htdocs/1.8/tools-doc.html.ja

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<html lang="ja-JP">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta http-equiv="Content-Style-Type" content="text/css">
<title>各種ツールのドキュメント</title>
<link rel="stylesheet" href="http://tomoyo.sourceforge.jp/tomoyo.css" media="all" type="text/css">
</head>
<body>
<p style="text-align:right;"><a href="tools-doc.html.en">English Page</a></p>
<p style="text-align:right;">Last modified: $Date$</p>
<h1>各種ツールのドキュメント</h1>

<hr>

<h2><a name="administration_tool">＜＜システム管理者用ツール＞＞</a></h2>

<h3><a name="ccs-editpolicy">＜ポリシーエディタ　ccs-editpolicy＞</a></h3>
<p>現在のポリシーを /proc/ccs/ ディレクトリから読み込み、編集を行う。</p>
<p>コマンドラインパラメータとして e d p m u のいずれかの文字を指定することで最初に表示される画面を指定できる。省略すると最初にドメイン一覧表示画面が表示される。</p>
<p>以下のキーを使用して操作する。</p>

<p>＜カーソル移動＞</p>
<table border="1">
<tr><td>↑</td><td>１行上へ移動する。</td></tr>
<tr><td>↓</td><td>１行下へ移動する。</td></tr>
<tr><td>→</td><td>１列右へ移動する。</td></tr>
<tr><td>←</td><td>１列左へ移動する。</td></tr>
<tr><td>PageUp</td><td>１画面上へ移動する。</td></tr>
<tr><td>PageDown</td><td>１画面下へ移動する。</td></tr>
<tr><td>Home</td><td>行頭へ移動する。</td></tr>
<tr><td>End</td><td>行末へ移動する。</td></tr>
</table>

<p>＜検索＞</p>
<table border="1">
<tr><td>f/F</td><td>文字列を指定して検索する。</td></tr>
<tr><td>n/N</td><td>逆方向へ指定された文字列を検索する。</td></tr>
<tr><td>p/P</td><td>順方向へ指定された文字列を検索する。</td></tr>
</table>

<p>＜編集＞</p>
<table border="1">
<tr><td>a/A</td><td>エントリを追加する。</td></tr>
<tr><td>Enter</td><td>カーソル行のドメインに対するアクセス許可編集画面へ移動する。（ドメイン一覧表示画面でのみ有効）</td></tr>
<tr><td>Space</td><td>カーソル行の選択状態を反転する。</td></tr>
<tr><td>c/C</td><td>カーソル行の選択状態をカーソル行以下の全エントリに適用する。</td></tr>
<tr><td>d/D</td><td>選択されたエントリを削除する。</td></tr>
<tr><td>s/S</td><td>選択されたドメインのプロファイルを変更する。（ドメイン一覧表示画面でのみ有効）<br>
選択されたプロファイルの設定を変更する。（プロファイル編集画面でのみ有効）<br>
選択された項目のクォータを変更する。（メモリ使用量表示画面でのみ有効）</td></tr>
<tr><td>Insert</td><td>選択されたエントリをヒストリバッファに追加する。</td></tr>
</table>

<p>＜その他＞</p>
<table border="1">
<tr><td>q/Q</td><td>終了する。</td></tr>
<tr><td>r/R</td><td>最新の情報に更新する。</td></tr>
<tr><td>w/W</td><td>ウィンドウ選択画面を表示する。</td></tr>
</table>

