5.9. なぜ、単純にログローテーションユーティリティにログファイルのあるディレクトリへの書きこみ許可を与える方法で、それらをローテートするようにしてはいけないのですか？

しても構いませんが、お勧めしません。誰かがシステムに侵入し、例え彼らがログを変更することができなくても、侵入の間に集められた情報を持ったログが地上から姿を消すまで、(ログローテーションユーティリティを手動で実行して) ローテートを必要なだけ繰り返すことができます。これは、高度なセキュリティのために支払うべき代価の一部なのです。

ログローテーションユーティリティに /var/log への書きこみアクセスをさせる別解としては、cron デーモンに /var/log への書きこみ許可を与え、それを継承可能とする方法があります。

lidsconf -A -s /usr/sbin/crond -i -o /var/log -j WRITE

これで、誰かが手動でログローテーションユーティリティを実行することはできませんが、cron デーモンによって実行された時は動作するようになります。 警告： cron デーモンに脆弱性が見つかった場合は、誰かがそこを突くと、cron が /var/log への書きこみ権をもっているためにログを一掃できてしまいます。これは、そもそも MAC を用いる目的を無為にします。なにしろ、脆弱性が見つかれば、今やアクセス制御は迂回され得るのですから。このオプションは自己責任のもとに使うように！

更新： 新しい 時間制限 機能のため、crond が /var/log に書きこみ権限をもっているなら、それを特定の時間帯に制限するのをお勧めします。例えば、logrotated が crond によって毎日 6:00 AM に実行されるなら、crond の書きこみ権限を 1 分間に制限します −

/sbin/lidsconf -A -s /usr/sbin/crond -i 2 -o /var/log -t 0600-0601 -j WRITE

1 分が十分な長さでないなら、logrotated が無事実行を終えるまで、時間を 1 分づつ増やしてください。