13.5. fapolicyd 整合性チェックの有効化

デフォルトでは、fapolicyd は整合性チェックを実行しません。ファイルサイズまたは SHA-256 ハッシュのいずれかを比較して整合性チェックを実行するように fapolicyd を設定できます。Integrity Measurement Architecture (IMA) サブシステムを使用して整合性チェックを設定することもできます。

前提条件

  • fapolicyd フレームワークがシステムにデプロイされます。

手順

  1. 任意のテキストエディターで /etc/fapolicyd/fapolicyd.conf ファイルを開きます。以下に例を示します。 

    # vi /etc/fapolicyd/fapolicyd.conf

  2. 整合性 オプションの値を none から sha256 に変更し、ファイルを保存してエディターを終了します。 

    integrity = sha256

  3. fapolicyd サービスを再起動します。 

    # systemctl restart fapolicyd

検証

  1. 検証に使用するファイルのバックアップを作成します。 

    # cp /bin/more /bin/more.bak

  2. /bin/more バイナリーの内容を変更します。 

    # cat /bin/less > /bin/more

  3. 変更したバイナリーを一般ユーザーとして使用します。 

    # su example.user
$ /bin/more /etc/redhat-release
bash: /bin/more: Operation not permitted

  4. 変更を元に戻します。 

    # mv -f /bin/more.bak /bin/more