このインストラクター主導のコースでは、Linux カーネルのセキュリティ モデルと、オペレーティング システムを保護するために使用されるメカニズムについて理解できます。
インストラクター主導のコース
セキュリティと Linux カーネル (LFD441)
対象者
このコースは、Linux カーネルが提供するセキュリティ オプションについて詳しく知りたいシステム レベル プログラマーまたはカーネル エンジニア、および Linux カーネルのセキュリティ軽減策について詳しく知りたいユーザー空間開発者向けに設計されています。学習者は、Linux カーネルの構築方法、Linux カーネル モジュールの作成方法と使用方法、および基本的な Linux コマンド ラインとシステム管理のスキルを習得している必要があります。
少なく読む
続きを読む
学習内容
このコースでは、メモリ保護、プロセス管理、システム コール、ファイル システム セキュリティなど、Linux カーネル セキュリティの基礎について説明します。受講者は、Mandatory Access Control (MAC)、Linux Security Modules (LSM)、secureboot など、Linux カーネルのさまざまなセキュリティ メカニズムについて学習します。コース全体を通して、受講者は、さまざまなセキュリティ メカニズムを通じてユーザー空間と Linux カーネルの両方を保護する実践的な経験を積むことができます。
少なく読む
続きを読む
身につく知識
このコースの受講者は、Linux カーネルとオペレーティング システムが提供するさまざまなメカニズムとシステムを使用してシステムを保護する方法を学ぶことができます。これらのスキルは、組み込みシステムから、モバイル コンピューター、デスクトップ システム、サーバー、または仮想マシンに至るまで、あらゆるものを保護するために使用できます。
少なく読む
続きを読む
はじめに
- 対象受講者
- Linux財団{
-著作権および機密情報なし
- Linux Foundation{ トレーニング
- 認定プログラムおよびデジタルバッジ
- Linuxディストリビューション
- プラットフォーム
- Linux とオープン ソース プロジェクトの変化
準備
-カーネルソースとgitの使用
実験室環境
- なぜ proxmox {?
- 私たちのラボ環境
- 演習
OSSプロジェクトでの作業方法**
-コードがどこから来ているかを知る：DCOとCLA
- メインラインの近くでセキュリティと品質を保つ
- プロジェクトのDNAを研究して理解する
- スクラッチするべき部分を見つけ出す
- メンテナーおよび彼らのワークフローやメソッドを特定する
- 早い段階で意見を訊き、オープンに作業する
- 大きなコード ダンプではなく、差分のコードをコントリビュートする
- エゴはドアに置いておいてください。
- 忍耐強く、長期的な関係を築き、助けの手を差し伸べよう
攻撃面の削減
- セキュリティの種類
- 脆弱性
- 保護層
- ソフトウェアの悪用
- 演習
カーネル機能
-ユーザースペースとカーネルスペース
-システムコールとは何ですか？
-利用可能なシステムコール
-スケジューリングアルゴリズムとタスク構造
-プロセスコンテキスト
- 演習
カーネルで非推奨のインターフェース
- __非推奨
- BUG() と BUG_ON()
-kmalloc（）の計算されたサイズ
- simple_strtol() ルーチンのファミリー
--strcpy（）、strncpy（）、strlcpy（）
--printk（）%pフォーマット指定子
-可変長配列
-スイッチケースのフォールスルー
-構造体のゼロ長および1要素配列
アドレス空間レイアウトのランダム化 (ASLR)
- ASLR の使用方法
- 特定のプログラムの ASLR を無効にする
-カーネル構成
- カーネル アドレス空間レイアウトのランダム化 (KASLR)
- KASLR のしくみ
- KASLR を有効にする
- 演習
カーネル構造レイアウトのランダム化
- 構造ランダム化の仕組み
- 構造の初期化
- オプトイン vs オプトアウト
- 部分ランダム化
- 構造ランダム化の有効化
- 構造のランダム化によるツリー外モジュールの構築
Linuxカーネルセキュリティの概要
-随意アクセス制御（DAC）
-POSIX ACL
-POSIX機能
-名前空間
-Linuxセキュリティモジュール（LSM）
-Netfilter
-暗号化手法
-カーネル自己保護プロジェクト
Cグループ
- 概要
- CGroup のコンポーネント
- cgroup の初期化
- cgroup アクティベーション
- cgroups パラメータ
- cgroup のテスト
- systemd と cgroup
- 演習
eBPF
-eBPF
-インストール
--bccツール
--bpftrace
- 演習
セコンプ
- seccomp インターフェイス
- seccomp ストリクトモード
- seccompフィルターモード
- 演習
セキュアブート
- セキュア ブート x86
- エンベデッド システム セキュア ブート
- 演習
モジュール署名
- 署名の基本
- モジュール署名キー
- モジュール署名検証の有効化
- 使い方
- 署名モジュール
- 演習
完全性測定アーキテクチャ (IMA)
- 概念操作
- 操作モード
- 収集モードのテキスト{(収集して保存)
- ロギング モード textit {(評価と監査)
- Enforceing Mode textit {(鑑定と保護)
- 拡張検証モジュール (EVM)
- 演習
DM-Verity
- dm-verity の仕組み
- dm-verity の有効化
- dm-verity のセットアップ
- dm-verity の使用
- dm-verity での署名
- dm-verity での起動
- 演習
暗号化されたストレージ
- データ暗号化ソリューション
- ストレージ暗号化オプションの調査
- ブロック暗号化
- 暗号化の使用をブロックする
- ファイルシステムの暗号化
- ファイルシステム暗号化の使用
- 階層化されたファイルシステム暗号化
- 階層化ファイルシステム暗号化の使用
- 演習
Linuxセキュリティモジュール（LSM）
-LSMの基本
-LSMの選択
-LSMのしくみ
- LSM の例: 山
- 演習
SELinux
--SELinuxの概要
-SELinuxモード
-SELinuxポリシー
-コンテキストユーティリティ
-SELinuxおよび標準コマンドラインツール
-SELinuxコンテキストの継承と保存**
--restorecon **
--semanage fcontext **
-SELinuxブール値の使用**
--getseboolとsetsebool **
-トラブルシューティングツール
- 演習
AppArmor
-ステータスの確認
-モードとプロファイル
-プロファイル
-ユーティリティ
ヤマ (LSM)
- ヤマの設定
- ヤマの仕組み
- 演習
ロードピン (LSM)
- LoadPin を有効にする
- LoadPin の使用
- LoadPin のしくみ
封鎖
- ロックダウンモード
- ロックダウンされているものは何ですか?