<p><a href="tool-editpolicy.html.ja">ポリシーエディタの使い方</a>に説明があります。</p>

<h3><a name="ccs-loadpolicy">＜ポリシー再読み込みプログラム　ccs-loadpolicy＞</a></h3>
<p>ディスク上のポリシーをカーネルに読み込む。</p>
<p>以下のコマンドラインオプションを指定可能である。</p>
<ul>
<li>e ・・・例外用ポリシーを再読み込みする。
<li>d ・・・ドメイン用ポリシーを再読み込みする。
<li>a ・・・上記２種類のポリシーを再読み込みする。
<li>f ・・・ディスク上のポリシーを再読み込みする前に、メモリ上のポリシーを消去する。
<li>p ・・・プロファイル用ポリシーを再読み込みする。 f は指定できない。
<li>m ・・・マネージャ用ポリシーを再読み込みする。 f は指定できない。
<li>u ・・・メモリ使用量の上限を設定する。 f は指定できない。 
<li>- ・・・標準入力から読み込む。 e d p m u のいずれか１個のみ指定できる。
</ul>

<h3><a name="ccs-setlevel">＜制御レベル変更プログラム　ccs-setlevel＞</a></h3>
<p>プロファイルの内容を変更する。</p>
<p>コマンドラインパラメータで制御レベルを指定する。コマンドラインパラメータの有無に関係なく現在の制御レベルを表示する。</p>

<h3><a name="ccs-setprofile">＜プロファイル割り当てプログラム　ccs-setprofile＞</a></h3>
<p>ドメインに対してプロファイル番号を割り当てる。</p>
<p>コマンドラインパラメータでプロファイル番号とドメイン名を指定する。プロファイル番号が変更されたドメイン名が表示される。</p>

<h3><a name="ccs-pstree">＜プロセス一覧表示プログラム　ccs-pstree＞</a></h3>
<p>現在実行中のプロセスが属しているドメインとそのドメインに割り当てられているプロファイルを表示する。</p>
<p>プロファイル番号、プロセス名、プロセスＩＤ、ドメイン名の順番で pstree のように出力される。</p>

<h3><a name="ccs-savepolicy">＜ポリシー保存プログラム　ccs-savepolicy＞</a></h3>
<p>カーネル内のポリシーをディスクに保存する。</p>
<p>以下のコマンドラインオプションを指定可能である。</p>
<ul>
<li>e ・・・例外用ポリシーを保存する。
<li>d ・・・ドメイン用ポリシーを保存する。
<li>a ・・・上記２種類のポリシーを保存する。
<li>f ・・・ディスク上のポリシーとメモリ上のポリシーが同一内容であっても保存する。
<li>p ・・・プロファイル用ポリシーを保存する。
<li>m ・・・マネージャ用ポリシーを保存する。
<li>u ・・・メモリ使用量を標準出力へ書き出す。 
<li>- ・・・標準出力へ書き出す。 e d p m u のいずれか１個のみ指定できる。
</ul>

<h3><a name="ccs-auditd">＜アクセスログ保存デーモン　ccs-auditd＞</a></h3>
<p>/proc/ccs/grant_log および /proc/ccs/reject_log の内容をコマンドラインで指定された場所に保存する。</p>
<p>コマンドラインの最初のパラメータがアクセス許可ログを保存するファイル名、２番目のパラメータがアクセス拒否ログを保存するファイル名である。ファイル名として /dev/null を指定しても良い。アクセスログをファイルに保存する必要が無い場合は実行する必要はない。</p>
<p>デーモンとして動作するので、 RedHat Linux の場合、 /etc/rc.d/rc.local で起動すればよい。 /proc/ccs/grant_log および /proc/ccs/reject_log に保持できる件数は、プロファイルの PREFERENCE={ max_grant_log=件数 max_reject_log=件数 } で指定できる。</p>

<h3><a name="ccs-sortpolicy">＜ポリシー圧縮プログラム　ccs-sortpolicy＞</a></h3>
<p>ccs-auditd により保存されたログから重複を除去する。</p>
<p>ccs-auditd により保存されたログを標準入力から読み込み、ドメイン単位で sort と uniq を行った結果を標準出力へ書き出す。</p>

