8.8. セキュリティー

KRB5 ピア認証を使用して、リモートのロギングサーバーで auditd サーバーを開始しない

SELinux ポリシーには、SELinux タイプの auditd_t で実行しているプロセスで作成された一時ディレクトリーおよびファイルに対する auditd_tmp_t ファイルタイプが含まれません。リモートロギングに KRB5 ピア認証を使用する場合は、サーバーで auditd サービスを起動しないようにします。

Audit の実行可能な監視機能がシンボリックリンクで機能しない

-w オプションによって提供されるファイルモニタリングでは、パスを直接追跡できません。デバイスと inode へのパスを解決して、実行したプログラムとの比較を行う必要があります。実行可能なシンボリックリンクを監視する監視機能は、メモリーで実行されるプログラムではなく、デバイスとシンボリックリンク自体の inode を監視します。これは、シンボリックリンクの解決から確認できます。監視機能がシンボリックリンクを解決して作成される実行プログラムを取得する場合でも、ルールは別のシンボリックリンクから呼び出されるマルチコールバイナリーでトリガーされます。これにより、誤検出でログがいっぱいになります。したがって、Audit の実行可能な監視機能は、シンボリックリンクでは機能しません。