プロジェクト5 — オフェンシブセキュリティ＆アドバーサリエミュレーション

5つのプロジェクトからなるホームラボSOC構築の一環：構築 → 検知＆強化 → 調査 → 監視＆ハンティング → 攻撃＆クロスチェック。

このプロジェクトは、プロジェクト1〜4で欠けていた全体像の半分を補うものです。これまでのすべてはブルーチーム（検知の構築、インシデントの調査、ネットワークデータのハンティング）でした。今回は攻撃者の立場に立ちます — 実際に文書化された脆弱性に対する偵察、エクスプロイト、侵害後活動 — そして、既存のSOCに戻って、実際に何を検知できたのかを評価します。

概要

攻撃チェーン概要

Recon (Nmap)  →  Exploit (Metasploit: vsftpd backdoor)  →  Root shell (Meterpreter)
     →  Dump /etc/shadow  →  Crack hash (John)  →  Verify via SSH login
     →  Cross-check against Wazuh / Suricata / Zeek

主な発見

1. 2011年のCVEが、現在でも完全で現実的な攻撃チェーンを提供する — 初期偵察からルートアクセス、認証情報の露出まで、未パッチのホストでは最新の堅牢化が何も妨げになりません。
2. ルートアクセスは物語の終わりではなく、新たな物語の始まりです。 ルート権限によりパスワードハッシュのダンプが可能になり、その1つ（msfadmin:msfadmin）を即座に解読して、通常のSSH経由でシステムへの2つ目の独立したアクセス経路として機能することを証明しました — つまり、FTPのバグにパッチを当てるだけでは、このホストを完全に保護できないということです。
3. 標的にはホストベースのSOC可視性がまったくありませんでした。 MetasploitableにはWazuhエージェントがインストールされていなかったため、エクスプロイト、ルートシェル、認証情報へのアクセスは、ホストベースの監視では完全に見えませんでした — 「監視していないものは検知できない」ことの直接的な実例です。
4. ネットワークベースの監視（Zeek）だけが利用可能な可視化レイヤーでした — そして、それを動作させる過程で、4〜5個の独立したバグの連鎖が明らかになりました。誤ったネットワークインターフェース、古い設定パス、ソフト再起動ではなく完全な再起動が必要なエージェントなどです。詳細は docs/04-blue-team-cross-check.md を参照してください。
5. Suricata（シグネチャベース）は、有効な認証情報によるSSHログインに対して正しく沈黙を守りました — これはシグネチャベース検知の限界に関する正当な発見であり、ギャップではありません。

ドキュメント

• docs/01-reconnaissance.md — Nmapスキャン、脆弱性の特定
• docs/02-exploitation.md — Metasploitモジュールの選択とエクスプロイト
• docs/03-post-exploitation.md — 認証情報のダンプ、解読、検証
• docs/04-blue-team-cross-check.md — SOC検知ギャップの分析と、その背後にある実際のデバッグの連鎖

ラボ環境

• Kali — 物理ホスト兼攻撃マシン（Nmap、Metasploit、John the Ripper、Suricata、Zeek）
• Metasploitable2 — 意図的に脆弱な標的VM
• ネットワーク — VirtualBox Host-only Adapter（192.168.56.x）。プロジェクト4で導入したのと同じネットワークで、Kali（ホスト）が標的との間のトラフィックに直接到達して監視できるようにしています
• 既存SOC（プロジェクト1〜4） — Wazuh SIEM、Suricata IDS、Zeek NSM。ここでは純粋にこの演習の「ブルーチーム」側として使用します

スクリーンショット

screenshots/ を参照してください。フェーズごとに整理されています。