<h3><a name="ccs-findtemp">＜テンポラリパス検出プログラム　ccs-findtemp＞</a></h3>
<p>標準入力からパス名の一覧を受け取り、全ての存在しないパス名を表示する。</p>
<p>存在しなかったパス名はテンポラリなパス名として使用されている可能性が高いので、同様のパス名から規則性を判断して /etc/ccs/exception_policy.conf および /proc/ccs/exception_policy にパターン化したパス名を追加していく。</p>
<p>/etc/ccs/domain_policy.conf または /proc/ccs/domain_policy の内容をリダイレクトまたはパイプを使用して標準入力へ渡せばよい。</p>

<h3><a name="ccs-queryd">＜遅延強制モード用アクセス承認プログラム　ccs-queryd＞</a></h3>
<p>ポリシー違反を検出し、要求されたアクセスの内容を表示する。管理者は、その内容の妥当性を判断して許可（あるいは許可およびポリシーへの追加）あるいは拒否をシステムに伝えることができる。</p>
<p>このプログラムをソフトウェアのアップデート時に実行しておくことで、アクセス許可の不足によるエラーを回避することができる。</p>
<p>無条件に要求されたアクセスを許可しないこと。ポリシー違反の原因はパッケージの更新によって発生するものとは限らず、攻撃者による悪意ある要求の可能性もある。もし、攻撃者による悪意ある要求に対して許可を与えてしまった場合、システムに侵入されることになる。</p>

<h3><a name="ccs-notifyd">＜ポリシー違反通知デーモン　ccs-notifyd＞</a></h3>
<p>ポリシー違反を検出し、（メールを送信するなどの）指定された処理を行うことにより、管理者に通知する。</p>
<p>このデーモンを /etc/crontab から起動するように設定しておくことで、強制モードにおけるポリシー違反の発生をできるだけ早く知ることができるようになる。</p>

<h3><a name="ccs-checkpolicy">＜ポリシー構文検査プログラム　ccs-checkpolicy＞</a></h3>
<p>標準入力からポリシーファイルの内容を読み込み、構文をチェックする。</p>
<p>問題があれば行番号と共にエラーの内容を表示する。</p>

<h3><a name="ccs-init">＜ポリシーローダー　ccs-init＞</a></h3>
<p> /etc/ccs/ ディレクトリからポリシーファイルを読み込む。</p>
<p>/sbin/ccs-init に置くことで、 initrd から /sbin/init の実行が要求されたときに自動的に呼び出される。</p>

<h3><a name="ccs-domainmatch">＜アクセス許可検索ツール　ccs-domainmatch＞</a></h3>
<p> /proc/ccs/domain_policy からドメイン単位で fgrep を行う。</p>

<h3><a name="ccs-patternize">＜パス名パターン化ツール　ccs-patternize＞</a></h3>
<p>ドメイン用ポリシーを標準入力から受け取り、コマンドラインに与えられたパス名のパターンと一致した場合はパターン化してから標準出力へ送る。実行許可を含むファイルへのアクセス許可とドメイン名はパターン化されない。</p>

<h3><a name="init_policy">＜ポリシー初期化ツール　init_policy＞</a></h3>
<p>ポリシーの雛型を生成する。自動生成された結果には余計なものや危険なものが含まれているかもしれないため、随時見直しを行うこと。</p>

<h3><a name="audit-exec-param">＜パラメータ記録ツール　audit-exec-param＞</a></h3>
<p>このプログラムは execve() に渡されたパラメータを syslog に記録してから要求されたプログラムを実行する。</p>
<p>このプログラムをどこかにコピー（例えば cp -p /usr/lib/ccs/audit-exec-param /bin/audit-exec-param ）して使う。例えば Apache の CGI として実行されるプログラムのパラメータを記録したい場合、例外ポリシーに keep_domain /usr/lib/ccs/audit-exec-param from &lt;kernel&gt; /usr/sbin/httpd というエントリを登録することで /bin/audit-exec-param が実行されてもドメイン遷移を行わないようにしておき、 Apache のドメイン（例えば &lt;kernel&gt; /usr/sbin/httpd ドメイン）に対して execute_handler /bin/audit-exec-param というエントリを追加する。</p>

