VCSA 堅牢化 & ロギングテーマ

VMware vCenter Server Appliance（VCSA）向けの自動堅牢化スクリプト。ゼロトラストネットワークセグメンテーションと高度なフォレンジック監査を強制します。

このツールは、仮想化インフラを標的とする高度な持続的脅威（APT）や破壊的なキャンペーンに関連する重大なリスクを軽減するように設計されています。厳格なレイヤ3/4マイクロセグメンテーションとフォレンジックコマンドログを強制することで、横移動、コマンド＆コントロール（C2）ビーコン、フォレンジック対策の改ざんといった一般的な攻撃ベクトルを無効化します。これにより、攻撃者がVCSAを足場にして基盤となるESXiハイパーバイザを侵害したり、広範囲にわたるインフラ破壊を実行したりするのを防ぎます。

重要な免責事項

実行前にお読みください: このツールは、標準のVAMIインターフェースをバイパスして、OSカーネルレベルでVCSAのiptables構成を変更します。

1. サポート性: これらの変更はデフォルトの状態から逸脱しており、VMwareサポート契約に影響を与える可能性があります。
2. ロックアウトのリスク: 正しくない設定は、即座にネットワークが隔離される原因となります。IP許可リストを誤って構成した場合は、物理/コンソールアクセス（ESXi/iDRAC）が必要です。
3. バックアップ: このスクリプトを実行する前に、ファイルレベルのバックアップまたはスナップショットが存在することを確認してください。

概要

VCSA Hardening & Logging Toolは、vCenterサーバーのセキュリティポスチャを「デフォルト許可」モデルから「デフォルト拒否」（ゼロトラスト）モデルに移行します。ネイティブのLinux制御を利用して、外部のハードウェアファイアウォールを必要とせずに堅牢化された管理プレーンを作成します。

これは、vCenterアプライアンスをTier-0資産とみなす高セキュリティ環境向けに設計されています。

主な機能

• レイヤ3/4マイクロセグメンテーション: 管理ポート（SSH/22、Web/443、VAMI/5480）への受信接続を、明示的にホワイトリストに登録されていない限りすべてドロップします。
• フォレンジックコマンド監査: rootシェルプロファイルをパッチし、管理者が入力したすべてのbashコマンドをSyslogに記録します（例: cmd="rm -rf /"）。
• 横移動対策: VCSAが重要でない内部ネットワークと通信するのを防ぎます（「ピボット」攻撃の阻止）。
• 発信制御: インターネットアクセスをブロックするか、厳格な発信ホワイトリストを強制してデータ流出を防ぐオプション。
• レート制限: 1分間に6回以上の接続を試みるIPを禁止する、インテリジェントなブルートフォース対策。

実行前チェックリスト

以下の事項が確認されるまで続行しないでください:

• コンソールアクセス: ESXi Webコンソール（「Break Glass」方法）を介してVCSAにアクセスできることを確認済み。
• Syslog設定済み: VAMI（ポート5480）でリモートSyslogが設定されている必要があります。このスクリプトは、内部ファイアウォールログを既存のVAMI Syslog設定にブリッジします。
• IPインベントリ: 以下の具体的なIPアドレスを把握していること:
  • 管理ワークステーション / ジャンプホスト（PAW）
  • ESXi管理サブネット
  • バックアップサーバー（Veeam、NetWorker、Commvault）
  • コアサービス（DNS、NTP、AD）

設定

vcsa-hardening.shをテキストエディタで開きます。START CONFIGURATIONブロックを変更する必要があります。

1. 信頼済みIPの定義（必須）

配列を編集して、INを許可するIPを定義します。

# SSHログインを許可するIP（ポート22）
TRUSTED_SSH_IPS=( "192.168.10.50" ) # 管理PAWのみ

# Web UI / APIへのアクセスを許可するIP（ポート443）
# 管理者、ESXiホスト、バックアップサーバーを含める必要があります
TRUSTED_WEB_IPS=( 
  "192.168.10.50"      # 管理PAW
  "10.20.0.0/24"       # ESXi管理サブネット
  "10.50.1.100"        # Veeamサーバー
)

2. レート制限の設定

ファイアウォールが接続頻度を追跡してブルートフォース攻撃を停止するかどうかを制御します。

• ENABLE_RATE_LIMITING=true（デフォルト）: 1分間に6回以上の接続を試みるIPをブロックします。
• ENABLE_RATE_LIMITING=false: 「ノイズの多い」自動バックアップツール（例: NetWorker）など、多数のパラレルストリームを開くツールを使用する場合は無効にします。

3. セキュリティモードの選択

以下のポスチャから1つを選択し、対応するブール変数を切り替えます。

使用方法

1. アップロードと権限設定

scp vcsa-hardening.sh root@<VCSA_IP>:/root/
ssh root@<VCSA_IP>
chmod +x vcsa-hardening.sh

2. ドライラン（検証）

常に最初に実行してください。変更を適用せずにロジックをシミュレートします。

./vcsa-hardening.sh --dry-run

3. 実行

./vcsa-hardening.sh

スクリプトは、ルールを適用する前に現在のSSH IPが信頼済みリストにあることを確認するセーフティチェックを実行します。

検証とログ分析

適用後、スクリプトはログを標準のVMware Syslogストリームにブリッジします。

シェル監査の確認

コマンドを実行し、SHELL_COMMANDタグが付いてログに表示されることを確認します。

# 1. テストコマンドを実行
echo "test_audit_logging"

# 2. ログを確認（正しいタグはSHELL_COMMAND）
journalctl -f | grep SHELL_COMMAND

出力例: vcsa-01 logger: CMD user=root host=vcsa pwd=/root pid=1234 exit=0 cmd="echo test_audit_logging"

ファイアウォールブロックの確認

信頼されていないIP（例: モバイルホットスポット）からSSHを試行し、ログを確認します:

journalctl -f | grep BLOCKED

出力例: kernel: SSH_BLOCKED_NEW: IN=eth0 OUT= MAC=... SRC=1.2.3.4 ...

緊急ロールバック（"Break Glass"）

SSH経由でロックアウトされた場合、以下の手順でVCSAをデフォルトに戻します:

1. ESXiホストWebクライアントまたはiDRACにログインします。
2. VCSA VMのWebコンソールを開きます。
3. rootとしてログインします。
4. shellと入力してBashに入ります。
5. 以下のロールバックスクリプトまたは手動コマンドを実行します:

# 手動ロールバック
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -F
rm /etc/systemd/scripts/ip4save

フィードバック

問題、アイデア、フィードバックがあれば、Issueを開くかPRを送信してください。

ライセンス

Copyright 2026 Google LLC

Licensed under the Apache License, Version 2.0 (the "License"); you may not use this file except in compliance with the License. You may obtain a copy of the License at

https://www.apache.org/licenses/LICENSE-2.0

Unless required by applicable law or agreed to in writing, software distributed under the License is distributed on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. See the License for the specific language governing permissions and limitations under the License.