使用Linux IMA重新测量文件

Question

我正在尝试按照此指南http://linux-ima.sourceforge.net/linux-ima-content.html-20110907在RHEL中设置Linux IMA。 我想设置系统，以便如果我选择的敏感文件发生更改，则重新测量这些文件（我卡在有关重新测量文件的部分）。我的/etc/fstab如下所示：

UUID=c8dbe0a9-8c0c-4aba-adff-bcf2dd4640da / ext4,iversion defaults 1 1

UUID=b1762b74-d517-4293-8b49-cdc06b94d78c /boot ext3 defaults 1 2

UUID=8c6b8003-7176-4cf4-ae23-a124f8768c36 swap swap defaults 0 0

当我检查测量列表时，在/sys/kernel/security/ima/ascii_runtime_measurements中，我只看到一个条目如下：

10 3f0d6c1e772444096d975aba704a10e4820eabab ima 7b739f0b35c61d68bd664d352b6631c366aee34f boot_aggregate

即使我更改/etc/中的某些文件或执行其他操作，我也没有观察到任何其他测量结果。 有什么想法可能出了什么问题？

- DaTaBomB

Answer 1

您应该为内核提供一个ima策略。

"ima_tcb"是默认策略，可以作为命令行参数指定给内核 (https://sourceforge.net/p/linux-ima/wiki/Home/#controlling-ima).

如果您需要指定自己的策略，应将其放入 <securityfs>/ima/policy (https://sourceforge.net/p/linux-ima/wiki/Home/#defining-an-lsm-specific-policy)。

- gentooise

---

谢谢，这个代码可以测量其他文件并在ascii_runtime_measurements中生成其他条目。然而，如果文件发生任何改变，我仍然无法看到重新测量文件的情况。 - DaTaBomB

IMA基于i_version检测文件更改，因此文件系统必须挂载i_version支持。http://linux-ima.sourceforge.net/linux-ima-content.html-20110907#IMA_re-measure - gentooise