IMA (Linux Integrity Measurement)
Linux Integrity Measurement Architecture. Kernel-Feature: hasht alle ausgeführten Dateien und protokolliert ins TPM. Remote Attestation wird möglich — der Beweis, welcher Code tatsächlich gelaufen ist. Von IBM entwickelt, im Mainline-Kernel seit 2.6.30 (2009).
Drei Modi: measurement (nur hashen und protokollieren), appraisal (Hash gegen einen bekannten Gut-Zustand prüfen, Ausführung bei Abweichung verweigern) und audit (sicherheitsrelevante Ereignisse protokollieren). Einsatzgebiet: Hochsicherheitsumgebungen — Behörden, Finanzhandel — in denen belegt werden muss, dass kein unautorisierter Code lief, sowie Mobile-Device-Management-Richtlinien. Moderne Distributionen wie RHEL und openSUSE liefern IMA standardmäßig deaktiviert aus; es braucht explizite Aktivierung und Policy-Konfiguration. Anders als SELinux oder AppArmor, die den Zugriff kontrollieren, prüft IMA die Integrität. Der Performance-Overhead liegt je nach Policy-Komplexität bei 5–20 %.