harden-doc 3.19 - en to ja translation catalogue (26 entries)

en: Before the compromise
ja: システムを破られる前

en: Set up Intrusion Detection
ja: 侵入検知を設定する

en: Always be aware that in order to really improve the system's security with the introduction of any of these tools, you need to have an alert+response mechanism in place. Intrusion detection is a waste of time if you are not going to alert anyone.
ja: これらの道具を導入することによってシステムのセキュリティを本当に 向上させるためには、警告と応答を組みあわせたしくみが必要であることにいつも 注意してください。よってだれにも警告する気がないなら侵入検知を使わないように しましょう (つまり、あとで使う予定のないものを設定するのに時間をむだに 使わないようにしましょう)。

en: An interesting source of information is <ulink name="CERT's Intrusion Detection Checklist" url="http://www.cert.org/tech_tips/intruder_detection_checklist.html" />
ja: <ulink name="CERT's Intrusion Detection Checklist" url="http://www.cert.org/tech_tips/intruder_detection_checklist.html" /> は 興味深い情報源です。

en: Network based intrusion detection
ja: ネットワークベースでの侵入検知

en: Debian's <package>snort</package> package has many security checks enabled by default. However, you should customize the setup to take into account the particular services you run on your system. You may also want to seek additional checks specific to these services.
ja: Debian の Snort は必要かもしれない多くのセキュリティチェックが有効になって います。しかし、あなたのシステムで動いている特定のサービスを考慮して 設定をカスタマイズするべきです。これらのサービスに特有の追加のチェックを 検索したいかもしれません。

en: Host based intrusion detection
ja: ネットワークベースでの侵入検知

en: In addition, packages which monitor file system integrity (see <xref linkend="check-integ" />) can be quite useful in detecting anomalies in a secured environment. It is most likely that an effective intrusion will modify some files in the local file system in order to circumvent local security policy, install Trojans, or create users. Such events can be detected with file system integrity checkers.
ja: ファイルシステムの完全性チェッカー (<xref linkend="check-integ" /> をごらんください)の ようなサイト上の監査ツールも安全な環境での異常を検知するのにとても 便利でしょう。有効な侵入はローカルのセキュリティポリシーを出し抜く、トロイの 木馬をインストールする、ユーザを作るなどの目的でほぼ確実にローカルの ファイルシステム中のファイルを変更します。これらのできごとは完全性チェッカーで 検知できます。 <application>logcheck</application>、<application>portsentry</application> や ファイルシステムの完全性チェッカー (<xref linkend="check-integ" /> をごらんください)の ようなサイト上の監査ツールも安全な環境での異常を検知するのにとても 便利でしょう。

en: Avoiding root-kits
ja: rootkits を避ける

en: Loadable Kernel Modules (LKM)
ja: LKM - Loadable Kernel Modules

en: Detecting root-kits
ja: rootkits を発見する

en: Proactive defense
ja: 事前の対策

en: Reactive defense
ja: 事後の防御

en: Genius/Paranoia Ideas - what you could do
ja: 天才的な、またはパラノイアのアイデア &mdash; 何ができるか

en: Playing around with Pluggable Authentication Modules (PAM). As quoted in the Phrack 56 PAM article, the nice thing about PAM is that "You are limited only by what you can think of." It is true. Imagine root login only being possible with fingerprint or eye scan or cryptocard (why did I use an OR conjunction instead of AND?).
ja: PAM で遊ぶ。 phrack 56 号の PAM についての記事で述べられているように、PAM のよいところは 「何を思いつけるかだけにしか制限されない」ことです。これは本当です。root の ログインが指紋確認または眼底検査または暗号カードでしかできないとしたら どうでしょうか。(なぜここで「かつ」ではなく「または」という接続詞を 使ったのでしょうか?)

en: Fascist Logging. I would refer to all the previous logging discussion above as "soft logging". If you want to perform real logging, get a printer with fanfold paper, and send all logs to it. Sounds funny, but it's reliable and it cannot be tampered with or removed.
ja: ファシストのログ。 上でログについて述べたことはすべて「ソフト的な記録」だといえます。本物の記録を 行いたいならば、fanfold paper つきのプリンタを入手し、印刷することによって 何もかもハード的に記録しましょう。ばかげているように聞こえるでしょうが、 これは信頼できますし、削除することができません。

en: Switch module capability off. As discussed earlier, when you disable the usage of kernel modules at kernel compile time, many kernel based back doors are impossible to implement because most are based on installing modified kernel modules.
ja: モジュール能力を停止する。 カーネルのコンパイル時にカーネルモジュールの使用を停止すると、カーネルベースの 裏口の多くは導入することができなくなります。なぜならその多くは変更された カーネルモジュールをインストールすることにもとづいているからです。

