ポリシの静的生成

SELinux等のセキュアＯＳのポリシを書く際は、
アプリをテスト動作させて、テスト動作のログから設定を生成するのが普通。
が、テスト動作させるのは面倒である。
上を「ポリシの動的生成」というならば、テスト動作がいらない「静的生成」みたいな手法もあるにはある。

一番単純なのは、「SELinux徹底ガイド」にも書いたが、rpmコマンドを使うもの。
rpm -l 'which ＜実行ファイル名＞'|grep -v "/usr/share/doc" |grep -v "/usr/share/man"
のようにして、実行ファイルに関係するファイルを洗い出し、そいつら全部に「読み込み」権限を与えるもの。これだけでも、動作テスト前に、少しはポリシを書くことができる。
ちなみに、SEEdit(まだ公開してない版）にも、これをやるボタンを実装してある。
もっとも、rpmを使ってない場合はどうにもならないが。。。

他の手法も聞いたことがあるが、出典が不明なため、秘密です(^^;
特許とか絡んでたら面倒だし。。