<!DOCTYPE book PUBLIC "-//OASIS//DTD DocBook V3.1//EN">

<Book id="lids-faq-toc">

<!-- Search MARK for markers -->
<!-- Much of this is taken from the Ipmasq-HowTo -->
<!-- Start of Bookinfo -->

<bookinfo>

<title>Linux Intrusion Detection System FAQ</title>
<author>
	<firstname>Sander</firstname>
	<surname>Klein</surname>
	<affiliation>
		<address><email>lids AT roedie DOT nl</email></address>
	</affiliation>

</author>

<authorgroup>
 <othercredit role="translator" lang="ja">
    <surname>Omo</surname>
    <firstname>Kazuki</firstname>
    <contrib>Translator, v.20J, August 8th, 2003</contrib>
    <affiliation>
      <address>
       <email>omok AT honto DOT info</email>
      </address>
    </affiliation>
   </othercredit>
 <othercredit role="translator" lang="ja">
    <surname>Kurashiki</surname>
    <firstname>Satoru</firstname>
    <contrib>Translator, v.17J, Mar 8th, 2002</contrib>
    <affiliation>
      <address>
       <email>ouka AT fx DOT sakura DOT ne DOT jp</email>
      </address>
    </affiliation>
   </othercredit>
  </authorgroup>

<abstract>

<para>
v.20, May 19th, 2003
</para>

<para>
<!-- This is the Linux Intrusion Detection System (LIDS) FAQ. It answers commonly asked questions asked on the LIDS-mailing-list (and more!). -->
これは、Linux 侵入検知システム (LIDS) のFAQ です。これらの質問は、主に
LIDS-mailling-list で質問されたものです。


</para>
<para>
<!-- The LIDS version at the time this Document was released was: -->
このドキュメントの時点でリリースされているLIDS のバージョンは以下になります:
  <itemizedlist>
    <listitem>
      <para>
	Kernel 2.4: 1.1.1 (stable) 1.1.2-rc6 (developement)
      </para>
    </listitem>
    <listitem>
      <para>
	Kernel 2.2: 0.11.0r2 (stable) 0.11.1pre1 (development)
      </para>
    </listitem>
    <listitem>
      <para>
	Kernel 2.5: 2.0.3rc1 (development)
      </para>
    </listitem>
  </itemizedlist>
</para>

</abstract>

</bookinfo>

<!-- MARK Chater 1 -->


<chapter id="introduction">
<title><!-- Introduction to LIDS-->LIDS 入門</title>

<sect1 id="what-is-lids">
<title><!-- What is LIDS?-->LIDS とは何ですか？</title>

<para>
<!--LIDS is an enhancement for the Linux kernel written by <ulink url="mailto:xie@gnuchina.org>Xie Huagang</ulink> and <ulink url="mailto:philippe.biondi@webmotion.com>Philippe Biondi</ulink>.  It implements several security features that are not in the Linux kernel natively.  Some of these include: mandatory access controls (MAC), a port scan detector, file protection (even from root), and process protection.  -->

LIDS は、<ulink url="mailto:xie@gnuchina.org">Xie Huagang</ulink> と<ulink url="mailto:philippe.biondi@webmotion.com">Philippe Biondi </ulink> によって書かれた、Linux カーネルの拡張です。素のLinux カーネルにはない、いくつかのセキュリティ機能を実装します。これらは、− 強制アクセス制御(MAC)、ポートスキャン検知、ファイル保護(root からも保護します)、プロセス保護などです。
</para>
</sect1>

<sect1 id="why-use-lids">
<title><!-- Why use LIDS?-->なぜLIDS を使うのですか？</title>

<para>
<!--The current Linux setup has many problems that are inherent in many versions of *nix.  Probably the single largest problem is the "all powerful" root account.  When a process or user has root privileges, there is little if nothing to prevent that process or user from completely destroying the system.  A malicious user/intruder with root access can cause much heartache for us hard working sysadmins.  LIDS implements access control lists (ACLs) that will help prevent even those with access to the mighty root account from wreaking havoc on a system.  These ACLs allow LIDS to protect files as well as processes.-->
現在のLinux の機構は、たくさんの *nix に由来する、多くの問題を抱えています。おそらく、唯一にして最大の問題は、root アカウントが "全能であること" です。プロセスやユーザがroot 特権を持っていて、そのプロセスやユーザがシステムを完全に破壊しようとしたら、誰にも止められません。悪意のあるユーザ/侵入者によるroot アクセスは、我々多忙な管理者に、多大な心労をもたらしかねません。LIDS は、強大なroot アカウントを使える人でさえシステムに対し大混乱をひきおこせないような仕組みであるアクセス制御リスト(ACL) を実装しています。こういったACL により、LIDS はプロセスのみならずファイルをも保護することができるのです。
</para>
</sect1>

<sect1 id="obtaining-lids">
<title><!-- Where can I obtain LIDS?-->LIDS はどこで入手することができますか？</title>
<para>
<!-- You can obtain LIDS on <ulink url="http://www.lids.org">http://www.lids.org</ulink> or one of it's mirrors. For a list of mirrors visit <ulink url="http://www.lids.org/mirrors.html">http://www.lids.org/mirrors.html</ulink>.-->
<ulink url="http://www.lids.org">http://www.lids.org</ulink> か、もしくはミラーサイトからダウンロードできます。ミラーサイトのリストは、 <ulink url="http://www.lids.org/mirrors.html">http://www.lids.org/mirrors.html</ulink>にあります。
</para>
</sect1>

<sect1 id="kernel-support">
<title><!-- Which versions of the Linux kernel are supported?-->どのバージョンのLinux カーネルがサポートされていますか？</title>

<para>
<!--Currently, LIDS supports the 2.2 kernel as well as the 2.4  kernel.  LIDS development is done using the 2.5 kernel. So, new features will be implemented there first.  However, some features may make it back into the 2.2 or 2.4 kernel depending on users' needs.  Any security fixes will be backported to the 2.2 or 2.4 kernels. There's also a version of LIDS which is integrated in LSM (<ulink url="http://lsm.immunix.org">Linux Security Modules</ulink>).-->

現在、LIDS は新しい 2.4 カーネルの他に、2.2 カーネルもサポートしています。
LIDS の開発は 2.5 カーネルを使って行われています。ですから、新しい機能は先にそちらで実装されます。とはいえ、ユーザのニーズによって、2.4 あるいは 2.2 カーネルにバックポート<!--(★意訳)-->される機能もあります。LIDSの最新バージョンでは、LSM (<ulink url="http://lsm.immunix.org">Linux Security Modules</ulink>)の機能も取り込んでいます。
</para>
</sect1>

<sect1 id="mailing-list">
<title><!-- Is there a LIDS mailing list?-->LIDS のメーリングリストはありますか？</title>

<para>
<!--Yes.  You can post to the list at any time by e-mailing <literal remap="tt">lids-users@lists.sourceforge.net</literal>.  However, if you wish to receive messages posted to the mailing list, you must subscribe to it.  To subscribe, go to <ulink url=" http://lists.sourceforge.net/lists/listinfo/lids-user">http://lists.sourceforge.net/lists/listinfo/lids-user</ulink> and fill out the form.  You will then receive a confirmation request that you must reply to.  You can also unsubscribe and change your mailing list options from that page.-->
あります。いつでも <literal remap="tt"> lids-users@lists.sourceforge.net</literal> に e-mail すれば、メーリングリストへの投稿になります。ただし、メーリングリストへポストされたメッセージを受けとりたいならば、登録する必要があります。登録するには、<ulink url=" http://lists.sourceforge.net/lists/listinfo/lids-user">http://lists.sourceforge.net/lists/listinfo/lids-user</ulink> へ行き、フォームを埋めてください。すると、確認要求が届きますので、それに返信してください。そのページから、登録解除とメーリングリストオプションの変更もできます。
</para>
</sect1>

<sect1 id="archive">
<title><!-- What about an archive?-->アーカイブはどうなっていますか？</title>
<para>
<!--The mailing list archive is located at <ulink url="http://www.geocrawler.com/redir-sf.php3?list=lids-user">http://www.geocrawler.com/lists/3/SourceForge/9348/0/</ulink>
The old archive can be found at <ulink url="http://groups.yahoo.com/group/lids">http://groups.yahoo.com/group/lids</ulink>.-->
メーリングリストのアーカイブは <ulink url="http://www.geocrawler.com/redir-sf.php3?list=lids-user">http://www.geocrawler.com/lists/3/SourceForge/9348/0/</ulink> にあります。古いアーカイブは <ulink url="http://groups.yahoo.com/group/lids">http://groups.yahoo.com/group/lids</ulink> に置いてあります。
</para>
</sect1>

<sect1 id="copyright">
<title><!-- Copyright &amp Disclaimer-->著作権と注意書き</title>

<para>
<!--This document is <Literal remap="tt">copyright(c) 2000, 2001, 2002 for Steve Bremer - 2002, 2003 for Sander Klein </Literal> and it is a FREE document. You may redistribute it under the terms of the GNU General Public License.-->
この文書は、<Literal remap="tt">copyright(c) 2000, 2001, 2002 Steve Bremer -- 2002, 2003 for Sander Klein </literal> で、FREE なものです。GNU General Public License のもとに再配布することができます。

</para>

<para>
<!--The information herein this document is, to the best of Sander's knowledge, correct.  However, LIDS and the LIDS-FAQ is written by humans and thus, the chance of mistakes, bugs, etc. might occur from time to time.-->
この文書にある情報は、Sander の知識の限りにおいて、正確です。とはいえ人間ですから、その時々において誤りやバグなどはあり得ます。
</para>

<para>
<!--No person, group, or other body is responsible for any damage to your computer(s) and any other losses by using the information in this document. i.e.-->
どんな個人やグループ、あるいは他の主体も、この文書にある情報を使うことによるあなたのコンピュータへの被害や何か他の損失の責任を負うことはありません。すなわち −
</para>

<para>
<quote>
<emphasis><!--THE AUTHORS AND ALL MAINTAINERS ARE NOT RESPONSIBLE FOR ANY DAMAGES INCURRED DUE TO ACTIONS TAKEN BASED ON THE INFORMATION IN THIS DOCUMENT.-->
著者および全メンテナは、この文書にある情報に基いてなされた行動により被ったいかなる被害にも責任を負いません。</emphasis>
</quote>
</para>

</sect1>

<sect1>
<title><!-- Feedback-->フィードバック</title>

<para>
<!--If you have any questions, comments, suggestions, or corrections for this document, please feel free to contact me at <ulink url="mailto:lidsATroedieDOTnl">lids AT roedie DOT nl</ulink>. I always welcome feedback whether it's good or bad!-->
この文書に対して質問、コメント、提案や修正があるなら、お気軽に <ulink url="mailto:lidsATroedieDOTnl">lids AT roedie DOT nl</ulink>で私にコンタクトをとってください。良いものであれ悪いものであれ、いつでもフィードバックは歓迎します！
</para>
</sect1>

<sect1>
<title><!-- Credit-->クレジット</title>

<para>
<!--Special thanks go to:-->特別の謝意を −
<itemizedlist>
  <listitem>
    <para>
      <emphasis role="strong">Xie Huagang</emphasis> - <!--Technical editor and LIDS author.-->テクニカルエディタであり、LIDS の作者
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <link linkend="LIDS-version-question">LIDS version</link><!-- question.-->についての質問
        </para>
      </listitem>
      <listitem>
        <para>
          <link linkend="Subject-Object-question">Subject/object</link><!-- question.-->についての質問
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Philippe Biondi</emphasis> - <!--LIDS author.-->LIDS の作者
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Andy Harrelson</emphasis> - <!--Grammar/spelling editor.-->文法/綴りの監修
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Rob Willis</emphasis> - <link linkend="openssh-config">Open-SSH</link>, <link linkend="openldap-config">OpenLDAP</link>,<!-- and --> それと <link linkend="portsentry-config">Port Sentry</link><!-- configuration examples.--> の設定例 
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Fred Mobach</emphasis> - <!--Inspiration and corrections.-->ひらめきと訂正
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">David Ranch</emphasis> - <!--I used his excellent <ulink url="http://www.linuxdoc.org/HOWTO/IP-Masquerade-HOWTO.html">Linux IP Masquerade HOW-TO</ulink> as an SGML template.  His disclaimer also proved useful.-->私は、sgml のテンプレートに、彼の素晴らしい <ulink url="http://www.linuxdoc.org/HOWTO/IP-Masquerade-HOWTO.html">Linux IP Masquerade HOWTO</ulink> を使いました。
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Austin Gonyou</emphasis> -
	      <itemizedlist>
	        <listitem>
            <para>
             <!--Valuable feedback on FAQ.-->FAQ への有益なフィードバック
            </para>
          </listitem>
	        <listitem>
            <para>
              <!--Alternative fix to the <link linkend="lidsadm-compile-problem-1">lidsadm compile problem</link>.--><link linkend="lidsadm-compile-problem-1">lidsadm のコンパイルの問題</link> への新しい修正
            </para>
          </listitem>
          <listitem>
            <para>
              <!--<link linkend="passwd-file-warning">Warning</link> about
              updating the inode of the <literal>/etc/passwd</literal>
              file.--><literal>/etc/passwd</literal> ファイルの i ノード更新についての <link linkend="passwd-file-warning"> 警告</link>
            </para>
          </listitem>
        </itemizedlist>
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Pavel Epifanov</emphasis> - <!--For a simple fix to the <link linkend="lidsadm-compile-problem-1">lidsadm compile problem</link>.--><link linkend="lidsadm-compile-problem-1">lidsadm のコンパイルの問題</link> への簡単な修正
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong"> Justus Pendleton </emphasis> - <link linkend="samba-config">Samba</link> <!--configuration example.--> の設定サンプル
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong"> Nenad Micic </emphasis>
    </para>
      <itemizedlist>
	      <listitem>
          <para><!--For the <link linkend="kill-hidden-processes-script">hidden process kill script</link> example.--><link linkend="kill-hidden-processes-script">隠しプロセスを kill するスクリプトの例</link>
        </para>
      </listitem>
      <listitem>
        <para>
          <!--His <link linkend="kill-hidden-processes-C-program">C program</link> to kill hidden processes at shutdown.--> <link linkend="kill-hidden-processes-C-program">シャットダウン時に隠しプロセスを kill する C プログラム</link>
        </para>
      </listitem>
      <listitem>
        <para>
          <!--<link linkend="LD-PRELOAD-warning">LD_PRELOAD warning.</link>--><link linkend="LD-PRELOAD-warning">LD_PRELOAD 警告</link>
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong"> Bill Phillips </emphasis> - <!--For pointing out many reference errors in the PDF version.-->PDF バージョンにおける、多数の参照ミスの指摘
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong"> Szymon Juraszczyk </emphasis>
    </para>    
      <itemizedlist>
        <listitem>
          <para>
            <!--<link linkend="LD-PRELOAD-warning">LD_PRELOAD warning.</link>--><link linkend="LD-PRELOAD-warning">LD_PRELOAD 警告</link>
          </para>
        </listitem>
      </itemizedlist>
    </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Lorn Kay</emphasis> -
    </para>
	  <itemizedlist>
      <listitem>
        <para>
          <!--<link linkend="heartbeat-config">Heartbeat configuration</link> for Linux HA.-->Linu HA 用の <link linkend="heartbeat-config">ハートビートの設定</link>
        </para>
      </listitem>
	    <listitem>
        <para>
          <!--<link linkend="sendmail-config">Sendmail</link> configuration.--><link linkend="sendmail-config">Sendmail</link> の設定
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Bill McKenzie</emphasis> - <!--Additions to <link linkend="portsentry-config">Portsentry configuration</link>.--><link linkend="portsentry-config">Portsentry の設定</link>に対する追加
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Sander Klein</emphasis>
    </para>
    <itemizedlist>
	    <listitem>
        <para>
          <!--Question about checking if LIDS is <link linkend="lids-enabled-disabled">enabled or disabled</link>.-->LIDS が <link linkend="lids-enabled-disabled">有効か無効かのチェックに関する質問</link>.
        </para>
      </listitem>
	    <listitem>
        <para>
          <!--<link linkend="apcupsd-config">Apcupsd</link> configuration.--><link linkend="apcupsd-config">Apcupsd</link> の設定
        </para>
      </listitem>
      <listitem>
        <para>
          <!--<link linkend="pump-config">Pump</link> configuration.--><link linkend="pump-config">Pump</link> の設定
        </para>
      </listitem>
      <listitem>
        <para>
          <!--<link linkend="snort-config">Snort</link> configuration.--><link linkend="snort-config">Snort</link> の設定
        </para>
      </listitem>
      <listitem>
        <para>
          <!--<link linkend="getty-config">getty</link> configuration.--><link linkend="getty-config">getty</link> の設定
        </para>
      </listitem>
      <listitem>
        <para>
          <!--<link linkend="login-config">login</link> configuration.--><link linkend="login-config">login</link> の設定
        </para>
      </listitem>
      <listitem>
        <para>
          <!--<link linkend="su-config">su</link> configuration.--><link linkend="su-config">su</link> の設定
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">David Spreen</emphasis> - <!--<link linkend="time-restriction-warning">Time restriction warning</link> and <link linkend="crontab-time-restriction-note">restricting crontab access</link>.--><link linkend="time-restriction-warning">時間限定の警告</link> と <link linkend="crontab-time-restriction-note"> crontab へのアクセス制限</link>.
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Thomas Linden</emphasis> - <!--For providing his <link linkend="bind-9x-config">BIND 9.x Configuration</link>--><link linkend="bind-9x-config">BIND 9.x の設定を提供</link>
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Mathias Gygax</emphasis> - <!--For providing sample configurations for <link linkend="exim-config">exim</link>, <link linkend="qpopper-config">qpopper</link>, and <link linkend="proftp-config">proftp</link>.--><link linkend="exim-config">exim</link>, <link linkend="qpopper-config">qpopper</link> と <link linkend="proftp-config">proftp</link> のサンプル設定を提供
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Dimitri Goldin</emphasis> - <!--For pointing out that the LIDS password can be obtained by root users if /dev/pts is mounted and left unprotected.-->/dev/ptsがマウントされていて、保護されていない状態では、rootユーザーがLIDSのパスワードを取得できてしまう事を指摘
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">BigSam</emphasis> - <!--<link linkend="innd-config">Innd config</link>.--><link linkend="innd-config">Innd の設定</link>.
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Ralf Dreibrodt</emphasis> - <!--<link linkend="innd-config">Innd config</link>.--><link linkend="innd-config">Innd の設定</link>.
    </para>
  </listitem>

  <listitem>
    <para>
      <emphasis role="strong">Steve Bremer</emphasis> - <!--For
      starting to write this document which helped me a lot when I
      started using LIDS.-->この文書を書きはじめてくれたことに。私が
      LIDSを初めて使用した時に、とても助けになりました
    </para>
  </listitem>
</itemizedlist>
</para>

<para>
  <quote>
    <emphasis role="strong"><!-- Linux is a trademark of Linus Torvalds -->Linux は Linus Torvalds の登録商標です</emphasis>
  </quote>
</para>

</sect1>

<sect1 id="translations">
<title><!--Translations-->翻訳</title>

<para>
<!--The following is a list of know translations and their locations:-->
次のリストは、この文書の翻訳です
<itemizedlist>
  <listitem>
    <para>
      <emphasis role="strong">Japanese</emphasis> -- <ulink url="http://www.linux.or.jp/JF/JFdocs/LIDS-FAQ.html">http://www.linux.or.jp/JF/JFdocs/LIDS-FAQ.html</ulink>
    </para>
  </listitem>
  <listitem>
    <para>
      <emphasis role="strong">Polish</emphasis> -- <ulink url="http://www.linuxpub.pl/man/lidsfaq/">http://www.linuxpub.pl/man/lidsfaq/</ulink>.
    </para>
  </listitem>
</itemizedlist>
</para>
</sect1>

<sect1 id="revhistory">
<title><!--Revision History-->更新履歴</title>

<para>
<!--The latest version of this FAQ can be found at <ulink url="http://www.roedie.nl/lids-faq/">http://www.roedie.nl/lids-faq/</ulink>. Please check the latest version before reporting any bugs.-->このFAQの最新版は <ulink url="http://www.roedie.nl/lids-faq/">http://www.roedie.nl/lids-faq/</ulink>にあります。バグを報告する前に、最新バージョンをチェックしてください
</para>

