DMZセキュリティ監視とハードニング

CY376: ネットワーク監視・セキュリティ・監査 — 学期末プロジェクト ブルーチーム | タルクワ鉱山技術大学

著者: Kennedy Kumi Holomah インデックス番号: FCM.41.018.148.23 学生ID: 9013004623

概要

このプロジェクトは、隔離されたVMware Workstationラボ内で、pfSenseファイアウォールの背後に公開用Ubuntu/Apache Webサーバーをホストする非武装地帯（DMZ）を構築、保護、監視するものです。これはタルクワ鉱山技術大学のCY376（ネットワーク監視・セキュリティ・監査）のブルーチーム演習として構築され、単独の対策ではなく防御ライフサイクル全体を示しています。すなわち、セグメント化されたネットワーク境界、その境界でのインライン検知、特定のCVEに対する実際のエクスプロイト試行、自動化された是正、そして修正が実際にギャップを埋めたことの再検証です。

このプロジェクトは、各防御レイヤーを設定スクリーンショットだけでなく証拠と意図的に対応付けています。Suricataの検知がライブのShellshockエクスプロイト試行をリアルタイムで捕捉する様子、ハードニング適用後に同じペイロードが完全に失敗する様子、さらに作業中に遭遇した非自明なインフラ問題（ハードウェアオフロード設定がパケットキャプチャを静かにブロックする、デフォルトのHOME_NETスコープが方向性シグネチャを静かに壊す、ハードニングスクリプト自身のパーミッションロックダウンが保護対象のサーバーを壊す）が、それ自体が調査結果として文書化されており、編集で削除されることはありません。

• 検知: SuricataはEmerging Threats（ET）Openルールセットを使用してDMZインターフェース上でインライン（IPSモード）で動作し、HOME_NETがDMZサブネットに正しくスコープされているため、LAN発の攻撃トラフィックは外部として扱われます。
• 悪用と検証: 実際のCVEマッピング済みエクスプロイト（CVE-2014-6271、「Shellshock」）がKali攻撃者からDMZホストに対して実行されます。Suricataはこれを検知し（SID 2022028）、カスタムドロップルールで能動的にブロックできます。
• ハードニング: 冪等なBashスクリプト（scripts/dmz_web_hardening.sh）がBashにパッチを適用し、Shellshockが依存するCGIハンドラーを無効化し、SSHをLANに制限し、ホストファイアウォール（UFW）とfail2banを有効化し、Webルートのパーミッションをロックダウンします。
• 再検証: ハードニング後に同じShellshockペイロードが再実行され、実行されずにHTTP 404を返し、脆弱性が閉じられたことを確認します。
• 監視: Wazuhマネージャー（OVAアプライアンス）がLAN上に展開され、集中ログ収集とファイル整合性監視を行います。DMZエージェントの登録は進行中の次のステップです。

完全なレポート、証拠スクリーンショット、分析: docs/CY376_DMZ_Report_Kennedy_Kumi_Holomah.pdf

使用ツール

• VMware Workstation — 隔離されたホストオンリーラボ（WAN/LAN/DMZ VMネット）
• pfSense（コミュニティエディション） — ファイアウォール、ルーティング、WAN/LAN/DMZセグメンテーション
• Suricata（pfSenseパッケージ）— DMZインターフェース上のインラインIDS/IPS
• Emerging Threats（ET）Openルールセット — シグネチャカバレッジ
• Kali Linux — 攻撃者ホスト（Nmap、curlベースのエクスプロイト）
• Ubuntu Server + Apache — DMZ Webサーバー（ターゲット／保護対象資産）
• Wazuh（OVAアプライアンス）— 集中ログ収集とファイル整合性監視
• UFW、fail2ban、unattended-upgrades — DMZサーバー上のホストレベルのハードニング

ラボトポロジ

すべてのセグメント間トラフィックはpfSenseのみを通過します。ファイアウォールを迂回する経路はありません。

リポジトリ構造

.
├── README.md
├── .gitignore
├── scripts/
│   └── dmz_web_hardening.sh   # Host hardening script for the DMZ web server
├── docs/
│   └── CY376_DMZ_Report_Kennedy_Kumi_Holomah.pdf   # Full project report
└── evidence/
    └── figure01_lab_topology.png ... figure11_wazuh_dashboard.png
        # The 11 captioned screenshots from the report, numbered to match
        # the figure numbers used throughout docs/CY376_DMZ_Report_*.pdf

ハードニングスクリプトの使用方法

scripts/dmz_web_hardening.shはDMZのUbuntu/Apacheホストを対象としています。再実行しても安全なように設計されています。触れるすべての設定ファイルは最初にバックアップされ（.bak-YYYYmmdd-HHMMSSサフィックス）、すべての操作は/var/log配下のタイムスタンプ付きファイルにログ記録されます。

# On the DMZ web server
sudo bash scripts/dmz_web_hardening.sh

実行前に、スクリプト先頭のCONFIGセクション（LANサブネット、HTTP/HTTPSポート）を確認し、自身のトポロジに合わせてください。

実行内容:

1. システムパッケージを更新し、Bashを明示的にパッチします（CVE-2014-6271の実際の修正）。
2. SSHが存在する場合はハードニングします（rootログインとパスワード認証を無効化し、LANサブネットに制限）。
3. UFWを設定します：デフォルトでインバウンド拒否、HTTP/HTTPSを開放、SSHをLANに制限。
4. Apacheをハードニングします：バージョンバナーを非表示にし、ディレクトリリスティングを無効化し、mod_cgi/mod_cgidの無効化を促し（Shellshockの攻撃対象領域を完全に除去）、Webルートの所有者/パーミッションをロックダウンします。
5. SSHおよびApache固有のjail用にfail2banをインストールおよび設定します。
6. 自動セキュリティアップグレード（unattended-upgrades）を有効化します。
7. レガシーで高リスクなサービス（telnet、ftp、rsh）が存在する場合は削除します。

完了サマリーが最後に出力され、各ステップの詳細はレポートに記載されています。

主要な結果

既知の制限事項

• SuricataのSID管理の変更（SID 2022028をアラートのみからアクティブドロップに変換）は、pfSense GUIでのルール再構築後も維持されませんでした — 未解決の問題として記録されています。
• DMZホストに対するWazuhエージェントの登録は開始されましたが、執筆時点では報告がまだ確認されていません。
• 検知は1つのよく文書化されたCVEに対して検証されました。ET Openルールセットの新規/アプリケーション固有の脆弱性への対応は、このラボの対象外です。

詳細な議論については、レポートのセクション6（分析と推奨事項）を参照してください。

参考文献

• MITRE ATT&CK T1190 — 公開アプリケーションの悪用
• NVD — CVE-2014-6271
• pfSenseドキュメント
• Suricataユーザーガイド
• Emerging Threats Openルールセット
• Wazuhドキュメント