早間義博
yossi****@yedo*****
2011年 11月 19日 (土) 17:59:43 JST
TOMOYO
Fork早間です。
ありがとうございます。
今までより、少し判りました。
>
> > (1) <kernel> 以下・直下のドメインデータは何に影響を与えるのか。
> >
> > が疑問点です。
>
> ブートローダにより読み込まれて実行されたカーネルというプログラムの動作に影響を
> 与えます。
>
この説明は、私の観測と合致していないように感じますので今少しご説明
下さい。
<kernel> のprofile を 1 ( mode=learning grant_log=no reject_log=yes )
にして、再起動せずに使用していたところ、
(1) ホスト1
<kernel>
0: file read @ANY_PATHNAME
1: use_group 0
file read だけが追加され、読み込みファイルとして emerge の対象と
なった(gentoo などの方言でしょうか)ファイルが並んでいました。
テーブルオーバーをおそれて(300 ファイルくらいありました、安易
に書き直したのを、後悔しています)
file read @ANY_PATHNAME
に置き換えてしまいました。
(2)ホスト2
(1)と同じように
file read @ANY_PATHNAME
にしたのですが、特定のディレクトリに対しての書き込みも作成され
ていました。今見たところ、下記のとおりです。
<kernel>
0: file read @ANY_PATHNAME
1: file write /ptg/Win/\*
2: file write /ptg/Win/\{\*\}/\*
3: use_group 0
file write は自動的に追加され、さらに変更されています。
file に対する書き込みがワイルドカートになっているのは、
すべての規則を書き直すプログラムを、毎日、実行しているので、
書き直された結果です。
ファイルに対する規則を個人的な好みに合う規則に書き直すプログラム
で、現在の 2.4 から 2.5 にあげたときに「労せずに今と同じレベル」
の設定に直すのが目的です。(この件につて攻撃側としての知識がな
いので悩みが多いのです)
(3)ホスト3
再起動しています。
<kernel>
0: file execute /sbin/init
1: file execute /sbin/modprobe
2: file read @ANY_PATHNAME
3: use_group 0
となっています。
(2) の結果で気がついたのですが、read write 対象として
<kernel>
に追加されたファイルは、はっきりとは言えないのですが(ここが後悔)
ネットワークファイルであったように思います。ネットワークファイル
以外は入っていない(このことを断言できません)ようです。
紛らわしいですが、
/ptg/Win/ は (2)の機械にあります。ネットワークファイルで公開し
そして(1)と(3)でsambaにより Windows の機械に公開しています。
Windows の機械のライブラリとして使用しています。
Windows の機械で書き込むことは殆どありません。
あわてて @ANY_PATHNAME に置き換えたファイルは (1) の機械上にあ
り、ネットワークファイルで公開しています。
(1)(2)(3)の機械から read write などをそれぞれ実行していますが
portage tree などの当該ディレクトリへの書き込みは、操作の関
係上 (1) の機械に集中しています。
また、(1)(2) は 32ビットos (3) は 64ビットos です。
(2) の機械でコンパイル(distcc を使用)したバイナリを /ptg/binpkgs
に作成しこのパッケージを (3) でも使用しています。パッケージ作成
時の情報は <kernel> に採取されていません。これは /ptg/binpkgs
が (2) の機械にあり、ネットワークファイルを経由していないからだ
と思われます。
distcc の情報は <kernel> に採取されていません。ネットワークファ
イルを経由していないからだと思われます。
-- 早間