<itemizedlist>
  <listitem>
    <para>
      May 19th, 2003. Version .20
    </para>
    <itemizedlist>
      <listitem>
      	<para>
	  <!--Added the <link linkend="postfix-config">Postfix</link> example.--><link linkend="postfix-config">Postfix</link> の例を追加
	</para>
      </listitem>
      <listitem>
	<para>
	  <!--Updated the <link linkend="openssh-config">Openssh</link> example.--><link linkend="openssh-config">Openssh</link> の例を更新
	</para>
      </listitem>
      <listitem>
	<para>
	  <!--Removed the part about compiling lids prior to 1.1.0.-->1.1.0以前のバージョンのlidsの、コンパイル箇所を削除
	</para>
      </listitem>
      <listitem>
	<para>
	  <!--Removed the 'I can't see my /etc/lids dir' question.-->'/etc/lidsディレクトリが見えません'の箇所を削除
	</para>
      </listitem>
      <listitem>
	<para>
	  <!--Added question about <link linkend="losingcapabilities">losing capabilities.</link>--><link linkend="losingcapabilities">権限の喪失</link>に関する質問を追加
	</para>
      </listitem>
      <listitem>
	<para>
	  <!--Changed the <link linkend="capabilities">capabilities</link> section.--><link linkend="capabilities">権限</link> セクションの修正
	</para>
      </listitem>
      <listitem>
	<para>
	  <!--Changed lots of small things to be correct again.-->さまざまな細かい修正
	</para>
      </listitem>
    </itemizedlist>
  </listitem>
  <listitem>
    <para>
      December 22th, 2002.  Version .19
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--This is the first version of the LIDS FAQ that I (Sander Klein) released. Big thanks go to Steve.-->これは私(Sander Klein)がリリースする最初のバージョンのLIDS FAQです。Steveに感謝
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Replaced lidsadm -P to lidsconf -P.-->lidsadm -Pをlidsconf -Pに置き換えた
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Rewritten small parts to be up-to-date again.-->さまざまな箇所を最新の情報に書き換えた
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Rewritten the whole document in docbook format with the ldp stylesheet.-->ドキュメントをdocbookフォーマットのldpスタイルに書き換えた
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added the <link linkend="capabilities">capabilities</link> section.--><link linkend="capabilities">権限</link> セクションの追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Changed some URLs to point to the right directions again.-->いくつかのURLを正しいものに変更した
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      April 27th, 2002.  Version .18
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--This will be the last version of the LIDS FAQ that I (Steve Bremer) will produce.  Sander Klein will be the new maintainer of the FAQ from this point on.-->これは、私 (Steve Breme)が提供する最後のLIDS FAQになります。Sander KleinがこのFAQの、新しいメンテナンス者になります。
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="aproxy-config">aproxy configuration</link> example.--><link linkend="aproxy-config">aproxy 設定</link> 例の追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="lids-passwd-pts-warning">/dev/pts warning</link>.--><link linkend="lids-passwd-pts-warning">/dev/pts 警告</link>の追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="squid-config">squid configuration</link> example.--><link linkend="squid-config">squid 設定</link> 例の追加 
        </para>
      </listitem>
      <listitem>
        <para>
          <!--PowerPC <link linkend="powerpc-status-update">status</link> update.-->PowerPC <link linkend="powerpc-status-update">status</link> のアップデート
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="innd-config">Innd configuration</link> example.--><link linkend="innd-config">Innd 設定</link> 例の追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Other minor corrections.-->その他の細かい訂正
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 28th, 2002.  Version .17
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Changed "READ" to "READONLY".-->"READ" から "READONLY" への変更
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 12th, 2002.  Version .16
    </para>
    <itemizedlist>
  	  <listitem>
        <para>
          <!--Various updates for the changes made in version 1.1.0.-->バージョン1.1.0用の、様々な変更
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Minor corrections.-->細かな修正
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added sample configurations for <link linkend="exim-config">exim</link>, <link linkend="qpopper-config">qpopper</link>, and <link linkend="proftp-config">proftp</link>.--><link linkend="exim-config">exim</link>, <link linkend="qpopper-config">qpopper</link>, と <link linkend="proftp-config">proftp</link>の、設定例の追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Updated <link linkend="console-logging">console logging</link> question.--><link linkend="console-logging">console logging</link> の質問のアップデート
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Updated <link linkend="LD-PRELOAD-warning">LD_PRELOAD</link> warning.--><link linkend="LD-PRELOAD-warning">LD_PRELOAD</link> 警告のアップデート
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Updated <link linkend="file-ACL-inheritance">file ACL inheritance</link> question.--><link linkend="file-ACL-inheritance">file ACL inheritance</link> の質問のアップデート
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="file-editing">file editing</link> question.--><link linkend="file-editing">ファイルの編集</link> の、質問の追加
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      November 12th, 2001.  Version .15
    </para>
    <itemizedlist>
	    <listitem>
        <para>
          <!--Added many new configurations (Sendmail,apcupsd,pump,snort,getty,login,su). Thanks to Sander Klein and Lorn Kay.-->多くの(Sendmail,apcupsd,pump,snort,getty,login,su)設定例の追加。Sander Klein と Lorn Kayに感謝
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="redhat-kernel">Red Hat Kernel</link> patch question.--><link linkend="redhat-kernel">Red Hat Kernel</link> パッチの質問を追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="user-quota">User quota</link> question.--><link linkend="user-quota">User の容量制限</link> 質問の追加 
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      August 26th, 2001.  Version .14
    </para>
    <itemizedlist>
      <listitem>
        <!--<para> Added <link linkend="lids-enabled-disabled">LIDS enabled/disabled</link> question.--><para> <link linkend="lids-enabled-disabled">LIDS enabled/disabled</link> 質問の追加
      </para>
    </listitem>
    <listitem>
      <para>
        <!--Improved <link linkend="basic-configuration">basic configuration</link> question.--><link linkend="basic-configuration">basic configuration</link> 質問の追加
      </para>
    </listitem>
    <listitem>
      <para>
        <!--Added a notice for <link linkend="debian-users-notice">Debian</link> users.--><link linkend="debian-users-notice">Debian</link> ユーザーの注意点を追加
      </para>
    </listitem>
    <listitem>
      <para>
        <!--Added <link linkend="time-of-day-restriction">time restriction</link> question.--><link linkend="time-of-day-restriction">時間制限</link> の質問を追加 
      </para>
    </listitem>
    <listitem>
      <para>
        <!--Updated <link linkend="log-rotation">log rotation</link> question to use <link linkend="log-rotation-option-with-time-restriction">new time restriction feature</link>.--><link linkend="log-rotation-option-with-time-restriction">新しい時間制限方法</link> を使って、<link linkend="log-rotation">ログローテーション</link>をする方法の質問を更新 
      </para>
    </listitem>
    <listitem>
      <para>
        <!--Updated <link linkend="non-intel-hardware">non-Intel hardware</link> question.--><link linkend="non-intel-hardware">非Intel ハードウェア</link> の質問を更新
      </para>
    </listitem>
    <listitem>
      <para>
        <!--Added <link linkend="translations">translations</link> section.--><link linkend="translations">翻訳</link> セクションの追加
      </para>
    </listitem>
    <listitem>
      <para>
        <!--Added <link linkend="port-restriction">port restriction</link> question.--><link linkend="port-restriction">ポート制限</link> の質問を追加
      </para>
    </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="bind-9x-config">BIND 9.x configuration</link>.--><link linkend="bind-9x-config">BIND 9.x の設定</link> を追加
        </para>
      </listitem>
	  </itemizedlist>
  </listitem>

  <listitem>
    <para>
      May 20th, 2001.  Version .13
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Added <link linkend="heartbeat-config">heartbeat configuration</link> for HA Linux.-->HA Linux 用の<link linkend="heartbeat-config">ハートビート設定</link> を追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="read-password-error">read password error</link> question.--><link linkend="read-password-error">read password error</link> の質問を追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="basic-configuration">basic configuration</link> question.--><link linkend="basic-configuration">基本設定</link> の質問を追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Minor additions to <link linkend="portsentry-config">portsentry configuration</link>.--><link linkend="portsentry-config">portsentry の設定</link>への細かい追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Enhanced (yet again) <link linkend="passwd-update">passwd update</link> question.--><link linkend="passwd-update">パスワード更新</link> の質問の拡張 
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Other minor corrections.-->その他の細かな修正
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      April 1st, 2001.  Version .12
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Updated FAQ for new versions of LIDS (1.0.6+ and 0.9.14+).-->新しいバージョンのLIDS (1.0.6+ and 0.9.14+)用に FAQ を更新
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="LD-PRELOAD-warning">warning</link> about LD_PRELOAD environment variable.-->LD_PRELOAD 環境での<link linkend="LD-PRELOAD-warning">警告</link> の追加 
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Updated <link linkend="non-intel-hardware">hardware</link> question.--><link linkend="non-intel-hardware">ハードウェア</link>の質問を更新 
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      March 10th, 2001.  Version .11
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Fixed several reference errors in the PDF version (there are still a few document conversion problems that need looked at).-->PDF バージョンでの幾つかの参照エラーを修正（まだ、幾つかの、変換されたドキュメントは注意する必要がある）
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Clarified the <link linkend="basic-system-setup-config">Basic System Setup</link> configuration.--><link linkend="basic-system-setup-config">基本的なシステムのセットアップ</link> 設定を明白にした
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Updated the mailing list <link linkend="mailing-list">information</link>-->メイリングリスト <link linkend="mailing-list">情報</link> の更新
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Updated <link linkend="passwd-update">passwd</link> and <link linkend="log-rotation">log rotation</link> questions.--><link linkend="passwd-update">パスワード</link> と <link linkend="log-rotation">ログローテーション</link> の、質問の更新
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      March 1st, 2001.  Version .10
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Added <link linkend="samba-config">Samba</link> configuration example.--><link linkend="samba-config">Samba</link> 設定例の追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="kill-hidden-processes-script">example</link> on how to kill hidden processes at shutdown.-->シャットダウン時に隠しプロセスを kill する方法の<link linkend="kill-hidden-processes-script">例</link>
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added <link linkend="ssh-keygen-question">ssh keygen question</link>.--><link linkend="ssh-keygen-question">ssh keygen question</link> の追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Enhanced <link linkend="passwd-update">passwd update</link> question.--><link linkend="passwd-update">パスワード更新</link> の質問を拡張 
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      February 10th, 2001.  Version .09
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Added <link linkend="ssh-scp-question">ssh/scp</link> question.--><link linkend="ssh-scp-question">ssh/scp</link> の質問を追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Updated <link linkend="mailing-list">mailing list</link> information.--><link linkend="mailing-list">メーリングリスト</link> 情報の更新
        </para>
      </listitem>
      <listitem>
        <para>
          <!--<link linkend="smp-status">LIDS SMP status</link> update.--><link linkend="smp-status">LIDS SMP status</link> の更新
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 27th, 2001.  Version .08
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Modified <link linkend="apache-config">Apache</link> configuration so the server root is protected as DENY.-->"Server Root" が DENY として保護されるように<link linkend="apache-config">Apache</link> の設定を変更
       </para>
      </listitem>
      <listitem>
        <para>
          <!--Modified <link linkend="mysql-config">mysql</link> and <link linkend="courier-imap-config">courier-imap</link> so their default directories are protected as DENY.-->デフォルトのディレクトリが DENY として保護されるように<link linkend="mysql-config">mysql</link> と <link linkend="courier-imap-config">courier-imap</link> の設定を変更 
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Modified <link linkend="openssh-config">ssh</link> config to work with password authentication.--><link linkend="openssh-config">ssh</link> の設定を、パスワード認証が動くように変更 
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added question regarding <link linkend="acl-reconfig">ACL reconfiguration</link>.--><link linkend="acl-reconfig">ACL の再設定</link>に関する質問を追加
        </para>
      </listitem>
	  </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 25th, 2001.  Version .07
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Added a much simpler fix to the <link linkend="lidsadm-compile-problem-1">lidsadm compile problem</link>.  Clarified the <link linkend="sealing-the-kernel">sealing the kernel</link> question (hopefully).  Minor corrections.--><link linkend="lidsadm-compile-problem-1">lidsadm のコンパイル問題</link>を修正。  Clarified the <link linkend="sealing-the-kernel">カーネルの封印</link> の質問を (願わくば)明白にした。細かな修正
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 24th, 2001.  Version .06
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Removed ACL example from <link linkend="etc-mtab-1">/etc/mtab mount</link> question because /etc/mtab is recreated at system boot and each time a file system is unmounted.-->/etc/mtab はシステム起動時に再作成され、ファイルシステムはアンマウントされるので、<link linkend="etc-mtab-1">/etc/mtab マウント</link>の ACL 設定例を削除した
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Added alternative fix to the <link linkend="lidsadm-compile-problem-1">lidsadm compile problem</link>.--><link linkend="lidsadm-compile-problem-1">lidsadm コンパイル問題</link>の修正を追加
        </para>
      </listitem>
      <listitem>
        <para>
          <!--Minor corrections.-->細かな修正
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 22nd, 2001.  Version .05
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Minor additions to Basic System Setup sample configuration.  Added section on configuring e-mail alerts.-->基本的なシステムセットアップの設定例を追加。e-mail アラートの設定のセクションを追加
        </para>
      </listitem>
	  </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 19th, 2001.  Version .04
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Minor correction to <link linkend="lidsadm-compile-problem-1">lidsadm compile problem</link> question.--><link linkend="lidsadm-compile-problem-1">lidsadm コンパイル問題</link>の細かな修正 
        </para>
      </listitem>
    </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 17th, 2001.  Version .03
    </para>
    <itemizedlist>
      <listitem>
        <para>
           <!--Added information about the new file ACL inheritance "-i" option in LIDS-0.9.12.  Also updated the configuration examples to use the "-i" option when required.  Other minor updates including information about lidsadm compile problems, enabling/disabling capabilities, and how to setup ACLs for a new program.-->LIDS-0.9.12 での新しいfile ACL の "-i" オプションに関する情報を追加。また、"-i" オプションが必要になった時の使用例を更新。その他、lidsadm コンパいつ問題の情報や、権限の有効/無効や、新しいプログラムに対するACLのセットアップ方法に関する細かな更新。
        </para>
      </listitem>
	  </itemizedlist>
  </listitem>

  <listitem>
    <para>
      January 15th, 2001.  Version .02
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Minor corrections.-->細かな修正
        </para>
      </listitem>
    </itemizedlist>
  </listitem>
  <listitem>
    <para>
      January 15th, 2001.  Version .01
    </para>
    <itemizedlist>
      <listitem>
        <para>
          <!--Initial release.-->最初のリリース
        </para>
      </listitem>
	  </itemizedlist>
  </listitem>

</itemizedlist>
</sect1>

<sect1>
<title>To-do</title>

<para>
<!--Things that still need to be done in this document:-->このドキュメントの時点でもまだ必要なこと:
</para>

<itemizedlist>
  <listitem>
    <para>
      <!--Add directions for LIDS-LSM.-->LIDS-LSM への追加
    </para>
  </listitem>
  <listitem>
    <para>
      <!--Probably a lot more...-->おそらく、他にももっと。
    </para>
  </listitem>
</itemizedlist>

</sect1>

<sect1>
<title><!--Where can I get this faq?-->この FAQ はどこから入手できますか？</title>

<para>
<!--The html version of the LIDS-FAQ can be found at the <ulink url="http://www.lids.org/lids-faq/lids-faq.html">LIDS</ulink> website. Other formats are also available at <ulink url="http://www.roedie.nl/lids-faq/">http://www.roedie.nl/lids-faq/</ulink>.-->HTML 版の LIDS-FAQ は<ulink url="http://www.lids.org/lids-faq/lids-faq.html">LIDS</ulink> のサイトに有ります。 その他のフォーマットは、 <ulink url="http://www.roedie.nl/lids-faq/">http://www.roedie.nl/lids-faq/</ulink> からダウンロードできます。
</para>

</sect1>

</chapter>
<!-- MARK Chapter 2 -->

<chapter id="install-lids">
<title><!--Installing LIDS-->LIDS のインストール</title>

<sect1 id="applying-patch">
<title><!--How do I apply the LIDS kernel patch?-->LIDS カーネルパッチはどうやって当てるのですか？</title>

<para>
<!--Xie has included <ulink url="http://www.lids.org/install.html">instructions</ulink> on how to patch the kernel in the LIDS download.  However, I will briefly cover  the necessary steps.  This example assumes your kernel sources are installed in <literal remap="tt">/usr/src/linux.</literal>-->Xie は <ulink url="http://www.lids.org/install.html">instructions</ulink> にLIDS をダウンロードして、カーネルにパッチをあてる方法をもりこんでいます。
とはいえ、必要な手順について簡単におさえておくことにします。この例では、カーネルソースが /usr/src/linux にインストールされていると想定しています。
</para>

<para>
  <literal>
  <!--Always make sure you are using the latest LIDS version with the corresponding kernel version. LIDS development can go very rapid from time to time and documentation changes just as fast.-->カーネルに対応している LIDS の最新版を使用しているかどうか、常に気をつけましょう。LIDS は急ピッチで開発されており、ドキュメントも、それに伴って変わります。
  </literal>
</para>

<itemizedlist>
  <listitem>
    <para>
      <!--First you need to download the LIDS patch from <ulink url="http://www.lids.org/download.html">www.lids.org/download.html</ulink>. Make sure you get the version that matches your kernel. (People who use kernels provided by their Linux distribution please read the <link linkend="redhat-kernel">following</link>.-->最初に、LIDS のパッチを <ulink url="http://www.lids.org/download.html">www.lids.org/download.html</ulink> からダウンロードする必要があります。カーネルに合ったバージョンを入手するように注意してください。（それぞれのディストリビューション用のカーネルを使用している方は、 <link linkend="redhat-kernel">following</link> を読んでください。）
    </para>
  </listitem>
  <listitem>
    <para>
      <!--Then, expand the tarball:-->次に、tarball を展開します −
    </para>
    <para>
      <screen>
<!--bash$ tar -zxvf lids-<emphasis><literal>lids_version</literal></emphasis>-<emphasis><literal>kernel_version</literal></emphasis>.tar.gz-->bash$ tar -zxvf lids-<emphasis><literal>lids のバージョン</literal></emphasis>-<emphasis><literal>カーネルのバージョン</literal></emphasis>.tar.gz
      </screen>
    </para>
  </listitem>
  <listitem>
    <para>
      <!--Apply the lids patch to the existing kernel sources:-->既存のカーネルソースに lids のパッチを適用します −
    </para>
    <para>
      <screen>
bash$ cd /usr/src/linux
<!--bash$ patch -p1 < /path/to/lids/patch/lids-<emphasis><literal>lids_version</literal></emphasis>-<emphasis><literal>kernel_version</literal></emphasis>.patch-->bash$ patch -p1 < /path/to/lids/patch/lids-<emphasis><literal>lids のバージョン</literal></emphasis>-<emphasis><literal>カーネルのバージョン</literal></emphasis>.patch
      </screen>
    </para>
  </listitem>
  <listitem>
    <para>
      <!--Then configure your kernel. For an excellent source of information on recompiling your Linux kernel, see the <ulink url="http://www.tldp.org/HOWTO/Kernel-HOWTO.html">Linux Kernel HOW-TO</ulink>.-->それから、カーネルの設定をします。Linux カーネルの再コンパイルにおける素晴らしい情報源としては、<ulink url="http://www.tldp.org/HOWTO/Kernel-HOWTO.html">Linux Kernel HOW-TO</ulink> を参照してください。
    </para>
  </listitem>
</itemizedlist>

<para>
<!--There are several kernel configuration options for LIDS.  In order for LIDS to work, you must make sure the following options are enabled:-->LIDS 用に、いくつかのカーネル設定オプションがあります。LIDS が動作するためには、以下のオプションが有効になっていることを確認してください −
<screen>
  [*]   Prompt for development and/or incomplete code/drivers
  [*]   Sysctl Support
</screen>
</para>

</sect1>

<sect1 id="installtools">
<title><!--How do I install the LIDS administration utilities (lidsadm &amp lidsconf)?-->LIDS の管理ユーティリティ (lidsadm と lidsconf) をインストールする方法は？</title>


<itemizedlist>
  <listitem>
    <para>
      <emphasis role="strong">LIDS 1.1.2+</emphasis>
    </para>
  </listitem>
</itemizedlist>

<para>
<!--<emphasis role="strong">NOTE:</emphasis> If you are upgrading LIDS, you should backup everything in the /etc/lids directory first!)--><emphasis role="strong">注意：</emphasis> LIDS をアップグレードしているなら、最初に /etc/lids ディレクトリを全てバックアップしてください)
</para>

<para>
<!--From your LIDS source directory, type:-->LIDS のソースディレクトリで、こう入力します −

<screen>
<!--bash$ tar -zvxf lidstools-<emphasis><literal>version</literal></emphasis>.tar.gz-->bash$ tar -zvxf lidstools-<emphasis><literal> バージョン </literal></emphasis>.tar.gz
<!--bash$ cd lidstools-<emphasis><literal>version</literal></emphasis>-->bash$ cd lidstools-<emphasis><literal> バージョン </literal></emphasis>
bash$ ./configure
bash$ make
bash$ su -
bash# make install
</screen>

<!--This will install lidsadm and lidsconf in the /sbin directory.  It will also create an /etc/lids directory and place a few default configuration files in it for you.  The configuration files will be updated with the proper inode and device information for your system. You will also be prompted to enter the LIDS password at this time. The inode update process can give some errors if it is looking for files that are non-existant on your system. These errors are not harmful.-->
これで lidsadm と lidsconf が /sbin ディレクトリにインストールされます。さらに、/etc/lids ディレクトリが作られ、デフォルトの設定ファイルがいくつかそこに置かれます。設定ファイルは、システムの適切な i ノード及びデバイス情報で更新されます。また、この時点で LIDS のパスワードを入力するように求められます。 i ノードの更新プロセス時に、システムに存在していないファイルを見ようとしているときには、いくつかのエラーを出します。これらのエラーは有害なものではありません。
</para>

<para>
<!--If you do not wish to enable the view option (-V) in lidsadm, specify <literal>&#045;&#045;disable-view</literal> when running configure.-->
lidsadm の参照オプション (-V) を有効にしたくないなら、<literal>&#045;&#045;disable-view</literal> を指定して configure を実行してください。
</para>

</sect1>

<sect1 id="what-next">
<title><!--What next?-->次は？</title>

<para>
<!--Before you reboot into your LIDS enhanced kernel, you should configure your LIDS ACLs first. Otherwise your system may be unusable when you reboot. Configuring LIDS ACLs is covered <link linkend="Configuring-LIDS">later</link>.-->
再起動して LIDS で強化されたカーネルにする前に、まず LIDS の ACL を設定せねばなりません。さもなければ、再起動するとシステムが使いものにならなくなります。LIDS の ACL を設定する方法については <link linkend="Configuring-LIDS"> 後ほど</link>。
</para>

</sect1>

<sect1 id="lidsadm-compile-problem-1">
<title><!--When I try to compile lidsadm, gcc reports that lidstext.h doesn't exist.  How do I fix this problem?-->lidsadm をコンパイルしようとしたら、gcc に lidstext.h がない、といわれました。この問題はどうやって解決すればいいの？</title>

<para>
<!--This happens on systems where <literal>/usr/include/linux</literal> is not a symbolic link to <literal>/usr/src/linux/include/linux</literal>.  The complete error message is:-->
これは、<literal>/usr/include/linux</literal> が <literal>/usr/src/linux/include/linux</literal>へのシンボリックリンクではないシステムにおいて発生します。完全なエラーメッセージはこうです −

<screen>
lidsadm.c:30: linux/lidsext.h: No such file or directory make: *** [lidsadm.o] Error 1
</screen>
<!--To fix this problem, edit the Makefile in the lidsadm source directory and add <literal>-I/usr/src/linux/include</literal> to the CFLAGS option.-->
この問題を解決するには、lidsadm のソースディレクトリにある Makefile を編集して、CFLAGS オプションに <literal>-I/usr/src/linux/include</literal> を加えてください。

