Linuxの勉強をしよう（6）　セキュリティ編

まずペネトレーションという言葉を覚えましょう

ペネトレーションテスト（侵入テスト）は、情報システムのセキュリティ上の脆弱性を評価するために、専門家が攻撃者の視点に立って実際に行うテストです。具体的には、以下のようなことを行います。

ペネトレーションテストの目的:

• システムの脆弱性を特定し、悪用される前に修正する

• セキュリティ対策の有効性を評価する

• セキュリティリスクを軽減する

• セキュリティ意識を向上させる

ペネトレーションテストの種類:

• ブラックボックステスト: システムに関する事前の知識なしにテストを行う。攻撃者の視点に最も近い。

• ホワイトボックステスト: システムに関する詳細な情報（設計図、ソースコードなど）を提供された上でテストを行う。より詳細な脆弱性を見つけやすい。

• グレーボックステスト: ある程度の情報を提供された上でテストを行う。ブラックボックステストとホワイトボックステストの中間。

ペネトレーションテストの具体的な作業内容:

1. 情報収集: テスト対象のシステムに関する情報を収集します。公開されている情報だけでなく、OSINT（Open Source Intelligence）と呼ばれる手法を用いて、インターネット上の様々な情報源から情報を集めます。

2. 脆弱性分析: 収集した情報をもとに、システムに存在する可能性のある脆弱性を分析します。脆弱性スキャナなどのツールを使用することもあります。

3. 侵入試行: 分析結果に基づいて、実際にシステムへの侵入を試みます。様々な攻撃手法（SQLインジェクション、クロスサイトスクリプティング、ブルートフォース攻撃など）を駆使して、脆弱性を悪用できるかどうかを確認します。

4. 権限昇格: 侵入に成功した場合、より高い権限を取得することを試みます。

5. 痕跡消去: 侵入の痕跡を消去し、攻撃者がどのように行動するかをシミュレートします。

6. レポート作成: テスト結果を詳細なレポートにまとめます。発見された脆弱性、その危険度、修正方法などを記載します。

注意点:

• ペネトレーションテストは、システムの所有者の許可を得て行う必要があります。

• テストによってシステムに損害を与える可能性があるため、慎重に行う必要があります。

• 専門的な知識とスキルを持った人が行う必要があります。

ペネトレーションテストは、企業や組織が自社の情報システムを安全に保つために重要な手段です。

ペネトレーションの実際

ペネトレーションテスト（侵入テスト）の実務は、攻撃者の視点に立って、システムやネットワークの脆弱性を特定し、実際に攻撃を試みることで、その脆弱性がどの程度のリスクをもたらすかを評価するものです。

以下に、ペネトレーションテストの実務内容を、具体的なツール名を交えながら説明します。

1. 情報収集

• 目的: テスト対象のシステムやネットワークに関する情報を可能な限り収集し、攻撃の足がかりを探します。

• 具体的な作業:

  • 公開情報調査: Googleなどの検索エンジン、Shodanなどの公開されているデバイス検索エンジン、WHOIS情報などを利用して、組織のドメイン名、IPアドレス、使用技術、従業員情報などを収集します。

  • ソーシャルメディア調査: LinkedIn、Twitterなどのソーシャルメディアから、従業員の役職、スキル、プロジェクトに関する情報を収集します。

  • DNS情報収集: `nslookup`、`dig`などのコマンドや、オンラインのDNSルックアップツールを使用して、ドメインのDNSレコード（Aレコード、MXレコードなど）を収集します。

  • ポートスキャン: `Nmap`などのポートスキャンツールを使用して、対象システムの開いているポートを特定し、実行されているサービスを推測します。

2. 脆弱性分析

• 目的: 収集した情報を基に、システムやネットワークに存在する可能性のある脆弱性を特定します。

• 具体的な作業:

  • 脆弱性スキャン: `Nessus`、`OpenVAS`などの脆弱性スキャナを使用して、既知の脆弱性を自動的に検出します。

  • 手動脆弱性分析: OWASP ZAPなどのプロキシツールを使用して、Webアプリケーションの動作を解析し、SQLインジェクション、クロスサイトスクリプティング（XSS）などの脆弱性を手動で特定します。

  • 設定不備の確認: サーバーやネットワーク機器の設定ファイルを確認し、デフォルトパスワードの使用、不要なサービスの有効化、アクセス制御の不備などの設定ミスを検出します。

  • コードレビュー: Webアプリケーションのソースコードをレビューし、潜在的な脆弱性（バッファオーバーフロー、インジェクション攻撃など）を特定します。

3. 脆弱性検証（エクスプロイト）

• 目的: 特定した脆弱性が実際に悪用可能かどうかを検証し、その影響範囲を評価します。

• 具体的な作業:

