セキュアOS ポリシ自動生成の注意

セキュアOS

SELinux徹底ガイドとかでも言ったことだが、改めて。
自動生成（学習）ツールによって提示された設定は、追加前に確認するのが安全。

今日遭遇した例

  • ツール：SELinux Policy Editorの自動生成ツール。
  • 作業内容：Anonymous FTPを動作させるポリシ作成

で、/usr/sbin/vsftpdにvsftpd_tドメインを与えて、
動作テスト->アクセスログ取得->ポリシ生成
ってのをやっていた。
ftp localhost
として、ユーザー名を聞かれたとき、ログインユーザーを入れてログインしようとしても、失敗する(vsftpdの設定でAnonymous FTPのみにしてるので）。
この時, /etc/shadowへのアクセスを試みている。
なので、
allow /etc/shadow r,s;
という設定が提示される。
が、Anonymous FTPサーバーとして動作させるだけなら、この権限が無くとも動作する。
自動生成に頼りきってしまうと、これも盲目的に追加することになる

ちなみに、AppArmorでは、
提示された設定と共に、「Severity」という数値が出てくる。
これが大きい場合は注意が必要、ということのようだが、
具体的に設定者がどういうアクションをとればいいか分からない気もする。
こればかりは、人間の経験が生きてくるのか？

結局「セキュアOSでどこまで防ぐべきか？」
という話にもなってしまう気がするけど。