OpenVAS 脆弱性分析・インシデント対応レポート

現実世界シミュレーション: FTP サービスの悪用 (ProFTPD CVE-2015-3306)

📌 概要

このプロジェクトは、管理されたラボ環境で OpenVAS（Greenbone Vulnerability Manager） を使用した、脆弱性評価とインシデント対応の完全なサイクルワークフローを示しています。

当初の目的は、既知のFTP脆弱性（vsftpd バックドア）を特定することでした。しかし、実際の分析と検証を通じて、異なる重大な脆弱性 が発見・調査されました。これは、仮定に基づく報告ではなく、実際のアナリストの意思決定を反映しています。

主な成果

重大な脆弱性（CVE-2015-3306） をProFTPDで特定
手動検証（Netcat） による発見の確認
リスクベースの分析と是正計画 の実施
MITRE ATT&CK の手法 へのマッピング
構造化されたインシデント対応レポート の作成

このプロジェクトの重要性

実際の環境では、脆弱性は期待通りに一致するとは限りません。

このプロジェクトが示すこと:

仮定ではなく証拠に基づく分析
手動技術によるスキャン結果の検証
技術的な発見をビジネスリスクに変換する能力
関係者に対する明確でプロフェッショナルな報告

🖥️ 実験環境

コンポーネント	説明
攻撃端末	Kali Linux
ターゲットシステム	Metasploitable (192.168.56.123)
スキャナ	OpenVAS (Greenbone)
検証ツール	Netcat
特定されたサービス	ProFTPD 1.3.5

🔍 特定された脆弱性

CVE-2015-3306 – ProFTPD mod_copy 認証なしファイルコピー

📊 詳細

サービス: FTP (ProFTPD)
ポート: 21/tcp
深刻度: 重大
悪用タイプ: 認証なしファイルアクセス

⚠️ 影響

認証されていないファイルコピー（例: /etc/passwd）
潜在的なデータ漏洩
リモートコード実行（RCE） への可能性のあるエスカレーション

検出と検証

OpenVAS による検出

mod_copy 悪用テスト により脆弱性を確認
ファイルコピー試行の実行:
```
/etc/passwd → /tmp/passwd.copy
```

手動検証

nc 192.168.56.123 21

結果:

220 ProFTPD 1.3.5 Server

システムが ProFTPD を実行していることを確認（vsftpd ではない）

重要な洞察（批判的思考）

このラボでは vsftpd バックドア の検出が期待されていましたが、実際には 存在しませんでした。

期待される結果に無理に合わせる代わりに、このプロジェクトでは:

実際に動作しているサービスを特定
存在する実際の脆弱性を調査
証拠に基づき、仮定ではなく 報告

これは、実際のSOCアナリストの行動を反映しています。

MITRE ATT&CK マッピング

戦術	手法	ID
初期アクセス	公開アプリケーションの悪用	T1190
収集	ローカルシステムからのデータ	T1005
コマンド＆コントロール	侵入ツールの転送	T1105

封じ込め対策

FTPアクセス（ポート21）を制限
安全でないコマンドをブロックするファイアウォールルールを適用
内部ネットワークへの露出を制限
不審なアクティビティのためのログ監視を開始

是正措置

脆弱な mod_copy モジュールを無効化
ProFTPD をアップデート/パッチ適用
FTP を 安全な代替手段（SFTP） に置き換え
認証管理を強化
システムを再スキャンして修正を確認

得られた教訓

期待される脆弱性 に依存せず、すべてを検証すること
分析前にサービス列挙が重要
デフォルトまたは設定ミスのあるサービスは大きなリスクを生じる
脆弱性スキャンは 手動検証 と組み合わせる必要がある

推奨事項

戦術的

72時間以内 に重大な脆弱性にパッチを適用
FTPのような安全でないサービスを無効化
不要な外部露出を制限

戦略的

認証済み脆弱性スキャン を導入
監視のために SIEM（例：Splunk） を統合
ネットワークセグメンテーション を適用
脆弱性管理ライフサイクルを確立

証拠資料

OpenVAS スキャン結果
Netcat サービス検証
CVE 文書 (CVE-2015-3306)
検出 OID: 1.3.6.1.4.1.25623.1.0.105254

最後に

このプロジェクトはツールの使用を超え、次の能力を示しています:

アナリストのように考え、エンジニアのように検証し、プロフェッショナルのようにコミュニケーションする。

次のステップ

ログ相関のために Splunk を統合
悪用 + 検出ワークフローのシミュレーション
完全な 脅威ハンティングシナリオ への拡張

著者

サイバーセキュリティアナリスト（継続的に学習中） SOC運用、脅威検知、脆弱性管理に重点を置く

人気

OpenVAS-Vulnerability-Analysis-Incident-Response-Report