SecureOps Lab - ライブサイバーセキュリティ評価
概要
大学のLinuxサーバーに対してライブサイバーセキュリティ評価を実施しました。分析中に、ブルートフォース認証試行やLog4Shell（CVE-2021-44228）を標的とした悪用試行を含む、アクティブな攻撃活動が特定されました。
「協調IP」とは、同じサブネットから発信される複数の悪意のあるIPアドレスを指し、共有された攻撃インフラストラクチャや自動化された攻撃ツールが同時にシステムを標的としていることを示しています。
脅威分析と発見事項
ブルートフォース攻撃
- 単一の外部IPから144回のSSHログイン失敗を検出
- パターン分析により、自動化されたクレデンシャルスタッフィングに一致する急速な認証試行が示された
Log4Shell悪用試行
- CVE-2021-44228の悪用試行と一致する悪意のあるペイロードをログで特定
- ソースIPはブルートフォース攻撃者とは異なるが、同じサブネットから発信されており、協調的な活動を示唆
ツールと技術的適用
Nmap
アクティブな偵察と攻撃面の列挙に使用：
- オープンポートと公開されたサービスを特定
- SSHサービスの設定と潜在的なエントリポイントを検出
- 外部から到達可能なサービスのリスクエクスポージャーを評価
Lynis
ホストベースのセキュリティ監査を実行：
- システム硬化スコアを生成（初期：62）
- 認証、ログ記録、サービス権限の誤構成を特定
- コンプライアンスのギャップと権限リスクを強調
カスタムBashスクリプト
セキュリティ監視を自動化するスクリプトを開発：
journaldログを解析して失敗した認証試行を検出- 攻撃パターンと疑わしいIPアクティビティを検出
- SOCスタイルのアラートレポートを生成してインシデントの可視性を向上
リスク評価（GRCアプローチ）
合計 12件のセキュリティ発見事項 が文書化され、分類されました：
- 高リスク：
- 中リスク：
- 弱いアカウント権限構造
- 不十分なログ記録と監視の可視性
- 低リスク：
リスク方法論
- 重大度は以下を使用して評価：
- CVE参照（例：CVE-2021-44228）
- CVSSスコアリング基準
- 可能性対影響分析
是正と強化措置
SSH強化
- ルートログインを無効化（
PermitRootLogin no）
- 認証試行を制限（
MaxAuthTries 3）
- ブルートフォース攻撃面を削減
アイデンティティおよびアクセス管理（IAM）
- すべてのユーザーアカウントを監査
- 不要または非アクティブなアカウントを削除
- 最小権限アクセス制御を実施
システム監視の改善
- journald分析を使用してログの可視性を強化
- Bashスクリプトによる自動アラートを実装
結果
- 12件のセキュリティリスクを特定・文書化
- システム硬化スコアを62から64に改善
- 攻撃面を削減し、アクティブな脅威を軽減
- 反復可能なセキュリティ監視ワークフローを確立
リポジトリ内容
- threat_detection.sh → ブルートフォースおよび不審なログイン試行を検出
- iam_audit.sh → ユーザー権限とアクセス制御を監査
- secureops_master_audit.sh → 完全なシステム監査自動化
- 完全な監査レポート（.txt） → 詳細な発見事項と是正手順
著者
Jordan Dormann
CompTIA Security+
jdormannn/secureops-lab
