【Linux試験対策】LPIC-3 303見直しポイント

DV（Domain Validation）

OV（Organization Validation）およびEV（Extended Validation）よりも緩い認証です。

• OpenSSL：対話形式でCSRに必要な情報を入力
• CFSSL：JSON形式の設定ファイルでCSRに必要な情報を入力

いずれもCAが証明書に署名する際に利用するアルゴリズムを指していて同じアルゴリズムを指定する必要があるが，signatureは署名前データ（署名前証明書）に含まれ一方で，signatureAlgorithmは実際に利用されたアルゴリズムを指すものとして理解すればよい。

署名前証明書（tbsCertificate）をsignatureAlgorithmで署名した値

validity

所有者

所有者公開鍵情報

• 基本：basicConstraints
• 識別子：authorityKeyIdentifier（認証局鍵識別子）・subjectKeyIdentifier（所有者の公開鍵識別子）
• 用途：keyUsage（鍵の用途）・extendedKeyUsage（拡張鍵の用途）
• ポリシー：certificatePolicies（証明書の目的や発行時の情報）
• 便利機能：subjectAltName（CNの代替）
• 収集方法：cRLDistributionPoints（CRLの取得方法）・authorityInfoAccess（CA情報の取得方法）

=を使う。basicConstraints = critical, CA:TRUE, pathlen:0など。

正しくない。証明書に公開鍵は含まれる。

openssl ca -gencrl

正しくない。Distinguished Encoding RulesはX.509証明書のエンコード形式であることは正しいが，テキストではなくバイナリであるため不適。

extendedKeyUsage

keyUsageは基本的な用途ですので「digitalSignature」「keyAgreement」「dataEncipherment」などが設定されます。

TLS通信時にサーバ自身が証明書の有効性を証明するOCSPの拡張仕様

on

どちらでもない。SSLStaplingCache shmcb:/var/run/ocsp(128000)など。

128000はキャッシュのサイズが128kbであることを示しています。

SSLCACertificateFile

SSLCertificateFileはサーバ証明書と中間CA証明書を指定する項目です。CAは付くとクライアント側，付かないとサーバ側という点に注意しましょう。

SSLProtocol

• --unmount
• -u

umountではない点に注意です。

luksAddKey

luks+動詞+目的語のイメージです。パーティションを開くluksOpenや初期化するluksFormatは目的語が省略されていると捉えましょう。

openssl

暗号化キーを格納する箱のイメージ。0番目スタート。cryptsetup luksKillSlot /dev/sdb1 0のような具合。

• dnssec-validation yes;
• dnssec-enable yes;

auto-dnssecはゾーン署名と鍵の生成を自動化する設定で設定値は以下の通り

• off：自動化は無効
• allow：ゾーン署名のみ有効
• maintain：自動化が有効

• cryptsetup
• cryptmount

• open
• create

• close
• remove

• luksClose
• close

closeとremoveで覚えているとluksRemoveが正答と思ってしまうため注意です。

• -s：swaponの略称でスワップを有効化する
• -S：statusの略称でファイルシステムのマウント状況を表示する

setcap -r /bin/lpic

• ASLR（Address Space Layout Randomization）
• Exec-Shield
• DEP（Data Execution Prevention）

