23.2. IMA 署名ベースの評価によるカーネルの実行時整合性監視の有効化

• インストールされているすべてのパッケージのパッケージファイル署名を security.ima に保存します。
• dracut の整合性モジュールを含めることで、IMA のコード署名鍵をカーネルに読み込みます。
• ポリシーを /etc/ima/ima-policy にコピーして、systemd が起動時にそのポリシーを読み込めるようにします。

検証

• ip コマンドを正常に実行できます。

• ip が /tmp にコピーされると、デフォルトで security.ima が失われ、ip コマンドは実行されません。

  # cp /usr/sbin/ip /tmp
  # /tmp/ip
  -bash: /tmp/ip: Permission denied
  # /tmp/ip doesn’t have security.ima
  # getfattr -m security.ima -d /tmp/ip
  # whereas /usr/sbin/ip has
  # getfattr -m security.ima /usr/sbin/ip
  # file: usr/sbin/ip
  security.ima=0sAwIE0zIESQBnMGUCMQCLXZ7ukyDcguLgPYwzXU16dcVrmlHxOta7vm7EUfX07Nf0xnP1MyE//AZaqeNIKBoCMFHNDOuA4uNvS+8OOAy7YEn8oathfsF2wsDSZi+NAoumC6RFqIB912zkRKxraSX8sA==