ログ出力の抑制によるSELinuxの不要なポリシ削減手法

摘要

SELinux のセキュリティポリシは，設定が難しいという問題がある．ポリシは設定の難しさから，配布されているポリシを利用する場合が多い．ここで，配布されているポリシは，汎用的なポリシであり，個々のシステムに必要ない権限を許可している可能性がある．この問題を解決するため，我々は，実行対象のシステムに合わせて，不要なポリシを自動で削除する手法を提案した．提案手法では，SELinux が保持しているSELinux Common Intermediate Language という中間言語で記述されたファイルと，SELinuxが出力する監査ログを利用して不要なポリシを発見し，削除する．ここで，提案手法には，同一ポリシにより許可されたアクセスのログが出力され続ける点，すべてのポリシのモジュールを対象にして提案手法を適用できない点，および提案手法適用時のオーバヘッドが大きい点という3 つの問題点が存在する．我々は，上記3 つの問題点に対処するため，提案手法を拡張した．拡張した提案手法では，一度ポリシの形式に変換されたアクセスルールに関するauditallow 文をポリシから削除する．これにより，ログの出力が抑えられ，3 つの問題点に対処できる．本稿では，提案手法とその評価結果について報告する．