<!--At this point, you should be able to compile lidsadm normally.-->
この時点で、普通に lidsadm をコンパイルできるはずです。

</para>
</sect1>

<sect1 id="debian-users-notice">
<title><!--A note for Debian users...-->Debian ユーザへの注意……</title>

<para>
<!--David Spreen is maintaining the Debian package for LIDS.  He would like you to email package specific LIDS configurations to <ulink url="netzwurm@debian.org">netzwurm AT debian DOT org</ulink>.  He also recommends that Debian users use the Debian package for LIDS because it includes Debian specific modifications.-->
David Spreen は LIDS の Debian パッケージを保守しています。パッケージ固有の LIDS の設定を <ulink url="netzwurm@debian.org"> netzwurm@debian.org </ulink> 宛てにメールすると喜ぶでしょう。Debian 固有の修正が含まれているため、Debian ユーザは LIDS の Debian パッケージを使うようにも彼は勧めています。
</para>

</sect1>

<sect1 id="redhat-kernel">
<title><!--I tried to apply the LIDS patch to kernel version 2.x.x-x that is shipped with my distro and I received errors.  What's wrong?-->LIDS のパッチを RedHat のカーネル 2.x.x-x にあてようとしたら、エラーになりました。何が悪いの？</title>

<para>
<!--LIDS is developed using the "vanilla" kernel as developed by Linus.  Many distributions,including Red Hat, Debian, and Suse, customize their kernels.  There is nothing wrong with this, but you should be aware that their kernels are not the same as Linus' kernel.  If you want to apply it to a non-Linus kernel, you're on your own. (Debian users, see <link linkend="debian-users-notice">above</link> notice)-->
LIDS は Linus が開発した "普通の" カーネルを使って開発されています。RedHat や Debian、Suse を含む多くのディストリビューションでは、カーネルをカスタマイズしています。これは悪いことではありませんが、それらのカーネルが Linus のものと同じではない、ということは知っておいてください。(Debian ユーザは <link linkend="debian-users-notice"> 上の</link> 注意を見てください。)
</para>

</sect1>

</chapter>


<!-- MARK Chapter 3 -->

<chapter id="lidsac">
<title><!--lidsadm and lidsconf-->lidsadm と lidsconf</title>

<sect1 id="what-is-lidsadm">
<title><!--What is lidsadm?-->lidsadm とは何ですか？</title>

<para>
<!--lidsadm is the LIDS administration utility that you will use to administer LIDS on your system.  This includes enabling/disabling LIDS, sealing the kernel, and viewing the status of LIDS.-->lidsadm は LIDS の管理ユーティリティで、これを使ってシステムの LIDS を管理します。これには、LIDS を有効/無効にしたり、カーネルを封印したり、LIDS の状況を見たりすることが含まれます。
</para>
</sect1>

<sect1 id="what-is-lidsconf">
<title><!--What is lidsconf?-->lidsconf とは何ですか？</title>

<para>
<!--lidsconf is used to configure the access control lists (ACLs) for LIDS. It is also used to set the LIDS password.-->lidsconf は LIDS のアクセス制御リスト (ACL) を設定するのに使います。また、LIDS のパスワードをセットするのにも使います。

<emphasis><!--NOTE:-->注意：</emphasis><!-- In versions prior to LIDS 1.1.0, lidsadm also performed all of the tasks of that lidsconf now performs.-->LIDS 1.1.0 より前のバージョンでは、現在 lidsconf が行っている仕事も全て lidsadm がこなします。
</para>
</sect1>

<sect1 id="options-lidsadm">
<title><!--What options are available for lidsadm?-->lidsadm で使えるオプションは何がありますか？</title>

<para>
<!--To get a list of the available options, enter the following:-->利用可能なオプションを一覧するには、こう入力してください −
<screen>
bash# lidsadm -h
</screen>
<!--This will return the following output:-->
これによって、以下の出力が返ってきます −
<screen>
lidsadm version 0.4.1 for LIDS project
       Huagang Xie &lt;xie@gnuchina.org&gt;
       Philippe Biondi &lt;pbi@cartel-info.fr&gt;

Usage: lidsadm -[S|I] -- [+|-][LIDS_FLAG] [...]
       lidsadm -V
       lidsadm -h

Commands:
       -S  To submit a password to switch some protections
       -I  To switch some protections without submitting password (sealing time)
       -V  To view current LIDS state (caps/flags)
       -v  To show the version
       -h  To list this help 

Available capabilities:
           CAP_CHOWN chown(2)/chgrp(2)
    CAP_DAC_OVERRIDE DAC access
 CAP_DAC_READ_SEARCH DAC read
          CAP_FOWNER owner ID not equal user ID
          CAP_FSETID effective user ID not equal owner ID
            CAP_KILL real/effective ID not equal process ID
          CAP_SETGID set*gid(2)
          CAP_SETUID set*uid(2)
         CAP_SETPCAP transfer capability
 CAP_LINUX_IMMUTABLE immutable and append file attributes
CAP_NET_BIND_SERVICE binding to ports below 1024
   CAP_NET_BROADCAST broadcasting/listening to multicast
       CAP_NET_ADMIN interface/firewall/routing changes
         CAP_NET_RAW raw sockets
        CAP_IPC_LOCK locking of shared memory segments
       CAP_IPC_OWNER IPC ownership checks
      CAP_SYS_MODULE insertion and removal of kernel modules
       CAP_SYS_RAWIO ioperm(2)/iopl(2) access
      CAP_SYS_CHROOT chroot(2)
      CAP_SYS_PTRACE ptrace(2)
       CAP_SYS_PACCT configuration of process accounting
       CAP_SYS_ADMIN tons of admin stuff
        CAP_SYS_BOOT reboot(2)
        CAP_SYS_NICE nice(2)
    CAP_SYS_RESOURCE setting resource limits
        CAP_SYS_TIME setting system time
  CAP_SYS_TTY_CONFIG tty configuration
           CAP_MKNOD mknod operation
           CAP_LEASE taking leases on files
          CAP_HIDDEN hidden process
  CAP_KILL_PROTECTED kill protected programs
       CAP_PROTECTED Protect the process from signals

Available flags:
                LIDS de-/activate LIDS locally (the shell & childs)
         LIDS_GLOBAL de-/activate LIDS entirely
         RELOAD_CONF reload config. file and inode/dev of protected programs
</screen>
</para>
</sect1>

<sect1 id="options-lidsconf">
<title><!--What options are available for lidsconf?-->lidsconf で使えるオプションは何がありますか？</title>

<para>
<!--To get a list of the available options, enter the following:-->利用できるオプションを一覧するには、こう入力してください −
<screen>
bash# lidsconf -h
</screen>
<!--This will return the following output:-->
これによって、以下の出力が返ってきます −
<screen>
lidsconf version 0.4.1 for the LIDS project
       Huagang Xie &lt;xie@gnuchina.org&gt;
       Philippe Biondi &lt;philippe.biondi@webmotion.net&gt;

Usage: lidsconf -A [-s subject] -o object [-d] [-t from-to] [-i level] -j ACTION
       lidsconf -D [-s file] [-o file] 
       lidsconf -Z
       lidsconf -U
       lidsconf -L [-e]
       lidsconf -P
       lidsconf -v
       lidsconf -[h|H]

Commands:
       -A,--add To add an entry
       -D,--delete      To delete an entry
       -Z,--zero        To delete all entries 
       -U,--update      To update dev/inode numbers
       -L,--list        To list all entries 
       -P,--passwd      To encrypt a password with RipeMD-160
       -v,--version     To show the version
       -h,--help        To list this help 
       -H,--morehelp    To list this help with CAP/SOCKET name

subject: -s,--subject subj
       can be any program, must be a file
object: -o,--object [obj]
       can be a file, directory or Capability, Socket Name
ACTION: -j,--jump
       DENY     deny access
       READONLY read only
       APPEND   append only
       WRITE    writable
       GRANT    grant capability to subject
       IGNORE   ignore any permissions set on this object
       DISABLE  disable some extersion feature
OPTION:
      -d,--domain       The object is an EXEC Domain
      -i,--inheritance Inheritance level
      -t,--time Time dependency
      -e,--extended     Extended list
</screen>
</para>
</sect1>

<sect1 id="capabilities">
<title><!--Nice, what do all those capabilities mean?-->素晴らしい。で、これらの権限はどういうものなの？</title>

<para>
<!--Capabilities allow you to set certain system wide permissions on what actions are allowed or disallowed. If you disable <literal>CAP_SETUID</literal> then it's impossible for any program to transfer the UID. With LIDS you can enable/disable certain capabilities for certain programs. The function of each capability is described in <literal>/etc/lids/lids.cap</literal> or in <literal>/path/to/lidstools/example/lids.cap</literal> if you didn't install LIDS yet.-->
権限によって、システムが明白に、どのような行為を許可し、あるいは許可しないのかということを定義できます。仮りに <literal>CAP_SETUID</literal> を無効にすると、どのようなプログラムも UID を渡す事が出来なくなります。LIDSを用いると、明白なプログラムに対して、明白に権限を有効/無効にする事が出来ます。それぞれの権限については、<literal>/etc/lids/lids.cap</literal> の中か、（もし、まだ LIDS をインストールしていないのであれば <literal>/path/to/lidstools/example/lids.cap</literal> にあります。
</para>
</sect1>
</chapter>


<!-- MARK Chapter 4 -->

<chapter id="lids-adm">
<title><!--LIDS Administration-->LIDS の管理</title>

<sect1 id="set-password">
<title><!--How do I set my LIDS password?-->LIDS のパスワードを設定するにはどうすればいいですか？</title>

<para>
<!--If the install command somehow didn't ask you to set you password then you must set it before you reboot into your LIDS enhanced kernel by entering the following at the command prompt:-->
インストール時に、パスワードの設定について聞かれなかった場合には、LIDS によって拡張されたカーネルで再起動する前に、コマンドプロンプトでこのように入力します −
<screen>
bash# lidsconf -P
</screen>
<!--You will then be prompted for a LIDS password:-->
すると、LIDS のパスワードを求められます −
<screen>
MAKE PASSWD
enter new password:
reenter new password:
wrote password to /etc/lids/lids.pw
</screen>
<!--This will write your RipeMD-160 encrypted password to the <literal>/etc/lids/lids.pw</literal> file. You need this password if you want to change some ACL's, capabilities or when you want to start a <link linkend="LFS">LIDS free session</link>.-->これで、<literal>/etc/lids/lids.pw</literal> ファイルに RipeMD-160 で暗号化されたパスワードが書きこまれます。このパスワードは、ACL の権限を変えたい時や、<link linkend="LFS">LIDS free session</link> を開始する時に必要です。
</para>
</sect1>

<sect1 id="lids-pw-correct">
<title><!--How do I change my LIDS password once it is set?-->一度設定された LIDS パスワードを変更するにはどうすればよいですか？</title>

<para>
<!--You must first create a <link linkend="LFS">LIDS free session</link>. Then set your password using the "-P" option just like you did <link linkend="Set-Password">the first time</link> (you will not be prompted for your current password).  After resetting your LIDS password, you must tell LIDS to <link linkend="Reload">reload its configuration files</link>.-->
最初に、<link linkend="LFS">LIDS フリーセッション</link> を作成しなくてはなりません。それから、<link linkend="Set-Password"> 最初に</link>やったように "-P" オプションを使ってパスワードを設定します (現在のパスワードはきかれません)。LIDS パスワードを再設定した後で、LIDS に <link linkend="Reload"> 設定ファイルのリロード</link>をさせる必要があります。

</para>

<para id="lids-passwd-pts-warning">
<emphasis><!--WARNING:-->注意：</emphasis><!-- It is possible for someone with root access to obtain the LIDS password if /dev/pts is mounted.  In order to prevent this, you can either unmount /dev/pts or protect it.-->/dev/pts がマウントされている時には、root権限を持ったものが、LIDS パスワードを得る事が可能です。これを防ぐために、/dev/pts をアンマウントしておくか、保護をしておいてください。
</para>
</sect1>

<sect1 id="lfs">
<title><!--What is a LIDS free session and how do I create one?-->LIDS フリーセッションとは何？　どうやって作ればいいの？</title>

<para>
<!--A LIDS free session (LFS) is a terminal session that is not restricted by LIDS.  This option is available so you can administer your system without having to reboot into a non-LIDS kernel.  In order for this to work, you must have selected this option when you compiled your LIDS enhanced kernel:-->
LIDS フリーセッション (LFS) は LIDS からの制限を受けない端末セッションです。このオプションがあるため、非 LIDS のカーネルで再起動せずにシステムを管理することができます。これを機能させるには、LIDS で拡張したカーネルをコンパイルする時に、このオプションを選択している必要があります −
<screen>
  [*] Allow switching LIDS protections
</screen>
<!--To create an LFS, enter the following at the prompt:-->
LFS を作るには、プロンプトでこのように入力します −
<screen>
bash# lidsadm -S -- -LIDS
</screen>
<!--You will then be prompted for your LIDS password.  This terminal is now LIDS free.  It will remain LIDS free until you:-->
すると、LIDS パスワードを訊ねられます。この端末は、もう LIDS から独立しています。以下の操作をするまでは、LIDS から独立したままです −

<itemizedlist>
  <listitem>
    <para>
      <!--Enable LIDS again-->LIDS を再び有効にする <literal>(lidsadm -S -- +LIDS)</literal>.
    </para>
  </listitem>
  <listitem>
    <para>
      <!--Log out of the terminal.-->ターミナルからログアウトする
    </para>
  </listitem>
</itemizedlist>

<!--You can only have one LFS active at any one time.  Even though <literal> lidsadm -S &#045;&#045; -LIDS </literal> will not fail if entered on another terminal, you can have only one LFS.-->
一度にアクティブにできる LFS は 1 つだけです。別の端末に入っても <literal>lidsadm -S &#045;&#045; -LIDS</literal> は無効にならないとはいえ、LFS はただ 1 つしか持てません。

</para>
</sect1>

<sect1>
<title><!--I created a LIDS free session, but LIDS still appears to be active!  What's wrong?-->LIDS フリーセッションを作ったけど、LIDS がまだ有効になってるみたい！　何がまずいの？</title>

<para>
<!--This can happen if you create an LFS on a virtual console and then switch to another virtual console and try to administer your machine.  To clear it up, try enabling LIDS and then disabling it again (entering passwords when prompted):-->
これは、LFS を仮想端末上で作ってから別の仮想端末に移動してマシンを管理しようとすると発生します。解決するためには、LIDS を有効にしてみて、それからもう一度無効にします (プロンプトが出たらパスワードを入力します)。

<screen>
# lidsadm -S -- +LIDS
# lidsadm -S -- -LIDS
</screen>
<emphasis role="strong"><!--Note: -->注意：</emphasis><!-- Be sure that there is no other administrator in an LFS because you will close his LFS!--> LFS に他の管理者がいた場合には、その人の LFS も閉じてしまうので、他の管理者が居ないことをチェックしてください！
</para>
</sect1>

<sect1 id="reload">
<title><!--How do I tell LIDS to reload its configuration files?-->
LIDS に設定ファイルをリロードさせるにはどうすればいいの？</title>

<para>
<!--In order for LIDS to be able to reload its configuration files, you must enable this option when you configure your LIDS enhanced kernel:-->
LIDS にその設定ファイルをリロードさせるには、LIDS で拡張したカーネルを設定する時に、このオプションを有効にする必要があります。

<screen>
  [*]  Allow switching LIDS protections
  (3)    Number of attempts to submit password
  (30)     Time to wait after a fail (seconds)
  [ ]    Allow remote users to switch LIDS protections
  [ ]    Allow any program to switch LIDS protections
  [*]    Allow reloading config. file   <----------------------------
</screen>

<!--NOTE: You must allow switching LIDS protections in order to enable reloading of configuration files.-->
注意：設定ファイルをリロードできるようにするには、LIDS の保護を切り換えられるようにする必要があります。

<!--From an LFS (or with LIDS_GLOBAL disabled), execute the following command to instruct LIDS to reload its configuration files:-->
LFS (あるいは LIDS_GLOBAL を無効にして) から、これらのコマンドを実行して LIDS に設定ファイルをリロードするよう指示します −
<screen>
# lidsadm -S -- +RELOAD_CONF
</screen>
<!--This will reload the following configuration files:-->
これで、以下の設定ファイルがリロードされます −

<itemizedlist>
  <listitem>
    <para>
      <literal> /etc/lids/lids.conf  - </literal><!-- LIDS ACL configuration file.--> LIDS ACL の設定ファイルです。
    </para>
  </listitem>
  <listitem>
    <para>
      <literal> /etc/lids/lids.cap   - </literal><!-- LIDS capabilities file.--> LIDS の権限ファイルです。
    </para>
  </listitem>
  <listitem>
    <para>
      <literal> /etc/lids/lids.pw    - </literal><!-- LIDS password file.--> LIDS のパスワードファイルです。
    </para>
  </listitem>
  <listitem>
    <para>
      <literal> /etc/lids/lids.net   - </literal><!-- LIDS mail alert configuration file.--> LIDS のメールによる警告を設定するファイルです。
    </para>
  </listitem>
</itemizedlist>
</para>
</sect1>

<sect1 id="unusable-system">
<title><!--Help!!! My system is totally unusable! What do I do?-->助けて！！！　私のシステムが完全に使えなくなってしまいました！　どうすればいいでしょう？</title>

<para>
<!--You can reboot into a non-LIDS enhanced kernel, or boot into your LIDS enhanced kernel with LIDS disabled to try and patch things up.  To boot with LIDS disabled, specify <literal> lids=0 </literal>at the lilo prompt. For example, if your LIDS enhanced kernel is called <literal> lids-kernel </literal> you would enter the following at the lilo prompt:-->
再起動して LIDS で強化されていないカーネルにするか、LIDS を無効にして LIDS で強化されたカーネルを起動し、解決を試みることができます。LIDS を無効にして起動するには、lilo プロンプトに <literal>security=0</literal> と指定します。例えば、LIDS で強化されたカーネルが <literal>lids-kernel</literal> だとすると、lilo プロンプトでこのように入力するのです −

<screen>
lilo: lids-kernel lids=0
</screen>
<!--That's the easy part.  The difficult part is getting your LIDS enabled system to shutdown.  You may not be able to shutdown successfully depending on your LIDS configuration.-->
これは簡単な部分です。難しいのは、LIDS を有効にしたシステムをシャットダウンさせることです。LIDS の設定によっては、うまくシャットダウンできないかもしれません。

</para>

<para>
<emphasis role="strong"><!-- WARNING: -->警告： </emphasis><!--  Rebooting your LIDS enabled system when it is not properly configured can cause file system corruption and/or loss of data!!-->適切に設定されていない状態で LIDS が有効になったカーネルを再起動させると、ファイルシステムがおかしくなったり、データが失われるかも知れません。
</para>
</sect1>

<sect1 id="update-inodes">
<title><!--I've updated/moved a system binary.  How do I tell LIDS that the file changed/moved?-->システムバイナリを変更/移動しました。ファイルが変更/移動したことを LIDS に教えるにはどうするのですか？</title>

<para>
<!--Whenever the device that a file resides on, or a file's inode number changes, you must update your <literal>/etc/lids/lids.conf</literal> file with the proper information.  Fortunately, Xie has provided us with an option just for this occasion:-->
ファイルが存在しているデバイス、あるいはファイルの iノード番号が変わった時にはいつでも、<literal>/etc/lids/lids.conf</literal> ファイルを適切な情報で更新しなければなりません。幸運なことに、Xie はこういう時のためのオプションを用意してくれています −
<screen>
bash# lidsadm -U
</screen>
<!--You must then <link linkend="reload">reload the configuration files</link>.-->
それから、<link linkend="reload">設定ファイルをリロード</link>する必要があります。
</para>
</sect1>

<sect1>
<title><!--OK, without rebooting, how do I completely disable LIDS?-->じゃあ、再起動せずに LIDS を完全に無効にする方法は？</title>

<para>
<!--Besides using an LFS, LIDS can be turned off globally.  This will only work if you compiled the option into your kernel.-->
LFS を使う以外にも、LIDS を全体的に停止させることはできます。これには、オプション込みでカーネルをコンパイルしている場合のみ機能します。
<screen>
bash# lidsadm -S -- -LIDS_GLOBAL
</screen>
<!--When <literal> LIDS_GLOBAL </literal> is disabled, your system will operate like a "normal" Linux system.  To re-enable LIDS globally, perform the opposite:-->
<literal>LIDS_GLOBAL</literal> が無効になっていると、システムは "通常の" Linux システムのように稼働します。LIDS を全体的に再び有効にするには、反対のことをします −
<screen>
bash# lidsadm -S -- +LIDS_GLOBAL
</screen>
<emphasis role="strong"><!--NOTE:-->注意：</emphasis><!-- This will not affect your LFS if you currently have one enabled.-->今 LFS を有効にしているなら、これによって LFS が 影響をうけることはありません。
</para>
</sect1>

<sect1 id="sealing-the-kernel">
<title><!--What does it mean to "seal the kernel"?-->"カーネルを封印する"とはどういうことですか？</title>

<para>
<!--At the end of the bootup process, you should seal the kernel.  This sets the global capabilities on your system according to your <literal>/etc/lids/lids.cap</literal> file.  File ACLs are enforced even before the kernel is sealed, however.  To seal the kernel, put the following at the end of your <literal>rc.local</literal> (assuming SysV style init):-->
起動プロセスの最後に、カーネルを封印する必要があります。これにより、システムに <literal>/etc/lids/lids.cap</literal> ファイルでのグローバルな権限がセットされます。ただし、ファイルの ACL はカーネルが封印される前でも執行されます。カーネルを封印するには、<literal>rc.local</literal>(SysV スタイルの init の場合) の最後に、これをつけたしてください −
<screen>
/sbin/lidsadm -I
</screen>
<!--The "-I" option is only used to seal the kernel.  After it's sealed, you must use the "-S" option to make changes to your system.-->
"-I" オプションは、カーネルを封印する時のみ使われます。封印された後は、システムに変更を加えるために "-S" オプションを使う必要があります。