  • エクスプロイトツール: `Metasploit Framework`などのエクスプロイトツールを使用して、既知の脆弱性に対する攻撃コードを実行し、システムへの侵入を試みます。

  • カスタムエクスプロイト: 必要に応じて、Pythonなどのプログラミング言語で独自の攻撃コードを作成し、脆弱性を悪用します。

  • ソーシャルエンジニアリング: メールや電話などを使用して、従業員を騙し、機密情報を入手したり、マルウェアをインストールさせたりします。

4. 侵入後の活動

• 目的: システムへの侵入に成功した場合、どこまでアクセスできるか、どのような情報を入手できるかを確認します。

• 具体的な作業:

  • 権限昇格: 侵入したアカウントの権限を昇格させ、より広範囲なシステムへのアクセスを試みます。

  • 情報収集: システム内のファイル、データベース、ネットワークトラフィックなどを調査し、機密情報を収集します。

  • ラテラルムーブメント: 侵入したシステムを足がかりに、ネットワーク内の他のシステムへの侵入を試みます。

  • バックドア設置: 再度システムに侵入できるように、バックドア（不正な侵入経路）を設置します。

5. レポーティング

• 目的: ペネトレーションテストの結果をまとめ、発見された脆弱性、そのリスク、対策方法などを報告します。

• 具体的な作業:

  • 脆弱性の詳細な説明: 発見された脆弱性の種類、発生箇所、悪用方法、影響範囲などを詳細に記述します。

  • リスク評価: 各脆弱性のリスクレベルを、深刻度と発生可能性に基づいて評価します。

  • 対策方法の提案: 各脆弱性に対する具体的な対策方法（パッチ適用、設定変更、コード修正など）を提案します。

  • 改善提案: 全体的なセキュリティ体制の改善に向けた提案を行います。

主なツール

• Nmap: ポートスキャン、OS検出

• Nessus, OpenVAS: 脆弱性スキャン

• Metasploit Framework: エクスプロイトツール

• Burp Suite, OWASP ZAP: Webアプリケーション脆弱性診断* Wireshark: パケットキャプチャ、ネットワークトラフィック分析

• John the Ripper, Hashcat: パスワードクラック

• SQLmap: SQLインジェクション自動診断

• Shodan: 公開されているデバイス検索エンジン

注意点

• ペネトレーションテストは、対象システムの所有者の許可を得てから実施する必要があります。

• テスト中にシステムに損害を与えないように、慎重に作業を進める必要があります。

• 発見された脆弱性に関する情報は、機密情報として厳重に管理する必要があります。

上記は一般的なペネトレーションテストの実務内容であり、テストの目的や対象システムの種類によって、実施内容や使用するツールは異なります。

ペネトレーション用のディストリもあります

ペネトレーションテスト（侵入テスト）用のLinuxディストリビューションは、セキュリティ専門家がシステムやネットワークの脆弱性を評価するために設計された、特殊なツールやユーティリティを豊富に備えています。以下に、代表的なディストリビューションとその特徴、およびペネトレーションテストにおけるLinuxの役割について詳しく説明します。

代表的なペネトレーションテスト用Linuxディストリビューション

• Kali Linux:

  • 最も人気があり、広く使用されているディストリビューションの一つです。

  • Metasploit Framework、Nmap、Wiresharkなど、600以上のペネトレーションテストツールがプリインストールされています。

  • 定期的なアップデートとセキュリティパッチが提供されます。

  • カスタムカーネルとセキュリティ強化が施されています。

  • 幅広いハードウェアと仮想化プラットフォームをサポートしています。

  • Webサイト: https://www.kali.org/

• Parrot OS:

  • Kali Linuxと同様に、ペネトレーションテスト、脆弱性評価、コンピュータフォレンジックに特化しています。

  • 美しいインターフェースと使いやすさが特徴です。

  • 匿名性とプライバシー保護に重点を置いています。

  • 独自のツールセットに加えて、Kali Linuxのツールも利用できます。

  • 軽量版もあり、リソースの限られた環境でも動作します。

  • Webサイト: https://www.parrotsec.org/

• BlackArch Linux:

  • Arch Linuxをベースにした、経験豊富なペネトレーションテスター向けのディストリビューションです。

  • 非常に多くのツールが利用可能で、その数は他のディストリビューションを圧倒します。

  • 高度なカスタマイズが可能で、ユーザーは自分のニーズに合わせてシステムを調整できます。

  • コマンドラインインターフェースに重点を置いています。

  • Webサイト: https://blackarch.org/

• Pentoo Linux:

