LinuCレベル3 セキュリティスペシャリスト インシデントの検知・防止 問21
インシデントの検知・防止／ホストセキュリティホストセキュリティの運用に関する説明として、正しいものをすべて選べ。
当サイトのオリジナル問題（LinuCレベル3 セキュリティスペシャリストの出題範囲「インシデントの検知・防止」に対応。実際の試験問題ではありません）
- AAIDE の aide --update は、現在のファイルシステムを既存データベースと照合して変更を報告すると同時に、現在の状態を反映した新しいデータベースを生成する
- BClamAV でオンアクセススキャンを実現するには clamdscan コマンドを cron で毎秒起動すればよく、カーネルレベルでファイルアクセスを監視する特別な仕組みは必要ない
- CYARA ルールの condition セクションでは、strings セクションで定義した文字列の一致に加え、filesize によるファイルサイズの制約も条件として指定できる
- DYARA ルールの condition セクションで $s1 at 0 と記述すると、文字列 $s1 がファイルの末尾に出現する場合にのみ一致し、先頭にあっても一致しない
正解：A、C
解説
AIDE の aide --update は、aide --check と同様にファイルシステムの変更を報告しつつ、現在の状態を反映した新しいデータベースファイルも生成します。管理者は出力された新しいデータベースを確認のうえ既存のデータベースと置き換えることで、ベースラインを更新できます。YARA ルールの condition セクションでは、strings セクションで定義した文字列パターンの一致だけでなく、filesize（ファイルサイズ）や math.entropy（エントロピー）など多様な条件を組み合わせて柔軟にマッチング条件を記述できます。
選択肢ごとの解説
- A正しい。aide --update は既存データベースとの照合と変更の報告を行いつつ、現在のファイルシステムの状態を反映した新しいデータベースファイルも同時に生成する。
- B誤り。ClamAV のオンアクセススキャンは clamonacc がカーネルの fanotify を使いファイルアクセスをリアルタイムで監視して clamd に検査を依頼する仕組みであり、cron で繰り返し実行する方式とは異なる。
- C正しい。YARA の condition セクションでは文字列パターンの一致のほか、filesize でファイルサイズの範囲を指定したり、複数の条件を and や or で組み合わせたりして柔軟に検出条件を記述できる。
- D誤り。$s1 at 0 は文字列 $s1 がファイルの先頭（オフセット 0）に出現する場合に一致する条件であり、末尾ではない。末尾を指定するには filesize と組み合わせてオフセットを計算する。