LinuC レベル3 3SS試験のサンプル問題（本番形式・解説付き）

解説

SystemCallFilter はシステムコール名やあらかじめ定義された集合を並べて指定し、先頭に ~ を付けると逆に拒否する集合としても書ける。何を行える権限を持つかで締める仕組みとは層が異なり、こちらは「どの呼び出しを通すか」という単位で境界を引く。

解説

ルールファイルはあらかじめコンパイルした形式にしておける。その形式を渡す場合は、コンパイル済みであることを伝える指定を添えて実行する。走査の対象が多く実行回数も多い運用では、この手当てで実行ごとの読み込みの手間を減らせる。照合の方式を切り替える指定で、ルールの読み込みの形式には関わらない。走査を分担させる処理の本数を決める指定である。一致した数が上限に達したところで走査を打ち切る指定である。

解説

/etc/nftables.conf は起動時にルールセット全体を読み込ませるためのファイルで、管理コマンドに与える記述をそのまま並べて書く。実行中のルールセットはメモリ上にあり、対話的に追加した内容はこのファイルへ書き出さない限り再起動で失われる。運用では実行中の内容をファイルへ書き出して両者を一致させ、ファイル側を変更の起点にする。実機とファイルのどちらが正かを決めないまま増やすと、差分の追跡ができなくなる。

解説

ACME の検証方式は、ドメインの支配を何で示すかが違います。HTTP-01 は 80 番ポート経由で /.well-known/acme-challenge/ 配下のトークンを取りに来させる方式で対象は個々のホスト名に限られ、ワイルドカードを求めるならゾーンへ TXT レコードを置く DNS-01 を選びます。運用では、有効期限と発行のレート制限という別種の制約を分けて考える必要があり、certbot renew を Cron か Timer unit file で定期実行して期限が近いものだけ更新する形にすると、無駄な発行を重ねずに済みます。失敗したときの手掛かりは letsencrypt.log に残ります。「発行回数の上限は登録したドメインごとに管理され」は誤りです。発行のレート制限は一定期間あたりの回数として課されるもので、証明書の有効期限とは別の制約です。「certbot が証明書の設定の書き換えまで行えるのは nginx だけで」は誤りです。certbot は nginx と apache のどちらにも対応しており、それぞれ向けの設定を組み込む仕組みを備えています。

解説

SystemCallFilter は、並べたもの以外を止める許可リストとして働くのが既定だが、リストの先頭に ~ を付けると効果が反転し、並べたものだけを止める拒否リストになる。防御としては許可リストのほうが強いものの、サービスごとに使うシステムコールを洗い出す必要があり、並べ漏れがあればその経路に入った時点でサービスが止まる。洗い出しの時間が取れず停止も避けたい状況では、危険度の高い群だけを拒否リストで落とす形が現実的な出発点になる。systemd には @ で始まる定義済みの群が用意されており、群の単位で指定できる。SystemCallErrorNumber は、遮断された時の振る舞いをプロセスの終了からエラーの返却へ変える設定である。SystemCallArchitectures は受け付ける実行形式の系統を絞る設定で、別の系統からフィルタをすり抜けられるのを防ぐ役割を担う。