  • Gentoo Linuxをベースにした、カスタマイズ性の高いディストリビューションです。

  • カーネルレベルのセキュリティ強化が施されています。

  • 独自のオーバーレイシステムにより、ツールのインストールと管理が容易です。

  • 無線LANセキュリティに特化したツールが充実しています。

  • Webサイト: https://www.pentoo.ch/

ペネトレーションテストにおけるLinuxの役割

• ツールの豊富さ: ペネトレーションテストに必要なツールが豊富に用意されており、脆弱性スキャン、エクスプロイト、パスワードクラッキング、ネットワーク分析など、さまざまなタスクを実行できます。

• カスタマイズ性: Linuxは高度にカスタマイズ可能であり、ユーザーは自分のニーズに合わせてシステムを調整できます。カーネルの変更、ツールの追加、セキュリティ設定の調整などが可能です。

• オープンソース: 多くのペネトレーションテストツールはオープンソースであり、無料で利用できます。また、ソースコードを自由に調査・変更できるため、ツールの動作を理解し、必要に応じて改善できます。

• セキュリティ: Linuxは一般的にセキュリティが高く、セキュリティ専門家によって継続的に監視・改善されています。

• スクリプト言語のサポート: Bash、Python、Perlなどのスクリプト言語をサポートしており、自動化されたテストやカスタムツールの開発に役立ちます。

ペネトレーションテストの一般的な手順

1. 計画と準備: テストの範囲、目標、ルールを定義します。

2. 情報収集: ターゲットシステムに関する情報を収集します（ネットワーク構成、使用されているソフトウェア、公開されている脆弱性など）。

3. 脆弱性スキャン: 脆弱性スキャナを使用して、ターゲットシステムの脆弱性を特定します。

4. 脆弱性分析: 特定された脆弱性を分析し、悪用可能かどうかを判断します。

5. エクスプロイト: 脆弱性を悪用して、ターゲットシステムに侵入を試みます。

6. ポストエクスプロイト: 侵入に成功した場合、さらなる情報収集、権限昇格、バックドアの設置などを行います。

7. レポート作成: テストの結果、特定された脆弱性、および推奨される対策をまとめたレポートを作成します。

ペネトレーションテストで使用される一般的なツール

• Nmap: ポートスキャン、サービス検出、OS検出

• Metasploit Framework: 脆弱性エクスプロイト、ペイロード生成、ポストエクスプロイト* Wireshark: パケットキャプチャ、ネットワークトラフィック分析

• Burp Suite: Webアプリケーションセキュリティテスト

• John the Ripper: パスワードクラッキング

• Aircrack-ng: 無線LANセキュリティテスト

注意点

• ペネトレーションテストは、許可を得ていないシステムに対して行うと違法行為となる可能性があります。必ず事前に許可を得てから実施してください。

• ペネトレーションテストは、システムに損害を与える可能性があります。テストを行う前に、バックアップを作成し、リスクを十分に理解してください。

• ペネトレーションテストには、高度な技術と知識が必要です。経験豊富な専門家の指導を受けることをお勧めします。

サーバ運営のセキュリティについて

Webサーバのセキュリティで気をつけなければならないことは多岐にわたりますが、ここでは具体的な例を挙げて説明します。

1. 脆弱性対策：ソフトウェアのアップデートと脆弱性スキャン

• 説明: Webサーバで動作するOS、Webサーバソフトウェア（Apache, Nginxなど）、プログラミング言語（PHP, Pythonなど）、ミドルウェア、CMS（WordPressなど）は、常に最新の状態に保つことが重要です。なぜなら、これらのソフトウェアにはセキュリティ上の欠陥（脆弱性）が見つかることがあり、攻撃者はその脆弱性を悪用してWebサーバに侵入したり、データを盗んだりする可能性があるからです。

• 対策:

  • 定期的なアップデート: ソフトウェアのアップデートを自動化するか、定期的に手動で確認し、最新版を適用する。

  • 脆弱性スキャン: 定期的に脆弱性スキャンツール（OWASP ZAP, Nessusなど）を使用して、Webサーバに潜在する脆弱性を検出する。

  • 不要な機能の停止: 使用していないモジュールや機能を停止し、攻撃対象領域を減らす。

2. アクセス制御：認証と認可の強化

• 説明: Webサーバへのアクセスを適切に制御することは、不正アクセスを防ぐ上で非常に重要です。特に、管理画面や機密情報へのアクセスは厳格に管理する必要があります。

• 対策:

