課題 332: ホストセキュリティ

332.1 ホストハーデニング (総重量: 5)

主な知識分野:

• BIOSとboot loader(GRUB 2)セキュリティの設定。
• 利用していないソフトウエアとサービスを無効化する。
• 特定のsystemdユニットと全体システムに対して、不必要な機能を理解し削除する。
• アドレス空間のランダム化(ASLR: Address Space Layout Randomization )、Data Execution Prevention (DEP) 、 Exec-Shieldを理解し設定する。
• ブラックリスト・ホワイトリストに分けられたUSBデバイスを、USBGuardを利用して、コンピュータに接続する。
• CAを利用してホストとユーザーキーのSSH CA、SSH証明書を作成し、OpenSSHがSSH証明書を利用するように設定する。
• chroot環境での作業
• システムコールとプロセスに対して有効な機能を制限するために、systemdユニットを利用する。
• 特定のファイルやデバイスに、アクセスを制限したりアクセスさせないようにして、プロセスを起動するようにsystemdユニットを利用する。
• 専用のテンポラリディレクトリや/devディレクトリがあり、ネットワークアクセスができない状態のプロセスを起動するように、systemdユニットを利用する。
• プロセスが消費することができるシステムリソースを制限するように、systemdユニットを利用することができる。
• Linux MeltdownとSpectreの回避策の影響の理解と、回避策の有効化・無効化。
• polkitの知識
• 仮想化とコンテナ化のセキュリティの利点の知識

用語とユーティリティ:

• grub.cfg
• systemctl
• getcap
• setcap
• capsh
• sysctl
• /etc/sysctl.conf
• /etc/usbguard/usbguard-daemon.conf
• /etc/usbguard/rules.conf
• usbguard
• ssh-keygen
• /etc/ssh/
• ~/.ssh/
• /etc/ssh/sshd_config
• chroot

332.2 ホストの侵入検知 (総重量: 5)

主な知識分野:

• Linux Auditシステムの設定と利用
• chkrootkitの利用
• rkhunterの、利用・設定・アップデート
• Linux Malware Detect(マルウェア検出ツール）の利用。
• cronを利用したホストのスキャンの自動化。
• インストールされたファイルの一貫性の検証のため、RPMやDPKGのパッケージ管理ツールの利用。
• ルール管理を含んだAIDEの設定と利用。
• OpenSCAPの知識

用語とユーティリティ:

• auditd
• auditctl
• ausearch, aureport
• auditd.conf
• audit.rules
• pam_tty_audit.so
• chkrootkit
• rkhunter
• /etc/rkhunter.conf
• maldet
• conf.maldet
• rpm
• dpkg
• aide
• /etc/aide/aide.conf

332.3 リソース制御 (総重量: 3)

主な知識分野:

• ulimitsの理解と設定
• クラス・リミット・アカウンティングを含むcgroupsの理解。
• cgroupsの管理と、cgroup associationの加工。
• スライスを含む、systemdリソース制御の理解
• systemdユニットのリソース制限の設定。
• cgmanagerとlibcgroupユーティリティーの知識。

用語とユーティリティ:

• ulimit
• /etc/security/limits.conf
• pam_limits.so
• /sys/fs/group/
• /proc/cgroups
• systemd-cgls
• systemd-cgtop

課題 333: Access Control

333.1 任意アクセス制御 (総重量: 3)

主な知識分野:

• SetUID, SetGIDビットを含む、ファイルの所有権・パーミッションの管理と理解。
• アクセス制御リスト(ACL)の管理と理解。
• 拡張属性と属性クラスの管理と理解。

用語とユーティリティ:

• getfacl
• setfacl
• getfattr
• setfattr

333.2 強制アクセス制御 (総重量: 5)

主な知識分野:

• Type Enforcement・ロールベースアクセス制御(RBAC: role based access control)・強制アクセス制御・任意アクセス制御の概念を理解している。
• SELinuxを管理・設定する。
• AppArmorとSmackの知識

用語とユーティリティ:

• getenforce
• setenforce
• selinuxenabled
• getsebool
• setsebool
• togglesebool
• fixfiles
• restorecon
• setfiles
• newrole
• setcon
• runcon
• chcon
• semanage
• sestatus
• seinfo
• apol
• seaudit
• audit2why
• audit2allow
• /etc/selinux/*

課題 334:ネットワークセキュリティ

334.1 ネットワークハーデニング (総重量: 4)

主な知識分野:

• ワイヤレスネットワークのセキュリティ機構を理解する。
• ネットワークノードの認証のため、FreeRADIUSを設定する。
• ネットワークトラフィックの分析・フィルタ・統計取得のため、Wiresharkやtcpdumpを利用する。
• ワイヤレスネットワークを解析し、ワイヤレスネットワークのトラフィックを取得するために、Kismetを利用する。
• 不正なRA（rogue router advertisement: ルータアドバタイズメント)とDHCPメッセージの確認と取り扱い。
• aircrack-ngとbettercapの知識

用語とユーティリティ:

• radiusd
• radmin
• radtest
• radclient
• radlast
• radwho
• radiusd.conf
• /etc/raddb/*
• wireshark
• tshark
• tcpdump
• kismet
• ndpmon

334.2 ネットワーク侵入検知 (総重量: 4)

主な知識分野:

• 利用帯域モニタリングの実施
• Snortの利用と設定とルール管理
• NASLを含むOpenVASの利用と設定

用語とユーティリティ:

• ntop
• snort
• snort-stat
• pulledpork.pl
• /etc/snort/*
• openvas-adduser,
• openvas-rmuser
• openvas-nvt-sync
• openvassd
• openvas-mkcert
• openvas-feed-update
• /etc/openvas/*

334.3 パケットフィルタリング (総重量: 5)

主な知識分野:

• DMZを含む一般的なファイアウォールと構造の理解。
• 一般的なモジュール・テスト・ターゲットを含む、iptables, ip6tablesの利用と理解。
• IPv4とIPv6のパケットフィルタリングの実施。
• コネクショントラッキングとネットワークアドレス変換(NAT)の実施。
• IPセットと、IPセットのnetfilterルールでの利用。
• nftablesとnftの知識
• ebtablesの知識
• conntrackdの知識

用語とユーティリティ:

• iptables
• ip6tables
• iptables-save
• iptables-restore
• ip6tables-save
• ip6tables-restore
• ipset

334.4 バーチャルプライベートネットワーク(VPN) (総重量: 4)

主な知識分野:

• ブリッジ・ルーティングされたVPNの概念を理解している。
• OpenVPN, IPsec, IKEv2, WIreGuardプロトコルの主な違いと概念を理解している。
• OpenVPNサーバとクライアントを設定・操作する。
• IPsecサーバとクライアントを、strongSwanを利用して設定・操作する。
• WireGuardサーバとクライアントを設定・操作する。
• L2TPの知識

用語とユーティリティ:

• /etc/openvpn/
• openvpn
• /etc/strongswan.conf
• /etc/strongswan.d/
• /etc/swanctl/swanctl.conf
• /etc/swanctl/
• swanctl
• /etc/wireguard/
• wg
• ip