<emphasis role="strong"><!-- WARNING: -->警告：</emphasis><!-- If you do not seal your kernel at boot time, you will not receive the full benefits of a LIDS enhanced system.-->起動時にカーネルを封印しなかった場合、LIDS で強化されたシステムの恩恵を完全に受けることはできません。

</para>
</sect1>

<sect1>
<title><!--How do I view the status of my LIDS system?-->LIDS システムの状態を見るにはどうすればいいの？</title>

<para>
<!--In order to use the "-V" option, you must have compiled lidsadm with the view option enabled. (which is standard behaviour,<link linkend="installtools"> see above)</link>.-->
"-V" オプションを使うためには、lidsadm を view オプションを enable に
した状態でコンパイルしておく必要があります。（通常の振舞は、<link linkend="installtools"> 上記参照）</link>

<!--At the command line, enter:-->
コマンドラインで、こう入力します −
<screen>
bash# lidsadm -V
</screen>
<!--This will produce output similar to the following on a 2.4.x kernel:-->
こうすると、2.4.x カーネルの場合、このような出力が得られます −
<screen>
VIEW
                     CAP_CHOWN 0
              CAP_DAC_OVERRIDE 0
           CAP_DAC_READ_SEARCH 0
                    CAP_FOWNER 0
                    CAP_FSETID 0
                      CAP_KILL 0
                    CAP_SETGID 0
                    CAP_SETUID 0
                   CAP_SETPCAP 0
           CAP_LINUX_IMMUTABLE 0
          CAP_NET_BIND_SERVICE 0
             CAP_NET_BROADCAST 0
                 CAP_NET_ADMIN 0
                   CAP_NET_RAW 0
                  CAP_IPC_LOCK 0
                 CAP_IPC_OWNER 0
                CAP_SYS_MODULE 0
                 CAP_SYS_RAWIO 0
                CAP_SYS_CHROOT 0
                CAP_SYS_PTRACE 0
                 CAP_SYS_PACCT 0
                 CAP_SYS_ADMIN 0
                  CAP_SYS_BOOT 1
                  CAP_SYS_NICE 0
              CAP_SYS_RESOURCE 1
                  CAP_SYS_TIME 0
            CAP_SYS_TTY_CONFIG 0
                     CAP_MKNOD 0
                     CAP_LEASE 0
                    CAP_HIDDEN 1
            CAP_KILL_PROTECTED 0
                 CAP_PROTECTED 0
                          LIDS 0
                   LIDS_GLOBAL 1
                   RELOAD_CONF 0
</screen>
<!--As you can see from the output above, this system has an LFS active.  However, LIDS is enabled globally.  The items with a "1" next to them are enabled, and those items with a "0" next to them are disabled.  Except for the last two capabilities, root normally has all of the above capabilities.  Thanks to LIDS, root only has capabilities CAP_SYS_BOOT, CAP_SYS_RESOURCE, and CAP_HIDDEN in this particular case (NOTE: CAP_HIDDEN isn't a capability provided by the standard Linux kernel).-->
上記の出力から読みとれるように、このシステムでは LFS が有効になっています。ただし、LIDS はグローバルに有効になっています。次に 1 がきている項目は有効なもので、0 がきているものは無効のものです。最後の 2 つの権限を除いて、root は通常これら全ての権限を持っています。LIDS のおかげで、この特定の状況において root は CAP_SYS_BOOT, SAP_SYS_RESOURCE, CAP_HIDDEN (注：CAP_HIDDEN は通常の Linux カーネルが提供する権限ではありません) といった権限のみを持っています。
</para>
</sect1>

<sect1>
<title><!--How do I configure the port scan detector in LIDS?-->LIDS のポートスキャン検知を設定するにはどうすればいいですか？</title>

<para>
<!--You don't.  As long as you selected the option when you configured your LIDS enhanced kernel, the port scan detector is enabled.-->
必要ありません。LIDS で拡張したカーネルを設定するときにオプションを選んでいれば、ポートスキャン検知は有効になっています。

<screen>
   [*]  Port Scanner Detector in kernel
</screen>
</para>
</sect1>

<sect1 id="subject-object-question">
<title><!--What are the subject and object in a LIDS ACL?-->LIDS の -->
--ACL における subject とobject とはなんですか？</title>

<para>
<!--The subject is a program that can run on a Linux system, such as a binary or shell script.  The object is what the subject wants to access.  This includes files, directories, capabilities, etc.-->
subject はバイナリやシェルスクリプトといった、Linux システム上で実行で
きるプログラムのことです。object は、subject がアクセスしようとするものです。これには、ファイル、ディレクトリ、権限といったものがあります。
</para>
</sect1>

<sect1>
<title><!--Can I enable/disable a system capability without modifying /etc/lids/lids.cap and reloading the configuration files?-->/etc/lids/lids.cap を修正して設定ファイルをリロードする以外にシステムの権限を有効/無効にすることはできますか？</title>

<para>
<!--Yes.  However, this method will not save the changes past system shutdown.-->できます。ただし、この方法だとシステムのシャットダウン後に変更が保存されません。

<!--To enable a capability:-->権限を有効にするには −
<screen>
bash# lidsadm -S -- +CAP_SYS_ADMIN
</screen>
<!--To disable a capability:-->権限を無効にするには −
<screen>
bash# lidsadm -S -- -CAP_SYS_ADMIN
</screen>
</para>
</sect1>

<sect1 id="acl-reconfig">
<title><!--I've reconfigured my LIDS ACLs, but my changes don't seem to take effect.  What's wrong?-->LIDS の ACL を再設定したのに、変更が反映されていないように見えます。何が悪いのでしょう？</title>

<para>
<!--There are two things you should do when re-configuring LIDS:-->
LIDS を再設定する時には、するべきことが 2 つあります −
<orderedlist>
  <listitem>
    <para>
      <!--<link linkend="reload">Reload</link> the configuration files.-->設定ファイルの<link linkend="reload">リロード</link>
    </para>
  </listitem>
  <listitem>
    <para>
      <!--Restart the service or services that your changes affected.-->変更によって影響を受けるサービス(群)の再起動
    </para>
  </listitem>
</orderedlist>
</para>
</sect1>

<sect1>
<title><!--Why won't lidsconf -L list my ACLs?-->lidsconf -L が私の ACL を表示してくれないのですが？</title>

<para>
<!--lidsconf -L must be used from an LFS or when LIDS_GLOBAL is disabled.  If neither of those conditions are true, you will see the following error message:-->
lidsconf -L は LFS 上からか、LIDS_GLOBAL が無効になっている時に使わなければなりません。どちらの状態でもないなら、このエラーメッセージを見ることになります −

<screen>
lidsconf: can not open conf file
reason:: Permission denied
LIST
</screen>
</para>
</sect1>

<sect1 id="console-logging">
<title><!--Is there anyway to reduce the number of LIDS violations that get reported on the console?-->コンソールに報告されるたくさんの LIDS 違反をどうにかして減らせないの？</title>

<para>
<!--Yes.  The syslog init script can be modified to start klogd with the "-c" option.  This options sets the default level of system messages that get logged to the console.  Any message with a value less than the value specified will appear on the console (see <literal>include/linux/kernel.h</literal>).-->
できます。syslog の初期化スクリプトを修正して、klogd を "-c" オプションつきで起動させることができます。このオプションは、コンソールに記録されるシステムメッセージのデフォルトレベルを設定するものです。指定された値よりも低い値をもつメッセージがコンソールに表示されます (<literal>include/linux/kernel.h</literal>参照)。

<!--For example:-->例えば −
<screen>
klogd -c 4
</screen>
<!--Tells klogd to log all messages below level 4 will be logged to the console.-->
klogd にレベル 4 以下の全メッセージをコンソールに記録するように指示します。
</para>

<para>
<!--Another way to change the console log level is to modify the values in <literal>/proc/sys/kernel/printk</literal>.  View the documentation provided in <literal>/usr/src/linux/Documentation/sysctl/kernel.txt</literal> for more information.-->
コンソールのログレベルを変更するには、<literal>/proc/sys/kernel/printk</literal> の値を修正するという方法もあります。詳細については、<literal>/usr/src/linux/Documentation/sysctl/kernel.txt</literal> で提供される文書を参照してください。
</para>
</sect1>

<sect1 id="LD-PRELOAD-warning">
<title><!--Should I be concerned about the LD_PRELOAD environment variable with LIDS?-->LIDS を使う時は、LD_PRELOAD 環境変数に注意した方がいいですか？</title>

<para>
<!--Yes, if you are running an version of LIDS older than 1.1.1preX please read on.-->
はい。1.1.1preX よりも古いバージョンの LIDS を使用している場合には、読んでください。
</para>

<para>
<!--For setuid programs, the LD_PRELOAD env var is "cleansed" so that it can't affect the libraries loaded by a program (with the exception of recent glibc vulnerabilities).-->
setuid されたプログラムについて、LD_PRELOAD 環境変数は "未定義" ですから、プログラムによってロードされるライブラリに影響を及ぼすことはできません (最近の glibc の脆弱性といった例外はあります)。

</para>

<para>
<!--Problems arise when you grant special capabilities or file access permissions to non-setuid binaries.  Since the LD_PRELOAD env var isn't "cleansed" before loading libraries, someone with malicious intent could load a trojaned library and it would have the same special capabilities/file access permissions that were given to the original program.-->
問題が発生するのは、setuid されていないバイナリに特別な権限やファイルアクセス許可を与えたときです。LD_PRELOAD 環境変数はライブラリをロードする前は "未定義" ではないため、悪意のある誰かがトロイのライブラリをロードさせることができる上に、それはオリジナルのプログラムに与えられたのと同じ特別な権限/ファイルアクセス許可をもつことになってしまいます。
</para>

<para>
<emphasis><!--Possible options to reduce your risk:-->リスクを減らすために可能なオプションは −</emphasis>
</para>

<para>
<itemizedlist>
  <listitem>
    <para>
      <!--Any program with special capabilities or file access permissions should be restricted with the standard unix file permissions so that not everyone is allowed to execute it (e.g. <literal>chmod o-rwx /path/to/program </literal>)-->特別な権限やファイルアクセス許可をもつプログラムは全て通常の unix ファイルパーミッションで制限されねばなりません。それにより、全員が実行できないようにします (e.g. <literal>chmod o-rwx /path/to/program </literal>)。
    </para>
  </listitem>
  <listitem>
    <para>
      <!--Another option may be to make the file setuid and change the ownerhip to a non-root user.  That way the LD_PRELOAD env var is "cleansed" before the program is executed.-->別解としては、ファイルを setuid した上で所有権を root 以外のユーザに変えるというのもあります。こうすると、プログラムの実行前に、LD_PRELOAD 環境変数は "未定義" となります。

    </para>
  </listitem>
</itemizedlist>
</para>

<para>
<emphasis role="strong"><!--SECURITY UPDATE:-->セキュリティ上の更新：</emphasis><!-- Starting with LIDS 1.1.1preX, the LD_PRELOAD environment variable is disabled automatically for any program that has been given special privileges via LIDS.  This has also been back ported to LIDS 0.10.3.-->LIDS 1.1.1preX 以降から、LD_PRELOAD 環境変数は LIDS から特権を与えられる全てのプログラムに対して、自動的に無効になります。これは、LIDS 0.10.3 にもバックポートされています。
</para>
</sect1>

<sect1 id="read-password-error">
<title><!--When I boot up, the message "read password file error" appears.  How do I fix the problem?-->起動した時、"read password file error" というメッセージが表示されます。この問題を直すにはどうすればよいでしょう？</title>

<para>
<!--This happens when you somehow forget or did not set the LIDS password before booting into LIDS the first time.  To fix the problem, reboot your machine (see <link linkend="unusable-system">booting an unusable system</link>) and set your <link linkend="set-password">LIDS password</link>.-->
これは、最初に LIDS を起動する前に、LIDS のパスワードを設定し忘れた場合に発生します。問題を修正するには、マシンを再起動して (<link linkend="unusable-system">使用できないシステムの起動</link>参照)、<link linkend="Set-Password"> LIDS パスワード</link>を設定してください。
</para>
</sect1>

<sect1 id="lids-enabled-disabled">
<title><!--How do I check if LIDS is enabled/disabled??-->LIDS が有効か無効かを調べるにはどうすればいいの？</title>

<para>
<!--If you have compiled the lidsadm with 'make VIEW=1' then you can use 'lidsadm -V' to see if LIDS is enabled. If it says 'LIDS_GLOBAL 0' then LIDS is disabled. If it says 'LIDS 0' then someone is in a Lids Free Session.-->
lidsadm を 'make VIEW=1' としてコンパイルしてあれば、'lidsadm -V' を使って LIDS が有効になっているか知ることができます。'LIDS_GLOBAL 0' と表示されれば、LIDS は無効になっています。'LIDS 0' と表示されれば、誰かが LIDS フリーセッション を使っています。

<!--If you haven't compiled lidsadm with the VIEW option there are several ways to determine if LIDS is running.-->
lidsadm を VIEW オプションつきでコンパイルしていなかった場合は、LIDS が実行中か調べる方法はいくつか存在します。

<orderedlist>
  <listitem>
    <para>
      <!--You can check for the line 'Linux Intrusion Detection System <literal>&lt;lids-version&gt;</literal> for <literal>&lt;kernel-version&gt;</literal> doesn't start' is in your dmesg. If it says 'Linux Intrusion Detection System <literal>&lt;lids-version&gt;</literal> for <literal>&lt;kernel-version&gt;</literal> starts' then LIDS is started of course.-->
dmesg に 'Linux Intrusion Detection System <literal>&lt;lids-version&gt;</literal> for <literal>&lt;kernel-version&gt;</literal> doesn't start' という行がないか調べることができます。もちろん、'Linux Intrusion Detection System <literal>&lt;lids-version&gt;</literal> for <literal>&lt;kernel-version&gt;</literal> starts' と出ていた場合には、LIDS は実行されています。
    </para>
  </listitem>
  <listitem>
    <para>
     <!--You can try to do something that you are sure of you can't do to see if LIDS takes action. If there's no action the LIDS is not active.-->
本来ならできないはずの何事かをしでかして、LIDS が行動を起こすかを試すことができます。もし何も反応がなければ、LIDS は動作していません。
    </para>
  </listitem>
</orderedlist>
</para>
</sect1>

</chapter>

<!-- MARK Chapter 5 -->

<chapter id="configuring-lids">
<title><!-- Configuring LIDS-->LIDS の設定</title>

<sect1>
<title><!--How do I protect a file as read only?-->ファイルを読みとり専用にして保護する方法は？</title>

<para>
<screen>
bash# lidsconf -A -o /some/file	-j READONLY
</screen>
<!--This will prevent anyone (including root) from modifying or deleting <literal> /some/file </literal> as long as LIDS is enabled.  If you are in an LFS, you are free to modify <literal> /some/file </literal> assuming you have appropriate file system permissions and the partition isn't mounted read-only.-->
これにより、LIDS が有効になっていれば、(root を含む) 何者かが <literal>/some/file</literal> を変更したり削除したりするのを防ぐことができます。LFS にいるなら、適切なファイルパーミッションがあり、パーティションが読みとり専用で mount されているのでなければ、自由に <literal>/some/file</literal> を変更することができます。
</para>
</sect1>

<sect1>
<title><!--OK, so how do I protect a directory as read only?-->OK, じゃあディレクトリを読みとり専用にするにはどうすれば？</title>

<para>
<!--Same as above, only specify <literal> /some/directory </literal>-->上と同じですが、指定するのは <literal>/some/directory</literal> です。
<screen>
bash# lidsconf -A -o /some/directory	 -j READONLY
</screen>
<!--When the object is a directory, LIDS protects the directory itself, and it recursively protects everything underneath it <emphasis> within the same file system</emphasis>. (e.g.<emphasis role="strong"> LIDS ACLs do not cross file system boundaries!</emphasis>) This is very important to remember so you don't accidentally leave part of your system unprotected.-->
オブジェクトがディレクトリの場合、LIDS はディレクトリそのものと、再帰的にその下の<emphasis>同じファイルシステム上にある</emphasis>ものを保護します。(e.g. <emphasis role="strong"> LIDS の ACL はファイルシステムの境界を越しません！</emphasis>) これは覚えておくべき非常に重要なことで、それにより、はからずもシステムの一部を保護されないままにしておくことがなくなります。
</para>
<para>
<!--A directory that you may want to protect as read only is the <literal>/etc</literal> directory.-->
読みとり専用として保護しておきたいと思うディレクトリは、<literal>/etc</literal> でしょう。
<screen>
bash# lidsconf -A -o /etc -j READONLY
</screen>
</para>
</sect1>

<sect1>
<title><!--How can I hide a file/directory from everyone?-->誰からもファイル/ディレクトリを隠すことはできますか？</title>

<para>
<screen>
bash# lidsconf -A -o /some/file_or_directory   -j DENY
</screen>
<!--Again, this will prevent even root from accessing it.  And, if it is a directory, all files and directories underneath it are also hidden (within the same file system, of course).-->
繰り返しますが、これで、root すらアクセスが出来なくなります。さらに、もしこれがディレクトリであれば、その下にある全てのファイルとディレクトリも隠されます (もちろん、同じファイルシステムにあれば、です)。
</para>
</sect1>

<sect1>
<title><!--How can I protect log files so they can only be appended to?-->追記しかできないようにログファイルを保護する方法は？</title>

<para>
<screen>
bash# lidsconf -A -o /some/log/file  -j APPEND
</screen>
<!--This will allow someone to write to the end of the file while at the same time preventing him/her from erasing or modifying its existing contents.-->
これにより、同時に誰かがファイルの末尾に書きこんでも、既存の内容を消したり変更したりできないようになります。

<!--An easy way to protect your system logs as append only would be:-->
システムログを追記専用として保護する簡単な方法はこうです −

<screen>
bash# lidsconf -A -o /var/log  -j APPEND
</screen>
</para>
</sect1>

<sect1>
<title><!--If nothing is allowed to read my /etc/shadow file, how can I authenticate myself to the system?-->/etc/shadow ファイルを読むのに、何も許可がなければ、どうやって私はシステムに認証されるの？</title>

<para>
<!--In order to allow users to authenticate themselves to the system, it is necessary to give certain programs read only access to the <literal>/etc/shadow</literal>.  Some of the programs you may want to consider giving read access to are: <literal>login, sshd, su,</literal> and <literal>vlock</literal>.
-->
ユーザが自分自身をシステムに認証させるには、いくつかのプログラムに <literal>/etc/shadow</literal> への読みとり専用のアクセスをさせる必要があります。読みとりアクセスを与えるように考慮するかも知れないプログラムとしては − <literal>login, sshd, su, vlock</literal> などがあります。

<!--To allow the login program to read <literal>/etc/shadow</literal>, use the following ACL:-->
login プログラムが <literal>/etc/shadow</literal> を読めるようにするには、この ACL を使います −

<screen>
bash# lidsconf -A -s /bin/login -o /etc/shadow -j READONLY
</screen>
<!--The "-s" option specifies a subject, which is <literal>/bin/login</literal> in this case.  We are giving the subject read only access to the object (<literal>/etc/shadow</literal> in this case).-->
この場合、"-s" オプションは subject である <literal>/bin/login</literal> を指定しています。subject に対して、object (<literal>/etc/shadow</literal>) への読みとり専用アクセスを与えていることになります。

<!--This will protect all files under <literal>/var/log</literal> as append only.  As with READ and DENY, this target is also recursive.--> 
これにより、<literal>/var/log</literal> 以下にある全てのファイルが追記専用として保護されます。READ や DENY と同様に、このターゲットも再帰的です。
</para>
</sect1>

<sect1 id="etc-mtab-1">
<title><!--If I protect /etc as read only, how will mount be able to write to /etc/mtab?-->/etc を読みとり専用で保護したら、mount はどうやって /etc/mtab へ書きこみをするのでしょう？</title>

<para>
<!--It won't. To fix this problem, you can remove the <literal>/etc/mtab</literal> file and replace it with a symbolic link to <literal>/proc/mounts</literal>.  In order for this to work, you must modify your startup scripts to use the "-n" option with every <literal>mount</literal> and <literal>umount</literal> command.  This tells <literal>mount</literal> and <literal>umount</literal> not to update the <literal>/etc/mtab</literal> file.-->
できません。この問題を修正するには、<literal>/etc/mtab</literal> ファイルを削除して、<literal>/proc/mounts</literal> へのシンボリックリンクに置きかえる方法があります。これを機能させるためには、起動スクリプトを修正して、全ての <literal>mount</literal> と <literal>umount</literal> コマンドが "-n" オプションを使うようにする必要があります。これにより、<literal>mount</literal> と <literal>umount</literal> は <literal>/etc/mtab</literal> ファイルを更新しなくなります。

</para>

<para>
<!--For example, if you find:-->例えば、こういうものを −
<screen>
mount -av -t nonfs,noproc
</screen>
<!--in your init scripts, you will need to change it to:-->
起動スクリプトの中に見つけたなら、このように変更します −
<screen>
mount -av -n -t nonfs,noproc
</screen>
<!--These <literal>mount</literal> commands may be scattered throughout your init scripts.  Use grep to make sure you catch them all.  You will also want to modify all of the <literal>umount</literal> commands in the same manner.-->
こういった <literal>mount</literal> コマンドは、起動スクリプト全体に散在しているでしょう。それら全てを捕まえるために、grep を使ってください。同じ方法で、全 <literal>umount</literal> コマンドの修正もしたいと思うでしょう。

</para>
</sect1>

<sect1>
<title><!--LIDS complains that it can't write to my modules.dep file during startup. What's wrong?-->LIDS が、起動時に modules.dep ファイルに書きこめない、と文句を言います。何が悪いのですか？</title>

<para>
<!--This happens when you protect <literal>/lib</literal> as read only (a good thing to do).  The error received is something similar to:-->
これは、<literal>/lib</literal> が読みこみ専用で保護されている時に (そうするのは、よいことです) 発生します。受けとるエラーは、こういう感じになります −

