Seminar Keylime – IMA Runtime Integrity Monitoring

Überblick

Das Seminar behandelt kontinuierliche Messung und Verifikation sicherheitsrelevanter Dateien mit Linux IMA. Theorie, Konfiguration und technische Prüfung werden in einem durchgängigen Szenario verbunden, sodass aus einzelnen Funktionen ein nachvollziehbarer Betriebs- oder Sicherheitsprozess entsteht.

Zwei Tage sind erforderlich, da Grundlagen und Konfiguration zunächst belastbar aufgebaut und anschließend mit Vertiefung, negativen Prüffällen, Fehleranalyse und Betriebsübergabe abgesichert werden. Im Mittelpunkt stehen reproduzierbare Arbeitsschritte, positive und negative Testfälle sowie eine dokumentierte technische Abnahme.

Inhaltsübersicht

1. Schutzobjekte und Messumfang definieren
2. Kernel- und Dateisystemvoraussetzungen prüfen
3. IMA-Messpolicy entwerfen
4. Messliste und PCR-Bezug nachvollziehen
5. Runtime-Policy aus Referenzdaten erzeugen
6. Policy signieren und zuordnen
7. Vollständige Laufzeitprüfung ausführen
8. Kontrollierte Dateiänderung analysieren
9. Updates und Ausnahmen verwalten
10. Leistung und Fehlalarmrate optimieren

Lernziele

• Kontinuierliche messung und verifikation sicherheitsrelevanter dateien mit linux ima fachlich einordnen und für ein konkretes Einsatzszenario planen.
• Schutzobjekte und Messumfang definieren.
• Kernel- und Dateisystemvoraussetzungen prüfen.
• IMA-Messpolicy entwerfen.
• Messliste und PCR-Bezug nachvollziehen.
• Positive und negative Prüfergebnisse technisch bewerten, Fehler schichtweise lokalisieren und die Betriebs- oder Freigabeentscheidung dokumentieren.

Seminarinhalte Schritt für Schritt

Schritt 1: Schutzobjekte und Messumfang definieren

Kritische Binärdateien, Bibliotheken, Konfigurationen und Ausführungspfade werden risikobasiert ausgewählt, ohne volatile Bereiche unnötig zu erfassen. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 2: Kernel- und Dateisystemvoraussetzungen prüfen

IMA-Unterstützung, SecurityFS, TPM-Zugriff, Bootparameter und Messlistenverfügbarkeit werden vor der Policy-Erstellung validiert. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 3: IMA-Messpolicy entwerfen

Hooks, Masken, Dateitypen, Benutzer, Dateisysteme, Pfadmerkmale, Reihenfolge und Ausschlüsse werden in kontrollierten Regeln kombiniert. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 4: Messliste und PCR-Bezug nachvollziehen

Templateformat, Dateihash, Hashalgorithmus und kumulative PCR-Wirkung werden an konkreten Einträgen analysiert. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 5: Runtime-Policy aus Referenzdaten erzeugen

Zulässige Hashes, Signaturschlüssel, Ausschlüsse und Metadaten werden aus einem technisch abgenommenen Referenzsystem abgeleitet. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 6: Policy signieren und zuordnen

Richtlinie und Signaturschlüssel werden manipulationsgeschützt verwaltet und beim Enrollment dem passenden Agenten beziehungsweise der Systemklasse zugewiesen. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 7: Vollständige Laufzeitprüfung ausführen

Verifier-Zustand, verarbeitete Messlisteneinträge und Policy-Version werden nach einer positiven Attestation abgeglichen. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 8: Kontrollierte Dateiänderung analysieren

Eine überwachte Datei wird ersetzt; der Fehler wird von PCR und Messliste bis zum konkreten Hashvergleich zurückverfolgt. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 9: Updates und Ausnahmen verwalten

Geplante Paketänderungen erhalten neue Referenzdaten, Tests, Signatur, Pilotierung und Rückfall statt einer ungeprüften Policy-Aufweitung. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 10: Leistung und Fehlalarmrate optimieren

Messlistenwachstum, Prüfzeit, Netzwerkvolumen und Nutzen einzelner Regeln werden gemessen, bevor der Umfang kontrolliert angepasst wird. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Praxisübungen

• IMA-Voraussetzungen und aktuelle Messliste auf einem Laborhost prüfen.
• Messpolicy für ausgewählte Binär- und Konfigurationsdateien erstellen.
• Runtime-Policy erzeugen, signieren und einem Agenten zuordnen.
• Dateiänderung auslösen und Verletzung bis zum Messlisteneintrag analysieren.
• Updateprozess mit neuer Policy-Version und Rückfalloption entwerfen.

Einordnung in den Lernpfad

Nach Architektur, TPM und Installation. Measured Boot und Keylime-Policy ergänzen die vollständige Integritätsprüfung.