EP 02 / EPISODE BRIEF
管理者権限の不審な利用
許可済み委任ルールを防御的に監査する
notes.txtで見つけたops-traineeについて、許可済みの権限委任と利用記録を照合します。権限の取得ではなく、不審な試行の検知と監査が目的です。
ミッション
- 現在の担当者を確認する現在の有効ユーザーがメモのops-traineeと一致するか確認する
- 所属グループを確認するUID・GID・groups欄から監査担当の所属を確認する
- 許可済みルールを読むsudo -lで委任されたルールを実行せず確認する
- 拒否された利用を監査するauth.logから拒否イベントの時刻・ユーザー・送信元を記録する
調査の考え方を知る
権限の監査では、許可ルールと利用ログのどちらを確認しますか？
この教材では両方を照合します。sudo -lの教材内出力で許可されている操作を読み、auth.logで試みられた操作と結果を確認します。許可されていることと、実際に実行されたことは別なので、一方の記録だけで判断しない練習です。
ログのdeniedだけで、サービスの停止や侵害を判断できますか？
この教材のresult=deniedが示すのは、その操作の試行が拒否されたことです。それだけではサービスの稼働状態や、別の操作が成功したかまでは判断できません。時刻・ユーザー・送信元を記録し、確認できた事実と追加調査が必要な点を分けます。