<screen>
LIDS: depmod (3 12 inode 16119) pid 13203 user (0/0) on tty2: Try to open /lib/modules/2.2.18/modules.dep for writing,flag=578
</screen>
<!--This occurs during startup because the <literal>/etc/rc.d/rc.sysinit</literal> init script tries to recreate all of your module dependencies.  Normally this is not needed because the module dependencies don't change unless you add, change, or delete modules.  The error is harmless, but if you don't like seeing it, you can simply comment out the line in your <literal>/etc/rc.d/rc.sysinit</literal> script that recreates the module dependencies (Look for <literal>depmod -a</literal> or something similar).-->
これは、起動時に <literal>/etc/rc.d/rc.sysinit</literal> 起動スクリプトがモジュールの依存性を再構築しようとするからです。通常、これは必要ありません。というのも、モジュールを追加したり変更したり削除したりしない限り、モジュールの依存性は変化しないからです。エラーは無害ですが、見るのがいやなら単純に <literal>/etc/rc.d/rc.sysinit</literal>スクリプト中でモジュールの依存性を再構築している行 (<literal>depmod -a</literal> といったものを探してください) をコメントアウトすることができます。

</para>
</sect1>

<sect1 id="log-rotation">
<title><!--If I protect my logs as append only, how will logrotated rotate my logs?-->ログを追記専用で保護していると、logrotated はどうやってログをローテートするのでしょう？</title>

<para>
<!--It won't.  Log rotation is something that will have to be done manually by executing your log rotation utility when LIDS_GLOBAL is disabled.  You should disable the cron job that initiates log rotation.  (See <link linkend="log-rotation-option">below</link> for a possible alternative).-->
なされません。ログのローテーションは、LIDS_GLOBAL が無効になっている時に、ログローテーションユーティリティを手動で実行してなされるべきものです。ログのローテーションを生起する cron のジョブは無効にするべきです。(別解については <link linkend="log-rotation-option"> 下記</link> を参照してください)
</para>
</sect1>

<sect1>
<title><!--Why can't I just give my log rotation utility write access to the directory containing my log files so it can rotate them?-->なぜ、単純にログローテーションユーティリティにログファイルのあるディレクトリへの書きこみ許可を与える方法で、それらをローテートするようにしてはいけないのですか？</title>

<para>
<!--You can, but it's not recommended.  If someone were to break into your system, even though they couldn't modify your logs, they could rotate them enough times (by executing the log rotation utility manually) that the log containing the information gathered during the intrusion is dropped off the face of the earth.  This is part of the price you pay for high security.-->
しても構いませんが、お勧めしません。誰かがシステムに侵入し、例え彼らがログを変更することができなくても、侵入の間に集められた情報を持ったログが地上から姿を消すまで、(ログローテーションユーティリティを手動で実行して) ローテートを必要なだけ繰り返すことができます。これは、高度なセキュリティのために支払うべき代価の一部なのです。

</para>

<para id="log-rotation-option">
<!--An alternative solution to giving your log rotation utility write access to <literal>/var/log</literal>, is to give the cron daemon write access to /var/log and make it inheritable:-->
ログローテーションユーティリティに <literal>/var/log</literal> への書きこみアクセスをさせる別解としては、cron デーモンに /var/log への書きこみ許可を与え、それを継承可能とする方法があります。

<screen>
lidsconf -A -s /usr/sbin/crond -i -o /var/log	-j WRITE
</screen>
<!--This prevents someone from manually executing your log rotation utility, but  will allow it to work when it is executed by the cron daemon.-->
これで、誰かが手動でログローテーションユーティリティを実行することはできませんが、cron デーモンによって実行された時は動作するようになります。
<emphasis role="strong"><!-- WARNING:-->警告：</emphasis> <!-- If a vulnerability is found in your cron daemon, someone could exploit it and wipe your logs since cron would have write access to <literal>/var/log</literal>.  This defeats the purpose of using MAC in the first place since your access controls can now be circumvented if a vulnerability is found.  Use this option at your own discretion!-->
cron デーモンに脆弱性が見つかった場合は、誰かがそこを突くと、cron が <literal>/var/log</literal> への書きこみ権をもっているためにログを一掃できてしまいます。これは、そもそも MAC を用いる目的を無為にします。なにしろ、脆弱性が見つかれば、今やアクセス制御は迂回され得るのですから。このオプションは自己責任のもとに使うように！
</para>

<para id="log-rotation-option-with-time-restriction">
<emphasis role="strong"><!--UPDATE:-->更新：</emphasis>
<!--Because of the new <link linkend="time-of-day-restriction">time restriction</link> feature, it is recommended that if crond has write access to <literal>/var/log</literal>, it should be limited to a specific time period. For example, if logrotated is executed every day at 6:00 AM by crond, limit crond's write access to a 1 minute window:-->
新しい<link linkend="time-of-day-restriction"> 時間制限</link> 機能のため、crond が <literal>/var/log</literal> に書きこみ権限をもっているなら、それを特定の時間帯に制限するのをお勧めします。例えば、logrotated が crond によって毎日 6:00 AM に実行されるなら、crond の書きこみ権限を 1 分間に制限します −

<screen>
/sbin/lidsconf -A -s /usr/sbin/crond -i 2 -o /var/log -t 0600-0601 -j WRITE
</screen>
<!--If 1 minute isn't long enough, extend the time by 1 minute increments until logrotated is executed successfully.-->
1 分が十分な長さでないなら、logrotated が無事実行を終えるまで、時間を 1 分づつ増やしてください。
</para>
</sect1>

<sect1>
<title><!--When LIDS is active, my file systems won't unmount during shutdown.  What do I do?-->LIDS が有効な時、シャットダウンまでファイルシステムがアンマウント出来ません。どうすればよいでしょう？</title>

<para>
<!--This happens when you have disabled the CAP_SYS_ADMIN capability globally and have not given the proper authority to unmount your file systems to your shutdown script(s).  For example, on Red Hat 6.2, the <literal>/etc/rc.d/init.d/halt</literal> script unmounts your file systems.  You must give it the CAP_SYS_ADMIN capability so it can unmount your file systems:-->
これは、CAP_SYS_ADMIN 権限を全体で無効にしていて、かつファイルシステムをアンマウントするための適切な権限を shutdown スクリプトに与えていない場合におこります。例えば、Red Hat6.2 では、<literal>/etc/rc.d/init.d/halt</literal> スクリプトがファイルシステムのアンマウントを行います。それに CAP_SYS_ADMIN 権限を与える必要があります。そうして、ファイルシステムのアンマウントが可能になるのです −

<screen>
bash# lidsconf -A -s /etc/rc.d/init.d/halt -o CAP_SYS_ADMIN -i 1 -j GRANT
</screen>
<!--The target "GRANT" tells LIDS to grant the subject (<literal>/etc/rc.d/init.d/halt</literal> in this case) the CAP_SYS_ADMIN capability.  The "-i 1" option sets the "inheritance level" of the ACL to 1.-->
ターゲット "GRANT" は LIDS に subject (この場合、<literal>/etc/rc.d/init.d/halt</literal>) に CAP_SYS_ADMIN 権限を許可するように伝えます。 "-i 1" オプションは、ACL の "継承レベル" を 1 にセットします。

</para>

<para>
<!--Beware that this also allows anyone who can execute your <literal>/etc/rc.d/init.d/halt</literal> script to unmount your file systems.  If you have physical access to your box, you may just want to turn off LIDS_GLOBAL before shutting down your system rather than grant capabilities to your shutdown scripts.  However, if you have a UPS that can shutdown your system in case of power failure, you may not be around to disable LIDS_GLOBAL.-->
これにより、<literal>/etc/rc.d/init.d/halt</literal> スクリプトを実行できる誰かにも、ファイルシステムのアンマウントが可能になることに注意してください。もしマシンに物理的にアクセスできるなら、シャットダウンスクリプトに権限を与えるよりも、シャットダウンの前に LIDS_GLOBAL を無効にするだけの方がいいかもしれません。とはいえ、停電時にシステムをシャットダウンさせることができる UPS を持っているなら、LIDS_GLOBAL を無効にするわけにはいかないでしょう。

</para>
</sect1>

<sect1>
<title><!--Why can't I start a service that runs on a privileged port as root?-->なぜ特権ポートを使うサービスが root で開始できないのですか？</title>

<para>
<!--Services that run a privileged port (those below 1024) require the CAP_NET_BIND_SERVICE capability in order to bind to the port.  If you have disabled this capability globally in the <literal>/etc/lids/lids.cap</literal> file, you must either grant the program that capability-->
特権ポート (1024 以下のもの) で走るサービスは、ポートにバインドするために CAP_NET_BIND_SERVICE 権限を必要とします。<literal>/etc/lids/lids.cap</literal> ファイルでこの権限を全体的に無効にしているなら、プログラム毎にその権限を許可せねばなりません。

<screen>
bash# lidsconf -A -s /usr/local/bin/apache -o CAP_NET_BIND_SERVICE 80 -j GRANT
</screen>
<!--or, start the service when LIDS_GLOBAL is disabled.-->
あるいは、LIDS_GLOBAL が無効なときにサービスを開始してください。
</para>
</sect1>

<sect1>
<title><!--Why can't I start a service that runs on a privileged port from an LFS?-->なぜ特権ポートを使うサービスを LFS から開始できないのですか？</title>

<para>
<!--An LFS applies to a single terminal session.  A daemon forks itself in order to separate itself from the controlling terminal.  Once this happens, it is no longer connected to the LFS on your terminal and is now protected by LIDS.-->
LFS は、単一の端末セッションに適用されます。デーモンは、制御端末から自分を切り離すために、自分自身を fork します。こうなると、それはもはや端末の LFS には接続されておらず、ゆえに LIDS に保護されることになるのです。
</para>
</sect1>

<sect1>
<title><!--How do I disable/enable capabilities?-->権限を無効/有効にする方法は？</title>

<para>
<!--The <literal>/etc/lids/lids.cap</literal> file contains a list of all the capabilities available under a LIDS enhanced Linux kernel.  Those that have a "+" in front of them are enabled, and those with a "-" in front of them are disabled.  To change the status of a capability, simply edit the text file and change the "+" to a "-" to disable a capability and vice-versa to enable it.  After you're done editing the file, you must tell LIDS to <link linkend="Reload">reload</link> the configuration files.-->
<literal>/etc/lids/lids.cap</literal> ファイルが LIDS で強化された Linux カーネルで利用できる全権限のリストを保持しています。頭に "+" のあるものが、有効になっているもので、"-" が頭についているものは、無効なものです。権限の状態を変更するには、単にテキストファイルを編集して "+" を "-" に変えれば権限は無効になりますし、逆だと有効になります。ファイルの編集が終わったら、LIDS に設定ファイルを <link linkend="Reload">リロード</link>させる必要があります。
</para>
</sect1>

<sect1 id="xfree-lids">
<title><!--Why won't the X Window System work with LIDS enabled?-->LIDS が有効になっていると X Window System が動作しないのはなぜですか？</title>

<para>
<!--The X server that you are using requires the CAP_SYS_RAWIO capability. Try-->
使用している X サーバには CAP_SYS_RAWIO 権限が必要です。
<screen>
bash# lidsconf -A -s /path/to/your/X_server -o CAP_SYS_RAWIO -j GRANT
</screen>
</para>
</sect1>

<sect1>
<title><!--With all of these ACLs, how can I possibly keep track of my configuration?-->これら ACL 全てに対して、私は一体全体どうやって自分の設定を把握しておけばよいのでしょう？</title>

<para>
<!--It is recommended that you create a shell script of all the ACLs that you wish to add to your system.  That way you don't accidentally leave something unprotected when you make changes to your system.  You can start the script out by flushing your old ACLs so you don't create duplicates.-->
あなたが望む全ての ACL をシステムに追加するシェルスクリプトを作成するのをお勧めします。こうすれば、システムを変更した時に、はからずも何かを保護されないままにしておくことはありません。スクリプトは、古い ACL を消すことから始めれば、2 重に設定することもありません。

<screen>
bash# lidsconf -Z
</screen>
<!--To protect this shell script, you can either create an ACL to DENY access to it, or put it in the <literal>/etc/lids</literal> directory since it is automatically protected as DENY.-->
このシェルスクリプトを保護するには、それへのアクセスを DENY する ACL を作ったり、<literal>/etc/lids</literal> ディレクトリへ配置して自動的に DENY で保護されるようにもできます。

</para>
</sect1>

<sect1>
<title><!--How can I give init write access to /etc/initrunlvl so LIDS doesn't complain about it during startup and shutdown?-->起動とシャットダウンの時に LIDS が文句を言わないように、init に /etc/initrunlvl への書きこみアクセスを許すにはどうすればいいですか？</title>

<para>
<!--Unfortunately, there isn't much you can do about this.  Because <literal>init</literal> recreates this file each time you boot, it will have a different inode number every time.  This makes it difficult for LIDS to handle.  It is a harmless error, and your system will still function properly without <literal>/etc/initrunlvl</literal>.-->
不幸にも、これについて出来ることはそう多くありません。<literal>init</literal> は起動の度にこのファイルを再作成するので、毎回 iノード番号が変化するのです。これにより、そのファイルは LIDS には扱いにくくなります。このエラーは無害ですし、<literal>/etc/initrunlvl</literal> がなくてもシステムは適切に機能します。
</para>
</sect1>

<sect1 id="file-ACL-inheritance">
<title><!--Can a process inherit file ACLs from its parent?-->プロセスは、親プロセスからそのファイル ACL を継承できますか？</title>

<para>
<!--Yes.  Up until version 0.9.12-2.2.18, this was the default behavior.  Now the default is for children <emphasis>not</emphasis> to inherit the file ACLs from their parents.  To allow a file ACL to be passed from a parent process to a child process, you must use the "-i &lt;inheritance level&gt;" option.-->
できます。バージョン 0.9.12 から 2.2.18 までは、これがデフォルトの動作でした。現在は、デフォルトでは、子はその親からファイル ACL を継承<emphasis>しません</emphasis>。親プロセスから子プロセスへファイル ACL が移行できるようにするには、"-i &lt;継承レベル&gt;" オプションを使う必要があります。

</para>

<para>
<!--Where "inheritance level" (a.k.a. TTL) determines how far the ACL is inherited.  If the TTL specified is 1, then the subject specified in the ACL and all of its children will inherit the ACL.  However, the children's children (a.k.a. a grandchild of the subject in the ACL) will not inherit the ACL (a TTL of 2 would be needed for this to occur).-->
"継承レベル" (別名 TTL) とは、ACL が継承される世代数を決定します。TTL に 1 が指定されれば、ACL で指定された subject とその子全ては ACL を継承します。しかし、子の子 (別の言い方をすれば ACL の subject の孫) は ACL を継承しません (こうなるようにするには、TTL を 2 にする必要があります)。
</para>

<para>
<emphasis role="strong"><!--Note:-->注意：</emphasis><!-- These same inheritance rules apply to ACLs that grant capabilities.-->権限を許可する ACL にも、これらと同じ継承のルールが適用されます。
</para>

<para>
<emphasis role="strong"><!--SECURITY UPDATE:-->セキュリティ上の更新</emphasis> <!--Starting with LIDS 1.1.1preX and 0.10.1, only protected programs are allowed inherit ACLs from their parent.  Allowing non-protected processes to inherit ACLs led to an exploit.-->
LIDS 1.1.1prex 及び 0.10.1 以降では、保護されたプログラムのみがその親から ACL を継承することができます。保護されていないプロセスに ACL の継承を許すと、exploit の原因となります。
</para>
</sect1>

<sect1>
<title><!--Help! I can't seem to get program xyz to work under LIDS.  How do I determine what files/capabilities it needs access to?-->助けて！　LIDS のもとでは、プログラム xyz が動作しないようです。どのファイル/権限にアクセスする必要があるのか、どうやって決めるのでしょう？</title>

<para>
<!--The first thing to do is simply try running the program and see what violations get reported by LIDS.  However, many times this doesn't give you enough information.  When this happens, you can try using strace to follow the program through and see which system call fails.  This will usually give you a good indication as to which capability is being violated.-->
最初にするべきことは、単純にプログラムを実行して、LIDS がどんな違反を通告してくるかを見ることです。とはいえ、何度これをやっても、十分な情報は得られません。これが起きた時は、strace を使ってプログラムを追いかけて、どのシステムコールが失敗しているのか見ることができます。こうすると、たいていの場合はどの権限が違反しているのか、よい示唆を得ることができます。

</para>

<para>
<!--NOTE: If you have disabled CAP_SYS_PTRACE globally, you will need to <emphasis role="strong">temporarily</emphasis> give strace the CAP_SET_PTRACE capability so it can trace your program while LIDS is enabled.-->
注意：全体で CAP_SYS_PTRACE を無効にしているなら、LIDS が有効な状態でプログラムの追跡ができるように、<emphasis>一時的に</emphasis> strace に CAP_SET_PTRACE 権限を与える必要があります。
</para>
</sect1>

<sect1 id="passwd-update">
<title><!--How do I give passwd the proper permissions to update the /etc/shadow file?-->/etc/shadow ファイルを更新する適切なパーミッションを passwd に与えるにはどうすればいいですか？</title>

<para>
<!--Unfortunately there isn't an easy solution.  This is because the <literal>passwd</literal> utility recreates the <literal>/etc/shadow</literal> file every time you change your password.  Because of this, it will start on a different inode each time you use the <literal>passwd</literal> utility successfully.-->
残念ながら、簡単な解は存在しません。これは、<literal>passwd</literal> ユーティリティがパスワードを変更するたびに <literal>/etc/shadow</literal> ファイルを再作成するからです。これにより、<literal>passwd</literal> ユーティリティを成功裏に使う度に、違う i ノードからファイルが始まるのです。
</para>

<para>
<!--For the system administrator, there is an easy work around.  Start an LFS and use the <literal>passwd</literal> utility from within the LFS.  If there are users that need to change their passwords, LDAP can provide an alternate means of client authentication that will allow users to change their passwords.-->
システム管理者には、簡単な解決法があります。LFS を開始して、LFS の中から <literal>passwd</literal> ユーティリティを使うのです。パスワードを変更する必要のあるユーザがいる場合、LDAP を使えば、ユーザが自分のパスワードを変更できるクライアント認証手段を提供してくれます。
</para>

<para>
<!--There is an option available that will allow users to change their system passwords when using the standard unix system filesUNIX authentication, but it's <emphasis>not</emphasis> recommended.  <literal>/usr/bin/passwd</literal> can be given write access to /etc so it can always modify the shadow file regardless of it's inode number.-->
標準的 unix システムファイルを使って、UNIX 認証をする時に、ユーザが自分のシステムパスワードを変更できるようにする選択肢があります。ですが、お勧めは<emphasis>できません</emphasis>。<literal>/usr/bin/passwd</literal> に /etc への書きこみアクセスを与えれば、いつでも shadow ファイルをその i ノード番号に関わらず修正できるようになります。
</para>

<para>
<emphasis role="strong"><!-- WARNING:-->警告：</emphasis><!-- If someone were to find a vulnerability in <literal>/usr/bin/passwd</literal>, or any of the libraries/PAM modules that it uses, he/she could potentially gain write access to your <literal>/etc</literal> directory.
This defeats the purpose of using MAC in the first place since your access controls can now be circumvented if a vulnerability is found.  Use this option at your own discretion!-->
誰かが <literal>/usr/bin/password</literal> や、それが使うライブラリ/PAM モジュールの何れかに脆弱性を発見すれば、その人は潜在的に <literal>/etc</literal> ディレクトリへの書きこみアクセスを得ることができます。
脆弱性が見つかれば、あなたのアクセス制御を出し抜くことができるわけで、これはそもそも MAC を用いる目的を無駄にするものです。このオプションは自己の裁量で使うようにしてください。
</para>

<para>
<!--If you are going to give <literal>/usr/bin/passwd</literal> write access to <literal>/etc</literal>, it is recommended that you create ACLs to protect every file and directory under <literal>/etc</literal> that you don't want <literal>/usr/bin/passwd</literal> to be able to modify.-->
<literal>/usr/bin/passwd</literal> に <literal>/etc</literal> への書きこみアクセスを与えることにしたのなら、<literal>/etc</literal> の下にあって、<literal>/usr/bin/passwd</literal> が修正できるようにしたくないファイルとディレクトリ全てを保護する ACL を作成することをお勧めします。
<!--This will significantly reduce the risk (and possibly completely remove it if done correctly) mentioned above.-->
これにより、上記のリスクが著しく減少します (しかも正確に行えば、完全に取り除くこともできます)。

<!--For example:-->例えば：
<screen>
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc                     -j WRITE
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/hosts.allow         -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/hosts.deny          -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/rc0.d               -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/rc1.d               -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/rc2.d               -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/rc3.d               -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/rc4.d               -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/rc5.d               -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/rc6.d               -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/init.d              -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/cron.d              -j READONLY
/sbin/lidsconf -A -s /usr/bin/passwd -o /etc/pam.d               -j READONLY
...
</screen>
<!--The above is not a complete list by any stretch of the imagination, but it's a start.  Also keep in mind that anytime you add a file or directory to <literal>/etc</literal> that you don't want <literal>passwd</literal> to have access to, you must create a new ACL to protect it.-->
上は、どんなに想像力を逞しくしたところで完全なリストではありませんが、きっかけにはなります。<literal>/etc</literal> に <literal>passwd</literal> にアクセスさせたくないファイルやディレクトリを追加したときはいつでも、それを保護する新しい ACL を作らねばならないことも、頭に入れておいてください。 
</para>

<para id="passwd-file-warning">
<emphasis><!-- A note about updating inodes:-->i ノードの更新に関するメモ： </emphasis>
<!--If you have defined ACLs to grant access to <literal>/etc/shadow</literal> or <literal>/etc/passwd</literal> you must make sure to tell lids to <link linkend="update-inodes">update the inodes</link> and then <link linkend="reload">reload</link> it's config files.  Otherwise you may encounter problems.-->
<literal>/etc/shadow</literal> や <literal>/etc/passwd</literal> へのアクセスを許可する ACL を定義したなら、LIDS に<link linkend="update-inodes">i ノードを更新した</link>ことを知らせ、それから設定ファイルを<link linkend="Reload"> リロード</link>するのを忘れないようにしなければなりません。さもないと、問題が生じることになります。
</para>

