LPIC303 試験の概要主題主題 325: 暗号化主題 326: ホストセキュリティ主題 327: アクセス制御主題 328: ネットワークセキュリティ SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 1

Size: px

Start display at page:

れいなねぎたや
5 years ago
Views:

~ クラウドサービス時代を支える OSS/Linux 人材育成 ~ スキルブレイン株式会社 LPIC303 技術解説無料セミナー LPI-Japan

3 LPIC 303 出題範囲の改訂 303 試験が Ver2.0 に改訂 2016 年 3 月 1 日から開始主な変更点 OpenSSL 証明書およびX.509 証明書の拡張 DNSのセキュリティについて DNSSECとDANEに関する知識暗号化ファイルシステムeCryptfsの追加侵入検知および監視にOpenVASを追加パケットフィルタリングの範囲を拡張 IPV6 etables nftablesおよびnft ホストの構成管理 (Puppet) およびPGPは範囲外に SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 2

4 使用する環境各主題のポイントとなる部分を紹介仮想環境を利用しデモで確認を行う Mac( ホスト OS) 仮想環境 VirtualBox CentOS7 ssh ( ゲスト OS) ターミナルから ssh で接続ホスト名 :centos7303.example.net ホスト名 :ipaserver.example.net SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 3

6 SSL の概要 SSL (Secure Sockets Layer) はセキュリティーを要求される通信を行うためのプロトコル IETF では TLS(Transport Layer Security) でインターネット標準とされている主な機能通信相手の認証通信内容の暗号化改竄の検出など OpenSSL SSL プロトコル TLS プロトコルのオープンソースで開発提供されるソフトウェアサポート :SSL TLS DTLS 暗号方式 :DES RC2 RC4 RC5 SEED IDEA AES などハッシュ関数 :MD5 MD2 SHA-1 SHA-2 MDC-2 公開鍵暗号方式 :RSA 暗号 DSA Diffie-Hellman 鍵共有 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 5

データ伝送で使用する鍵の確立鍵生成関数を使用してランダムな文字列から暗号鍵とMAC 鍵を生成する

7 SSL による通信手順クライアントサーバ使用するアルゴリズムの合意サーバ認証のアルゴリズム鍵交換のアルゴリズムなどサーバの認証サーバからサーバ証明書を送るクライアントではサーバの証明書を確認するハンドシェークフェーズデータ伝送で使用する鍵の確立鍵生成関数を使用してランダムな文字列から暗号鍵とMAC 鍵を生成するハンドシェイクが正しくおこなわれたことの確認データ伝送データ伝送フェーズ SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 6

サーバ証明書発行の手順サーバ認証局秘密鍵認証局の秘密鍵公開鍵秘密鍵のハッシュ公開鍵 CSR サーバ証明書

9 自己署名証明書を作成する /etc/pki/tls/openssl.cnf を確認 basicconstraints=ca:false 秘密鍵の生成 (RSA 形式 ) # openssl genrsa -des3 -out privkey.key 2048 秘密鍵から公開鍵を生成する # openssl rsa -in privkey.key -pubout > pubkey.key 署名リクエスト CSR(Certificate Signing Request) の作成 #openssl req -new -key privkey.key -out newreq.pem -days 365 サーバ証明書の作成 #openssl ca -out newcert.pem -infiles newreq.pem サーバ証明書の失効 #openssl ca -revoke newcert.pem SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 8

サーバ認証の設定 Apache にサーバ証明書を組み込む /etc/httpd/conf.d/ssl.conf SSLEngine on 有効化 SSLProtocol all -SSLv2 -SSLv3 接続可能なバージョンを指定 SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!