<hr>

<h2><a name="authentication_tool">＜＜ログイン認証強化用ツール＞＞</a></h2>

<h3><a name="falsh">＜ログイン認証用機能限定シェル　falsh＞</a></h3>
<p>kill 等の内部コマンドを持たないシェルである。 /etc/passwd でログインシェルとして指定する。不正ログイン対策として追加のログイン認証を行う場合のみ使用する。</p>
<p>追加のログイン認証を行うためのプログラムは自分で作成することを推奨する。以下のサンプルプログラムをそのまま使用してはいけない。</p>

<h3><a name="honey">＜タイミング付きパスワード認証のサンプルプログラム　honey＞</a></h3>
<p>正しいタイミングで正しいパスワードを入力しないと認証が失敗する。通常の認証ではパスワードを入力するタイミングはチェックしないが、このプログラムではタイミングもチェックすることで、総当り攻撃を防止する。</p>

<h3><a name="candy">＜時間制限付きパスワード認証のサンプルプログラム　candy＞</a></h3>
<p>親プロセスが起動してから１０秒以内に起動して正しいパスワードを入力しないと認証が失敗する。通常の認証では、認証を開始するまでの時間制限を設けていないが、このプログラムでは一定時間内に認証を開始しないと認証が成功しないようにすることで、総当り攻撃を防止する。</p>

<h3><a name="groovy">＜ロックファイルの有無を用いた認証を行うサンプルプログラム　groovy＞</a></h3>
<p>パスワードを入力するためのプロンプトが表示されるが、パスワードの入力内容はチェックせず、 /tmp/.lockme というファイルの有無で認証を行う。普段はロックされた状態にしておくことで、総当り攻撃を防止する。このプログラムはデモ用であり、攻撃者が一目で正解だと判るようなファイル名を使用している。利用する場合は必ずカスタマイズすること。</p>

<h3><a name="checktoken">＜トークンを用いた認証を行うサンプルプログラム　gettoken／checktoken＞</a></h3>
<p>これらのプログラムは時間同期方式でトークンを生成する。 gettoken が生成したトークンを checktoken に渡すことで認証が成功するようになっている。これらはデモ用プログラムであり、トークンの生成アルゴリズムも貧弱である。利用する場合は必ずカスタマイズすること。</p>

<h3><a name="chaplet">＜チャレンジ・ハンドシェイク型の認証を行うサンプルプログラム　chaplet＞</a></h3>
<p>このプログラムを実行すると、チャレンジとして文字列が表示される。表示された文字列の中から、レスポンスとして数字のみを抽出したものを入力することで認証が成功する。このプログラムはデモ用であり、アルゴリズムが単純すぎる。利用する場合は必ずカスタマイズすること。</p>

<h3><a name="timeauth">＜タイミング付きパスワード認証のサンプルプログラム　timeauth＞</a></h3>
<p>これは honey 相当の機能をインタプリタとして再実装したものである。スクリプトファイルを作成し、インタプリタとしてこのプログラムを指定する。</p>

<h3><a name="mailauth">＜メールでワンタイムパスワードを送付する認証を行うサンプルプログラム　mailauth＞</a></h3>
<p>このプログラムを実行するとワンタイムパスワードを生成して電子メールで利用者に通知する。利用者は送られてきたワンタイムパスワードを入力することで認証が成功する。利用する場合はメールサーバ等のソフトウェアが別途必要になる。</p>

<h3><a name="proxy">＜簡易ポート転送プログラム　proxy＞</a></h3>
<p>このプログラムはクライアント側で使用する。特定のローカルポート番号に明示的に bind してからサーバに接続することで、サーバ側のファイアウォール（iptables 等）ではクライアント側の利用しているポート番号によるアクセス制限を行うことが可能になる。</p>

<hr>

<p><a href="index.html.ja">目次へ戻る</a></p>
<p><a href="http://sourceforge.jp/"><img src="http://sourceforge.jp/sflogo.php?group_id=1973" width="96" height="31" alt="SourceForge.jp"></a></p>
</body>
</html>