- 使い方
- いくつかのメモ
- 演習
セーフセット
- Safesetid の設定
- Safesetid の仕組み
- 演習
ネットフィルター
-Netfilterフック
-Netfilterの実装
-Netfilterに接続する
--Iptables
-nftables
- 演習
Netlinkソケット**
-ネットリンクソケットを開く
--netlinkメッセージ
- 演習
クロージングと評価サーベイ
カーネルアーキテクチャI
-モノリシックカーネルとマイクロカーネル
-オブジェクト指向メソッド
-メインカーネルコンポーネント
-ユーザースペースとカーネルスペース
カーネルプログラミングプレビュー
-メモリ割り当て
-ユーザースペースとカーネルスペース間でのデータの転送
-オブジェクト指向の継承-一種の
-リンクリスト
-ジフィー
- 演習
モジュール
-ささいな例
-モジュールのコンパイル
-モジュールと組み込み
-モジュールユーティリティ
-自動モジュールロード
-モジュール使用回数
-モジュールライセンス
-シンボルのエクスポート
-シンボルの解決**
- 演習
カーネルアーキテクチャII
-カーネルプリエンプション
-リアルタイムプリエンプションパッチ
- 演習
カーネルの構成とコンパイル
-カーネルブラウザ
-カーネル構成ファイル
-カーネル構築とMakefiles
--initrdおよびinitramfs
- 演習
カーネルスタイルと一般的な考慮事項
-一般的なカーネルルーチンとメソッドの使用
-カーネルパッチの作成
-まばら
-possible（）とlikely（）の使用
-ポータブルコードの記述、CPU、32/64ビット、エンディアン
-SMPの作成
-ハイメモリシステム向けの書き込み
- パワー管理
-セキュリティを念頭に置いて
- 演習
競合状態と同期方法
-不可分操作
-ビット演算
-スピンロック
-Seqlocks
-プリエンプションの無効化
-ミューテックス
-セマフォ
-完了関数
-リードコピーアップデート（RCU）
-参照カウント
- 演習
メモリアドレッシング
-MMUとTLBがあるシステムとないシステム
-メモリアドレス
-高メモリと低メモリ
-メモリゾーン
-特別なデバイスノード
-NUMA
-ページング
-ページテーブル
-ページ構造
- 演習
メモリ割り当て
- バディシステム
-スラブとキャッシュの割り当て
-メモリプール
--kmalloc（）
--vmalloc（）
-早期割り当てとbootmem（）
-メモリの最適化
- 演習
これらのセクションは、部分的にまたは全体を
オプションとして考えることができます。これらのセクションには、
背景となる参考資料、専門的なトピック、または高度なテーマが含まれています。
講師は、教室での経験や時間の制約に応じて、
これらをカバーするかしないかを選択することができます。
前提条件
- Cプログラミング言語に精通している。
- ls、grep、tarなどの基本的なLinux（UNIX）ユーティリティに精通している。
- 利用可能なテキストエディタ（emacs、viなど）を快適に使用できます。
- 主要なLinuxディストリビューションの経験は役立ちますが、必ずしも必要ではありません。
- LFD420：Linux Kernel Internals and Developmentを取得した経験と同等の経験がある。
クラスを開始する前に、受講前の準備資料が提供されます。
2023 年 7 月
講師の個人的な知識や逸話。ビデオプレゼンテーションの微調整。
2023 年 7 月
Behan はセキュリティのトピックを説明するのがとても上手です。彼は非常に詳細に説明し、演習の質は良好でした。私自身がすべての概念を仕事に適用しているのがわかります。
2023 年 7 月
インストラクターはすべてを説明し、すべての質問に答えるのが素晴らしかったです。彼はまた、私たちがラボで作業するのに十分な時間を提供してくれました。研究室で問題があったときは、インストラクターが親切にサポートしてくれました。
2023 年 7 月
素晴らしいインストラクターです！
2023 年 7 月
インストラクターの経験、教材、ラボの品質。
2023 年 7 月
ラボの実践的な使用と、講義とラボのリズムにより、物事が進み続けました。