10 サーバ認証の設定 Apache にサーバ証明書を組み込む /etc/httpd/conf.d/ssl.conf SSLEngine on 有効化 SSLProtocol all -SSLv2 -SSLv3 接続可能なバージョンを指定 SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!SEED:!IDEA SSLCertificateFile /etc/httpd/conf.d/newcert.pem SSLCertificateKeyFile /etc/httpd/conf.d/privkey.key 接続可能な暗号スイートサーバ証明書のパス秘密鍵のパス暗号スイートの前の! は除くという意味 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 9

11 暗号スイート暗号リスト anull HIGH MEDIUM IDEA MD5 SEED SHA1 説明認証を提供しない暗号スイート共通鍵暗号方式の鍵長が128ビットより大きい共通鍵暗号方式にIDEAを使用するハッシュ関数にMD5を使用する共通鍵暗号方式にSEEDを使用するハッシュ関数にSHA1を使用する利用可能な暗号スイートを確認する # openssl ciphers -v 'HIGH:MEDIUM:!aNULL:!SEED:!IDEA:!SHA1' SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 10

12 SSL/TLS サーバクライアントテスト Webサーバのテスト Webサーバとして動作させる # openssl s_server -cert cert.pem -key private.key -WWW ( ポート番号の指定がないと4433を使用する ) クライアントテスト : サーバのポート 443 に接続する # openssl s_client -connect centos.example.net:443 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 11

13 DNS プロトコルの弱点 DNS 通信は UDP を利用しており問い合わせと応答の 1 セッションで終了する識別には送信元 IP アドレスポート番号クエリ名 ID を使用している送信元 IP アドレスの詐称がしやすく ID さえわかれば偽装した応答パケットをキャッシュサーバに送ることができる結果としてキャッシュポイズニング ( 毒入れ ) の影響を受けやすい権威サーバ問い合わせ正しい応答情報が返ってくる前に偽の応答情報をキャッシュサーバに送る正しい応答情報偽の応答情報キャッシュサーバ SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 12

14 DNSSEC DNSSEC(DNS Security Extensions) とは DNS 応答が正しいものかどうか検証することで DNS のセキュリティを向上させる仕組み出自の認証 DNSの応答がドメイン名の正当な管理者が作成したものであること完全性の保証 DNSの応答において DNSレコードの改変や欠落が無いこと署名済みデータを格納 DNS レコード署名 DNS レコード署名署名を検証正しい DNS 応答権威 DNS サーバキャッシュ DNS サーバ SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 13

15 DNSSEC の仕組み KSK (Key Signing Key) ゾーンの公開鍵に署名する鍵 ZSK (Zone Signing Key) ゾーンに署名するための鍵 DS (Delegation Signer) 上位の権威 DNSサーバに登録する情報上位の権威 DNS サーバ KSK 公開鍵から作成された DS キャッシュ DNS サーバ署名 KSK 公開鍵の KSK 公開鍵登録ハッシュ値を計算権威 DNSサーバ KSK 公開鍵署名 KSK 秘密鍵 ZSK 公開鍵署名 DS と比較する ZSK 公開鍵署名検証 ZSK 秘密鍵署名 A レコード署名 A レコード署名検証 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 14

16 DNSSEC の鍵作成方法 (ZSK) dnssec-keygen コマンド KSK と ZSK の鍵を作成するコマンド ZSKの鍵を作成する dnssec-keygen -K /var/named/dnsseckeys -a RSASHA256 -b P now -A now -I +1mo -D +2mo example.net 鍵生成アルゴリズムビット長 ZSKは1024 以上ゾーンへの出力時刻署名鍵としての使用開始時刻署名鍵使用終了時刻 (1ヶ月) ゾーンからの削除時刻 (2ヶ月) 鍵生成ディレクトリゾーン名 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 15

17 DNSSEC の鍵作成方法 (KSK) KSK の鍵を作成する dnssec-keygen -K /var/named/dnsseckeys -a RSASHA256 -b f KSK -P now -A now -I +13mo example.net KSK のときは 2048 以上 KSK のときは指定する ZSK KSK の公開鍵と秘密鍵ができるがファイル名だけだと区別がつかないそのため鍵のファイル内を確認する :ZSK 257:KSK -P -A は省略可能デフォルトは now 3: プロトコルフィールド 8: アルゴリズム (RSASHA256) SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 16

