システム構成とアプリケーション設定に基づく セキュリティ・ポリシ自動生成フレームワーク sod(B4) 親：trueさん サブ親：yasuさん 背景 ﻪセキュリティの確保が重要な課題に ﻩインターネットの重要インフラ化 ﻪホストレベルの対策が重要 ﻩ全てのホストがセキュアになれば 多くのセキュリティの問題が解決される →セキュアOS セキュアOSの特徴 ﻪ脆弱性を狙った攻撃への有効な対策 ﻩワーム、クラッキングなど様々な攻撃の手段 ﻩ未知の脆弱性に対する攻撃にも有効 ﻪ特権ユーザへの権限集中の問題を解決 ﻩ従来のUnixでは特権ユーザは何でも出来る ﻩ特権ユーザの権限が奪取された場合 セキュアOSの二大機能 ﻪ強制アクセス制御 ﻪ最小特権 /var/www/ ×× × read write attacker apache httpd-error.log Secure write OS read/append MAC × excute >_ /bin/sh セキュアOS導入・運用上の問題点 ﻪアクセス制御ルールの設定 ﻩ強制アクセス制御を行うために必要 ﻩ粒度が高くなればなるほど設定は複雑に ﻪ設定には知識・経験が必要 ﻩプログラムの動作とシステムの挙動への理解 ﻪ本研究では『セキュリティ・ポリシ』と呼ぶ ﻪセキュアOSとアプリケーションに精通した者 にしか現実的に設定不可能 情報共有モデル ﻪ精通した者が設定したセキュリティ・ポリシを流通 精通した者 精通していない者 精通した者 精通していない者 セキュリティ・ポリシの再利用性 ﻪプログラムの動作はある程度限定可能 ﻩリソースの正当な利用方法を記述 ﻪapache ﻩ/etcへの書込アクセスは不必要 ﻩapacheのプロセスがDocumentRootを読み込む ﻪshell ﻩ権限が非常に広範囲に渡るが限定可能 再利用上の問題 ﻪ必要なアクセス制御の差異 ﻩパターン化が可能 ﻯするする/きつきつ、ある機能が必要/不必要 ﻯex) apacheはttyを開けるか/開けないか ﻪ環境に関する具体的な値の差異 ﻩファイルパスやポート番号 ﻩ組合せは無数に存在 ﻯex) apacheの実行バイナリのパス 提案する手法 ﻪ自動的にホスト環境に合わせて調整 ﻪ必要なアクセス制御の差異 ﻩパターンの選択 ﻪ環境に関する具体的な値の差異 ﻩ調整段階でホストにおける具体的な値を代入 アプリケーションの設定ファイル DocumentRoot /var/www/html Port 80 httpd.conf 判断材料 ﻪシステム構成 ﻩファイルの有無 ﻪアプリケーションの設定ファイル ﻪアプリケーションの固定的な値 ﻩソースコードにハードコーディングされた値 ﻪユーザの入力した値 ﻩ設定ファイルのパスが不明などの場合 フレームワーク 参照 精通した者が 用意する部分 設定 システム構成 セキュリティ ポリシのベース 調整スクリプト bool変数 変更 @***@ セキュリティ ポリシ 実装概要 ﻪApache用の自動生成を実装 ﻪ推測/ユーザからの入力が必要なもの ﻩ実行バイナリ/設定ファイルのパス ﻪ現実的に自動生成不可能なもの ﻩDocumentRoot外のファイルのアクセス権限 ﻩcgi関連のファイルのアクセス権限 デモ 評価 ﻪアクセス制御設定の正当性 ﻩユーザが意図した設定に基づく制御を行うか ﻪアクセス制御設定のセキュリティ強度 ﻩ無駄なアクセス権限を付与の有無 ﻪアクセス制御設定の生成工数 ﻩ削減出来た設定コストの評価 評価：正当性 ﻪ同じ団体によって作られた設定とアクセス定義設定と比較 比較項目 設定 自動生成 デフォルト Apacheの正常起動の可否 ○ ○ ○ DocumentRoot以下に置かれたhtml等の表示可否 ○ ○ ○ ScriptAlias以下に置かれたcgiの利用可否 ○ ○ ○ cgiからScriptAlias以下ファイルへの読込可否 － ○ ○ cgiからScriptAlias以下ファイルへの書込可否 － × × cgiからDocumentRoot以下ファイルへのアクセス可否 － × × Alias以下に置かれたファイルの表示可否 ○ ○ ○ 各種ログの出力可否 ○ ○ ○ ユーザディレクトリ以下のhtml等の表示可否 × × ○ ユーザディレクトリ以下のcgi等の利用可否 × × × cgiのネットワークアクセス利用の可否 － × × 評価：生成工数 ﻪ最終的に同じアクセス定義設定を設定 ﻩApacheの構成はapache.org標準 ﻪ手動作成/変更は1行15秒として計算 ﻪ自動生成は150回試行 手法 自動生成 行数 0 秒数 標準偏差 157.463 7.269 手動変更 73 1095 一から設定 376 5640 まとめ ﻪアクセス制御設定をホストに合わせて自動 調整 ﻩアプリケーションの設定を判断材料に ﻩアクセス制御設定の自動生成を実現 ﻪ今回の実装ではSELinuxを用いたが ﻩLIDSでも ﻯ/sbin/lidsconf @APACHE_BIN@ … ﻪセキュアOSの運用・導入コストを削減 今後の課題 ﻪフレームワークの構築 ﻩ調整を行うスクリプトの記述コストの削減 ﻩ他アプリケーションへの適用 ﻪ定義後のラベル付与の簡易化 any questions? ﻪご清聴ありがとうございました
© Copyright 2024 ExpyDoc