sysctl -n kernel.randomize_va_space

-nは「name」と覚えてしまいましょう。

load parametersのpと覚えてしまう。このコマンドにより/etc/sysctl.confの設定値が反映される。

• systemctl：システムサービスユニットの管理をする
• sysctl：カーネルパラメータの管理をする

/proc

/sysではないため注意してください。

systemctl disabled httpd

systemctl startと同じようなノリです。

systemctl list-unit-files

chkconfigの場合は--listが正しいです。

chkconfig --list

つまりchkconfig --listはsystemctl list-unit-filesにもsystemctl is-enabledにも対応しています。

ルート権限を細かく分割して扱えるようにした機能

• block：拒否
• reject：拒否＋取り外し

/etc/ssh/ssh_known_hosts

@cert-authority *.example.com ssh-rsa AAAAB3N...のような形でCAの公開鍵を格納します。

• -f：作成する鍵のファイル名
• -s：署名の際に用いるCA鍵の指定

不要。-fは鍵を生成する場合に必要で，今回はホスト証明書（＝署名）の作成であるため。

存在しない。-aと-Aが設定可能なパラメータ一覧を表示するコマンド。

ClamAV（オープンソースのアンチウイルスソフトウェア）

maldet

存在しない

正しくない。chはcheckのchと覚えてしまう。rootkitの侵入を検知するソフトウェア。

• -b：Auditバッファの最大値
• -B：（このようなオプションは存在しない）

1秒あたりのメッセージ数の上限

システムコール名の指定

監査の設定値であり，0は無効，1は有効，2はロックを表す

最大プロセス数

max user processesの略称です。

• -Sc：ソフトリミット
• -c：一般ユーザの場合はソフトリミット，rootユーザの場合はソフトリミットとハードリミット

pam_limits.soがロードされていることを確認し，/etc/security/limits.confに設定を記載する

/etc/systemd/system/httpd.service.d/ディレクトリ配下に設定ファイルが作成される

デバイスのアクセス許可や拒否

• cpu：CPU時間の配分を管理
• cpuset：CPUとメモリノードの物理的な割り当て

--name（-n）

-x（--remove）

--no-maskの省略形で，mask値以上の権限が設定された際に設定された権限を有効せずmask値を優先するためのオプション

• -m：指定した権限でACLを変更・追加
• --mask：ACLを変更する際，mask値を上書きする（デフォルト）

-k（--remove-default）

-b（--remove-all）

例えばuser::rwxなど。本来user:test:rwxのようにユーザ名（test）を指定するが，この指定をしない場合は所有ユーザに対する権限設定となる。

• ps Z
• ls -Z

topにはZ系のオプションはありません。

Simplified Mandatory Access Control Kernelの略称で，設定が簡易なセキュリティモジュールのことを指す。プロセスやファイルにラベル（セキュリティコンテキスト）を付与する点はSELinuxと同様。

• ドメイン：プロセスに付与されるラベル
• タイプ：ファイルやディレクトリに付与されるラベル

これらはTE（Type Enforcement）と呼ばれる権限制限の仕組みです。

Access Vector Cacheの略称で，SELinuxのアクセス制御で下したルールをキャッシュすることでパフォーマンスを向上させる機能のこと

setenforce 1

0がpermissiveで，disabledはsetenforceコマンドでは設定できません。

一時的。永続化する場合は/etc/selinux/configを編集する。

seaudit-report

seauditのオプションでは実現できないため注意です。

いずれも無線NWのセキュリティ評価に利用されるが，以下の違いがある。

• Aircrack-ng：主にパスワードの解析を試みる
• Kismet：ネットワークの監視（パケットスニファ）を行う

有効なネットワークインタフェースを表示

キャプチャするパケットをフィルタする

キャプチャしたパケットをファイルに保存する

ファイルからパケット情報を読み込んで解析する

統計情報を出力する

-n

パケットから取り出すバイト数を指定する

ファイルからパケット情報を取得する

パケット情報をファイルに出力する

正しくない。ユーザから情報を受け取るのはRADIUSクライアント

radtest

VASはVulnerability Assessment Systemであることから，オープンソースの脆弱性スキャナのことを指す。

• NVTs（Network Vulnerability Tests）を更新
• NASL（Nessus Attack Scripting Language）というスクリプト言語で独自の脆弱性テストを作成

という特徴がある。

• greenbone-nvt-sync（NVTのみ更新）
• gvm-feed-update（NVT含め他のデータも更新）

OpenVASのコマンドは旧来「openvas」が利用されてきましたが，新しいユーティリティではgvmが利用されます。ただし，NVTsを更新するgreenbone-svt-syncやスキャン処理を行うopenvas-scannerは例外的にgvmが付かないコマンドを利用します。

