LinuCレベル1　⑩ セキュリティ

正解：D．find /bin -uid 0 -perm /4000

「-uid 0」で所有者がroot、「-perm /4000」でSUIDビットが立っているファイルを検索できる。GNU findでは検索パスを式より前に置く必要があり、「-perm 4000」は完全一致のためSUID以外のビットが立つファイルが除外される。

正解：B．-perm パーミッション

「-perm パーミッション」はパーミッションが完全に一致したファイルを検索する。

正解：D．-perm /6000

「-perm /6000」は指定したビットのいずれかが立っているファイルに一致するため、SUID（4000）とSGID（2000）のどちらか一方でも設定されていれば該当する。「-perm 6000」は完全一致、「-perm -6000」は両方が立っているファイルのみに一致する。

正解：D．検索条件1 -or 検索条件2

どちらか片方を満たす論理和（OR）の検索には「-or」または「-o」を使用する。

正解：D．chage -E 2020-12-31 ryo と usermod -e 2020-12-31 ryo の両方

アカウントの失効日を変更するには「usermod -e」あるいは「chage -E」を実行する。

正解：A．chage

usermodはユーザー情報全般の変更コマンドだが、失効日変更の専用コマンドはchageである。

正解：A．chage -l ユーザー名

パスワード有効期限を調べる場合は「chage -l ユーザー名」として実行する。

正解：A．passwd -e ユーザー名

passwdコマンドに「-e」オプションを付けるとパスワードを失効させることができる。

正解：D．passwd -x 60 ユーザー名

passwdコマンドの「-x (maximum days)」オプションによりパスワード有効期限を設定できる。

正解：B．9

/etc/shadowファイルはコロン区切りでフィールド番号1から9までの9つのフィールドで構成されている。

正解：A．8

第8フィールドには、1970年1月1日からアカウントが使用不能になるまでの日数が記録される。

正解：B．lsof +f -- /dev/cdrom

lsofコマンドの「+f --」オプションの後にマウントポイントやデバイスを指定することでプロセスを表示できる。

正解：D．-m あるいは -mv

fuserコマンドでは「-m」あるいは「-mv」オプションの後にマウントポイントを指定する。

正解：B．/var/log/wtmp

lastコマンドはユーザーのログイン履歴が記録されている/var/log/wtmpを参照する。

正解：C．/var/run/utmp

whoコマンドやwコマンドは、現在ログインしているユーザーのリストを取得するために/var/run/utmpを参照する。

正解：A．ulimit

ulimitはシェルとシェルから生成されるプロセスのリソースを制限するための組み込みコマンドである。

正解：B．-c

「-c」オプションにより、コアダンプで生成されるcoreファイルの最大サイズをブロック単位で制限できる。

正解：D．-n

「-n」オプションにより、オープンできるファイルの最大個数を制限できる。

正解：A．-a

「-a」オプションを使用すると、現在のすべての設定が表示される。

正解：C．su ryo

ユーザー名の前に「-」を指定しないとユーザーIDだけが変わり、ログイン環境は変更前のユーザーのままとなる。

正解：B．su - ryo

suコマンドの引数に「-」を付けると、ユーザーIDが変わるとともに新しいユーザーの環境を使用する。

正解：B．sudo

sudoコマンドは指定したユーザー権限で特定のコマンドを実行する。

正解：C．/etc/sudoers

sudoコマンドは/etc/sudoersファイルを参照して実行権限を判定する。

正解：B．wheel

wheelグループに属するユーザーは、すべてのホスト上で、すべてのユーザーの権限ですべてのコマンドを実行できるよう設定されることが多い。

正解：D．visudo

visudoコマンドはロック機能により複数ユーザーによる同時編集を防ぐ。

正解：C．暗号化されたパスワードの解読を防ぐため

非特権ユーザーが暗号化パスワードを読み取って解読するのを防ぐため、特権ユーザー（root）だけがアクセスできるように設定されている。

正解：B．rw-r--r--

/etc/passwdはすべてのユーザーが読み取れるが、所有者のroot以外は書き込みができないパーミッション（rw-r--r--）に設定される。

正解：A．/etc/nologin

rootが「touch /etc/nologin」としてファイルを作ると、一般ユーザーはそれ以降ログインできなくなる。

正解：C．/etc/xinetd.conf

xinetd（extended Internet daemon）の設定ファイルは/etc/xinetd.confである。

正解：D．/etc/hosts.allow と /etc/hosts.deny

TCP Wrapperはアクセス制御のために/etc/hosts.allowと/etc/hosts.denyを読み、設定によってサービスの実行を決定する。

正解：C．libwrap

TCP Wrapperにはシェアードライブラリとして提供されるlibwrapがあり、xinetd経由やこれをリンクしたサーバーで利用できる。

正解：D．デーモンのリスト : クライアントのリスト

/etc/hosts.allowと/etc/hosts.denyの書式は「デーモンのリスト : クライアントのリスト」となる。

正解：B．ALL : ALL

「ALL」はすべてに一致するワイルドカードであり、/etc/hosts.denyに「ALL : ALL」と記述するとすべて拒否される。

正解：B．http (Apache)