en: Logging through serial cable (contributed by Gaby Schilders). As long as servers still have serial ports, imagine having one dedicated logging system for a number of servers. The logging system is disconnected from the network, and connected to the servers via a serial-port multiplexer (Cyclades or the like). Now have all your servers log to their serial ports, write only. The log-machine only accepts plain text as input on its serial ports and only writes to a log file. Connect a CD/DVD-writer, and transfer the log file to it when the log file reaches the capacity of the media. Now if only they would make CD writers with auto-changers... Not as hard copy as direct logging to a printer, but this method can handle larger volumes and CD-ROMs use less storage space.
ja: シリアルケーブルを通じてのログ (Gaby Schilders さんによって 提供されました)。 サーバにシリアルポートがあるならば、serial-port multiplexer (cyclades または 同様のもの) をそなえた、ネットから切断された専用のログマシンを中央に 置くことを考えましょう。そしてすべてのサーバがシリアルポートへログを出力する ようにしましょう。書きこむだけです。ログマシンはシリアルポートでプレイン テキストだけを入力として受けつけ、それをログファイルに書きこむだけです。 cd または dvd ライタを接続しましょう。ログファイルが 600 MB 近くになったら、 それを cd-rom に書きこみます。ここで cd ライタにオートチェンジャを取りつけ さえすれば... プリンタほどのハードコピーではありませんが、より大容量を 扱えますし、 cd は保管場所をそれほど取りません。

en: This strategy will help limit the damage that you can do when logged in as root. You won't overwrite files with a stray redirection operator, and you won't make the system unusable with a stray space in a <command>rm -fr</command> command (you might still do plenty of damage to your data - but your libraries and binaries will be safer).
ja: これらすべてを行う理由は root としてログインしたときにありえる被害を制限する ためです。迷子のリダイレクト演算子でファイルを上書きすることもありませんし、 <command>rm -fr</command> コマンドにまちがった空白を入れてシステムを使用不能に することもありません (データに多大な被害をもたらすことはできます &mdash; しかしライブラリとバイナリはより安全でしょう)。

en: This strategy also makes a variety of security and denial of service (DoS) exploits either impossible or more difficult (since many of them rely on overwriting a file through the actions of some SETUID program that <emphasis>isn't providing an arbitrary shell command</emphasis>).
ja: これはまたさまざまなセキュリティをもたらし、サービス拒否攻撃を不可能にするか よりむずかしくします (なぜならその多くは <emphasis>任意のシェルコマンドを提供して いるわけではない</emphasis> SUID されたプログラムの行動によってファイルを上書き することに依存するからです)。

en: One inconvenience of this strategy arises during building and installing various system binaries. On the other hand, it prevents the <command>make install</command> from over-writing the files. When you forget to read the Makefile and <command>chattr -i</command> the files that are to be overwritten, (and the directories to which you want to add files) - the make command fails, and you just use the <command>chattr</command> command and rerun it. You can also take that opportunity to move your old bin's and libs out of the way, into a .old/ directory or tar archive for example.
ja: これによってただひとつ不便になるのはシステムのさまざまなバイナリを構築して <command>make install</command> するときです。一方でこれは <command>make install</command> がファイルを上書きすることも防ぎます。Makefile を 読むのを忘れて上書きされるべきファイル (およびファイルを追加したい ディレクトリ) に chattr -i しないでいると &mdash; make は失敗します。 chattr コマンドを使って再度実行しなければなりません。この機会に古いバイナリや ライブラリその他を .old/ ディレクトリに移動させるなり名前を変えるなり tar するなりすることもできます。

en: Note that this strategy also prevents you from upgrading your system's packages, since the files updated packages provide cannot be overwritten. You might want to have a script or other mechanism to disable the immutable flag on all binaries right before doing an <command>apt-get update</command>.
ja: これはシステムのパッケージをアップグレードすることもさまたげることに注意して ください。そのパッケージが提供するファイルを上書きすることはできないので、 <command>apt-get update</command> する直前にすべてのバイナリから immutable flag を はずすしくみがほしくなるかもしれません。

en: Building a honeypot
ja: honeypot を構築する

en: The firewall technology you will use (provided by the Linux kernel).
ja: 必要なファイアウォール技術 (Linux カーネルで提供されます)。

en: <package>snort</package>, to set up capture of all the incoming network traffic to the honeypot and detect the attacks.
ja: 外部から honeypot へのネットワークトラフィックをすべてとらえて 攻撃を検知するために <application>snort</application>。

en: Integrity checkers (see <xref linkend="check-integ" />) and The Coroner's Toolkit (<package>tct</package>) to do post-attack audits.
ja: 攻撃後の監査のために完全性チェッカ (<xref linkend="check-integ" />を ごらんください) および The Coroner's Toolkit (<application>tct</application>)。