18 ゾーンへの署名 dnssec-signzone ゾーンに対する署名を行うコマンド dnssec-signzone -S -K /var/named/dnsseckeys -d /var/named/dnsseckeys -H 3-3 'd0ec' -N unixtime -o example.net スマート署名を利用する /var/named/chroot/var/named/example.net.zone 鍵のあるディレクトリを指定する DSレコードファイルの格納場所ハッシュの繰り返し回数 NSEC3の使用を指定しソルトを16 進数で指定する SOAのシリアル番号を指定するゾーン名の指定ゾーンファイル example.net.zone.signed という署名ファイルが出来上がる DS レコードをもつ dsset-example.net. が出来上がる SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 17

19 DNSSEC のリソースレコードレコード DNSKEY DS RRSIG NSEC NSEC3 NSEC3PARAM KSK と ZSK の公開鍵説明子ゾーンの KSK を親ゾーンで承認していることを示す各 DNS レコードへの署名を示す存在しないことを示すためのレコード NSEC レコードをたどるとゾーンデータを入手できてしまうのでドメイン名をハッシュ関数でハッシュ化したもの権威 DNS サーバ側が NSEC3 の生成を行うために必要なレコード DNSSECを使用したゾーンを公開する場合自身のDSレコードを上位の権威 DNSサーバに登録公開してもらう必要がある (dsset-example.net. を使用する ) SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 18

20 DNSSEC の有効化 ( 権威サーバ ) 権威サーバの設定 named.confの設定 options { dnssec-enable yes; } ゾーンファイルを変更する zone "example.net" { type master; file "example.net.zone.signed"; }; named プロセスに設定を読み込ませる rndc reload SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 19

22 キャッシュ DNS サーバ信頼の連鎖設定信頼の連鎖 ( トラストアンカー ) とは信頼できる人が信頼できる人を紹介するとその人も信頼できるルートDNSからDSレコードを生成して設定するルートゾーンの公開鍵を入手 $ dig. DNSKEY grep -w 257 > root-anchors.key 公開鍵から DS レコードを生成する $ dnssec-dsfromkey -a SHA-256 root-anchors.key named.conf に公開鍵を設定する managed-keys { }; "." initial-key "AwEAAa ( 省略 )"; ルートゾーンの公開鍵が正しいものであるかハッシュ値を計算して検証する必要があるが今回は割愛 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 21

23 バリデーションの確認 dig コマンドで dnssec の設定を確認する $ centos.example.net +dnssec dig コマンドの flags に ad (Authentic Data) があるか確認する Answer セクションに RRSIG レコードが追加されている dnssec を無効にした問い合わせ $ centos.example.net +nodnssec dig コマンドの flags に ad (Authentic Data) がない Answer セクションに RRSIG レコードがない通常の DNS と同じ問い合わせ結果が表示されることを確認する SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 22

25 FreeIPA FreeIPA(Identity, Policy, and Audit Server) の概要以下のことが一元的に管理することができる LinuxユーザーとLinuxグループパスワードポリシー HBAC(Host-Based Access Control : ホストベースアクセスコントロール ) sudo SELinuxユーザーとLinuxユーザーのマッピング DNS ssh 公開鍵 SSO (Single Signe On : シングルサインオン ) FreeIPAの構成 LDAP: 389 Directoryサーバを使用認証とシングルサインオン : MIT Kerberos PKI 公開鍵基盤 (Dogtag Certificate System) DNSサーバ (bind) WebによるGUIインターフェースも提供されている SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 24

26 IPA サーバのインストールと設定前提固定の IP アドレスを設定しているホスト名 (FQDN) の名前解決また逆引きができること (/etc/hosts に設定するのでも可 ) DNS の設定が自動で書き換わるので DNS を設定している場合はバックアップを取っておく 443 ポートを使用するので mod_ssl を使用していると設定できないインストール # yum install ipa-server ipa-server-dns bind bind-dyndb-ldap セットアップ # ipa-server-install --setup-dns SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 25

