jhatchi/nexacorp-dfir-inc-2026-001DFIR調査 + シミュレーションされたNexaCorp侵入（vsftpd 2.3.4 CVE-2011-2523 + MITRE Caldera C2）に対する7つのSuricataルール。4日間の単独エンゲージメント（BeCode Brussels Mission 01）。54ページのレポート、10件の調査結果、7/7ルールがPCAPリプレイで検証済み。
NexaCorp インフラストラクチャに対する模擬侵入の DFIR 調査と検知エンジニアリング。BeCode Brussels Blue & Red Team ブートキャンプ（Mission 01）の 4 日間ソロエンゲージメントとして実施。成果物は 54 ページの調査報告書（PDF）と、PCAP リプレイで捕捉されたインシデントを検知する検証済み Suricata ルール 7 件です。
このリポジトリは、BeCode Cybersecurity Bootcamp（2025-2026 年次）の一環として実施された SOC アナリストのエンゲージメントを文書化したものです。ネットワークとログの証拠から完全な侵入を再構築し、検証済みの Suricata 検知ルール一式を提供します。NexaCorp DFIR シリーズの最初のインシデントです。
これは架空のインフラストラクチャに対するラボエンゲージメントです。 NexaCorp は BeCode Brussels Mission 01 のシナリオとして使用される架空のクライアントです。侵害されたホストは、セキュリティトレーニング用に意図的に脆弱性を持たせた Metasploitable 2 VM であり、Caldera Sandcat インプラントは、実際の侵入者のビーコントラフィックがどのようなものかをアナリストに教えるラボの一部です。実際の組織、ネットワーク、人物は攻撃されていません。
このレポートで公開されているすべての IP アドレス、ホスト名、侵害指標（172.16.50.10、192.168.10.10、10.40.0.200、blue11、mesdec など）はラボ内限定の成果物であり、実際の脅威インテリジェンスではありません。これらを IOC として SIEM に取り込まないでください。
公開は 2026-05-17 に BeCode ラボコーチ（Thomas B.）によって承認されました。完全な機密保持声明は調査報告書（「配布と分類」セクション）に記載されています。
| エンゲージメントメタデータ | 値 |
|---|---|
| 参照 | BCC-2026 / INC-2026-001 |
| 期間 | 4 日間（ソロ） |
| フェーズ | DFIR（フォレンジック）+ 検知エンジニアリング |
| 納品日 | 2026-05-15 |
| ステータス | 完了（フェーズ 1 + フェーズ 2） |
| 調査成果 | 値 |
|---|---|
| 調査結果 | 10（CRITICAL 3 件、HIGH 3 件、MEDIUM 2 件、LOW 2 件） |
| マッピングした MITRE ATT&CK テクニック | 14 |
| 分析したネットワークキャプチャ | 5時間31分にわたる 5,194 パケット（943 KB PCAP） |
| 相関付けした Wazuh イベント | エージェント 020 から 397 件 |
| 作成した Suricata ルール | 7（SID 9000001-9000007） |
| PCAP リプレイで検証済みのルール | 7/7（fast.log アラート 40 件、eve.json レコード 314 件） |
シナリオ（架空）。 中規模企業クライアントである NexaCorp は、内部監視で社内 Linux サーバーの 1 台からの予期しないアウトバウンドトラフィックが検知された後、BeCode Corp のブルーチームに連絡しました。ファイアウォールはトラフィックを記録しましたが、対応可能なアラートは発生しませんでした。経営陣は、開示と規制当局への通知を決定する前に、判断材料を必要としていました。
任務。 疑わしいインシデント期間を調査し、攻撃者の侵入経路と侵害後の活動を特徴づけ、既存の検知スタックが検知したもの（および見逃したもの）を評価し、優先順位付けされた是正計画を提供します。第 2 フェーズでは検知エンジニアリングを追加しました。再発をリアルタイムで検知できる、すぐに導入可能なネットワーク IDS ルールの作成です。
クライアントから受け取った証拠パッケージ。
| 証跡 | 対象期間 | 備考 |
|---|---|---|
| ネットワークキャプチャ（PCAP） | 2026-05-09 20:08 から 2026-05-10 01:39 UTC（5時間31分、5,194 パケット） | インシデント途中から始まる。フレーム 1 でインプラントがすでにビーコン送信中 |
| ホスト認証ログ | 2026-05-10 06:47 UTC 以降 | インシデント後のみ（PCAP 終了後約 5 時間のギャップあり） |
| ホスト syslog | 2026-05-10 06:37 UTC 以降 | 最初のエントリは syslogd restart で、VM の再起動を示唆 |
| SIEM アラートエクスポート（Wazuh） | n/a | ファイルはデータではなく HTTP 404 レスポンスだった。その後、ダッシュボードの直接クエリで 397 イベントを回収 |
教育的背景。 このエンゲージメントは、**BeCode Brussels Blue & Red Team ブートキャンプ（2025 年 11 月〜2026 年 9 月）**の Mission 01 として実施されました。実際の DFIR コンサルティングエンゲージメントを模した、ソロかつ時間制限付きの調査です。ラボインフラストラクチャ、NexaCorp の身元、IOC 値は意図的に架空のものです。方法論、ツール、レポート形式は、実世界の標準（NIST SP 800-61r2、SANS PICERL、MITRE ATT&CK）に従っています。
