LinuCレベル3 セキュリティスペシャリスト インシデントの検知・防止 問5
インシデントの検知・防止／ホストセキュリティRHEL 9の既定の設定でAIDEを使い、ファイル改ざんの検出を始めたい。手順の説明として適切なものはどれか。
当サイトのオリジナル問題（LinuCレベル3 セキュリティスペシャリストの出題範囲「インシデントの検知・防止」に対応。実際の試験問題ではありません）
- Aaide --init の出力は aide.db.new.gz になるため、aide.db.gz に名前を変えてから aide --check で比較する
- Baide --check を初めて実行すると、比較元の aide.db.gz が無い場合は自動的に作成され、2回目以降の実行から比較が行われる
- Caide --update を実行すると、差分を報告したうえで比較元の aide.db.gz が直接書き換えられ、名前の変更は二度と不要になる
- Dデータベースは改ざんの比較元なので、検査対象と同じディスク上の /var/lib/aide に置いたままにし、読み取り専用の媒体には移さない
正解：A
解説
AIDEは、設定ファイル（RHELでは /etc/aide.conf）で指定したファイルの属性やハッシュ値をデータベースに記録し、後の状態と比べて変更を検出します。RHEL 9の既定の設定では、aide --init の出力先（database_out）は /var/lib/aide/aide.db.new.gz、比較元（database_in）は /var/lib/aide/aide.db.gz のため、初期化後に名前を変えてから aide --check を実行します。aide --update も差分を報告したうえで新しいデータベースを database_out に書き出すため、正当な変更を取り込むたびに同様の入れ替えが必要です。攻撃者にデータベースごと書き換えられないよう、比較元のデータベースは読み取り専用の媒体や別のホストに保管するのが望ましい運用です。
選択肢ごとの解説
- A正しい。RHEL 9の既定では初期化の出力が aide.db.new.gz になるため、aide.db.gz に名前を変えてから比較します。
- B誤り。aide --check は既存のデータベースとの比較だけを行い、データベースが無い場合は自動で作成せずエラーになります。
- C誤り。aide --update も新しいデータベースを aide.db.new.gz に書き出すため、取り込むには再び名前の変更が必要です。
- D誤り。比較元のデータベースを検査対象と同じ場所に置くと、攻撃者に書き換えられるおそれがあり、読み取り専用の媒体などに保管すべきです。