PIM/PAMSC: プログラムがアントラストになった理由を確認する方法

Products

• CA Privileged Identity Management Endpoint (PIM)
• CA Privileged Access Manager - Server Control (PAMSC)

Issue/Introduction

Privileged Identity Manager ( 以下、 PIM)、または Privileged Access Manager Server Control ( 以下、 PAMSC) 稼働中に、プログラムの実行がブロックされた。
seretrust コマンドで確認すると、プログラムがアントラストになっていた。
どの監査ログがアントラストと関係あるのか？

Resolution

プログラムが変更されたとき、PIM/PAMSC は変更を検知し アントラストに変更し、起動をブロックします。
何が起こったのかを確認するために、seaudit ユーティリティを使用します。

アントラスト化された際の watchdog コードを検索します。
アントラスト化されたイベントは "U PROGRAM" を含みます。

実行例 :
# seaudit -a | grep 'U PROGRAM'
30 Jun 2015 11:24:56 U PROGRAM      seoswd                 1 8704 /bin/su                
30 Jun 2015 11:25:36 U PROGRAM      seoswd                 1 8192 /opt/CA/AccessControl/bin/sebuildla

どのアントラスト化イベントでも audit コードは 1 になります。次の値が watchdog コードになります。
上記の例では、 8704、 8192 が watchdog コードになります。
このコードの意味については seaudit コマンドの -St または -Stat オプションで確認できます。

実行例:
# seaudit -St 8192
The INODE of the file was changed

# seaudit -St 8704
The INODE of the file was changed
The MTIME of the file was changed

本例では、両方のプログラムで INODE (I-node 番号 ) が変更されており、/bin/suでは更に MTIME ( 最終更新時刻 ) が変更されていることが確認できます。

Additional Information

本KBは以下の英文 KB を翻訳し補足しました。

Article ID:  225558: How to Determine Why a Program Became Untrusted