27 セットアップ時に質問される項目 1 DNSサーバの設定を上書きするかどうか Existing BIND configuration detected, overwrite? [no]: yes ホスト名の確認 Server host name [centos.example.net]: ドメイン名の設定 Please confirm the domain name [example.net]: IPアドレスの設定 Please provide the IP address to be used for this host name: レルム名 Please provide a realm name [EXAMPLE.NET]: Directory Managerのパスワードを設定する Directory Manager password: IPA adminのパスワードを設定する IPA admin password: SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 26

28 セットアップ時に質問される項目 2 DNS forwardersの設定をするかどうか Do you want to configure DNS forwarders? [yes]: DNS forwarder を設定する場合 forwarder の IP を指定 Enter IP address for a DNS forwarder: 逆引きゾーンを設定するか Do you want to configure the reverse zone? [yes]: 逆引きゾーンを設定する場合のゾーン名 Please specify the reverse zone name [ in-addr.arpa.]: 設定を確認 Continue to configure the system with these values? [no]: yes SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 27

29 ユーザの追加と確認ユーザを追加したときのデフォルトシェルをbashに変更 # ipa config-mod --defaultshell=/bin/bash ユーザの追加 # ipa user-add ipauser --first=ipa --last=user --password ユーザの確認 # ipa user-find ipauser グループの追加 # ipa group-add ipagroup --desc "example.net group" グループにユーザを追加 # ipa group-add-member ipagroup --users=ipauser SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 28

30 IPA クライアントのインストールと設定 IPAクライアントのインストール # yum -y install ipa-client /etc/resolv.confでnameserverをipaサーバにしておく IPAクライアントの設定 # ipa-client-install 質問される項目設定を確認して yes で進む Continue to configure the system with these values? [no]: yes admin で入力 User authorized to enroll computers: admin ログイン時にホームディレクトリを自動作成 # authconfig --enablemkhomedir --update SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 29

ログインのテスト CentOS Linux 7 (Core) Kernel 3.10.0-123.20.1.el7.

31 ログインのテスト CentOS Linux 7 (Core) Kernel el7.x86_64 on an x86_64 centos login: ipauser Password: Password expired. Change your password now. Current Password: New password: Retype new password: Creating home directory for ipauser. 初回はパスワードの変更を求められる SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 30

32 ipa コマンドサブコマンド user-add user-del user-find group-add group-add-member group-del group-find 説明ユーザの追加 ipa user-add ipauser --first ipa --last user ユーザの削除 ipa user-del ipauser ユーザの検索 ipa user-find ipauser グループの追加 ipa group-add ipagroup --desc "this is ipa group" グループにメンバーを追加する ipa group-add-member ipagroup --users=admin,ipauser グループの削除 ipa group-del ipagroup グループの検索 ipa group-find ipagroup SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 31

34 SELinux の概要 1 Linux のカーネルに強制アクセス制御機能を付加する強制アクセス制御 MAC(Mandatory Access Control) SELinuxを使用しないLinuxのアクセス権はファイルやディレクトリのパーミッションに基づいて行われる rootはこのパーミッションを無視してアクセスが可能 root 権限が乗っ取られると致命的な被害を受けるファイルによるパーミッションの設定は任意アクセス制御と呼ばれる任意アクセス制御 (DAC: Discretionary Access Control) SELinux では以下のようなことが可能 HTTP FTP といったプロセスごとにアクセス制限をかける Type Enforcement (TE) root も含む全てのユーザに関して制限をかけるロールベースアクセス制御 (RBAC) SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 33

35 SELinux の概要 2 TE(Type Enforcement) 全てのプロセスに対してドメインと呼ばれるラベルを付加するリソース ( ファイルやディレクトリ ) に対しても同じくタイプと呼ばれるラベルを付与する各リソースにはアクセスベクタが割り当てられるアクセスベクタとは読み込み書き込みといったリソースに対して行える操作の種類各ドメインとタイプに対して許可されるアクセスベクタをセキュリティーポリシーとして設定可能 RBAC(Role-based access control) ロールと呼ばれるいくつかのドメインを束ねたものを設定しそれをユーザに付与する仕組み例 sysadm_r システム管理者ロール webmaster_r Web サーバのコンテンツ管理者のためのロール SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 34

