Bastille：自学にも適したセキュリティ評価ツール：Leverage OSS（2/2 ページ）

[Bruce-Byfield，Open Tech Press]

Bastilleの対話的実行

　システムのセキュリティ強化プロセスを開始するには、bastilleと入力してPerl/TkのGUIを実行するか、bastille -cと入力してテキストベースのPerl/Cursesインタフェースを実行する。どちらの場合も、プログラムによってセキュリティ関連の項目およびオプションについて簡単に説明した一連の画面が表示された後、GUIであれば画面上で選択を、CUIであれば自分で入力を行っていくことになる。

　Bastilleのセキュリティ関連オプションは14種類のセクションにグループ分けされている。Perl/Tkインタフェースの場合、これらのセクションは画面の左側にある一覧に表示され、各セクションの設定が終了するとチェックマークがつくようになっている。それぞれのセクションは幾つかの画面に分かれている。たいていのテーマは専用の画面を持っているが、導入画面に配置されているものも幾つかある。

　ほとんどの画面には、ユーザーの利便性とセキュリティとの適切なバランスをとったデフォルトの選択肢が用意されている。例えば、新規ファイルのデフォルトパーミッションの設定では、より制限の強い設定がユーザーの苦痛になるわけでもシステムを不安定な状態に陥れるわけでもない、というもっともな仮定が採り入れられている。ところが、Bastilleでは可能なら印刷機能をオフにするように勧めながらも、デフォルトの設定は、ユーザーはオフにしたがらないだろうとの仮定に従った内容になっている。ひととおりBastilleを実行してもデフォルトの設定しか使わない場合は、セキュリティの高さを限界まで引き出した結果にはならないが、かといって普通にデスクトップが使えないほど低いセキュリティになることもない。

　とはいえ、ただデフォルト設定を受け入れるだけでは、セキュリティについて学ぶ機会をみすみす逃していることになる。セキュリティについてまだ知らない人には、なぜブートマネジャーGRUBをパスワードで保護する必要があるのか、なぜ少なくともシングルユーザーモードではマシンの特定のサービスを無効にすべきなのか、あるいはユーザーに利用可能なリソースの上限をどのように設定すればサービス拒否攻撃を防げるのか、といったトピックについて Bastilleが説明してくれる。こうしたトピックについてすでに理解して人に対しては、取りうる選択肢の長所と短所を分かりやすくまとめたサマリをBastilleは提供してくれる。どちらにしても、Bastilleは現在利用できるセキュリティ関連の入門書としては最も明解で簡潔なものの1つといえる。

　「Explain Less」ボタンを押すと、それぞれのテーマについて概要を示すサマリだけが表示される。また「Explain More」ボタンを押せば、取りうる選択肢に対しての行き届いた考察も表示され、また幾つかの場面では最適な選択肢、少なくともよく分からない場合に選ぶべきものを推奨してくれる。

　1、2回は、単なる「はい/いいえ」の選択やラジオボタンによる選択ではなく、Bastilleが何らかの入力を求めてくるが、その場合もたいていはよくある設定例の幾つかをテキストで示してくれる。本当に専門的な知識が要求されるセクションは「Firewall（ファイアウォール）」と「Port Scan Attack Detector（ポートスキャン攻撃検知）」だけである。これらの設定では、ホストまたはイーサネットカードデバイスについての情報とポートの基本的知識が必要かもしれない。だが、こうした場面でもデフォルト設定のままにしておけば、基本的な機能性が損なわれることはない。ただし、Bastilleのアドバイス通りに作業を進めてファイアウォールをすぐに有効にしない場合、ユーザーはファイアウォールのテストと起動を行うためのコマンドをコピーする必要がある。

　また「Firewall」セクションを出る前に、ファイアウォールの設定を自動的に行わせるのではなく、ファイアウォールがブート時に起動するように、ユーザーはそのテストと起動に必要だったコマンドを記録しておく必要もある。

　セキュリティについての知識とBastilleによる設定の進め方にもよるが、こうした対話的な処理を完了するには15〜45分ほどかかる。このプロセスの最後で、選択内容を破棄するか保存して別の手順に適用するかのどちらかを行うことができる。セキュリティの知識が不十分な人には特にありがたい対策といえるだろう。実際、初心者であれば最初は試しに動作させてみてBastilleの提供する情報を吸収したいと思うかもしれない。そうしておけば、実際に設定を選択するときには基本的な情報がすんなり理解できるはずだ。

　万が一、ファイアウォールやそのほかのオプションの設定に熱が入り過ぎ、誤ってデスクトップを自分の手でロックアウトしてしまった場合には、bastille -rまたはRevertBastilleによってBastilleで行った変更内容をすべて取り消すことができる。

実用と学習の両面で最適

　コマンドラインからデスクトップへと向かうユーティリティのすう勢は、システムが何を行っているかの理解をあきらめることを意味する場合が非常に多い。しかし、Bastilleはこの傾向に対する珍しい例外である。セキュリティのアーキテクチャの善し悪しはシステムに何が行われてきたかを理解している管理者に依存するが、専門家でない者にセキュリティのアーキテクチャをまかせるにあたり、Bastilleはこの基本的な原則を放棄していないのだ。1つや2つの例外はあるが、Bastilleは何が行われ、どのファイルが変更されるかを正確に説明している。こうしたやり方はこれまでのBastilleの幾つかのリリースの傾向になっているが、グラフィカルなプログラムの一般的な流れに逆らうかのように、Bastilleの現行バージョンはそうしたやり方を踏襲しているだけでなく、さらにしっかりとした形で適用している。

　セキュリティの専門家はほとんどBastilleを必要としないだろうが、彼らでさえ便利なチェックリストだと感じるかもしれない。一方、セキュリティの専門家でないわれわれにとっては、Bastilleは実用的でセキュリティの知識を授けてくれる存在だ。わたしは、BastilleをGNU/Linuxにとって絶対に不可欠な数少ないプログラムの1つと考え、もっとわたしにも分かるように対話的セクションの改善が続けられることを期待する、という控えめな条件付きでこのソフトウェアをお勧めする。

Bruce Byfield氏はセミナーのデザイナー兼インストラクターで、NewsForge、Linux.com、IT Manager's Journalに定期的に寄稿しているコンピュータジャーナリストでもある。

原文へのリンク