2011年01月07日

TOMOYO Linux によるOSコマンドインジェクション対策

PHPネタと2ちゃんねるネタが立て続けに出てきたので、宣伝をば。(笑)

TOMOYO Linux ではプログラムのパス名1個、ファイルのパス名1個を単位として読み書き実行の可否を制限することができます。そのため、例えば /bin/cat の実行だけを許可したい場合に /bin/cat の実行だけを許可することができます。
SELinux では bin_t などのラベル単位でグループ化してしまうため、 /bin/cat の実行だけを許可するという設定は(ポリシーを0から作成する覚悟とスキルが無ければ)実現できません。
ファイルについても同様で、例えば /bin/grep コマンドに対して /var/data/ 以下のファイルは許可するけれども /etc/passwd は許可しないといった設定が可能です。

さらに、 TOMOYO Linux には execute handler という機能が搭載されています。この機能を使うと、プログラムの実行要求を横取りして、コマンドライン引数/環境変数の検査/無害化や標準入出力のリダイレクトなど、様々な前処理を挿入することが可能です。
(やっていることは man in the middle 攻撃と同じですが、システム管理者に善用してもらうために提供されています。)

利用者自らがポリシーを作成する TOMOYO Linux は、不要なコマンドやファイルへのアクセスを禁止するのに便利です。どうぞ活用してください。
(カーネル本体の置き換えが嫌だという方は、カーネルモジュールとして実装されている AKARI をご利用ください。)

posted by 熊猫さくら at 22:59| Comment(0) | TrackBack(0) | TOMOYO Linux
この記事へのコメント
コメントを書く
お名前:

メールアドレス:

ホームページアドレス:

コメント:

※ブログオーナーが承認したコメントのみ表示されます。
この記事へのトラックバックURL
http://blog.sakura.ne.jp/tb/42442018
※ブログオーナーが承認したトラックバックのみ表示されます。

この記事へのトラックバック