Red Hat Training

A Red Hat training course is available for RHEL 8

11.6. Coleta de hashes de arquivo com arquitetura de medição de integridade

O primeiro nível de operação da arquitetura de medição de integridade (IMA) é a fase measurement, que permite criar hashes de arquivos e armazená-los como atributos estendidos (xattrs) desses arquivos. A seção seguinte descreve como criar e inspecionar os hashes dos arquivos.

Pré-requisitos

  • Habilitar arquitetura de medição de integridade (IMA) e módulo de verificação estendida (EVM), conforme descrito em Seção 11.5, “Possibilitando a arquitetura de medição de integridade e módulo de verificação ampliado”.

  • Verifique se os pacotes ima-evm-utils, attr, e keyutils já estão instalados: 

    # yum install ima-evm-utils attr keyutils
Updating Subscription Management repositories.
This system is registered to Red Hat Subscription Management, but is not receiving updates. You can use subscription-manager to assign subscriptions.
Last metadata expiration check: 0:58:22 ago on Fri 14 Feb 2020 09:58:23 AM CET.
Package ima-evm-utils-1.1-5.el8.x86_64 is already installed.
Package attr-2.4.48-3.el8.x86_64 is already installed.
Package keyutils-1.5.10-7.el8.x86_64 is already installed.
Dependencies resolved.
Nothing to do.
Complete!

Procedimento

  1. Criar um arquivo de teste: 

    # echo <Test_text> > test_file

    A IMA e a EVM garantem que ao arquivo de exemplo test_file sejam atribuídos valores de hash, que são armazenados como seus atributos estendidos.

  2. Inspecione os atributos estendidos do arquivo: 

    # getfattr -m . -d test_file
# file: test_file
security.evm=0sAnDIy4VPA0HArpPO/EqiutnNyBql
security.ima=0sAQOEDeuUnWzwwKYk+n66h/vby3eD
security.selinux="unconfined_u:object_r:admin_home_t:s0"

    O exemplo anterior mostra atributos estendidos relacionados ao SELinux e aos valores de hash da IMA e EVM. O EVM adiciona ativamente um atributo estendido security.evm e detecta qualquer adulteração offline em xattrs de outros arquivos como security.ima que estão diretamente relacionados à integridade do conteúdo dos arquivos. O valor do campo security.evm está em Hash-based Message Authentication Code (HMAC-SHA1), que foi gerado com a chave de usuário evm-key.

Recursos adicionais