Threat Modeling

このケーススタディは、接続されたITおよびOTシステムを備えた匿名化された本番環境を調査します。資産、通信経路、トラストバウンダリが記録され、STRIDEで分析され、MITRE ATT&CK EnterpriseおよびICSの関連するテクニックにマッピングされます。定性的なリスクモデルは、特にラテラルムーブメントと生産停止を優先します。

IT/OTネットワークセグメンテーション

ゲートウェイは、オフィスセグメントとシミュレートされたOT/SCADAセグメントを分離します。フォワーディングポリシーはホワイトリスト原則に従います。確立された戻りトラフィックと明示的に許可されたサービスは通過し、許可されていないトラフィックはDROPの前にログ記録されます。Nmap、管理されたテストトラフィック、ファイアウォールカウンタ、ログがルールと戻り経路を検証します。

Snout Detection

Snort構成は適切なHOME_NETを定義し、ラボ内でTCP/UDP偵察、OTセグメントへのICMP、繰り返し発生するSSH接続試行を検出します。ルールは検出エンジニアリングを実証します。しきい値は本番ネットワーク向けに調整する必要があります。

CVE-2026-9082 Detection Lab

Nucleiテンプレートは、3つのローカルインスタンスに対して検証されます。

MariaDBインスタンスは重要な陰性対照です。陽性対照と同じDrupalバージョンを使用しますが、PostgreSQL固有のクエリパスには影響を受けません。これにより、プロファイルが単なるバージョン識別以上の機能を果たすかどうかが検証されます。

テクノロジー

iptables · Snort · Nuclei · Docker Compose · Drupal · PostgreSQL · MariaDB

私の貢献

私の作業には特に以下が含まれます。

• 脅威およびリスク分析;
• 抽象化されたデータフロー図と匿名化されたリスクレジスタ;
• iptablesおよびSnortルールの開発とテスト;
• テストコンセプトと匿名化された評価;
• Nucleiテンプレートの開発;
• 陽性対照と2つの陰性対照による3インスタンス検証;
• 偽陽性/偽陰性分析; および
• 学んだ教訓の文書化。

再現性

サブプロジェクトは、前提条件、構成、テスト手順を文書化しています。DrupalラボはDocker ComposeとNucleiを使用します。セグメンテーションラボには、管理者権限を持つ分離されたLinuxシステムまたはVMが必要です。長いHTTP生レスポンスとデスクトップメタデータは、意図的に公開エビデンスの一部ではありません。

セキュリティと倫理

アクティブなテストは、自身のシステムまたは明示的に許可されたシステムに対してのみ実行できます。Nucleiプロファイルは検出指向であり、データを抽出せず、アプリケーションエントリを変更しません。非破壊的なリクエストでもログが生成される可能性があります。ファイアウォールスクリプトはアクティブなルールを置き換えるため、分離されたラボでのみ実行できます。

知見

• リスク値は、文書化された前提条件とビジネスコンテキストがある場合にのみ有用です。
• セグメンテーションは、ルーティングと戻りトラフィックを考慮し、実際にテストする必要があります。
• 検出ルールには陽性および陰性の対照が必要です。
• エラーベースの検出は正確であり得ますが、エラーメッセージが抑制されると偽陰性が発生する可能性があります。

大学の文脈

この作業は、THWSのセキュリティオペレーションモジュールの一環として作成されました。公開されるのは、新たに記述された独自の分析とラボアーティファクトであり、課題、講義スライド、提供されたネットワーク図、または完全な提出物ではありません。