Apache Webサーバはスタンドアロンのサーバであり、libwrapを使用せず独自のアクセス制御機構を持つためTCP Wrapperで保護されない。

正解：D．filter

パケットの処理方法によるテーブルの種類のうち、フィルタリングを行うのは「filter」テーブルである。

正解：A．INPUT

ローカルホストへの入力パケットに適用するチェインは「INPUT」である。

正解：B．filter

iptablesコマンドでのテーブル指定のデフォルトは「filter」である。

正解：A．-A

「-A」オプションはチェインの最後にルールを追加する。

正解：C．-I

「-I」オプションはチェインの先頭にルールを追加する。

正解：C．DROP

「DROP」ターゲットはパケットを破棄し、ICMPエラーメッセージを返さない。

正解：C．--dport

「--dport」オプションで送信先ポートを指定する（例：--dport 80）。

正解：A．-m multiport

「-m multiport」オプションを使うと、複数のポートを「,」で区切って指定できる。

正解：A．/etc/iptables/rules.v4

Ubuntu/Debian系の場合、設定ファイルは「/etc/iptables/rules.v4」となる。

正解：A．public

インストール時のデフォルトのゾーンは「public」である。

正解：A．--list-services

ゾーンで許可されているサービスを表示するオプションは「--list-services」である。

正解：A．--permanent

永続的な設定にする場合は、firewall-cmdコマンドに「--permanent」オプションを付けて実行する。

正解：C．--reload

変更を反映させるにはシステムを再起動するか、「firewall-cmd --reload」を実行する。

正解：C．~/.ssh/config

sshで外部サーバーへ接続する際に使用するオプションを編集するユーザーの設定ファイルは「~/.ssh/config」である。

正解：D．IdentityFile

アイデンティティファイル（秘密鍵）を指定するディレクティブは「IdentityFile」である。

正解：C．rsa

OpenSSH 9.4以前のデフォルトはプロトコルバージョン2の「rsa」鍵である。なおOpenSSH 9.5以降はed25519がデフォルトに変更されている。

正解：A．ed25519

楕円曲線Curve25519を用いたEdDSA方式は「ed25519」であり、短い鍵長でRSAと同等のセキュリティ強度が得られる。

正解：C．ssh-agent

ssh-agentは復号された秘密鍵をメモリに保持するエージェントであり、パスフレーズを入力することなくログイン可能にする。

正解：B．ssh-add

ssh-agentへの秘密鍵の登録は「ssh-add」コマンドで行う。

正解：A．gpg --gen-key

キーペアを生成するコマンドは「gpg --gen-key」である。

正解：C．~/.gnupg

ユーザーがgpgコマンドで鍵を生成すると「.gnupg」ディレクトリが作成され、ファイルが格納される。

正解：C．pubring.gpg

「pubring.gpg」は公開鍵のキーリングファイルである。なおGnuPG 2.1以降は~/.gnupg/pubring.kbx（Keybox形式）が使われ、秘密鍵リングsecring.gpgは廃止されprivate-keys-v1.dディレクトリに個別保存される。

正解：B．--export

キーリングから公開鍵を取り出すには「--export」オプションを使用する。

正解：B．-e または --encrypt

公開鍵で暗号化するオプションは「--encrypt」または「-e」である。

正解：B．-r または --recipient

暗号化に使用する公開鍵のユーザーID（受信者）を指定するには「--recipient」または「-r」を使用する。

正解：D．受信者の秘密鍵

送信者は受信者の公開鍵でデータを暗号化し、受信者は自分の秘密鍵でデータを復号する。

正解：D．-c または --symmetric

共通鍵で暗号化するオプションは「--symmetric」または「-c」である。

正解：A．インスタンスを停止あるいは削除するとデータは消えてしまう。

一時ディスク（非永続ディスク）は物理メモリ上などに置かれ、インスタンスを停止あるいは削除すると消えてしまう。

正解：C．災害時などのデータ損失に備えるため

異なった複数のリージョンを使用することで、災害時等のデータ損失に備え、データをバックアップすることができる。

正解：D．インスタンス内で稼働するOSやソフトウェアの脆弱性対応は、テナント（利用者）が管理する責任がある。

プロバイダは管理する基盤のパッチを適用するが、インスタンスなどテナントが管理する領域には関与しないためテナント自身が対策を行う。

正解：D．ライブマイグレーション

ライブマイグレーションという方法によりインスタンスを稼働させたままで別のホストに移行し、メンテナンスの影響を最小化する。