NTTデータは,アクセス制御のポリシー定義を容易にした「セキュリティ強化Linux」を発表した。千葉市・幕張メッセで開催中の「NET&COM 2004」の展示会場で,開発者が自らデモを交えて解説している(ブース番号6830)。

 セキュリティ強化Linuxは、Linuxカーネルに強制アクセス制御の機能を付加して不正侵入/攻撃への耐性を高めた「SELinux(Security-Enhanced Linux)」を拡張する形で実装した。SELinuxでは複雑で設定が難しいといわれる強制アクセス制御のポリシーを,半自動で生成・登録できる点が特徴だ。

 SELinuxでは,システム資源(ファイルやプロセス,デバイスなど)にラベルを付与し,ラベル同士の比較に基づいてカーネルが強制的にアクセス制御する仕組みを提供する。半面,ラベルの関係を把握してポリシーを定義する必要があるため,設定が難しいとされてきた。ポリシー定義を支援するツールもあるが,管理者がポリシー定義を独力で作り上げていかなければならない点はそのままだ。NTTデータは,セキュリティ強化Linuxで構築したシステムを試験運用したときのアクセス履歴を元に,ポリシー定義の元になるデータを半自動で生成できるようにすることで,ポリシー定義の手間を省いた。

 具体的には,次のようにする。セキュリティ強化Linuxには,あるプロセスがどのプロセスを呼び出したか,どのファイルにどんなアクセスをしたか(読み込み/変更など)――などのアクセス履歴をカーネル・レベルで収集・記録する機能がある。ポリシーを設定するときには,この機能を有効にして,システムを試験運用する。すると,正規のアクセスで発生し得るアクセスのパターンを集めることができる。パターンを集めたら,その中から管理者が不要なものを取り除き,ポリシーの生成を指示する。例えば,管理者が実行したコマンドのアクセス記録などを削除してから,ポリシーを生成する。ポリシーの大半があらかじめできあがっているため,管理者の手間は少なくて済む。

 現段階では,セキュリティ強化Linuxを販売する予定はない。だが,「実証試験に協力してくれるユーザー企業を募り,有効性を証明できれば,Linuxコミュニティなどに技術を還元していきたい」(開発を担当した技術開発本部 オープンシステムアーキテクチャグループ シニアスペシャリストの原田 季栄氏)という。

(実森 仁志=日経システム構築)