<para>
<!--For example: Assume <literal>/etc/passwd</literal> is protected as DENY, and <literal>/bin/login</literal> can read <literal>/etc/passwd</literal>.  If the inodes aren't updated after changing a password, problems may arise the next time someone tries to log in.  <literal>/bin/login</literal> won't be able to read <literal>/etc/passwd</literal> and you won't be able to log in, or worse yet, you will be able to login by just pressing the &lt;ENTER&gt; key.-->
例えば：<literal>/etc/passwd</literal> が DENY で保護されており、<literal>/bin/login</literal> は <literal>/etc/passwd</literal> を読めるものとします。パスワードを変更した後、i ノードが更新されなければ、誰かが次回ログインしようとした時に問題が発生します。<literal>/bin/login</literal> は <literal>/etc/passwd</literal> を読みこむことができず、ログインが不可能になります。あるいはさらに酷く、単に &lt;ENTER&gt; キーを押すだけでログインできるようになってしまうのです。

</para>
</sect1>

<sect1 id="ssh-scp-question">
<title><!--Why doesn't ssh or scp work when LIDS is enabled?-->LIDS が有効になっていると、ssh や scp が動作しないのは何故ですか？</title>

<para>
<!--By default, ssh/scp try to use a privileged port for the source port when creating an outgoing connection.  This requires the CAP_NET_BIND_SERVICE capability.  However, you can specify the following option in the <literal>ssh_config</literal> file to force it to use a port above 1023 for the source port:-->
デフォルトでは、ssh/scp は外向きのコネクションを作成する時に、ソースポートとして特権ポートを使おうとします。これには、CAP_NET_BIND_SERVICE 権限が必要です。ですが、ソースポートとして 1023 以上のポートを使うように強いるため、<literal>ssh_config</literal> 中でこのオプションを指定することができます −

<screen>
UsePrivilegedPort no
</screen>
<!--Or, you can grant CAP_NET_BIND_SERVICE to ssh (since scp uses ssh, it will work also):-->
あるいは、ssh (scp は ssh を使うので、これも動作します) に CAP_NET_BIND_SERVICE を許可することもできます −

<screen>
lidsconf -A -s /usr/bin/ssh -o CAP_NET_BIND_SERVICE 22 -j GRANT
</screen>
</para>
</sect1>

<sect1 id="ssh-keygen-question">
<title><!--Open-SSH won't start at boot time. LIDS reports that <literal>bash</literal> tried to access a hidden file.  How can I fix this?-->OpenSSH が起動時に開始されません。LIDS は <literal>bash</literal> が隠しファイルにアクセスしようとしている、とレポートを出しています。これはどうすれば直りますか？</title>

<para>
<!--This can happen when you protect your private keys with a default policy of DENY.  The init script provided in the openssh-server rpm checks to see if the private key files exist under <literal>/etc/ssh</literal>.  If the script can't find them, it executes ssh-kegen to generate them. The keys are actually there, ssh-keygen fails and the startup script exits.-->
これは、デフォルトポリシーを DENY として 秘密鍵を保護している時に発生します。openssh-server の RPM で提供される init スクリプトは <literal>/etc/ssh</literal> 下に秘密鍵ファイルがあるかチェックします。スクリプトは発見できなかった場合、それを生成するために ssh-keygen を実行します。Beckeygenthe 鍵は実際にはそこにあるので、ssh-keygen は失敗して、起動スクリプトは終了します。
</para>

<para>
<!--To fix this, remove the check for the key files in the startup script:-->
これを修正するには、起動スクリプトから鍵ファイルのチェックを削除します −

<screen>
start)
      # Create keys if necessary
      #do_rsa_keygen;  <------------ Comment out these lines
      #do_dsa_keygen;

      echo -n "Starting sshd: "
      if [ ! -f $PID_FILE ] ; then
              sshd
              RETVAL=$?
              if [ "$RETVAL" = "0" ] ; then
                      success "sshd startup"
                      touch /var/lock/subsys/sshd
              else
                      failure "sshd startup"
              fi
      fi
      echo
      ;;
</screen>

<emphasis role="strong"><!-- NOTE: -->注意：</emphasis><!-- This means the private keys will have to be generated manually prior to starting sshd.  Otherwise, it will fail to start.-->これが意味するのは、sshd が起動するより前に、手動で秘密鍵を作る必要がある、ということです。さもなければ、起動は失敗します。

</para>
</sect1>

<sect1>
<title><!--Some of my file systems won't unmount at shutdown because I have hidden processes running.  How can I kill them?-->隠しプロセスが走っているため、シャットダウン時にファイルシステムのいくつかがアンマウントできません。どうすればそれらを kill できますか？</title>

<para>
<!--A hidden process can still be killed if you know it's process id (pid).  Many systems store the pid of all the processes started at boot time somewhere under <literal>/var</literal> (<literal>/var/run</literal> is commonly used).  Your shutdown scripts can be modified to read the pids from these files and send them the appropriate signals.-->
隠しプロセスでも、そのプロセス id (pid) がわかれば kill できます。多くのシステムでは、起動時に開始された全プロセスの pid を、<literal>/var</literal> (普通 <literal>/var/run</literal> が使われます) の下のどこかに保存します。シャットダウンスクリプトを修正して、これらのファイルから pid を読み、適切なシグナルを送るようにできます。

</para>

<para>
<!--For example, if your system stores the pids in <literal>/var/run/&lt;process_name&gt;.pid</literal>, then you can add the following lines to your shutdown scripts:-->
例えば、システムが pid を <literal>/var/run/&lt;プロセス名&gt;.pid</literal> に保存しているなら、以下の行をシャットダウンスクリプトに追加することができます −

<screen>
for p in `ls /var/run/*.pid`
do
   kill -15 `cat $p`
done
sleep 5
sync;sync;sync

for p in `ls /var/run/*.pid`
do
   kill -9 `cat $p`
done
sleep 5
sync;sync;sync
</screen>
<!--The CAP_KILL and CAP_INIT_KILL capabilities must be granted to the shutdown script containing these lines.  It is probably a good idea to hide the <literal>/var/run</literal> directory from everything but the init scripts too.-->
これらの行を含むシャットダウンスクリプトに、CAP_KILL と CAP_INIT_KILL 権限を許可しなければなりません。<literal>/var/run</literal> ディレクトリを init スクリプト群以外の全てから隠すのも、おそらくよい考えです。
</para>

<para id="kill-hidden-processes-script">
<!--Another option would be to just send every process the TERM and KILL signals.-->
別解としては、全てのプロセスに、TERM と KILL のシグナルを単に送るというのもあります。

<screen>
MAX_PROC=65535
trap : 1 2 15
I=1;while (( $I < $MAX_PROC ));do
        I=$(($I+1));
        if (( $$ != $I ));then
                kill -15 $I;
        fi;
done
sleep 5
sync;sync;sync;
I=1;
while (( $I < $MAX_PROC ));do
        I=$(($I+1));
        if (( $$ != $I ));then
                kill -9 $I;
        fi;
done
sync;sync;sync
</screen>
</para>

<para id="kill-hidden-processes-C-program">
<!--Nenad Micic wrote his own <ulink url="http://www.bg.ac.yu/~mclaffin/lids/brc.c">C program</ulink> to kill hidden processes at shutdown.-->
Nenad Micic はシャットダウン時に隠れプロセスを kill する独自の <ulink url="http://www.bg.ac.yu/~mclaffin/lids/mklidsconf/sbin/brc.c">C プログラム</ulink> を書きました。
</para>
</sect1>

<sect1 id="basic-configuration">
<title><!--I just want to start with a basic configuration.  Can you recommend a setup that will provide additional protection and still leave most of my system functioning as normal?-->基本的な設定から始めたいだけなんです。追加の保護を提供してくれて、さらにシステムの機能のほとんどを通常通りにしておいてくれるお勧めのセットアップはありますか？</title>

<para>
<!--Make sure to select the following kernel options:-->
これらのカーネルオプションを選択するようにしてください −
<screen>
  ...
  [*]    Security alert when execing unprotected programs before sealing
  [*]      Do not execute unprotected programs before sealing lids
  ...
  [*]    Allow switching LIDS protections
  ...
  [*]      Allow reloading config. file
</screen>
<!--A good starting point would be to protect your init scripts, system binaries, and libraries (Note that these may vary depending upon your distro):-->
出発点としてよいのは、init スクリプトやシステムバイナリ、ライブラリを保護するものでしょう (ディストロによってこれらは変化することに注意) −

<screen>
/sbin/lidsconf -A -o /etc/rc0.d                  -j READONLY
/sbin/lidsconf -A -o /etc/rc1.d                  -j READONLY
/sbin/lidsconf -A -o /etc/rc2.d                  -j READONLY
/sbin/lidsconf -A -o /etc/rc3.d                  -j READONLY
/sbin/lidsconf -A -o /etc/rc4.d                  -j READONLY
/sbin/lidsconf -A -o /etc/rc5.d                  -j READONLY
/sbin/lidsconf -A -o /etc/rc6.d                  -j READONLY
/sbin/lidsconf -A -o /etc/init.d                 -j READONLY
/sbin/lidsconf -A -o /etc/rc                     -j READONLY
/sbin/lidsconf -A -o /etc/rc.local               -j READONLY
/sbin/lidsconf -A -o /etc/rc.sysconfig           -j READONLY

/sbin/lidsconf -A -o /bin                        -j READONLY
/sbin/lidsconf -A -o /sbin                       -j READONLY
/sbin/lidsconf -A -o /lib                        -j READONLY

/sbin/lidsconf -A -o /usr/bin                    -j READONLY
/sbin/lidsconf -A -o /usr/sbin                   -j READONLY
/sbin/lidsconf -A -o /usr/lib                    -j READONLY
</screen>

<!--If <literal>/usr/local</literal> is on a separate partition, add the following ACLs also:-->
<literal>/usr/local</literal> が別のパーティションにあるなら、以下の ACL も加えてください −

<screen>
/sbin/lidsconf -A -o /usr/local/bin              -j READONLY
/sbin/lidsconf -A -o /usr/local/sbin             -j READONLY
/sbin/lidsconf -A -o /usr/local/lib              -j READONLY
</screen>
</para>

<para>
<!--You should also disable CAP_SYS_RAWIO and CAP_SYS_PTRACE in the <literal>/etc/lids/lids.cap</literal> file.  If you don't disable CAP_SYS_RAWIO, then someone can override the above file protections by writing directly to your devices.-->
<literal>/etc/lids/lids.cap</literal> ファイルで、CAP_SYS_RAWIO と CAP_SYS_PTRACE も無効にするべきです。CAP_SYS_RAWIO を無効にしなければ、デバイスに直接書きこむことで、誰でも上記のファイル保護を無視できてしまいます。
</para>

<para>
<!--If you are running the X Window System, please see <link linkend="xfree-lids">above</link> about getting X to work under LIDS.-->
X Window System を実行しているなら、LIDS の下で X を動作させることについて、<link linkend="xfree-lids">上記</link> も参照するようにしてください。

</para>
</sect1>

<sect1 id="time-of-day-restriction">
<title><!--Is it possible to limit access based on time of day?-->日時をもとにしてアクセスを制限することはできますか？</title>

<para>
<!--Yes.  There is a new feature in LIDS version 0.10.1 for 2.2.19 and version 1.0.10 for 2.4.5 that allows a time restriction to be placed on ACLs.  For example, to only allow logins between the hours of 9:00 AM and 6:00 PM (18:00):-->
できます。LIDS バージョン 0.10.1 for 2.2.19 とバージョン 1.0.10 for 2.4.5 での新しい機能で、ACL の記載を時間制限できるようにします。例えば、ログインを 9:00 AM から 6:00 PM (18:00) までの時間のみ許すには −

<screen>
/sbin/lidsconf -A -s /bin/login -o /etc/shadow -t 0900-1800 -j READONLY
</screen>
<!--Now, <literal>/bin/login</literal> can only read the <literal>/etc/shadow</literal> file during the specified time period and any login attempts outside of that time period will fail.  You can also use the "!" operator for negation (e.g. The ACL permits access all the time except for the time period listed).-->
これで、<literal>/bin/login</literal> は <literal>/etc/shadow</literal> ファイルを指定された時間帯にのみ読むことができるので、その時間帯以外のあらゆるログインの試みは失敗します。否定のために "!" 演算子を使うこともできます (例えば、ACL がリストされた時間帯以外の全アクセスを許容する、など)。
</para>

<para id="crontab-time-restriction-note">
<!--If you grant privileges to crond based on time restrictions, it is <emphasis>highly recommended</emphasis> that you hide your crontabs from everyone (including root), and only allow crond to read them.  Otherwise, someone could figure out what time of day they should try and exploit something by looking at your crontabs.  Remember to protect the system crontabs as well as the user crontabs.-->crond に時間制限された権限を与えるなら、(root を含む)全員から crontab を隠し、crond のみがそれらを読めるようにすることを<emphasis>特にお勧めします</emphasis>。さもなければ、その crontab を見て、どの時間に何かを試して食いものにすればいいか、誰かが検討をつけてしまうかも知れません。ユーザのものだけでなく、システムの crontab を守ることも忘れないでください。
</para>

<para>
<!--For example, the following should be hidden:-->
例えば、これらは隠すべきです −
<screen>
/var/spool/cron/
/etc/crontab
/etc/cron.hourly/
/etc/cron.daily/
/etc/cron.weekly/
/etc/cron.monthly/
/etc/cron.d/
</screen>
</para>

<para id="time-restriction-warning">
<emphasis role="strong"><!-- WARNING: -->警告： </emphasis><!-- Because this new feature relies on the system time, you should <emphasis>not</emphasis> grant CAP_SYS_RAWIO to any program that can change the system time (e.g. <literal>/sbin/hwclock</literal>.  This would allow someone to bypass the time restriction by changing the system time.-->
この新しい機能はシステムの時刻に依存しているので、システムの時刻を変更し得るどんなプログラム (例えば <literal>/sbin/hwclock</literal>) にも、CAP_SYS_RAWIO を与えるべきでは<emphasis>ありません</emphasis>。
これによって、誰かがシステムの時刻を変更して、時間制限をすり抜けてしまうかもしれません。
</para>
</sect1>

<sect1 id="port-restriction">
<title><!--How do I limit the ports that a program can bind to?-->プログラムがバインドできるポートを制限するにはどうすればいいの？</title>

<para>
<!--As of version 0.10.1 for 2.2.19 and version 1.0.11 for 2.4.6, you can limit the privileged ports that a program can bind to.  When granting CAP_NET_BIND_SERVICE to a program, specify the port or ports that the program is allowed to bind to after the capability, like this:-->
バージョン 0.10.1 for 2.2.19 とバージョン 1.0.11 for 2.4.6 からは、プログラムがバインドできる特権ポートを制限できます。プログラムに CAP_NET_BIND_SERVICE 権限を与える場合には、プログラムがバインドできるポート (群) をその後に指定します。次のようにします −

<screen>
/sbin/lidsconf -A -s /bin/httpd -o CAP_NET_BIND_SERVICE 80-80 -j GRANT
</screen>
<!--Or, if you also need to bind to port 443 for SSL:-->
または、SSL 用に 443 ポートもバインドする必要があるなら −
<screen>
/sbin/lidsconf -A -s /bin/httpd -o CAP_NET_BIND_SERVICE 80-80,443-443 -j GRANT
</screen>
<!--If you have a program that requires a range of ports, try this:-->
プログラムがポートの範囲を必要とするなら、このようにしてみて下さい −
<screen>
/sbin/lidsconf -A -s /path/to/program -o CAP_NET_BIND_SERVICE 423-867 -j GRANT
</screen>
</para>
</sect1>

<sect1 id="user-quota">
<title><!--If I make /etc/mtab a symbolic link to /proc/mounts, will user quotas still work?-->/etc/mtab を /proc/mounts へのシンボリックリンクにしても、ユーザクオータは機能しますか？</title>

<para>
<!--Yes, as long as you are starting quotaon with the "-a" option.-->
はい、"-a" オプションで quotaon を開始すればよいのです。
</para>
</sect1>

<sect1 id="file-editing">
<title><!--When I edit a file protected by LIDS, it appears to lose it's LIDS protections.  Why?-->LIDS が保護しているファイルを編集すると、LIDS に保護されなくなるようです。なぜですか？</title>

<para>
<!--Many editors (e.g. vi) copy the file you are editing to a temporary file.  All your changes are made to that temporary file.  When you exit the editor, the temporary file is moved over the original file.  This changes the inode of the original file and any previous LIDS ACLs that affected the file will no longer work.  Type:-->
多くのエディタ (例えば vi) は、編集中のファイルをテンポラリファイルにコピーします。変更は全てそのテンポラリファイルに対してなされるのです。エディタを終了すると、テンポラリファイルがオリジナルのファイルを上書きします。これによってオリジナルファイルの i ノードが変わり、そのファイルに関係していた以前の LIDS ACL はもう機能しなくなるのです。こう入力して −
<screen>
/sbin/lidsconf -U
</screen>
<!--To update the inodes in the lids.conf file.-->
lids.conf 内のファイルの i ノードを更新してください。

</para>
</sect1>

<sect1 id="losingcapabilities">
<title><!--When I update my LIDS configuration some processes seem to lose their capabilities--> LIDS の設定を更新したら、いくつかのプロセスが権限を失っちゃうようです</title>

<para>
<!--This can happen when a process got it's capabilities through inheritance. Think of the following:-->
これは、プロセスが権限を継承によって得た時に起きます。次の状況を考えてみてください −
</para>

<para>
<!--The parent process gives it's capabilities to a child proces, the parant process exits but the child remains running. If you start an LFS, change some ACL's and reload your config, LIDS will re-attach the capabilities based on the parents process capabilities and it's own capabilities. If the parent process is not running anymore the process will not get those capabilities again and may give errors.-->
親プロセスが、その権限を子プロセスに与えたのち、親プロセスが終了して、子プロセスがまだ残っているとします。この時に LFS を開始して、 ACL を変更して設定をリロードすると、 LIDS は再び、親プロセスの権限とそのプロセス自身の権限に基づいて、権限を与えます。このとき、親プロセスが動いていないときには、プロセスはそれらの権限を受け取る事が出来ずに、エラーを返します。
</para>
</sect1>

</chapter>

<!-- MARK Chapter 6 -->

<chapter>
<title><!--Configuring Security Alerts-->セキュリティ警告の設定</title>

<sect1>
<title><!--Which kernel configuration options do I need to select in order to send security alerts through the network?-->ネットワーク越しにセキュリティ警告を送るには、どのカーネル設定オプションが必要ですか？</title>

<para>
<screen>
[*]   Send security alerts through network
[ ]      Hide klids kernel thread
(3)      Number of connection tries before giving up
(30)     Sleep time after a failed connection
(16)     Message queue size
[*]      Use generic mailer pseudo-script
</screen>
<!--The first option enables the use of security alerts.  The second option allows you to hide the process that sends the alerts.  Until you have your mail notification working, it is recommended that you leave this option disabled because it will also prevents error messages from being logged.  The last option tells LIDS to use the generic mailer script provided with LIDS to send any alert messages to your mail server.  This is currently the only option.-->
最初のオプションで、セキュリティ警告が使えるようになります。2 番目のオプションでは、警告を送るプロセスを隠すことができます。メールでの通知が動作するまでは、このオプションは無効なままにしておくことをお勧めします。なぜなら、これはエラーメッセージのログ取りも妨げるからです。最後のオプションは、あらゆる警告メッセージをあなたのメールサーバに送るために、 LIDS が提供する一般的なメーラスクリプトを使うよう、LIDS に指示するものです。これは今のところ唯一のオプションです。
</para>
</sect1>

<sect1>
<title><!--Where do I specify the mail server information and e-mail address to send the LIDS alerts to?-->LIDS の警告を送るメールサーバと e-mail アドレスの情報は、どこで指定すればいいのですか？</title>

<para>
<!--All information required for sending security alerts must be configured in the <literal>/etc/lids/lids.net</literal> file.  A description of each option is provided in the configuration file itself.  When specifying an e-mail address, be sure not to leave <emphasis>any</emphasis> leading or trailing spaces around the e-mail address.  This may cause problems with delivery.  For example, the following two MAIL_TO examples won't work:-->
セキュリティ警告を送信するのに必要な全ての情報は、<literal>/etc/lids/lids.net</literal> ファイルで設定される必要があります。各オプションの説明は、設定ファイルそのもので提供されます。e-mail アドレスを指定する時は、
e-mail アドレスの前後に、<emphasis>どんな</emphasis>スペースも残さないように気をつけてください。これにより、配送に問題が生じる可能性があります。例えば、次に挙げる 2 つのMAIL_TO の例は、機能しません −

<screen>
"MAIL_TO= steve@somedomain.org"
"MAIL_TO=steve@somedomain.org "
</screen>
<!--NOTE: The double quotes are used only to show you the trailing space.  They should not be included in your configuration.-->
注意：二重引用符は、後に続くスペースを視覚化するためだけに使われています。実際の設定ファイルには含めていはいけません。
</para>

<para>
<!--After making changes to the <literal>/etc/lids/lids.net</literal> file, you must tell LIDS to <link linkend="reload">reload</link> it's configuration files.-->
<literal>/etc/lids/lids.net</literal> ファイルに変更を行った後は、LIDS に設定ファイルの<link linkend="Reload"> リロード</link> を指示するようにしてください。
</para>
</sect1>

<sect1>
<title><!--LIDS can't seem to deliver alerts to my qmail SMTP server.  Is there a fix for this?-->LIDS が、私の qmail SMTP サーバには警告を配信してくれないようです。これは直せますか？</title>

<para>
<!--Yes. For LIDS versions 0.9.12 and older, a patch is required in order to make LIDS e-mail alerts work with a qmail SMTP mail server.  The patch can be found here:-->
直せます。LIDS のバージョン 0.9.12 以前だと、LIDS の e-mail 警告を qmail SMTP サーバで機能させるにはパッチが必要です。パッチはここにあります −
<ulink url="http://www.egroups.com/message/lids/1896">http://www.egroups.com/message/lids/1896</ulink>.
</para>
</sect1>

