権限昇格（Elevating permissions）

SSH認証により、スキャン・エンジンの権限を特定のデータ取得に必要な管理またはルートアクセスへと昇格可能です。例えば、UnixベースのCISベンチマークチェックは多くの場合、管理レベルの許可を必要とします。su（super-user）、sudo（super-user do）、あるいは、これらの方法を組み合わせた場合に、権限昇格がなされるかを確認します。

権限昇格（Elevating permissions）は、SSH認証資格情報（credentials）の設定で利用可能なオプションです。本オプションの設定では、許可昇格の方法を選択できます。sudoを利用すると管理パスワードが必要でなくなるため、管理者パスワードおよびサーバーの完全性が保護されます。suの利用には管理者パスワードが必要です。

権限昇格のオプションは、サイト設定内で SSH 認証資格情報（credentials）を作成または編集すると現れます：

権限昇格

以下のオプションのいずれかを利用して、許可の昇格を選択可能です：

• su–により、SSHといったサービスを通して遠隔ルートアクセスのシステムを設定することなしに、非ルートアカウントを利用して遠隔で認証ができるようになります。suを利用して認証するには、許可の昇格先であるユーザーのパスワードを入力します。例えば、許可をルートユーザーに昇格しようとする場合、ルートユーザーのパスワードを共有スキャン認証資格情報（credentials）設定パネルの許可昇格エリアのパスワードフィールドに入力します。
• sudo–により、SSHといったサービスを通して遠隔ルートアクセスのシステムを設定することなしに、非ルートアカウントを利用して遠隔で認証ができるようになります。またシステム管理者は、sudoコマンドを利用して、認証ユーザーが実行可能なプログラムを明示的に制御できるようになります。sudoを利用して認証するには、許可の昇格元であるユーザーのパスワードを入力します。例えば、許可をルートユーザーに昇格しようとし、かつjon_smithとしてログインしている場合、jon_smithのパスワードを共有スキャン認証資格情報（credentials）設定パネルの許可昇格エリアのパスワードフィールドに入力します。
• sudo+su–ではsudoとsuを組み合わせて使用して、特権的アクセスが必要な情報をターゲットアセットから取得します。ログオンすると、本アプリケーションはパスワードの入力をまったく要求せずに、sudo認証を利用してsuを利用するコマンドを実行します。sudo+suオプションは、suコマンドへのアクセスが制限されている場合、必要情報へのアクセスができません。
• pbrun–は、BeyondTrust PowerBrokerを使用し、UnixおよびLinuxスキャン対象上のルートとして、Nexposeによるホワイトリスト化コマンドの実行を許可します。この機能を使用するには、スキャン対象上で特定の設定が必要となります。以下のセクションをご参照ください。

pbrun権限昇格（Elevating permissions）をサポートするスキャン環境の設定

pbrunによるスキャン許可の昇格を可能とするには、設定ファイルを作成して各ターゲットホストに配備しなければなりません。この設定により、同方法を利用してのスキャン成功にNexposeが必要とする条件が整います：

• Nexposeはpbrunにより、$SHELL環境変数で指定されたとおりに、ユーザーのシェルを実行可能です。
• pbrunは、Nexposeによるパスワード入力を必要としません。
• pbrunは、シェルをルートとして実行します。

以下の引用は、これらの条件を満たす設定を示す設定ファイルの例です：

RootUsers = {"user_name" };

RootProgs = {"bash"};

if (pbclientmode == "run" &&

user in RootUsers &&

basename(command) in RootProgs) {

 

# setup the user attribute of the delegated task

runuser = "root";

rungroup = "!g!";

rungroups = {"!G!"};

runcwd = "!~!";

 

# setup the runtime environment of the delegated task

setenv("SHELL", "!!!");

setenv("HOME", "!~!");

setenv("USER", runuser);

setenv("USERNAME", runuser);

setenv("LOGNAME", runuser);

setenv("PWD", runcwd);

setenv("PATH", "/bin：/usr/bin：/usr/local/bin：/sbin：/usr/sbin");

# setup the log data

CleanUp();

accept;

}

システムログを使用して権限昇格（Elevating permissions）を追跡する

ターゲットアセットの管理者は、システムログ内のsuユーザーおよびsudoユーザーの作業を制御および追跡できます。許可昇格での試行が失敗すると、権限昇格（Elevating permissions）の試みが失敗した場合、ログにメッセージが表示され、管理者によりエラーを修正し、再度スキャンを実行することが出来ます。