平成29年度 春期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問10

解説

SELinux（Security-Enhanced Linux）は，Linuxカーネルに強制アクセス制御（MAC：Mandatory Access Control）の機能を追加する拡張モジュールです。従来のLinuxのアクセス制御（DAC：任意アクセス制御）では，root権限（スーパユーザ）を奪われるとシステム上のあらゆるリソースに自由にアクセスできてしまいますが，SELinuxを使用すると，プロセスやユーザ（root権限を含む）がアクセスできるファイルや資源の範囲をポリシーとして細かく制限できるため，たとえroot権限が侵入者に奪われた場合でも，その影響（アクセスできる範囲）を必要最小限に抑えることができます。

選択肢ごとの解説

• ア正しい。SELinuxは強制アクセス制御によって，root権限を含むスーパユーザによるリソースへのアクセスをポリシーで細かく制限できるため，侵入された際にも被害の範囲を最小限に抑えることができます。
• イ誤り。接続元や使用するポート番号を制限して侵入を防ぐのは，パケットフィルタリング型のファイアウォールの機能であり，SELinuxが提供する強制アクセス制御とは異なる機能です。
• ウ誤り。通信文を暗号化して盗聴を防ぐのは，TLSやIPsecなどの暗号化通信技術の役割であり，アクセス制御を行うSELinuxの機能ではありません。
• エ誤り。ファイルを以前の状態と比較して改ざんを検知するのは，Tripwireなどの改ざん検知ツール（ファイル整合性監視ツール）の機能であり，アクセス制御を行うSELinuxの機能ではありません。