LKM（Loadable Kernel Module）方式

LKM（Loadable Kernel Module）方式

LKMを簡単に説明すると、OSのカーネルに新しいモジュールを後付けで組み込むことを実現するものです。

LKM方式では、下の図4に示すように、システムコールで呼ばれる関数Aに対応する関数A'を実装します。そして、（2）のプロセスが呼び出すシステムコールをフックし、関数Aへの呼び出しがあった場合、関数A'が呼び出されるようにします。関数A'には、セキュリティチェックと、関数Aを呼び出す 処理が実装されていて、セキュリティチェックが通れば、従来どおりの処理（関数A）が行われるようになっています。

関数A'は関数Aと同じインターフェイスで実装されます。また、実際の処理自体は元の関数のものを利用します。そのため、従来のOSとの互換性は保たれます。


図4：LKM方式

Linux以外のOSでの強制アクセス制御

ここまではLinuxを例に説明してきましたが、UNIXでもLSM方式を除いてほぼ同じ です。一方Windowsにおいては、カーネルパッチ方式やLSM方式は利用できませんが、Windows APIをフックすることが可能です。そこで、Windows用のセキュアOSでは、LKM方式に似たような方法で、セキュリティチェックを入れ込む方法が とられています。

実装方式の選択について

このように、強制アクセス制御にはいくつかの実装方式がありますが、どの方式でも従来の OSとの互換性が保たれています。したがって、従来のOS上で動作していたアプリケーションは基本的に動作するはずです。また、これらの実装方式は、適用 できるOSや環境が異なり、それぞれ長所や短所があります。システムのOS環境や必要なセキュリティに応じて、導入するセキュアOS製品を選択することが 重要です。

最小特権は？

「最小特権」については、製品ごとに違いが大きいため一概に紹介できません。 TE（Type Enforcement）モデルや、RBAC（Role Based Access Control）モデルなど、さまざまなセキュリティモデルをベースとして、さまざまな形で実装されています。また、これに伴いアクセス制御設定の方法や 考え方も異なります。詳細については、次回以降のセキュアOS製品紹介を参考にしていただきたいと思います。

ただ、セキュアOSではシステムコールレベルのアクセス制御を行っているため、従来のOSに比べて詳細な権限設定が可能になっています。

たとえば、Linuxのパーミッションチェックでは、ファイルに対して設定できるアクセス権限は、read（読み込み）、write（書き込み）、 execute（実行）の3つのみでした。しかしセキュアOSでは、append（追記）などの様々な権限を設定できるようになっています。たとえばログ を出力するサーバアプリケーションにappendのみの権限を与えれば、サーバアプリケーションが乗っ取られても追記しかできないため、ログの改ざんや消 去を防ぐことができます。

セキュアOSの効果

かなり技術的な話が続きましたが、ここからはセキュアOSの効果などの話に移りたいと思い ます。とはいっても、セキュアOSでは「強制アクセス制御」と「最小特権」によって、様々なユーザやプロセスに必要最小限の権限を与えることが可能です。 そのため、セキュアOSの効果を網羅的に書くことはできません。ここでは、個人情報保護の観点から、いくつか例を挙げてみたいと思います。

個人情報が入ったデータへのアクセス権限最小化

従来のOSでは、特権ユーザに対してアクセス制限ができないため、個人情報などのデータを格納しているファイルに対して、参照・改ざん・破壊が自由にできていました。

しかし、セキュアOSでは特権ユーザに対してもアクセス制限をかけることができます。このため「2. 個人データへのアクセス制御」に即した制限をかけることができます。

侵入攻撃の防御と被害の限定

特権ユーザを奪おうとする侵入攻撃は、通信を行うサーバアプリケーション（Webサーバなど）のセキュリティホールを利用して侵入し、特権ユーザの権限を奪おうとします。

セキュアOSでは、サーバアプリケーションのプロセスに対しても「最小特権」を適用できます。このため、多くの攻撃に使われるツールは、権限が足りないため実行できず失敗します。また、仮に侵入に成功したとしても、侵入に利用したプロセスと同等の権限しか得られないので、被害を最小限に抑えられま す。

この防御や被害の限定はアクセス制御によって行っているため、未知・未対策のセキュリティホールへの攻撃に対しても有効です。

ログの保護

従来のOSでも、アプリケーションやシステムのログを監査に利用していると思います。しかし、特権ユーザで改ざんが可能であるため、完全に信用することはできません。また、ログを消去されてしまうと、不正が行われたことしかわかりませんでした。

セキュアOSでは、個人情報の入ったデータと同様にログを守ることができます。これにより、改ざんされていない信頼できるログを監査に利用できます。

監査ログの取得

セキュアOSの中には、アプリケーションや従来のOSで取得できるログの他に、監査ログを 取得することが可能な製品もあります。これは、強制アクセス制御のしくみをログ取得に利用することで実現しています。非常に詳細なログの取得が可能で、た とえば個人情報へのアクセスが許されたユーザが、コマンドやログ機能が十分でないアプリケーションを利用してアクセスした場合でも、監査のためのログを取 得することができます。

したがって、ログの保護とあわせて利用することで、「8. 個人データを取り扱う情報システムの監視」を実施することができます。

おわりに

以上、いくつか挙げましたが、他にも数多くの効果があります。ただし、セキュアOSの効果は、セキュリティ管理者が設定したアクセス制御設定に依存します。このアクセス制御設定をしっかり行うことが必要です。