前回、SELinuxは「とりあえず使う」だけでも効果があるという話をしました。今回は、「どういった場所に使うべきか、どのような効果を期待できるのか」についてお話したいと思います。
前回、SELinuxは「とりあえず使う」だけでも効果があり、それはそれほど難しいことではない、というお話をしました。今回は、「どういった場所に使うべきか、どのような効果を期待できるのか」についてお話したいと思います。
前回「本来強固に守るべき場所」というあいまいな表現をしました。多くの読者の方々には思いつくサーバが幾つかあると思いますが、実際に幾つか例を挙げましょう。ポイントとしては、外部から攻撃を受けやすい場所と、内部から攻撃を受けやすい場所です。
多くの組織では、DMZ上に外部向けメールサーバやWebサーバ、DNSサーバを置いているでしょう。これらのサーバは、組織外からアクセス可能で、外部から最も攻撃を受けやすい場所です。
最近はあまりニュースになりませんが、Webサーバのコンテンツ改ざんがなくなったわけではありません(参考:日本のWEB改ざん状況)。また、外部向けメールサーバは、設定を改ざんされ、SPAMメールの温床にされる恐れもあります。さらに、DNSサーバについては、再帰検索の仕組みを利用したDDoSに悪用されることがニュースになりました。これは、DNSサーバの設定が関連していたのですが、その設定が改ざんされてしまうと問題です。
もちろん、DMZ上のサーバに対しては、ファイアウオールでのポート制御や、IDS/IDP、各サーバを別々のマシンに配置するなど、既にさまざまな対策を講じていることでしょう。しかし、攻撃の受けやすさを考えれば、対策し過ぎることはありません。SELinuxを利用したからといって、すべての攻撃に100%対策できる訳ではありませんが、SELinuxのアクセス制御によって、被害を最小限に抑える効果があります。
これまでは、セキュリティを最優先に考えた場合、Web/メール/DNSサーバは、別々のマシンに配置すべきでした。これは、いずれかのサーバアプリケーションに脆弱性があってroot権限を奪われた場合を考慮し、被害を最小限に抑える必要があったからです(図1)。
しかし、SELinuxはそれ自体で被害を最小限に抑えることができます。このため、別々のマシンに配置した場合と同等以上のセキュリティを確保しつつ、1台のサーバに集約できます(図2)。
Copyright © ITmedia, Inc. All Rights Reserved.