  • 強力なパスワード: 推測されにくい、複雑なパスワードを使用する。

  • 多要素認証 (MFA): パスワードに加えて、スマートフォンアプリやセキュリティキーなどを使った認証を導入する。

  • アクセス制御リスト (ACL): 特定のIPアドレスやネットワークからのアクセスのみを許可する。

  • 不要なポートの遮断: ファイアウォールで、Webサーバが使用するポート（通常は80番と443番）以外のポートを遮断する。

  • ログイン試行回数制限: 短時間に何度もログインに失敗した場合、アカウントを一時的にロックする。

3. 入力検証：SQLインジェクション、クロスサイトスクリプティング (XSS)

対策

• 説明: Webアプリケーションは、ユーザーからの入力を処理する際に、悪意のあるデータが混入する可能性があります。SQLインジェクションやXSSは、代表的な攻撃手法であり、Webサイトの改ざんや個人情報の漏洩につながる可能性があります。

• 対策:

  • 入力値の検証: ユーザーからの入力値を厳密に検証し、不正なデータが含まれていないか確認する。

  • エスケープ処理: HTMLやJavaScriptの特殊文字をエスケープし、スクリプトが実行されないようにする。

  • プリペアドステートメント: SQLクエリを構築する際に、プリペアドステートメントを使用し、SQLインジェクションを防ぐ。

  • Content Security Policy (CSP): ブラウザが読み込むことができるリソースのソースを制限し、XSS攻撃の影響を軽減する。

4. セッション管理：セッションIDの保護

• 説明: Webアプリケーションでは、ユーザーのログイン状態を維持するためにセッションを使用します。セッションIDが漏洩すると、第三者がユーザーになりすましてWebサイトにアクセスする可能性があります。

• 対策:

  • セキュアなセッションID: 推測されにくい、ランダムなセッションIDを生成する。

  • HTTPSの使用: セッションIDを含むすべての通信を暗号化し、盗聴を防ぐ。

  • セッションIDの再生成: ログイン時や権限昇格時に、セッションIDを再生成する。

  • セッションタイムアウト: 一定時間操作がない場合、自動的にログアウトさせる。

  • HTTPOnly属性: CookieにHTTPOnly属性を設定し、JavaScriptからセッションIDにアクセスできないようにする。

5. ログ監視：不正アクセスの早期発見

• 説明: Webサーバのログを監視することで、不正アクセスや異常な動作を早期に発見し、対応することができます。

• 対策:

  • ログの記録: Webサーバのアクセスログ、エラーログ、セキュリティログを記録する。

  • ログの監視: ログ監視ツール（fail2ban, OSSECなど）を使用して、異常なアクセスパターンやエラーを検出する。

  • アラート設定: 不正アクセスが疑われる場合に、管理者に通知するアラートを設定する。

  • ログの定期的な分析: ログを定期的に分析し、セキュリティ上の問題がないか確認する。

6. SSL/TLS：通信の暗号化

• 説明: Webサーバとクライアント間の通信を暗号化することで、盗聴や改ざんを防ぎます。HTTPSを使用することで、SSL/TLSによる暗号化を実現できます。

• 対策:

  • SSL/TLS証明書の導入: 信頼できる認証局からSSL/TLS証明書を取得し、Webサーバにインストールする。

  • HTTPSへのリダイレクト: HTTPでアクセスされた場合に、HTTPSにリダイレクトするように設定する。

  • TLS 1.2以上の使用: 古いバージョンのSSL/TLSは脆弱性があるため、TLS 1.2以上を使用する。

  • HSTS (HTTP Strict Transport Security) の設定: ブラウザにHTTPSのみを使用するように指示し、HTTPでのアクセスを防止する。

7. 定期的なバックアップ

• 説明: 万が一、Webサーバが攻撃を受けたり、システム障害が発生した場合に備えて、定期的にバックアップを取得しておくことが重要です。

• 対策:

  • 定期的なバックアップ: Webサーバのデータ、設定ファイル、データベースなどを定期的にバックアップする。

  • バックアップの保管場所: バックアップデータを、Webサーバとは別の場所に保管する。

  • バックアップのテスト: 定期的にバックアップからの復旧をテストし、問題なく復元できることを確認する。

その他

• Web Application Firewall (WAF) の導入: WAFは、Webアプリケーションに対する攻撃を検知・防御するセキュリティ対策です。

• ペネトレーションテスト: 専門家によるペネトレーションテストを実施し、Webサーバのセキュリティ上の弱点を洗い出す。

• セキュリティポリシーの策定: Webサーバのセキュリティに関するポリシーを策定し、関係者全員が遵守する。

• セキュリティ教育: Webサーバの管理者や開発者に対して、セキュリティに関する教育を実施する。

まとめ

現在サーバセキュリティがわかる人材が足らず完全な売り手市場です　サーバセキュリテイについて習熟することは大きなアドバンテージになります　せっかくLinuxの勉強をしているのですから　ペネトレーション用OSを導入して学習してみることをお勧めします