2. セキュリティおよび防御メカニズム

Suricata IDS/IPS 設定

• 動作モード: Suricata は Inline IPS（netmap）モードで有効化され、脅威を遮断します。安定性のため、VM アダプタタイプは E1000 に設定し、プロミスキャスモード を有効にしました。
• ルールセット: emerging-exploit、emerging-scan、emerging-malware のルールセットを使用してディープパケットインスペクション（DPI）を適用します。
• カスタムルール: ターゲットへの SYN 接続試行が10秒以内に20回以上検出された場合、「Nmap Scan」アラートがトリガーされ、攻撃者のIP（192.168.20.50）が自動的に「Block Offenders」リストに追加されます。

SIEM（Elastic Stack）およびログ管理

• ログ転送: pfSense ログは Remote Syslog 経由でポート5140の 192.168.10.55 のサーバーに転送されます。Suricata ログは EVE JSON 形式でエクスポートされ、Filebeat を介してELKに取り込まれます。
• Windows監査ポリシー: Windows マシンで「監査ログオンイベント」（イベントID 4625）を有効化し、SIEM内で失敗したログイン（ブルートフォース）試行を追跡できるようにしました。

3. テスト、検証、およびトラブルシューティング

ラボ構築中に発生した主な課題と実装された解決策は次のとおりです。

• 問題: 攻撃がファイアウォールや Suricata に表示されなかった。
  • 解決策: 攻撃者（Kali）と被害者（Windows）が同じサブネット上にあり、トラフィックがファイアウォールを通過しなかった。Kali を別の隔離されたインターフェース（OPT1）に移動しました。
• 問題: ブルートフォース攻撃が SIEM に表示されなかった。
  • 解決策: Windows のローカルセキュリティポリシーで監査ポリシーを有効化し、イベントID 4625 のログが生成されるようにしました。
• 問題: データ流入中に ELK サーバーがクラッシュした。
  • 解決策: ホストマシンと Elasticsearch 用の Java 仮想マシン（JVM）への RAM 割り当てを 2〜4 GB に増やしました。

4. プロジェクト検証シナリオ

1. ネットワーク接続: pfSense 経由でルーティングを検証し、ネットワーク間トラフィックと分離ルールを確認しました。
2. 攻撃シミュレーション: Kali Linux からの nmap -sS スキャンは pfSense によって即座に検出され、攻撃者の IP は正常にブロックされました。
3. モニタリング: Hydra を使用したブルートフォースシミュレーションと Suricata アラートは、Kibana ダッシュボードを介してリアルタイムで正常に監視されました。

注: このプロジェクトは、教育および実践目的のみで構築された完全なサイバーセキュリティラボ環境です。