sarjanpatel22/siem-threat-detection-labブルーチームSIEMラボ：Wazuh 4.7.5 が7種類の模擬攻撃（SSHブルートフォース、Slowloris DoS / CVE-2007-6750、Web攻撃）を検知し、MITRE ATT&CK へのリアルタイムマッピングを実行 — 3,726件以上のアラート。
エンドツーエンドのブルーチームラボ:ポートスキャンやSSHブルートフォースから、実際のCVEエクスプロイト(Slowloris DoS)まで、7種類のシミュレーション攻撃を検知するWazuh 4.7.5 SIEM。すべてのイベントがリアルタイムでログ記録・アラート発報され、MITRE ATT&CKにマッピングされます。2台の仮想マシン上にゼロから構築しました。
📄 完全レポート: 全12ページ(スクリーンショット付き)がこのページの下部にインライン表示されています。PDFをダウンロードすることもできます。
| VM | OS | 役割 |
|---|---|---|
| SIEMサーバー | Ubuntu 26.04 LTS | Wazuh 4.7.5 + OpenSearch |
| 攻撃者 | Kali Linux 2026.2 | 攻撃シミュレーション |
隔離ネットワーク上のVMware Workstation 17 Playerで仮想化されています。
mod_reqtimeout を有効化。fail2ban を導入し、rootログインを無効化(PermitRootLogin no)し、SSHをデフォルトのポート22から変更する。教育目的で隔離されたラボ環境に構築しました。Sarjan Patelによるサイバーセキュリティポートフォリオの一部です。
完全な12ページのレポートをインライン表示しています(ダウンロード可能なPDFとしても利用可能):
| # | 攻撃 | ツール | 結果 |
|---|
| 1 | ポートスキャン | Nmap (-sS -A) | ポート22 / 80 / 443が開放されていることを検出 |
| 2 | SSHブルートフォース | Hydra + rockyou | 128回のログイン失敗 → ブルートフォースアラート |
| 3 | 脆弱性スキャン | Nmap --script vuln | CVE-2007-6750 (Slowloris) を発見 |
| 4 | Slowloris DoS | slowhttptest | 911接続を保持 — Apacheを停止 |
| 5 | SSHログインループ | bash (50×) | 約200件のアラート / Wazuhで30秒間のスパイク |
| 6 | Webアプリケーション攻撃 | curl | ディレクトリトラバーサル / SQLi / Webシェルの試行 |
| 7 | SSHログイン成功 | ssh | 有効なアカウントへのアクセス + ログイン後の列挙 |
| 指標 | 値 |
|---|
| セキュリティアラート総数 | 3,726件以上 |
| 認証失敗 | 131 |
| 発見されたCVE | 1 (CVE-2007-6750) |
| Slowlorisのピーク接続数 | 911 |
| アラートスパイク(SSHループ) | 約200件 / 30秒 |
| MITRE ATT&CKテクニック数 | 5 |
| テクニック | 名称 | トリガー元 |
|---|
| T1110 | Brute Force | Hydra SSH攻撃 |
| T1110.001 | Password Guessing | Hydra + SSHループ |
| T1021.004 | Remote Services: SSH | SSHログイン試行 |
| T1078 | Valid Accounts | SSHログイン成功 |
| T1021 | Remote Services | ログイン後のアクティビティ |