UNIX エンドポイント管理ガイド › 包括的なセキュリティ機能 › アイドル状態の端末の保護

アイドル状態の端末の保護

端末がオープンかつアクティブなままで放置されている場合、情報は極めて無防備な状態となります。 このような端末に（昼食時間などに）遭遇した侵入者は、サイトのすべての端末がすでにログイン済みで使用可能な状態であるため、パスワードの突破やネットワーク回線での盗聴を行うための複雑なツールを用意する必要がありません。 パスワードを入力しなければデスクトップを復元できないスクリーン セーバは役に立ちますが、セキュリティ管理者がすべてのユーザに安全なスクリーン セーバを確実に使用させることは不可能です。

CA ControlMinder には、selock というスクリーン ロック ユーティリティが用意されています。このユーティリティは、アイドル状態が指定した時間を超過したすべての端末をロックすることで、それらの端末を保護します。 作業に戻るときに、ユーザはパスワードを指定するように求められます。 1 分以内に適切なパスワードが入力されない場合、端末はロックされた状態になります。 selock ユーティリィティは、画面のロックを解除する権限を持つユーザが selock の起動中にパスワードを変更していても、それらのユーザのパスワードを確認できます。

注： スクリーン ロック ユーティリティの詳細については、「リファレンス ガイド」を参照してください。

要件に適合する selock オプションを使用する必要があります。

• 低いセキュリティ、高い利便性

  -timeout オプションを使用してタイムアウトを大きな値（10 分など）に設定し、-lock‑timeout オプションを使用してロック タイムアウトをさらに大きな値（60 分など）に設定します。 この設定では、selock によるセーバモードへの移行による必要以上な作業の中断を回避します。 また、延長時間内に端末が操作されなかった場合のみ、画面がロックされます。

• 高いセキュリティ、低い利便性

  -timeout オプションを使用してタイムアウトを小さな値（1 分など）に設定し、-lock‑timeout オプションを使用してロック タイムアウトを小さな値（0 ～2 分）に設定します。 この設定では、端末へのアクセスを終了するとただちに作業内容が非表示になり、アクセスを再開するためにはパスワードが必要です。 セーバ モードの開始後、端末を再びアクティブにするときに selock が常にパスワードの入力を要求するようにするには、-lock‑timeout オプションでロック タイムアウトを 0 に設定します。

• selock コマンドは、X スタートアップ シェルの一部に設定できます。この場合、ユーザがシステムにログインするたびに、selock が自動的に起動します。 スクリプトは、root ID ではなく、ユーザ ID で実行する必要があります。 selock コマンドをスタートアップ スクリプトで指定する方法は、サイトの環境によって異なります。

  注： スタートアップ スクリプトの詳細については、ご使用の UNIX システムのマニュアルを参照してください。