［セキュアOS LIDS入門］第4回 Fedora Core 2にLIDSをインストールする

高橋信頼

2004.06.22

　2004年5月18日（米国時間）に公開されたディストリビューション「Fedora Core 2」で動作しているシステムに，LIDSをインストールする方法を紹介する。

　この例では，サーバー用途のシステムにLIDSを導入するものとする。そのため，X Window Systemは動作させない（/etc/inittabの内容を編集して，「id:3:initdefault」にしている）と同時に，表1に示したサービスも動作させない（「chkconfig サービス名 off」を実行してサービスが起動しないようにしている）ものとする。

表1●動作させないサービス

サービス名	内容
FreeWnn	かな漢字変換システムを起動する
IIim	かな漢字変換システムを起動する
autofs	リムーバブル・デバイスを検知して自動マウントする
canna	かな漢字変換システムを起動する
isdn	ISDNによる通信に必要な設定を施す
netfs	NFSのマウント/アンマウントを実施する
nfs	NFSサーバーを起動する
nfslock	NFSのファイル・ロック機能を提供する
pcmcia	PCMCIAを用いたPCカードを使えるようにする
portmap	RPC用の通信ポートを割り当てる
sendmail	メール・サーバーを起動する
smartd	ハードディスクに問題が発生したときにメールで情報を送信する

Linuxカーネルを導入する

　LIDSをインストールするには，カーネルのソース・コード（以下，カーネル・ソース）が必要になる。LIDSのパッチは，The Linux Kernel Archivesなどから入手できる“素のままの”カーネル・ソースに対応する。特定のディストリビューションのカーネル，例えば，Red Hat Enterprise LinuxやFedora Core独自のカーネル・ソースには適用できない。そのため，Linuxカーネルを提供しているFTPサイト（上記サイト経由やftp.kernel.orgなど）からダウンロードしてきたカーネルでシステムが立ち上がるようにしておき，その後でLIDSのパッチを適用する。Red Hat Linux用やDebian GNU/Linux用カーネルに合わせたパッチも開発されているが，こちらはLIDS 1系列のみの対応となっており，LIDS 2系列はまだ対応していない。

　また，LIDS 2系列の新しいバージョン（LIDS2.2.x）では，LIDS Free Session（連載第3回参照）用のパスワード暗号化と認証に「SHA256」というカーネル組み込みのライブラリを使用する。そのため，カーネル導入時に次の設定項目（カーネル・オプション）

　 Cryptographic options　--->
　　　　 <*>　 SHA256 digest algorithm

を選択しておく必要がある。

カーネルに対応したLIDSの最新版を入手する

　LIDSの最新版は，公式サイトからダウンロードできる。ファイル名「lids-2.2.x-2.6.y」は，LIDSのバージョンと対応するカーネルのバージョンを示す＊1。この例では，「このファイルはバージョン2.2.xのLIDSであり，カーネル2.6.yに対応する」ことを意味する。

　ダウンロードしたtar.gz形式のファイルには，カーネルに適用するパッチ（lids-2.2.x-2.6.y.patch）と，lidstoolsが同こんされている。このlidstoolsには，LIDSの設定を行うコマンドなどが含まれる。

　以下の例では，/home/lidsuser/srcディレクトリにlids-2.2.x-2.6.y.tar.gzをダウンロードし，/home/lidsuser/workディレクトリにおいてtar.gz形式のファイルを展開したものとする。また，コマンドプロンプトが「$」の場合は一般ユーザー（例示したユーザー名はlidsuser）で，「#」の場合はrootユーザーで行う作業である。

LIDSのパッチを適用してカーネルをコンパイルする

　素のままのカーネルでシステムを立ち上げたら，最初に

# ln -s /usr/src/linux-2.6.x /usr/src/linux

を実行して，カーネル・ソースへのリンク・ファイル/usr/src/linuxを作成しておく。

　次に，

# cd /usr/src/linux
# patch -p1 < /home/lidsuser/work/lids-2.2.x-2.6.y/lids-2.2.x-2.6.y.patch

を実行して，カーネル・ソースにLIDSのパッチを適用する。

　パッチの適用が終了したら，

# make menuconfig

を実行し，カーネルのオプションにおいて，LIDSを使うために必要な項目を選択する。menuconfigの項目を見てみると，パッチ適用後には，次のようにLIDS関連の項目が追加されている。

[Security options] -> 
  [*] Enable different security models
  [*] Socket and Networkng Security Hooks
  < > Default Linux Capabilities
      LIDS support   --->
  < > Root Plug Support
  [ ] NSA SELinux Support

　ここでの注意点は，LIDSを選択する場合には，「Default Linux Capabilities」と「NSA SELinux Support」の2項目を（モジュールと組み込みのいずれにおいても）選択してはいけないことである。この2項目を選択すると，LIDSを組み込んだカーネルで起動したときにカーネル・パニックが起きてしまうためだ。

　さらにLIDS supportの内容を次に示す。

<*> Linux Intrusion Detection System support(EXPERIMENTAL)       ---(1)
-- LIDS Options                           
[*] Attempt not to flood logs                                    ---(2)
[*] Allow switching LIDS protections                             ---(3)
[*]   Restrict mode switching to specified terminals             ---(4)
[ ]     Allow mode switching from a Linux console
[ ]     Allow mode switching from a Serial console
[ ]     Allow mode switching from a PTY

(1)　LIDSをカーネルに組み込む場合には，この個所を選択する。モジュールとして使用する場合には，「M」にする。今回は，カーネルに組み込む形にするため，「*」で選択した状態にしておく。
(2)　LOGに同じエラーが同時に何度も出力されることを防ぐためのオプションである。デフォルトでは選択された状態になっている。
(3)　LIDS Free Session（以下，LFS）に関わる部分である。前回に説明したLFSを使用する場合には，こちらも選択しておく。デフォルトでは選択された状態になっている。
(4)　(3)の関連項目である。LFSの使用を，コンソールやシリアル端末などに限定するものである。(3)を選択したときのみ，この項目が表示される。

　必要なカーネル・オプションを選択したら，make bzImageなどを実行して新たなカーネルを作成する。新しく作成したカーネルで起動できる状態にしておいてから（ただし，まだ起動はしない），続いてlidstoolsをインストールする。

システムを再起動する

　こうしてlidstoolsのインストールとパスワードの設定までが終わったら，LIDSを組み込んだカーネルを使ってシステムを再起動してみよう。再起動したシステムは，初期設定のアクセス制御リストとケーパビリティ・セット（連載第2回参照）が適用されているため，「XXサービスが起動できない」などのエラーがコンソールに出力される。これで，LIDSが動作していることが分かる。

　最後に，シャットダウン方法を紹介しておこう。LIDSをインストールしたカーネルで起動した場合は，

# lidsadm -S -- +SHUTDOWN

を実行してシステムををSHUTDOWNステート（連載第3回）に移行してから，shutdownコマンドを実行する。

　次回（7月6日公開予定）は，Apache HTTP Serverを動作させる場合のLIDSの具体的な設定手順を紹介する予定である。

■著者紹介
面和毅（おもかずき）氏
学生時代よりUNIXに親しむ。1997年からサーバー構築およびセキュリティ全般を扱う仕事に従事，Linuxを使い始める。現在はLIDSの普及活動に注力。SELinuxコミュニティ内でのLIDS支部の立ち上げや，LIDS関連文書の日本語化，LIDSを用いたシステム構築の紹介などを行っている。