• openvassd（旧ユーティリティ）
• openvas-scanner（新ユーティリティ）

できない

ルールセットを用いたネットワークIDSとしてSnortがあります。

gvmd --delete-user

なので作成はgvmd --create-userになります。

ネットワークの可視化ツールでSNMPを使ってデータを収集する

「MRTGよりも高い柔軟性を持つことを目指して開発された」という趣旨は大切です。

PRDtool

正しい。ntopも帯域監視ツール。

snort-stat

アプリケーション層のデータも取得

デーモンモードで起動

tcpdump形式で取得

ログの出力ディレクトリを指定

ディレクトリではなくファイルを指定するとエラーになるため注意です。

できるかもしれないが，nmapの方が題意に適している

nft list ruleset

nftはiptablesやebtablesなどを統合した新しいユーティリティです。

netfilter

chainの中にruleが入っているという関係性であるから，以下のようになる。

• iptables -F {chain名}（ルールを削除）
• iptables -X {chain名}（チェインを削除）

プロトコルの指定

ポート番号は--sportや--dportで指定する点に注意です。

ユーザスペースで動作する接続追跡ツールでステートフルなfirewallを実現する

• hash:ip
• hash:net

• family inet（デフォルト）
• family inet6

ipset create BLACKLIST hash:ip family inet

-n

noflushと覚えましょう。

• パケットフィルタリング型：対象は〜L4でパフォーマンスが高い
• アプリケーションゲートウェイ型：対象は〜L7で高度なフィルタリングが可能

• wg
• wg show

wg pubkey

wg genkeyではない点に注意してください。

wg genkey

wg pubkeyではない点に注意してください。

openvpn --daemon

SELinux/AppArmor

利用しない。SELinuxやSMACKは利用する。

SELinuxの基盤となるセキュリティアーキテクチャ

Armitage

補助ツール。システムのスキャンやファジング（ノイズを与えてバグや脆弱性を検知すること）を行う。直接的に攻撃は行わないという理解をしておくとよい。

nmap -6

-iL

-sO

-sAと-sW

両者ともほとんど同じですが，-sWはTCPウィンドウの情報を活用します。

IPsecにおけるIKEのデーモン。authentication_methodでpre_shared_key・rsasig・gssapi_krbなどが指定可能。

IPsecにおけるIKEのデーモン。比較的新しい方式。strongSwanというVPNのOSSの一部として利用されている。

• 監視対象：/usr/local/ p+i+u+g
• 非監視対象：!/usr/local/.*

pはpermission，iはinode，uはuid，gはgidと覚えましょう。

最大サイズ

最大個数

これに関連して同時に開けるファイルディスクリプタの最大個数も制限できます。

preprocessor

ausearch

auditctl

auctlでは短すぎるからauditctl，と覚えてしまいましょう。

remote

正しい。署名した結果生成されるのがNSECであり，ゾーンに新しいレコードが追加・削除された場合はNSECレコードが更新される。

存在する（-sI）

setkey spdadd

sss_useraddと同様にaddが後にくると覚えましょう。

pam_cracklib.so

/etc/security/limits.conf

newrole

filter・broute・nat

sufficient

requiredにすると一般ユーザがこのルールを通過した際に強制的にNGとなるためです。

SSLUseStapling

dnssec-validation

dnssec-verifyではない点に注意してください。

push

Password-Based Key Derivation Function 2の略称で，PAMのpam_unix.soモジュールで使用されるパスワードのハッシュ化アルゴリズム。GRUBのブート時のパスワードを生成するコマンド。

• user
• system
• security
• trusted

groupはないことに注意してください。

• ファイルの所有グループ
• 指定されたすべてのユーザとグループ

のアクセス権をすべて合わせたマスク

ファイルの所有ユーザではなく所有グループである点に注意してください。

Basic Constraints拡張には証明書がCA（認証局）であるかどうかを示す情報が含まれており，criticalとマークされている場合は証明書を検証するソフトウェアは必ずこの拡張をチェックしなければならない。逆に言うと，この拡張機能を処理できないソフトウェアではこの証明書は処理することは許されない。

• cryptsetup close
• dmsetup remove

--set-admin-password

getcifsacl

setfattr -n user.attr -v val

• w：対象ファイル（watch）
• p：パーミッション（permission）
• k：関連づけるキー名（key）

例えばauditctl -w /etc/passwd -p wa -k passwd_changeなどです。

• setfiles
• fixfiles
• restorecon

set/fixと字面で覚えてしまいましょう。updatefilesやchangefilesは字面的に違います。

SUIDが設定されているが実行権限がないこと

setenforce enforcing|permissive|disable

semanage

chcon

-Z（--context）

既存のsystemdユニット（.service・.socket・.timerなど) の設定を上書きするための設定ファイル。置き場所は/etc/systemd/system/ユニット名.d/となる。例えば/etc/systemd/system/nginx.service.d/override.confのようなファイルになる。

systemd-cgls

cglはcgroup listの略称です。

usbguard generate-policy

sysctl -w kernel.randomize_va_space=2

ASLRはAddress Space Layout Randomizationの略称で，メモリ配置をランダム化することで攻撃者が特定のメモリ位置を予測して不正にアクセスするのを防ぐセキュリティ技術のことを指します。kernel.randomize_va_spaceの値が0の場合はASLRは無効，1の場合は一部がランダム化されます。

-sS（TCPハーフスキャン）

• auto：DNSサーバが鍵（トラストアンカー）を管理してDNSSECの検証を行う
• yes：手動で鍵（トラストアンカー）を管理してDNSSECの検証を行う
• no：DNSSECの検証は行わない