36 コンテキスト (contexts) SELinux を有効にするとリソースやプロセスにコンテキストが付与されるコンテキストには以下の識別子があるユーザ識別子ロール識別子タイプ識別子 MLS(Multi Level Security) リソース ( ファイル ) のコンテキスト -rw-rw-r--. centuser centuser unconfined_u:object_r:user_home_t:s0 testfile ユーザ識別子 MLS ロール識別子タイプ識別子 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 35

SELinux 動作の仕組みプロセス Linux カーネルアクセス要求 SELinux 拡張コマンド参照変更パーミッションのチェック SELinux モジュールチェック

38 ドメイン遷移ドメイン遷移とは通常は子プロセスは親プロセスと同じドメインで動作する設定により親プロセスとは違うドメインで子プロセスを実行すること httpdプロセスの実行 init プロセス (init_t ドメイン ) /etc/init.d/httpd プロセス (initrc_t ドメイン ) httpd プロセス (httpd_t ドメイン ) ドメイン遷移の役割プロセスに権限 ( ドメイン ) を割り当てることができる不要な権限の昇格が避けられる SUIDによる一般ユーザからrootへの昇格など SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 38

39 SELinux を有効にする SELinuxが有効か確認する getenforce ステート Enforcing SELinuxが有効になっている ( 強制モード ) Permissive SELinuxは有効になっている ( 許容モード ) Disabled SELinuxは無効になっている SELinuxを設定するコマンドで設定 setenforce setenforce 0 Permissiveモードで動作する setenforce 1 Enforcingモードで動作する設定ファイルで設定 /etc/selinux/config SELINUX=enforcing SELINUX=permissive SELINUX=disable SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 39

41 ポリシーアクセス制御を行うルールはポリシーによって決められている CentOS のデフォルトポリシーは targeted が設定されている targeted : システム上で攻撃対象となる可能性の高いプロセスに対してアクセス制御を適用するポリシー minimum: ポリシーファイル構成は Targeted と全く同じだがアクセス制御が適用されるプロセスは最小限に絞られている mls : マルチレベルセキュリティポリシーは自作することもできるがルールが非常に複雑である targeted ポリシーをもとにカスタマイズする方法が容易ポリシーの変更は /etc/selinux/config で行う SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 41

42 semanage semangeは以下のことができる SELinuxの有効 / 無効リソースに対するセキュリティコンテキストの変更ユーザに対するセキュリティコンテキストの割当てネットワークに対するセキュリティコンテキストの割当て booleanの設定 semanage で制御できる項目は man のマニュアルなどで調べてください SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 42

43 Boolean SELinux のポリシーを変更するのは複雑であるポリシーは変更せずにある特定の機能だけを有効にしたり無効にする機能がある現在の boolean 値を確認する # semanage boolean -l もしくは # getsebool -a boolean 値を変更する # setsebool -P allow_ftpd_full_access on ( 再起動後も設定値を維持する場合は -P オプションを使用する ) 設定値が変更されたか確認する # getsebool allow_ftpd_full_access SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 43

45 Snort の概要侵入検知ソフトウェア Snortの特徴 IPネットワーク上でのリアルタイムの解析 GPLライセンスパケットスニファ / パケットロガーとしても使用できる豊富なプリプロセッサが用意されている - portscan: ポートスキャンの検出を行う - frag2:ipフラグメントの再構築を行う - stream4:tcpストリームの再構築とステートフルな解析を行う - telnet_decode:telnetの制御文字を正規化するさまざまな形式でアラートを出力することができる公式サイト : SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 45

