LinuCレベル3 セキュリティスペシャリスト システム保護と監査 問24
システム保護と監査／Linux システムのセキュリティ監査auditdで、監査ログを書き込むパーティションの空き容量が、/etc/audit/auditd.conf の admin_space_left で指定した値を下回った時点で、記録の取りこぼしを避けるためにシステムをシングルユーザーモードへ切り替えたい。設定として適切なものはどれか。
当サイトのオリジナル問題（LinuCレベル3 セキュリティスペシャリストの出題範囲「システム保護と監査」に対応。実際の試験問題ではありません）
- Aspace_left_action = SINGLE
- Badmin_space_left_action = SINGLE
- Cdisk_full_action = SINGLE
- Dadmin_space_left_action = SUSPEND
正解：B
解説
auditd.conf では、ディスクの空き容量について2段階のしきい値を設定できます。space_left は最初の警告のしきい値で、下回ったときの動作を space_left_action で指定します。admin_space_left はそれより小さい最後のしきい値で、下回ったときの動作を admin_space_left_action で指定し、SINGLE にするとシステムをシングルユーザーモードに切り替えます。これらの動作には、SINGLE のほか、記録を停止する SUSPEND、システムを停止する HALT なども指定できます。ほかに、ディスクが満杯になったときの動作を決める disk_full_action もあります。
選択肢ごとの解説
- A誤り。space_left_action は、最初の警告のしきい値である space_left を下回ったときの動作で、admin_space_left を下回ったときの動作ではありません。
- B正しい。admin_space_left_action は admin_space_left を下回ったときの動作で、SINGLE を指定するとシングルユーザーモードに切り替わります。
- C誤り。disk_full_action は、ログのパーティションが満杯になったときの動作を指定するもので、admin_space_left のしきい値とは関係ありません。
- D誤り。SUSPEND は、admin_space_left を下回ったときにauditdがディスクへの記録を停止する指定で、デーモン自体は動き続けますが、シングルユーザーモードへの切り替えは行いません。