24.2. 사용자 정의 IMA 정책 작성

ima_policy=tcb 또는 ima_policy=critical_data 또는 /usr/share/ima/policies/ 의 샘플 정책과 같이 커널 명령줄 매개변수를 사용하여 활성화할 수 있는 기본 제공 IMA 정책에서 요구 사항을 충족하지 않는 경우 사용자 지정 IMA 정책 규칙을 생성할 수 있습니다. systemd가 /etc/ima/ima-policy 에서 정책을 로드하는 경우 기본 제공 IMA 정책을 대체합니다.

IMA 정책 규칙은 작업 [condition …​ 형식을 사용합니다.] 특정 조건에서 트리거되는 작업을 지정합니다. 예를 들어 /usr/share/ima/policies/01-appraise-executable-and-lib-signatures 의 샘플 정책에는 다음 규칙이 포함됩니다.

Skip some unsupported filesystems
For a list of these filesystems, see
https://www.kernel.org/doc/Documentation/ABI/testing/ima_policy
PROC_SUPER_MAGIC

# Skip some unsupported filesystems
# For a list of these filesystems, see
# https://www.kernel.org/doc/Documentation/ABI/testing/ima_policy
# PROC_SUPER_MAGIC
dont_appraise fsmagic=0x9fa0
…
appraise func=BPRM_CHECK appraise_type=imasig

첫 번째 규칙인 dont_appraise fsmagic=0x9fa0 에서는 IMA에 PROC_SUPER_MAGIC 파일 시스템의 승인 파일을 건너뛰도록 지시합니다. 마지막 규칙인 appraise func=BPRM_CHECK appraise_type=imasig 에서는 파일이 실행될 때 서명 확인을 적용합니다.