46 Snort の設定ソースからインストールを行うソースからのインストールは複雑なため Linux セキュリティ標準教科書を参照してくださいソースを展開したディレクトリから設定ファイルをコピーする # cp snort /rpm/snort.sysconfig /etc/sysconfig/snort /etc/sysconfig/snortを編集する INTERFACE=eth1 USER=snort GROUP=snort LOGDIR=/var/log/snort Listen するネットワークインターフェースを指定する SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 46

47 Snort の基本設定設定ファイル /etc/snort/snort.conf ネットワークの設定を行う ipvar HOME_NET /24 ipvar EXTERNAL_NET any 以下の変数のパスをカレントディレクトリからのパスとする (../ を./ に変更する ) var RULE_PATH./rules var SO_RULE_PATH./so_rules var PREPROC_RULE_PATH./preproc_rules var WHITE_LIST_PATH./rules var BLACK_LIST_PATH./rules SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 48

48 Snort のルール設定読み込むルールの設定を記述 include $RULE_PATH/local.rules 追加する include $RULE_PATH/community.rules 追加する # これ以下ルールはすべてコメントにする #include $RULE_PATH/app-detect.rules #include $RULE_PATH/attack-responses.rules 独自ルールを作成する # vi /etc/snort/rules/local.rules alert icmp any any -> any any (msg: "ICMP Packet detected"; sid:999999;) SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 49

49 Snort の実行プロミスキャスモードの設定 # vi /etc/sysconfig/network-scripts/ifcfg-eth1 PROMISC=yes ファイルの最後に記述する - (VirtulaBox を使用している場合はネットワークの設定でプロミスキャスモードを許可にする ) Snort を起動する /etc/init.d/snortd start Snort が起動しない場合は /var/log/messages にエラーメッセージが出力されていないか確認動作テスト他のホストからpingを実行してみる /var/log/snort/alertにログが出力されていればok SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 50

50 Snort シグネチャシグネチャのルールはルールヘッダとルールボディから成る書式 <ルールアクション> <プロトコル> <IPアドレス> <ポート番号 > < 方向演算子 > <IPアドレス> <ポート番号 > <( オプション )> ルールヘッダルールボディルールアクション activate alert dynamic log pass 説明ルールに該当するパケットが存在する場合警告を出す (dynamic アクションを呼び出す ) ルールに該当するパケットを記録し警告を出す activate アクションから呼び出され該当するパケットを記録するルールに該当するパケットを記録するルールに該当するパケットを無視する SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 51

51 シグネチャの例例 1 alert tcp any any -> any 80 (msg: "http request GET" ; content:"get"; http_method; sid: ) 例 2 alert tcp any any -> any 80 (msg: "http request URI" ; content:"/index.html"; http_uri; sid: ) msg: ログに出力するメッセージ content: パケットのペイロード部にマッチする文字列を指定する httpd_method HTTPリクエストのメソッドでマッチするもの http_uri HTTPリクエストのURIでマッチするもの sid: シグネチャのIDを指定する独自ルールは1,000,000 以上 SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 52

52 OpenVAS OpenVAS(Open Vulnerability Assessment System ) の概要脆弱性スキャナ Nessus から派生したセキュリティスキャナ OpenVAS の構成 OpenVAS Scanner(openvassd): スキャン処理 OpenVAS Manager(openvasmd): スキャナやそのデータなどを管理 OpenVAS Administrator(openvasad): サービスの起動 / 停止やユーザー管理など Greebone Security Assistant(gsad):Web ブラウザベースの GUI で操作する OpenVAS CLI(openvas-cli):OpenVAS をコマンドラインで操作する注意! クラウド (AWS や Azure) 環境でスキャンを実行するには事前に申請が必要になります SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 53

53 OpenVAS のインストール OpenVASのインストール Atomicorpリポジトリの登録 # wget -q -O - sh インストール # yum upgrade # yum install openvas 事前に設定情報をダウンロードする必要がある NVT(Network Vulnerability Tests) 脆弱性情報やそれをテストするための設定情報 NVT Feedと呼ばれる形式でその更新情報が配信される SCAP(Security Content Automation Protocol) データベース SCAPはセキュリティ対策の自動化と標準化を目的としてNISTが管理している CERTデータベース SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 54