CA:FALSE

/etc/crypttab

高速で軽いVPN

wg show

family inet6

openvas-manage-certs -a

IDSである。リアルタイム解析とリアルタイム防御が可能。

CAからSSL/TLS証明書を自動取得して管理するプロトコル

Automated Certificate Management Environmentの略称です。

Let's EncryptのSSL/TLS証明書を自動で取得・更新するためのツール

ACMEを使っています。

Cloudflareが開発したSSL/TLS証明書管理ツール

CloudFlare SSLの略称で，ACMEは使いません。

• VirtualHostを使ってドメインごとに異なる証明書を設定
• a2enmod sslでmod_sslを有効化する

<VirtualHost *:443>
    ServerName example.com
    DocumentRoot /var/www/example
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
</VirtualHost>

<VirtualHost *:443>
    ServerName another-example.com
    DocumentRoot /var/www/another-example
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/another-example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/another-example.com/privkey.pem
</VirtualHost>

mod_sslに加えてmod_headersを利用してHeaderディレクティブを設定する

<VirtualHost *:443>
    ServerName example.com
    DocumentRoot /var/www/example
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

    # HSTS の設定
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</VirtualHost>

鍵管理と暗号化解除のマネジメントツールで，主にLUKSで暗号化されたディスクを解除する

• TPM2：ハードウェアベースのセキュリティモジュール。ブート時に利用される秘密鍵の保管など。
• NBDE：ディスク暗号化の解除プロセスをネットワークを使って行う仕組み
• Tang：ネットワーク経由でLUKS暗号化解除のための「解除鍵」を提供するサーバ

ということで，TPM 2.0を使ってシステムのセキュリティを強化し，Tangサーバー経由でネットワーク越しに自動的にLUKS暗号化ボリュームを解除するシステムのことを指す。

853

443

ローカルネットワーク内で名前解決を行うプロトコルで，中央集権的なDNSサーバーを必要とせず，マルチキャストを使ってデバイス間で情報を交換する

Linuxシステムのアクセス制御を管理するフレームワーク

無線LANのパケットスニファリングツール

Wiresharlkの無線バージョンのイメージです。

無線LANのセキュリティテストおよび解析を行うためのツール

ネットワーク攻撃とセキュリティ監視を行うツールで，中間者攻撃が可能

Snortというネットワーク監視ツールのルールセットを自動で更新するスクリプト

• OpenVPN：SSL/TLSを使う。クライアント・サーバ間のリモートアクセスVPNを実現。
• strongSWAN：IPsecを使う。サイト間（ルータ間）VPNを実現。

ハッシュ化されたパスワードを逆算するために使う事前計算されたデータベース

Distinguished Encoding Rulesの略称で，X.509証明書をエンコードするためのバイナリ形式のこと

Public Key Cryptography Standardsの略称で，公開鍵暗号の標準規格のこと

CAに送信する証明書署名要求のこと

• openssl s_server（-accept・-cert・-key・-CAfileなど）
• openssl s_client（-connectなど）

openssl ca -revoke /path/to/certificate.crt

dm-crypt

eCryptfs

どのCAが自分のドメインの証明書を発行できるかを指定するレコード

dnssec-dsfromkey

delv

ゆえに「DNSSECを検証するコマンドは」の解答もdelvになります。

Data Execution Preventionの略称で，実行可能なコードをメモリ内で不正に実行するのを防ぐ技術

同様の技術にExec-Shieldがあります。

特権命令と呼ばれる通常アクセスできないメモリ領域にアクセスできるという問題

投機的実行というプロセッサの機能を悪用します。

Linux Meltdownと同様の脆弱性だが，ユーザー空間から他のプロセスの情報を盗むことができる

/etc/usbguard/usbguard-daemon.conf

/etc/usbguard/rules.conf

rkhunter（Rootkit Hunter）

rpm -Va

dpkg --verify

OpenSCAP（Security Content Automation Protocol）

auditd.conf

audit.conf

auditdのようにデーモンではない点に注意です。

pam_tty_audit.so

/etc/maldetect/conf.maldet

Nmapに組み込まれているスクリプト機能

ペネトレーションテストやセキュリティ評価を行うために特化したLinuxディストリビューション

Metasploit Frameworkを使いやすくするためのGUI

radmin（Remote Administrator）

radlast

radwho

radiusd.conf

/etc/raddb/

tshark

SMACK（Simplified Mandatory Access Control Kernel）

selinuxenabled

apol（Audit Policy and Object Labeller）

audit2why

audit2allow