ファイル完全性監視
Pro会員限定上級約49分8レッスン
重要ファイルのハッシュ基準線を作り、差分で改ざんを見つける考え方を学びます。侵害で書き換えられた設定・バイナリを基準線と debsums で特定し、元に戻して新しい基準線を保管するところまで行います。
対象者: 改ざんを後から確実に検知する仕組みを、自分で設計・運用したい方
前提知識: 権限昇格の経路点検 修了程度
この教材を終えると、できるようになること
- sha256sum でファイルのダイジェストを計算できるようになる。
- sha256sum -c で基準線と照合し、改ざんされたファイルを特定できるようになる。
- 改ざんが分かった /etc/passwd の、具体的な追加行（UID 0 の重複）を特定できるようになる。
- debsums で、パッケージが配布したファイルの改ざんを検出し、照合元の限界を説明できるようになる。
- 改ざんされた /etc/passwd から不正なアカウントを取り除き、基準線との照合で一致を確かめられるようになる。
- 改ざんされたパッケージのファイルを再インストールで戻し、debsums で一致を確かめられるようになる。
…ほか 1 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1ハッシュで改ざんを見つける
基準線の作成・照合・差分の特定・復旧を通して、完全性監視の考え方を身につけます。
- ハッシュで指紋を取るファイルの内容から一意なダイジェストを得る約5分（有料会員限定）
- 基準線と照合する記録済みのハッシュ一覧と現在の内容を突き合わせる約6分（有料会員限定）
- 改ざんの中身を突き止めるどこが書き換えられたのかを特定する約6分（有料会員限定）
- パッケージのファイルを検査する配布物と現物のハッシュを突き合わせ、その限界も知る約6分（有料会員限定）
- passwd を基準線どおりに戻すUID 0 の sysadm を取り除き、照合で「完了」になることを確かめる約7分（有料会員限定）
- 差し替えられた sshd を戻すパッケージを入れ直し、debsums で配布物と一致させる約7分（有料会員限定）
- 新しい基準線を作って保管するクリーンな状態でハッシュを記録し、root だけが読める形で保管する約7分（有料会員限定）
- 確認クイズ: ファイル完全性監視基準線・照合・debsums の使い分けと限界約5分（有料会員限定）