3SS.01.5Linux Capabilities を利用した制限

LinuCレベル3 セキュリティスペシャリスト 3SS試験の出題範囲から「1.5_Linux Capabilities を利用した制限」についての例題を解いてみます。

LinuCレベル3 セキュリティスペシャリスト 3SS試験 出題範囲

例題

ネットワークインターフェースの設定変更を非特権ユーザに最小限の権限で許可したい。バイナリに単一の capability を付与する場合、適切なものは次のうちどれか。

1. CAP_NET_RAW
2. CAP_NET_BIND_SERVICE
3. CAP_SYS_ADMIN
4. CAP_DAC_OVERRIDE
5. CAP_NET_ADMIN

※この例題は実際の試験問題とは異なります。

解答と解説

正解は、「5.CAP_NET_ADMIN」です。

Linux Capabilities の概要

Linux Capabilities は、root 権限を細分化し、必要最小限の権限のみをプロセスやバイナリに付与する仕組みです。従来の「root か一般ユーザか」という二者択一ではなく、特定の操作に必要な権限だけを与えることで、セキュリティリスクを最小化できます。

ネットワーク管理と CAP_NET_ADMIN

ネットワークインターフェースの有効/無効化、アドレスやルーティングテーブルの変更、キュー長設定といった「ネットワーク管理」操作には CAP_NET_ADMIN が必要です。最小権限付与の観点からも、より広範な権限である CAP_SYS_ADMIN を使うべきではありません。

例題作成者

LinuC 試験開発コミュニティ