</chapter>

<!-- MARK Chapter 7 -->

<chapter>
<title><!--Sample Configurations-->設定のサンプル</title>

<para>
<emphasis role="strong"><!--Note:-->注意：</emphasis><!-- Because LIDS is progressing very quickly, and the fact that software packages change, some of these configurations may not work correctly "out of the box".  However, they should provide a very good starting point for anyone interested in configuring one of the services listed here.-->
LIDS の開発は急速に進んでおり、実際ソフトウェアパッケージも変化しているため、これらの設定の幾つかは、きちんと動かずに"もう駄目"になっているかもしれません。しかしながら、これらの設定は、ここに載っているサービスの設定に興味がある人にとって、良いスタートポイントになるでしょう。

</para>

<sect1 id="basic-system-setup-config">
<title><!--Basic System Setup-->基本的なシステムのセットアップ</title>

<para>
<!--The following is a sample configuration for basic system setup.-->次のものは、基本的なシステムをセットアップする設定のサンプルです。
<screen>
# Protect System Binaries
# システムバイナリの保護
#
/sbin/lidsconf -A -o /sbin                               -j READONLY
/sbin/lidsconf -A -o /bin                                -j READONLY

# Protect all of /usr and /usr/local
# (This assumes /usr/local is on a separate file system).
# /usr と /usr/local の保護
# (ここでは /usr/local は別のファイルシステム上にあると想定しています)
#
/sbin/lidsconf -A -o /usr                                -j READONLY
/sbin/lidsconf -A -o /usr/local                          -j READONLY

# Protect the System Libraries
#(/usr/lib is protected above since /usr/lib generally isn't
# on a separate file system than /usr)
# システムライブラリの保護
# (/usr/lib は普通 /usr と別のファイルシステム上にはないので、
#  すでに上で保護されています)
#
/sbin/lidsconf -A -o /lib                                -j READONLY

# Protect /opt
# /opt を保護
#
/sbin/lidsconf -A -o /opt				-j READONLY

# Protect System Configuration files
# システムの設定ファイルを保護
#
/sbin/lidsconf -A -o /etc                                -j READONLY
/sbin/lidsconf -A -o /usr/local/etc                      -j READONLY
/sbin/lidsconf -A -o /etc/shadow                         -j DENY
/sbin/lidsconf -A -o /etc/lilo.conf                      -j DENY

# Enable system authentication
# システムの認証を有効に
#
/sbin/lidsconf -A -s /bin/login -o /etc/shadow           -j READONLY
/sbin/lidsconf -A -s /usr/bin/vlock -o /etc/shadow       -j READONLY
/sbin/lidsconf -A -s /bin/su -o /etc/shadow              -j READONLY
/sbin/lidsconf -A -s /bin/su \
                  -o CAP_SETUID                          -j GRANT
/sbin/lidsconf -A -s /bin/su \
                  -o CAP_SETGID                          -j GRANT

# Protect the boot partition
# boot パーティションの保護
#
/sbin/lidsconf -A -o /boot                               -j READONLY

# Protect root's home dir, but allow bash history
# root のホームディレクトリを保護するが、bash の履歴は許可
#
/sbin/lidsconf -A -o /root                               -j READONLY
/sbin/lidsconf -A -s /bin/bash -o /root/.bash_history    -j WRITE

# Protect system logs
# システムログの保護
#
/sbin/lidsconf -A -o /var/log                            -j APPEND
/sbin/lidsconf -A -s /bin/login -o /var/log/wtmp         -j WRITE
/sbin/lidsconf -A -s /bin/login -o /var/log/lastlog      -j WRITE
/sbin/lidsconf -A -s /sbin/init -o /var/log/wtmp         -j WRITE
/sbin/lidsconf -A -s /sbin/init -o /var/log/lastlog      -j WRITE
/sbin/lidsconf -A -s /sbin/halt -o /var/log/wtmp         -j WRITE
/sbin/lidsconf -A -s /sbin/halt -o /var/log/lastlog      -j WRITE
/sbin/lidsconf -A -s /etc/rc.d/rc.sysinit \
                  -o /var/log/wtmp -i 1                  -j WRITE
/sbin/lidsconf -A -s /etc/rc.d/rc.sysinit \
                  -o /var/log/lastlog -i 1               -j WRITE

# Startup
#
/sbin/lidsconf -A -s /sbin/hwclock -o /etc/adjtime       -j WRITE


# Shutdown
#
/sbin/lidsconf -A -s /sbin/init -o CAP_INIT_KILL         -j GRANT
/sbin/lidsconf -A -s /sbin/init -o CAP_KILL              -j GRANT

# Give the following init script the proper privileges to kill processes and
# unmount the file systems.  However, anyone who can execute these scripts
# by themselves can effectively kill your processes.  It's better than
# the alternative, however.
# これらの起動スクリプトに、プロセスを kill したり ファイルシステムを
# アンマウントするための適切な権限を与えてください。とはいえ、これらの
# スクリプトを自分で実行る人はみな、効果的にプロセスを kill することが
# できます。ですが、他の方法よりはマシなはずです。
#
# Any ideas on how to get around this are welcome!
# これを解決するアイデアを歓迎します!
#
/sbin/lidsconf -A -s /etc/rc.d/init.d/halt \
                  -o CAP_INIT_KILL -i 1                  -j GRANT
/sbin/lidsconf -A -s /etc/rc.d/init.d/halt \
                  -o CAP_KILL -i 1                       -j GRANT
/sbin/lidsconf -A -s /etc/rc.d/init.d/halt \
                  -o CAP_NET_ADMIN -i 1                  -j GRANT
/sbin/lidsconf -A -s /etc/rc.d/init.d/halt \
                  -o CAP_SYS_ADMIN -i 1                  -j GRANT

# Other
#
/sbin/lidsconf -A -s /sbin/update -o CAP_SYS_ADMIN       -j GRANT
</screen>
</para>
</sect1>

<sect1 id="apache-config">
<title>Apache</title>

<para>
<!--This sample configuration assumes Apache was installed in <literal>/usr/local/apache</literal> with a log directory of <literal>/var/log/httpd</literal> and a configuration directory of <literal>/etc/httpd</literal>.  You can adjust the paths in the ACLs to match your own configuration.  With this configuration, Apache must be started prior to sealing the kernel, or when LIDS_GLOBAL is disabled so it can bind to port 80 (and possibly 443).-->
この設定サンプルでは、Apache が <literal>/usr/local/apache</literal> に、ログディレクトリが <literal>/var/log/httpd</literal> に、設定ディレクトリが <literal>/etc/httpd</literal> にインストールされていることを前提にしています。ACL 中のパスを、各自の設定に合うように調整しなくてはなりません。この設定では、ポート 80 (ことによると 443 も) をバインドできるように、Apache はカーネルを封印するより前か、LIDS_GLOBAL が無効な時に起動する必要があります。

<screen>
/sbin/lidsconf -A -s /usr/local/apache/bin/httpd \
                  -o CAP_SETUID                          -j GRANT
/sbin/lidsconf -A -s /usr/local/apache/bin/httpd \
                  -o CAP_SETGID                          -j GRANT

# Config files
/sbin/lidsconf -A -o /etc/httpd                          -j DENY
/sbin/lidsconf -A -s /usr/local/apache/bin/httpd \
                  -o /etc/httpd                          -j READONLY

# Server Root
/sbin/lidsconf -A -o /usr/local/apache                   -j DENY
/sbin/lidsconf -A -s /usr/local/apache/bin/httpd \
                  -o /usr/local/apache                   -j READONLY

# Log Files
/sbin/lidsconf -A -o /var/log/httpd                      -j DENY
/sbin/lidsconf -A -s /usr/local/apache/bin/httpd \
                  -o /var/log/httpd                      -j APPEND
/sbin/lidsconf -A -s /usr/local/apache/bin/httpd \
                  -o /usr/local/apache/logs              -j WRITE
</screen>
</para>
</sect1>

<sect1 id="qmail-config">
<title>Qmail</title>

<para>
<!--These ACLs were written for a qmail setup that was installed according to Dave Sill's <emphasis><ulink url="http://Web.InfoAve.Net/~dsill/lwq.html">Life with qmail</ulink>.</emphasis>  With this configuration, qmail must be started prior to sealing the kernel, or when LIDS_GLOBAL is disabled so tcpserver can bind to port 25.-->
これらの ACL は、Dave Sill の <emphasis><ulink url="http://Web.InfoAve.Net/~dsill/lwq.html"> Life with qmail </ulink></emphasis> によってインストールされた qmail のセットアップ向けに書かれています。この設定では、tcpserver がポート 25 をバインドできるように、qmail はカーネルを封印するより前か、LIDS_GLOBAL が無効な時に起動する必要があります。

<screen>
# setup
/sbin/lidsconf -A -o /var/qmail                          -j READONLY
/sbin/lidsconf -A -s /usr/local/bin/multilog \
                  -o /var/log/qmail                      -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/svc \
                  -o /var/qmail/supervise                -j WRITE

# queue access
# キューへのアクセス
#
/sbin/lidsconf -A -s /var/qmail/bin/qmail-inject \
                  -o /var/qmail/queue                    -j WRITE
/sbin/lidsconf -A -s /var/qmail/bin/qmail-rspawn \
                  -o /var/qmail/queue                    -j WRITE
/sbin/lidsconf -A -s /var/qmail/bin/qmail-lspawn \
                  -o /var/qmail/queue                    -j WRITE
/sbin/lidsconf -A -s /var/qmail/bin/qmail-queue \
                  -o /var/qmail/queue                    -j WRITE
/sbin/lidsconf -A -s /var/qmail/bin/qmail-clean \
                  -o /var/qmail/queue                    -j WRITE
/sbin/lidsconf -A -s /var/qmail/bin/qmail-send \
                  -o /var/qmail/queue                    -j WRITE
/sbin/lidsconf -A -s /var/qmail/bin/qmail-remote \
                  -o /var/qmail/queue                    -j WRITE

# Access to local mail boxes
# ローカルメールボックスへのアクセス
/sbin/lidsconf -A -s /var/qmail/bin/qmail-lspawn \
                  -o CAP_SETUID                          -j GRANT
/sbin/lidsconf -A -s /var/qmail/bin/qmail-lspawn \
                  -o CAP_SETGID                          -j GRANT
/sbin/lidsconf -A -s /var/qmail/bin/qmail-lspawn \
                  -o CAP_DAC_OVERRIDE                    -j GRANT
/sbin/lidsconf -A -s /var/qmail/bin/qmail-lspawn \
                  -o CAP_DAC_READ_SEARCH                 -j GRANT


# Remote delivery
# リモート配送
/sbin/lidsconf -A -s /var/qmail/bin/qmail-rspawn \
                  -o CAP_NET_BIND_SERVICE -i -1          -j GRANT

# supervise

/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/qmail/supervise/qmail-smtpd/supervise     -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/qmail/supervise/qmail-smtpd/log/supervise -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/qmail/supervise/qmail-send/supervise      -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/qmail/supervise/qmail-send/log/supervise  -j WRITE
</screen>
</para>
</sect1>

<sect1 id="dnscache-and-tinydns-config">
<title>Dnscache &amp Tinydns (djbdns)</title>

<para>
<!--The following ACLs were written for a djbdns setup based on Jeremy Rauch's <emphasis>Installing djbdns (DNScache) for Name Service</emphasis> parts <ulink url="http://www.securityfocus.com/focus/sun/articles/dnscache.html">1</ulink> &amp <ulink url="http://www.securityfocus.com/focus/sun/articles/dnscache2.html">2</ulink>.  With this configuration, dnscache and tinydns must be started prior to sealing the kernel, or when LIDS_GLOBAL is disabled so they can bind to port 53.-->
これらの ACL は、Jeremy Rauch の <emphasis>Installing djbdns (DNScache) for Name Service</emphasis> のパート <ulink url="http://www.securityfocus.com/focus/sun/articles/dnscache.html"> 1</ulink> &amp <ulink url="http://www.securityfocus.com/focus/sun/articles/dnscache2.html"> 2</ulink> をもとにした djbdns のセットアップ向けに書かれています。
この設定では、 dnscache と tinydns はカーネルを封印する前に開始されているか、それらのプログラムがポート 53 をバインドする時に LIDS_GLOBAL が無効になっていなければなりません。
<screen>
# dnscache
#
/sbin/lidsconf -A -o /var/dnscache                        -j READONLY
/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/dnscache/dnscache/supervise     -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/dnscache/dnscache/log/supervise -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/multilog \
                  -o /var/dnscache/dnscache/log/main      -j WRITE

# tinydns
#
/bin/echo "tinydns"

/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/dnscache/tinydns/supervise      -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/supervise \
                  -o /var/dnscache/tinydns/log/supervise  -j WRITE
/sbin/lidsconf -A -s /usr/local/bin/multilog \
                  -o /var/dnscache/tinydns/log/main       -j WRITE
</screen>
</para>
</sect1>

<sect1 id="courier-imap-config">
<title>Courier-imap</title>

<para>
<!--The following ACLs assume courier-imap was installed into <literal>/usr/local/courier-imap</literal>. With this configuration, courier-imap must be started prior to sealing the kernel, or when LIDS_GLOBAL is disabled so it can bind to port 143.-->
これらの ACL は、courier-imap が <literal>/usr/local/courier-imap</literal> にインストールされていることを前提にしています。この設定では、ポート 143 をバインドできるように、courier-imap はカーネルを封印する前か、LIDS_GLOBAL が無効な時に起動する必要があります。
<screen>
/sbin/lidsconf -A -o /usr/local/courier-imap                     -j DENY

/sbin/lidsconf -A -s /usr/local/courier-imap/sbin/imaplogin \
                  -o /etc/shadow                                 -j READONLY
/sbin/lidsconf -A -s /usr/local/courier-imap/libexec/authlib/authpam \
                  -o /etc/shadow                                 -j READONLY
/sbin/lidsconf -A -s /usr/local/courier-imap/libexec/couriertcpd \
                  -o /usr/local/courier-imap                     -j READONLY

/sbin/lidsconf -A -s /usr/local/courier-imap/libexec/couriertcpd \
                  -o CAP_SETUID -i 3                             -j GRANT
/sbin/lidsconf -A -s /usr/local/courier-imap/libexec/couriertcpd \
                  -o CAP_SETGID -i 3                             -j GRANT
/sbin/lidsconf -A -s /usr/local/courier-imap/libexec/couriertcpd \
                  -o CAP_DAC_OVERRIDE -i 3                       -j GRANT
/sbin/lidsconf -A -s /usr/local/courier-imap/libexec/couriertcpd \
                  -o CAP_DAC_READ_SEARCH -i 3                    -j GRANT
</screen>
</para>
</sect1>

<sect1 id="mysql-config">
<title>MySQL</title>

<para>
<!--The following ACLs assume MySQL was installed into <literal>/usr/local/mysql</literal>.-->
これらの ACL は、MySQL が <literal>/usr/local/mysql</literal> にインストールされていることを前提にしています。
<screen>
/sbin/lidsconf -A -o /usr/local/mysql/var                -j APPEND

/sbin/lidsconf -A -o /usr/local/mysql                    -j DENY
/sbin/lidsconf -A -s /usr/local/mysql/libexec/mysqld \
                  -o /usr/local/mysql                    -j READONLY
/sbin/lidsconf -A -s /usr/local/mysql/libexec/mysqld \
                  -o /usr/local/mysql/var                -j WRITE
</screen>
</para>
</sect1>

<sect1 id="openssh-config">
<title>OpenSSH (3.4p1)</title>

<para>
<!--The following configuration will work after boot and while LIDS_GLOBAL is on because it gives sshd the CAP_NET_BIND_SERVICE capability.-->
これらの設定は、sshd に CAP_NET_BIND_SERVICE 権限を与えていますので、起動後、LIDS_GLOBAL が有効な時に機能します。
<screen>
/sbin/lidsconf -A -s /usr/sbin/sshd -o /etc/shadow      -j READONLY

/sbin/lidsconf -A -o /etc/ssh/sshd_config               -j DENY
/sbin/lidsconf -A -o /etc/ssh/ssh_host_key              -j DENY
/sbin/lidsconf -A -o /etc/ssh/ssh_host_dsa_key          -j DENY

/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o /etc/ssh/sshd_config               -j READONLY
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o /etc/ssh/ssh_host_key              -j READONLY
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o /etc/ssh/ssh_host_dsa_key          -j READONLY

/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o /var/log/wtmp                      -j WRITE
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o /var/log/lastlog                   -j WRITE

/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o CAP_SETUID                         -j GRANT
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o CAP_SETGID                         -j GRANT
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o CAP_FOWNER                         -j GRANT
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o CAP_CHOWN                          -j GRANT
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o CAP_DAC_OVERRIDE                   -j GRANT
/sbin/lidsconf -A -s /usr/sbin/sshd \
                  -o CAP_NET_BIND_SERVICE 22-22         -j GRANT
/sbin/lidscond -A -s /usr/sbin/sshd \
		  -o CAP_SYS_CHROOT			-j GRANT
/sbin/lidscond -A -s /usr/sbin/sshd \
		  -o CAP_SYS_RESOURCE			-j GRANT
/sbin/lidscond -A -s /usr/sbin/sshd \
		  -o CAP_SYS_TTY_CONFIG			-j GRANT
</screen>
</para>
</sect1>

<sect1 id="openldap-config">
<title>OpenLDAP (slapd)</title>

<para>
<!--The following configuration will work after boot and while LIDS_GLOBAL is on because it gives slapd the CAP_NET_BIND_SERVICE capability.-->
これらの設定は、slapd に CAP_NET_BIND_SERVICE 権限を与えていますので、起動後、LIDS_GLOBAL が有効な時に機能します。

<screen>
/sbin/lidsconf -A -s /usr/local/libexec/slapd \
                  -o /usr/local/ldapdb 			-j WRITE
/sbin/lidsconf -A -s /usr/local/libexec/slapd \
                  -o CAP_NET_BIND_SERVICE                -j GRANT
/sbin/lidsconf -A -s /usr/local/libexec/slapd \
                  -o CAP_INIT_KILL                       -j GRANT
/sbin/lidsconf -A -s /usr/local/libexec/slapd \
                  -o CAP_SYS_MODULE                      -j GRANT
</screen>
</para>
</sect1>

<sect1 id="portsentry-config">
<title>Port Sentry</title>

<para>
<!--The following configuration will work after boot and while LIDS_GLOBAL is on because it gives portsentry the CAP_NET_BIND_SERVICE capability.  Depending on what you want portsentry to do, you may or may not need all of the following ACLs.-->
これらの設定は、portsentry に CAP_NET_BIND_SERVICE 権限を与えていますので、起動後、LIDS_GLOBAL が有効な時に機能します。portsentry にやらせようと思っている内容によって、これらの ACL 全ては必要だったり不要だったりするかもしれません。
<screen>
/sbin/lidsconf -A -s /usr/local/psionic/portsentry/portsentry \
                  -o /usr/local/psionic/portsentry 					-j WRITE
/sbin/lidsconf -A -s /usr/local/psionic/portsentry/portsentry \
                  -o /var/log 												-j WRITE
/sbin/lidsconf -A -s /usr/local/psionic/portsentry/portsentry \
                  -o CAP_NET_BIND_SERVICE                        -j GRANT

# For portsentry to be able to update the firewall:
# portsentry がファイアウォールを更新するため：
/sbin/lidsconf -A -s /usr/local/psionic/portsentry/portsentry \
                  -o CAP_NET_RAW -i 1                            -j GRANT

# For portsentry to be able to update /etc/hosts.allow and/or /etc/hosts.deny:
# portsentry が /etc/hosts.allow や/etc/hosts.deny を更新するため：
/sbin/lidsconf -A -s /usr/local/psionic/portsentry/portsentry \
                  -o /etc/hosts.allow             		-j WRITE
/sbin/lidsconf -A -s /usr/local/psionic/portsentry/portsentry \
                  -o /etc/hosts.deny             		-j WRITE
</screen>
</para>
</sect1>

<sect1 id="samba-config">
<title>Samba</title>

<para>
<!--With this configuration, Samba must be started prior to sealing the kernel, or when LIDS_GLOBAL is disabled so it can bind to ports 137 &amp 139.-->
この設定では、ポート 137 &amp 139 をバインドできるように、Samba はカーネルを封印するより前か、LIDS_GLOBAL が無効になっている時に起動する必要があります。

<screen>
/sbin/lidsconf -A -o /etc/samba -j READONLY
/sbin/lidsconf -A -o /var/samba -j READONLY
/sbin/lidsconf -A -s /usr/sbin/smbd -o /var/samba -j WRITE
/sbin/lidsconf -A -s /usr/sbin/nmbd -o /var/samba -j WRITE

# smbd needs write access to smbpasswd to chmod it.  i think it
# also needs access to MACHINE.SID
# smbd は chmod するために smbpasswd への書きこみ権限が必要です。
# MACHINE.SID にも同様に必要だと思います。
/sbin/lidsconf -A -s /usr/sbin/smbd -o /etc/samba -j WRITE
/sbin/lidsconf -A -s /usr/sbin/smbd -o /etc/shadow -j READONLY

/sbin/lidsconf -A -s /usr/sbin/smbd -o CAP_SETUID -j GRANT
/sbin/lidsconf -A -s /usr/sbin/smbd -o CAP_SETGID -j GRANT
/sbin/lidsconf -A -s /usr/sbin/smbd -o CAP_HIDDEN -j GRANT

# LIDS complains about smbd trying to chroot to /
# everything still seems to work without it, though
# (and isn't chrooting to / kinda pointless anyway?)
# LIDS は smbd が /  に chroot しようとする旨文句を言います。
# ただ、それなしでも全てうまく機能しているようには見えます。
# (しかも / に chroot してはいないのに、ちょっと無駄じゃない？)
#/sbin/lidsconf -A -s /usr/sbin/smbd -o CAP_SYS_CHROOT -j GRANT
/sbin/lidsconf -A -s /usr/sbin/nmbd -o CAP_HIDDEN -j GRANT
</screen>
</para>
</sect1>