54 OpenVAS の設定 OpenVAS の設定を行うコマンド # openvas-setup openvas-setupで行なわれること Step1:NVTやSCAPベースの脆弱性情報のダウンロードとアップデート (10 分程度時間がかかる ) Step2:Greenbone Security Assistant(GSAD) の設定任意のIPアドレスから接続するか聞かれる Step3: Greenbone Security Assistant(GSAD) のアカウント設定デフォルトは admin パスワードを設定する Web からのスキャン設定にアクセス admin のアカウントでログインする SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 55

OpenVAS のデータベース情報更新 NVT(Network Vulnerability Tests) データーベース取得 #

Automation Protocol) データーベース取得 # openvas-scapdata-sync データベースのリビルド #

service openvas-manager start GSAD の起動 # service gsad start

55 OpenVAS のデータベース情報更新 NVT(Network Vulnerability Tests) データーベース取得 # openvas-nvt-sync CERT データーベース取得 # openvas-certdata-sync SCAP(Security Content Automation Protocol) データーベース取得 # openvas-scapdata-sync データベースのリビルド # openvasmd --rebuild スキャナーの起動 # service openvas-scanner start マネージャーの起動 # service openvas-manager start GSAD の起動 # service gsad start リビルドの後にスキャナーとマネージャーを再起動データベースの取得は cron で設定されるため通常は自動で行われる SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 56

参考資料徹底攻略 LPIC Level3 303 教科書 + 問題集 [Version 2.

4295000515 ISBN-13: 978-4295000518 Linux セキュリティ標準教科書 (Ver1.0.0) 詳しくは下記 URL で http://www.

shtml 発行 : エルピーアイジャパン SELinux 徹底ガイドセキュア OS

その他出版社 : 日経 BP 社 318 ページ価格 4913 円 ISBN-10: 4822221113 ISBN-13: 978-4822221119

HTTPS 環境構築から始める SSL 入門 [Kindle 版 ] 小島拓也 ( 著 ), 中嶋亜美 ( 著 ), 吉原恵美子 ( 著 ), 中塚淳 ( 著

56 参考資料徹底攻略 LPIC Level3 303 教科書 + 問題集 [Version 2.0] 対応徹底攻略シリーズ常泉茂雄 ( 著 ), 菖蒲淳司 ( 著 ) 出版社 : 翔泳社 350 ページ価格 3,672 円 ISBN-10: ISBN-13: Linux セキュリティ標準教科書 (Ver1.0.0) 詳しくは下記 URL で発行 : エルピーアイジャパン SELinux 徹底ガイドセキュア OS によるシステム構築と運用基本的な仕組みから高度な運用管理方法までを徹底解説中村雄一 ( 著 ), 水上友宏 ( 著 ), 上野修一 ( 著 ), & 3 その他出版社 : 日経 BP 社 318 ページ価格 4913 円 ISBN-10: ISBN-13: 食べる!SSL! HTTPS 環境構築から始める SSL 入門 [Kindle 版 ] 小島拓也 ( 著 ), 中嶋亜美 ( 著 ), 吉原恵美子 ( 著 ), 中塚淳 ( 著 ) 119 ページ価格 320 円実践 DNS DNSSEC 時代の DNS の設定と運用民田雅人 ( 著 ), 森下泰宏 ( 著 ), 坂口智哉 ( 著 ), 株式会社日本レジストリサービス (JPRS) ( 監修 ) 出版社 : KADOKAWA / アスキーメディアワークス (2014/2/20) 328 ページ価格 3,024 円 ISBN-10: ISBN-13: SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 57