📄 完全版 54 ページの調査報告書が正式な成果物です。 PDF をダウンロード（215 KB）、または Markdown ソースを参照して grep / 引用に使用できます。
2026-05-09 22:53 UTC の夜、外部攻撃者（172.16.50.10）が CVE-2011-2523、つまり vsftpd 2.3.4（2011 年 7 月以降、侵害が公に文書化されているビルド）に存在するバックドアを悪用して、NexaCorp の内部サーバー（192.168.10.10）を侵害しました。:) で終わる単一の FTP USER リクエストが、TCP/6200 で認証不要の root バインドシェルを起動しました。攻撃者は 20 秒間のセッションで 8 件の偵察コマンドを実行し（永続化なし、データ持ち出しなし、このアクセスベクトルによる横展開なし）、切断しました。
一方、同じホストには、既存の MITRE Caldera「Sandcat」エージェントが /opt/caldera/sandcat（root、デーモン化）で実行されており、キャプチャ期間を通じて 40〜50 秒ごとに平文 HTTP で 10.40.0.200:8888 へビーコンを送信していることが判明しました。これはクライアントが当初フラグを立てた「異常なアウトバウンド接続」であり、証拠パッケージに含まれていない以前の侵害を示しています（インプラントは最初の PCAP フレームで既にアクティブでした）。
既存の Wazuh SIEM はターゲットホストから 397 件のイベントを取り込みましたが、発生したアラートは 4 件の高重大度アラート（全体の 1.0%）のみで、すべて汎用のブルートフォース（MITRE T1110）として分類されました。CVE-2011-2523 のエクスプロイトペイロード、TCP/6200 のバインドシェル、Caldera C2 チャネルを特定したものはありませんでした。エクスプロイトのバイト列（USER baduser:)）は vsftpd 自体によってログに記録されることはなく、SIEM には残りを確認できるネットワークテレメトリがありませんでした。フェーズ 2 で提供された 7 件の Suricata ルールが、この 3 つのギャップすべてを埋めます。
主要 IOC（ラボ限定。実際の SIEM には取り込まないでください）:
| 種別 | 値 | コンテキスト |
|---|---|---|
| 送信元 IP（攻撃者） | 172.16.50.10 | vsftpd エクスプロイト、マルチプロトコル偵察、SSH ブルートフォース |
| ターゲット IP | 192.168.10.10 | 侵害された内部サーバー（Metasploitable 2） |
| C2 IP | 10.40.0.200:8888 | Caldera Sandcat コマンド&コントロール |
| バックドアポート | 6200/tcp | CVE-2011-2523 root バインドシェル |
| エクスプロイトペイロード | :) で終わる FTP USER | バックドアトリガーパターン |
捕捉されたインシデントには、PCAP から再構築された 2 つの異なる経路があります:
vsftpd 2.3.4 が、内部ネットワーク上で到達可能でした（Finding I1）。:) で終わる単一の FTP USER リクエストがバックドアをトリガーしました（Finding I3）。10.40.0.200:8888 へすでにビーコンを送信していました。これは、証拠バンドルに含まれていない以前の侵害の証拠です（Finding I5）。このリポジトリは、役割に応じて適切な深さで読み進められるように構成されています:
| 立場 | 読み始める場所 | 所要時間 |
|---|---|---|
| 採用担当者または人事マネージャー | この README + PDF のエグゼクティブサマリーに目を通す | 5 分 |
| 適性を評価する SOC アナリスト | PDF のセクション 5（検知ギャップ）と 8（検知エンジニアリング） + detection/lab.rules | 20 分 |
| DFIR 実務者 | 完全版 PDF + 調査の足跡用の notes/journal.md | 60 分 |
| 検知エンジニア | detection/lab.rules + デプロイとリプレイ検証用の detection/README.md | 30 分 |
| grep、引用、diff を行いたい人 | レポートの Markdown ソース | 必要に応じて |
正式な成果物: reports/ 内の PDF。Markdown ソースは同一の内容で、検索可能性とバージョン管理のためにリポジトリに保持されています。
調査の足跡: notes/journal.md はアナリストの作業ノートです（検証・棄却された仮説、証拠の目録、計画の状況）。結論そのものだけでなく、どのように結論に至ったかを示すことで、正式なレポートを補完します。
検知ルールセット: detection/lab.rules には、インラインコメントでキーワードごとの完全な根拠とともに 7 件の Suricata ルールが含まれています。detection/README.md は、各ルールが捕捉されたインシデントで発火することを確認するために使用した、デプロイとリプレイの検証ワークフローを文書化しています。
このエンゲージメントは、3 つの業界標準フレームワークを重ね合わせて構成されています。