<sect1 id="heartbeat-config">
<title>Linux HA heartbeat</title>

<para>
<screen>
/sbin/lidsconf -A -o /usr/lib/heartbeat/heartbeat                -j READONLY
/sbin/lidsconf -A -s /usr/lib/heartbeat/heartbeat \
                  -o CAP_NET_BIND_SERVICE -i -1                  -j GRANT
/sbin/lidsconf -A -s /usr/lib/heartbeat/heartbeat \
                  -o CAP_SYS_RAWIO -i -1                         -j GRANT
/sbin/lidsconf -A -s /usr/lib/heartbeat/heartbeat \
                  -o CAP_NET_BROADCAST -i -1                     -j GRANT
/sbin/lidsconf -A -s /usr/lib/heartbeat/heartbeat \
                  -o CAP_NET_ADMIN -i -1                         -j GRANT
/sbin/lidsconf -A -s /usr/lib/heartbeat/heartbeat \
                  -o CAP_NET_RAW -i -1                           -j GRANT
/sbin/lidsconf -A -s /usr/lib/heartbeat/heartbeat \
                  -o CAP_SYS_ADMIN -i -1                         -j GRANT

# For sending Gratuitous Arps
# 余計な Arp を送るため

/sbin/lidsconf -A -o /usr/lib/heartbeat/send_arp                 -j READONLY
/sbin/lidsconf -A -s /usr/lib/heartbeat/send_arp \
                  -o CAP_NET_RAW -i -1                           -j GRANT

# For modifying the routing table when the IP address changes
# IP アドレス変更時にルーティングテーブルを修正するため

/sbin/lidsconf -A -o /sbin/route                                 -j READONLY
/sbin/lidsconf -A -s /sbin/route -o CAP_NET_ADMIN -i 0           -j GRANT

#
# Protect the heartbeat configuration and authentication key.
# heartbeat の設定と認証キーを保護します
#
/sbin/lidsconf -A -o /etc/ha.d/ha.cf                             -j READONLY
/sbin/lidsconf -A -o /etc/ha.d/haresources                       -j READONLY
/sbin/lidsconf -A -o /etc/ha.d/authkeys                          -j DENY

#
# Only heartbeat can see the authkey
# hertbeat のみが authkey を読めます
#
/sbin/lidsconf -A -s /usr/lib/heartbeat/heartbeat \
                  -o /etc/ha.d/authkeys                          -j READONLY
</screen>
</para>
</sect1>

<sect1 id="bind-9x-config">
<title>Bind 9.x</title>

<para>
<screen>
/sbin/lidsconf -A -s /usr/sbin/named  -o CAP_NET_BIND_SERVICE 53 -j GRANT
/sbin/lidsconf -A -s /usr/sbin/named  -o CAP_SETPCAP             -j GRANT
/sbin/lidsconf -A -s /usr/sbin/named  -o CAP_SYS_CHROOT          -j GRANT
/sbin/lidsconf -A -s /usr/sbin/named  -o CAP_SYS_RESOURCE        -j GRANT
/sbin/lidsconf -A -s /usr/sbin/named  -o CAP_SETUID              -j GRANT
/sbin/lidsconf -A -s /usr/sbin/named  -o CAP_SETGID              -j GRANT
</screen>
</para>
</sect1>

<sect1 id="sendmail-config">
<title>Sendmail</title>

<para>
<screen>
# Sendmail LIDS rules (using infinite inheritance for the sendmail
# children and delivery agents to work properly, but a lower inheritance
# like 2 or 3 would probably work as well.)
# Sendmail 用 LIDS ルール
# (sendmail の子孫や配送エージェントが適切に動作するように
# 無限の継承を使っていますが、2, 3 のより低い継承でもおそらく
# 同じように動作するでしょう。)

# Lock down /etc/mail if it's not already done elseware
# どこか他で既になされていないなら、/etc/mail を読めるようにします
/sbin/lidsconf -A -o /etc/mail -j READONLY

/sbin/lidsconf -A -o /usr/sbin/sendmail -j READONLY
/sbin/lidsconf -A -s /usr/sbin/sendmail -o /etc/shadow -j READONLY -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o /etc/passwd -j READONLY -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o /etc/mail   -j READONLY -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o /etc/mail/aliases   -j WRITE -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o /etc/mail/aliases.db   -j WRITE -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o CAP_SETUID -j GRANT -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o CAP_SETGID -j GRANT -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o CAP_SYS_ADMIN -j GRANT -i -1
/sbin/lidsconf -A -s /usr/sbin/sendmail -o CAP_NET_BIND_SERVICE 25-25 -j GRANT -i -1

# Depending on how you have the log files secured
# (The maillog will normally get rotated out and this
# rule will stop working when that happens unless you
# stop the log rotation.)
# ログファイルをどのように安全にしているかによって
# (mail ログは通常ローテートされているでしょう。このルールは
# ログのローテーションをやめない限り、それが起きた時点で機能
# しなくなります。

/sbin/lidsconf -A -s /usr/sbin/sendmail -o /var/log/maillog -j APPEND -i -1
</screen>
</para>
</sect1>

<sect1 id="apcupsd-config">
<title>Apcupsd</title>

<para>
<screen>
/sbin/lidsconf -A -o /etc/apcupsd                                        -j DENY
/sbin/lidsconf -A -s /sbin/apcupsd -o /etc/apcupsd                       -j READONLY
/sbin/lidsconf -A -s /sbin/apcupsd -o CAP_HIDDEN -i -1                   -j GRANT
</screen>
</para>
</sect1>

<sect1 id="pump-config">
<title>Pump</title>

<para>
<screen>
/sbin/lidsconf -A -s /sbin/pump -o CAP_NET_BIND_SERVICE 68-68            -j GRANT
/sbin/lidsconf -A -s /sbin/pump -o CAP_NET_RAW                           -j GRANT
/sbin/lidsconf -A -s /sbin/pump -o CAP_HIDDEN                            -j GRANT
</screen>
</para>
</sect1>

<sect1 id="snort-config">
<title>Snort</title>

<para>
<screen>
/sbin/lidsconf -A -s /usr/sbin/snort -o CAP_DAC_OVERRIDE                 -j GRANT
/sbin/lidsconf -A -s /usr/sbin/snort -o CAP_NET_RAW                      -j GRANT
/sbin/lidsconf -A -s /usr/sbin/snort -o CAP_HIDDEN                       -j GRANT
/sbin/lidsconf -A -s /usr/sbin/snort -o CAP_SETUID                       -j GRANT
/sbin/lidsconf -A -s /usr/sbin/snort -o CAP_SETGID                       -j GRANT
</screen>
</para>
</sect1>

<sect1 id="getty-config">
<title>Getty</title>

<para>
<screen>
/sbin/lidsconf -A -s /sbin/getty -o CAP_DAC_OVERRIDE                     -j GRANT
/sbin/lidsconf -A -s /sbin/getty -o CAP_HIDDEN                           -j GRANT
</screen>
</para>
</sect1>

<sect1 id="login-config">
<title>Login</title>

<para>
<screen>
/sbin/lidsconf -A -s /bin/login -o /etc/shadow                           -j READONLY
/sbin/lidsconf -A -s /bin/login -o CAP_SETUID                            -j GRANT
/sbin/lidsconf -A -s /bin/login -o CAP_SETGID                            -j GRANT
/sbin/lidsconf -A -s /bin/login -o CAP_CHOWN                             -j GRANT
/sbin/lidsconf -A -s /bin/login -o CAP_FSETID                            -j GRANT
</screen>
</para>
</sect1>

<sect1 id="su-config">
<title>Su</title>

<para>
<screen>
/sbin/lidsconf -A -s /bin/su -o /etc/shadow                              -j READONLY
/sbin/lidsconf -A -s /bin/su -o CAP_SETUID                               -j GRANT
/sbin/lidsconf -A -s /bin/su -o CAP_SETGID                               -j GRANT
</screen>
</para>
</sect1>

<sect1 id="exim-config">
<title>Exim</title>

<para>
<screen>
/sbin/lidsconf -A -s /usr/sbin/exim -o CAP_SETGID -j GRANT
/sbin/lidsconf -A -s /usr/sbin/exim -o CAP_SETUID -j GRANT
</screen>
</para>
</sect1>

<sect1 id="qpopper-config">
<title>Qpopper</title>

<para>
<screen>
/sbin/lidsconf -A -s /usr/sbin/in.qpopper -o /etc/shadow -j READONLY
</screen>
</para>
</sect1>

<sect1 id="proftp-config">
<title>Proftp</title>

<para>
<screen>
/sbin/lidsconf -A -s /usr/sbin/proftpd  -o CAP_SETGID -j GRANT
/sbin/lidsconf -A -s /usr/sbin/proftpd  -o CAP_SETUID -j GRANT
/sbin/lidsconf -A -s /usr/sbin/proftpd  -o CAP_SYS_CHROOT -j GRANT
/sbin/lidsconf -A -s /usr/sbin/proftpd  -o /etc/shadow -j READONLY
</screen>
</para>
</sect1>

<sect1 id="aproxy-config">
<title>Aproxy</title>

<para>
<screen>
/sbin/lidsconf -A -s /path/to/aproxy -i 2 -o CAP_NET_BIND_SERVICE 25,110,119 -j GRANT
</screen>
</para>
</sect1>

<sect1 id="squid-config">
<title>Squid</title>

<para>
<screen>
/sbin/lidsconf -A -o /var/spool/squid -j DENY
/sbin/lidsconf -A -s /usr/sbin/squid   -i 2 -o /var/spool/squid               -j WRITE
/sbin/lidsconf -A -s /usr/sbin/squid   -i 2 -o /var/log/squid                 -j WRITE
/sbin/lidsconf -A -s /etc/init.d/squid -i 2 -o /var/spool/squid               -j WRITE
/sbin/lidsconf -A -s /usr/sbin/squid        -o CAP_NET_BIND_SERVICE 3128,3130 -j GRANT
</screen>
</para>
</sect1>

<sect1 id="innd-config">
<title>Innd</title>

<para>
<screen>
/sbin/lidsconf  -A -o /usr/local/news -j DENY

/sbin/lidsconf  -A -s /usr/local/news/bin/ctlinnd    -o /usr/local/news      -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/innd       -o /usr/local/news      -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/nnrpd      -o /usr/local/news      -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/nnrpd \
                                          -o /usr/local/news/spool/overview  -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/rc.news    -o /usr/local/news      -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/shlock     -o /usr/local/news/run/ -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/innwatch   -o /usr/local/news/run/ -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/innconfval -o /usr/local/news/     -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/innmail    -o /usr/local/news/     -j WRITE
/sbin/lidsconf  -A -s /usr/local/news/bin/inndstart  -o /usr/local/news/     -j WRITE

/sbin/lidsconf  -A -s /usr/local/news/bin/inndstart \
                                       -o CAP_NET_BIND_SERVICE 119 -j GRANT
/sbin/lidsconf  -A -s /usr/local/news/bin/inndstart  -o CAP_SETGID -j GRANT
/sbin/lidsconf  -A -s /usr/local/news/bin/inndstart  -o CAP_SETUID -j GRANT
/sbin/lidsconf  -A -s /usr/local/news/bin/nnrpd      -o CAP_SETUID -j GRANT
/sbin/lidsconf  -A -s /usr/local/news/bin/nnrpd      -o CAP_SETGID -j GRANT
</screen>
</para>
</sect1>

<sect1 id="postfix-config">
<title>Postfix</title>

<para>
<!--The following example is for postfix on a Debian GNU/Linux Woody (3.0) system with all capabilities disabled. The CAP_HIDDEN parts are ofcourse optional.-->
下記、Debian GNU/Linux Woody (3.0) システム上で全ての権限が不可になっている時の、postfixの設定例です。CAP_HIDDEN パートは、もちろん任意です。
<screen>
/sbin/lidsconf -A -o /etc/postfix               -j DENY
/sbin/lidsconf -A -o /var/spool/postfix         -j DENY

/sbin/lidsconf -A -s /etc/init.d/postfix \
		  -o /etc/postfix		-j READONLY -i 1
/sbin/lidsconf -A -s /etc/init.d/postfix \
		  -o /var/spool/postfix		-j WRITE    -i 1
/sbin/lidsconf -A -s /usr/sbin/postfix   \
		  -o /etc/postfix		-j READONLY -i 4
/sbin/lidsconf -A -s /usr/sbin/postfix	 \
		  -o /var/spool/postfix		-j WRITE    -i 4

/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o CAP_SETGID			-j GRANT    -i 1
/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o CAP_SETUID			-j GRANT    -i 1
/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o CAP_HIDDEN	                -j GRANT    -i 1
/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o CAP_DAC_OVERRIDE           -j GRANT    -i 1
/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o CAP_SYS_CHROOT             -j GRANT    -i 1

/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o /etc/aliases.db		-j READONLY -i 1
/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o /var/spool/postfix		-j WRITE    -i 1
/sbin/lidsconf -A -s /usr/lib/postfix/master \
		  -o /etc/postfix	        -j READONLY -i 1

/sbin/lidsconf -A -s /usr/sbin/postdrop \
		  -o /etc/postfix		-j READONLY
/sbin/lidsconf -A -s /usr/sbin/postdrop \
		  -o /var/spool/postfix		-j WRITE

/sbin/lidsconf -A -s /usr/sbin/sendmail \
		  -o /etc/postfix		-j READONLY
/sbin/lidsconf -A -s /usr/sbin/sendmail \
		  -o /var/spool/postfix		-j WRITE
</screen>
</para>
</sect1>

</chapter>

<!-- MARK Chapter 8 -->

<chapter>
<title><!--LIDS Technical-->LIDS テクニカル</title>


<sect1>
<title><!--Will LIDS work with a file system other than ext2?-->LIDS は ext2 以外のファイルシステムでも動作しますか？</title>

<para>
<!--Yes.  To quote LIDS co-author Philippe Biondi:-->
はい。LIDS の共著者である Philippe Biondi の言葉を借ります −
<quote>
<!--"LIDS works on top of the VFS layer, so that it can handle every fs linux
supports."-->
"LIDS は VFS レイヤの最上部で動作しますので、Linux がサポートするあらゆる fs を扱うことができます。"

</quote>
</para>
</sect1>

<sect1 id="smp-status">
<title><!--Will LIDS run on an SMP system?-->LIDS は SMP のシステムで動作しますか？</title>

<para>
<!--There have been problems reported with SMP systems running LIDS.  Many of the problems have been fixed, so it is recommended that you try out the latest version and see for yourself.  Xie and Philippe are very dedicated to fixing any such problems, so please make sure to report any to the LIDS mailing list.-->
SMP システムで LIDS を実行することについては、障害報告がなされています。問題の多くは修正されていますので、最新バージョンを試してみるのをお勧めします。Xie と Philippe はこの手の問題を修正するのに、非常に注力していますので、LIDS のメーリングリストに報告するようにしてください。
</para>

<para>
<!--UPDATE (2/10/01): Many users have reported success using LIDS-1.0.5 for the 2.4.x kernel on SMP systems.-->
更新 (2/10/01)： 多くのユーザから、LIDS-1.0.5 を使って SMP システムの 2.4.x カーネルでうまくいったというレポートがなされています。

</para>
</sect1>

<sect1>
<title><!--Will LIDS coexist with Solar Designer's Openwall patch?-->LIDS は Solar Designer の Openwall パッチと共存しますか？</title>

<para>
<!--Yes.  If you apply both the LIDS and Openwall patches yourself, one of the hunks will fail (as of release 0.9.11 for kernel 2.2.18).  It is a minor error that won't affect your system security.-->
大丈夫です。LIDS と Openwall パッチを両方適用すれば、1 hunk が失敗します (カーネル 2.2.18 用リリース 0.9.11 の時点)。このエラーはささいなもので、システムのセキュリティには影響しないと思います。とはいえ、エラーが気に入らないなら、<ulink url="http://root-it.be/community/lids">http://root-it.be/community/lids</ulink> へいって、LIDS + Openwall 統合パッチをダウンロードしてください。Wim Vandersmissen が素晴らしいことに、私達のためにパッチを統合してエラーを修正してくれています。Wim は彼のサイトで、他にも LIDS を含んだ統合パッチをいくつか提供しています。
</para>
</sect1>

<sect1 id="non-intel-hardware">
<title><!--Will LIDS run on non-Intel hardware?-->LIDS は非インテルなハードウェア上で動作しますか？</title>

<para>
<!--I'm not aware of any confirmed success stories on other hardware platforms.  If you get LIDS to work on another architecture, be sure to let everyone know of your efforts.-->
私は、確認できる形で、別のハードウェアプラットフォームで成功したという話は聞いていません。もし LIDS を別のアーキテクチャで動作させたなら、是非みんなにその努力を知らせるようにしましょう。
</para>

<para>
<emphasis><!--Update:-->更新：</emphasis><!-- Johannes Helje has successfully installed LIDS on a pair of SUN IPXs.  He is using Debian with a 2.2.18 kernel.-->
Johannes Helje はLIDS を SUN IPX のペアにインストールすることに成功しました。彼は、2.2.18 カーネルで Debian を使っています。

</para>

<para>
<emphasis><!--Update:-->更新：</emphasis> <!-- Joseph P. Garcia (<ulink url="mailto:jpgarcia@execpc.com">jpgarcia AT execpc DOT com</ulink>) has attempted to install LIDS on a PowerPC based Macintosh PowerBook G3 without much success.  Here is an excerpt from his e-mail with the details of his problems:-->
Joseph P. Garcia (<ulink url="jpgarcia@execpc.com"> jpgarcia@execpc.com</ulink>) は LIDS を PowerPC ベースのPowerBook G3 にインストールしようとしましたが、うまくいきませんでした。ここに、問題の詳細を彼のメールから引用します −

<screen>
<!--I am currently pursuing trying out LIDS on my 30-month old powerpc-based
Macintosh PowerBook G3. ('oldworld' powermac for those who know what that
is)  I use the BootX boot loader to boot Linux, loosely based on LinuxPPC
2000 Q4, using kernel 2.4.7pre3, glibc 2.2.3, and gcc 2.95.4.-->
私は、30ヶ月前の PowerPC ベース の Macintosh PowerBook G3 (知る人ぞ知る「旧時代」の powermac) で LIDS を試そうとしています。
起動には BootX ブートローダを使い、LinuxPPC 2000 Q4 をベースにした Linux で
カーネル 2.4.7pre3 と glibc2.2.3、gcc2.95.4 を使っています。

<!--My attempts to use LIDS on my system have yielded little results.  With the
patch applied and LIDS disabled via config, the kernel works fine.  With
LIDS enabled in any degree, even just CONFIG_LIDS and security=0, my kernel
does not boot.  The normal routine is BootX cleans out MacOS, sets up
hardware (like harddrive spin down), the kernel clears the screen, shows
simple settings via 'BootX text', and begins booting with output on a
framebuffer console.  With LIDS enabled, the kernel doesn't even clear the
screen.  I looked at the code that does this, and to my best understanding,
it just writes memory.  I can't tell just how far it gets.-->
LIDS を自分のシステムで使うという私の目論見は、ほとんど報われていません。
パッチを適用して、設定で LIDS を無効にしていればカーネルはちゃんと動きます。
わずかでも LIDS を有効にすると、CONFIG_LIDS と security=0 だけでさえ、
私のカーネルは起動しません。通常のルーチンは、BootX が MacOS をクリアし、
ハードウェアをセットアップ (ハードディスクをスピンダウンするとか) し、
カーネルが画面をクリアして 'BootX text' で簡単な設定を表示し、それから
フレームバッファコンソールへの出力とともに起動する、というものです。
LIDS を有効にすると、カーネルは画面のクリアさえ行いません。
これを行うコードを眺めてみましたが、理解の及ぶ範囲では、メモリに
書き込みしているだけです。これがどれほど核心に近いかはわかりません。


<!--As far as i know, lids should not be active until much later.  So this
would either be caused by a fundamental code modification LIDS performs
that I do not understand, or a possible feature that prevents the kernel to
boot normally on my system.-->
私の知る限り、LIDS はずっと後になるまでアクティブにはならないはずです。
ですから、これは LIDS が行う、私には理解できない基本的なコード変更か、
カーネルが私のシステム上で起動するのを妨げる機能かによって起きている
のでしょう。


<!--I am unaware of any other efforts to run LIDS on powerpc at this time.
I am willing to lend my time when available to test theories and
modifications people may have to add support to LIDS for the
increasingly popular PowerPC architecure.-->
現時点において、PowerPC 上で LIDS を動かそうとしているという話を私は
知りません。誰かが、ますます広がりつつある PowerPC アーキテクチャ用に
LIDS をサポートせねばならないかも知れないなら、その構想や修正をテストする時間があれば、喜んでさし出すつもりです。


<!--As it stands, after writing this, I think I will try disabling the BootX
text option and see what happens.  Attached is my kernel config (bz2)
before this modification.-->
現状では、これを書いた後で、BootX の text オプションを無効にしてみて、
何がおきるか見てみようと思っています。添付したのは、この修正を行う前の
カーネルコンフィグ (bz2) です。


<!--Thank you all for your time and consideration.-->
日頃のご厚情に感謝します。
</screen>
</para>

<para id="powerpc-status-update">
<emphasis><!--Update:-->更新：</emphasis><!-- Joseph P. Garcia was able to get LIDS working on the PowerPC.  He did this by reducing the maximum number of objects that LIDS will manage from 1024 to 512 in his kernel configuration.-->
Joseph P. Garcia は、 PowerPC 上で LIDS を動かす事に成功しました。彼は
カーネル設定の中で、 LIDS が管理する object を 1024 から 512 に減らしたそうです。
</para>
</sect1>

<sect1 id="LIDS-version-question">
<title><!--What is the difference between the 0.x, 1.x and 2.x versions of LIDS?-->LIDS のバージョン 0.x, 1.x と 2.x との違いは何ですか？</title>

<para>
<!--LIDS <literal> 0.x </literal> is for the <literal> 2.2.x </literal> Linux kernel, LIDS <literal> 1.x </literal> is for the <literal> 2.4.x </literal> Linux kernel and LIDS <literal> 2.x </literal> is for the <literal> 2.5.x </literal> Linux kernel.-->
LIDS <literal>0.x</literal> は Linux カーネル <literal>2.2.x</literal> 向け、LIDS <literal>1.x</literal> は Linux カーネル <literal>2.4.x</literal> 向け、LIDS <literal> 2.x </literal> は Linux カーネル <literal> 2.5.x </literal>向けです。

</para>
</sect1>
</chapter>
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->

</book>