58 スキルブレインは法人向けに各種研修をご提供しています Linux 基礎 Linuxサーバー構築実践 Linuxサーバーセキュリティ構築実践 Linuxシステム運用トラブルシューティング CentOS7 アップデート LPIC( レベル1 2 3) 試験対策 OSS-DB 試験対策 HTML5 試験対策 ITIL ファウンデーション試験対策 ITIL 運用 / 管理 ITIL エキスパート / インターミディエイト PRINCE2 PMP PMBOK セキュリティ研修その他企業様ごとにセミオーダー研修を承ります SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 59

経験スキルともに豊富な講師陣が技術や資格取得をサポート三浦一志サーバ管理者として 8 年以上の実務経験を積み講師としても 10 年以上のキャリアを持つ法人向けにLPIC 研修 Linuxサーバ構築セキュリティ研修やITIL 研修を主として担当 ITIL 認定講師情報セキュリティスペシャリスト担当講習 Linux/UNUX LPIC 試験対策セキュリティ Java PHP

ベンチャー系システムマネジメント企業にてシステム監視運用事業に従事その後大手電機メーカ情報会社にてデータセンターマネージャ ITIL 推進プロジェクトを推進年間 30 講座以上を担当し 300 名以上の合格者を輩出担当講習 ITIL ファウンデーション ITIL エキスパート ITIL Lプラクティショナー ITIL 運用 / 管理谷戸信幸大手航空会社の IT 部門にて

59 経験スキルともに豊富な講師陣が技術や資格取得をサポート三浦一志サーバ管理者として 8 年以上の実務経験を積み講師としても 10 年以上のキャリアを持つ法人向けにLPIC 研修 Linuxサーバ構築セキュリティ研修やITIL 研修を主として担当 ITIL 認定講師情報セキュリティスペシャリスト担当講習 Linux/UNUX LPIC 試験対策セキュリティ Java PHP OSS-DB HTML5 大崎茂 OSS 研修専任講師として大手電機メーカー通信キャリア大手プロバイダー等 IT 企業の LPIC 対策研修ならびに OSS を中心とした技術研修などを専門に担当担当講習 Linux C 言語 PHP Java Ajax LAMP 関連 LPIC 試験対木村祐大手メーカにて生産管理ベンチャー支援企業にてビル型 ISP 事業ベンチャー系システムマネジメント企業にてシステム監視運用事業に従事その後大手電機メーカ情報会社にてデータセンターマネージャ ITIL 推進プロジェクトを推進年間 30 講座以上を担当し 300 名以上の合格者を輩出担当講習 ITIL ファウンデーション ITIL エキスパート ITIL Lプラクティショナー ITIL 運用 / 管理谷戸信幸大手航空会社の IT 部門にてオンラインリアルタイムで運用される旅客予約システムのシステム基盤の SE としてシステム維持管理可用性キャパシティ管理などを担当その後データ通信ネットワークの開発展開維持管理に従事 IT 系子会社を経て現職担当講習 PMP PMBOK PRINCE2 ITIL エキスパート SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 60

~ クラウドサービス時代を支える OSS/Linux 人材育成 ~ スキルブレイン株式会社 LPIC303 技術解説無料セミナー LPI-Japan アカデミック認定校スキルブレイン株式会社インストラクター三浦一志 SkillBrain CO., LTD. / LPI-Japan All

~ クラウドサービス時代を支える OSS/Linux 人材育成 ~ スキルブレイン株式会社 LPIC303 技術解説無料セミナー LPI-Japan アカデミック認定校スキルブレイン株式会社インストラクター三浦一志 SkillBrain CO., LTD. / LPI-Japan 2017. All rights reserved. LPIC303 試験の概要主題主題 325: 暗号化主題 326:

LPIC303 試験の概要 主題 主題 325: 暗号化 主題 326: ホストセキュリティ 主題 327: アクセス制御 主題 328: ネットワークセキュリティ SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 1

LPIC303 試験の概要主題主題 325: 暗号化主題 326: ホストセキュリティ主題 327: アクセス制御主題 328: ネットワークセキュリティ SkillBrain CO., LTD. / LPI-Japan 2017 All rights reserved. 1