr/sbin/setenforce 0

有効

/usr/sbin/setenforce 1

SELinuxにアクセス拒否された結果のログを見る

/sbin/ausearch -m avc

• ログは /var/log/messages に出力されるという説明をよく見かけるが、手元の環境では /var/log/audit/audit.log に出力されている。
• "scontext"がアクセスしてきたプロセスの情報で、"tcontext"がアクセス対象のセキュリティコンテキストみたい。
• 参考：selinux - xField Wiki
  

各ディレクトリ・ファイルのセキュリティコンテキスト（ラベル）を見る

ls -aZ [パス]

セキュリティコンテキストを変更する

chcon -t <セキュリティコンテキスト> <パス> [-R]

• 最後の-RはリカーシブのR
• "setenforce 0"してから変更する必要がある
• 参考：第5回　タイプを変更してトラブルに対処する - 第一人者がやさしく教える新SELinux入門：ITpro
  （複数のアプリケーションからアクセス可能にするやり方も書いてある。）
  

セキュリティコンテキストを規定の値に戻す

/sbin/restorecon -R <パス>

• 手元の環境では想定通りに動かなかった。使い方が違うのかな？
  

booleanを一覧表示する

/usr/sbin/getsebool -a

audit2allowでポリシーを変更

/usr/sbin/setenforce 0
audit2allow -M local -i <抜き出したログ>
/usr/sbin/semodule -i local.pp
/usr/sbin/setenforce 1

• ログ（ /var/log/audit/audit.log ）には許したいアクセス以外も含まれているので、"/sbin/ausearch -m avc"を使って該当箇所だけを抜き出してテキストファイルとして保存する
• setenforceは不要？
  
• 参考
• Red Hat Enterprise Linux 5で始めるSELinux － ＠IT
• DokuWiki + SELinux - やったるでぇ

時間があるなら、第一人者がやさしく教える新SELinux入門---目次 - 第一人者がやさしく教える新SELinux入門：ITproを一読したい。
ボリュームが多いけど、基礎から駆け足で学ぶのによさそう。

Sambaセットアップの参考サイト

Sambaセットアップ時の参考サイトのメモ。


Sambaのセットアップ
　参考：Sambaをインストールして、みんなでファイルを共有できるようにする。
補足

• 自分の場合、WORKGROUPがWorkgroupとInitCapになっていて、全部大文字だとダメだった。
• passdb backendは tdbsam のままでOKだった。

SELinuxを有効にしている場合、Windowsからログインしようとすると「ネットワーク名が見つかりません。」というエラーになるのでsetseboolコマンドを使う。
　参考：[unix][soft][windows] Sambaをインストールした - メモの日々(2009-03-05)


Windows側からファイルを作成した際のデフォルトのパーミッションの設定
　参考：チョレオ - Sambaでファイル共有のパーミッションではまる話


Windowsから他のユーザーでアクセスしたくなったら、コマンドプロンプトからネットワークログイン情報を削除する。

　参考：Tips Labo Windows：ネットワークのログイン情報を削除する方法


もうちょっと詳しい情報
　共有フォルダの作成と詳細設定