第22章 完全なディスクイメージの作成

イメージを作成する際のセキュリティーに関する推奨事項

• /tmp ディレクトリーを別のボリュームまたはパーティションにマウントし、rw、nosuid、nodev、noexec、および relatime のフラグを付ける。
• /var、/var/log、および /var/log/audit ディレクトリーを別のボリュームまたはパーティションにマウントし、rw および relatime のフラグを付ける。
• /home ディレクトリーを別のパーティションまたはボリュームにマウントし、rw、nodev、および relatime のフラグを付ける。

• GRUB_CMDLINE_LINUX の設定に以下の変更を加える。

  • 監査を有効にするには、audit=1 カーネルブートフラグを追加します。
  • ブートローダー設定を使用した USB のカーネルサポートを無効にするには、nousb を追加します
  • セキュアでないブートフラグを削除するには、crashkernel=auto を設定します。
• セキュアでないモジュール (usb-storage、cramfs、freevxfs、jffs2、hfs、hfsplus、squashfs、udf、vfat) をブラックリストに登録して、読み込まれないようにする。
• セキュアでないパッケージ (kexec-tools によりインストールされた kdump および telnet) がデフォルトでインストールされるので、それらをイメージから削除する。