2020年8月、米国国立標準技術研究所（NIST）が「Special Publication（SP）800-207 ゼロトラスト・アーキテクチャ（以下、本書）」を正式公開しました。今回、PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました（以下よりダウンロードいただけます）。 ゼロトラスト･アーキテクチャとは概念であり、また十分に成熟した領域とは言えないため、内容を正しく理解することは容易ではありません。ゼロトラスト・アーキテクチャは製品／ベンダーによって多様な実現方法があるのが実態ですが、対応したソリューションの1つを導入したとしても、ゼロトラスト・アーキテクチャを実現できる訳ではありません。 本書のポイントとして、ゼロトラストの定義や7つの理念を紹介している点が挙げられます。この定義と理念をNISTが整理したことで、ゼロトラストに関する共通

手元のログファイルをさくっと解析したくて docker-compose を使ってローカルで起動してみました。 （Machine Learning のトップ画面。ここでログファイルをインポートして Visualize で可視化しました） 環境 MacOS Mojave 10.14.4 Docker 18.09.2 手順 docker-compose.yaml を作成 docker-compose up ブラウザでアクセス！ docker-compose.yaml version: "3" services: elasticsearch: image: docker.elastic.co/elasticsearch/elasticsearch:7.2.0 environment: - discovery.type=single-node - cluster.name=docker-cluste

概要 シスログ監視をElasticsearch + Kibana + + Logstash + Filebeat を一括で行って見た際の実行ログ 公式リンク ELASTIC STACKについて Wikiより ElasticsearchはLucene基盤の分散処理マルチテナント対応検索エンジンである。 オープンソースソフトウェアだが、現在はオランダ・アムステルダムに本社を置くElastic社が中心になって開発が進められている[1]。 なお「Elastic Search」といったように間に空白を入れる・「search」の頭を大文字にするといった表記は誤り （ただしVer.1.0.0リリース前にはそのような表記も混在していた）

はじめに 「標的型攻撃に対するJPCERT/CCのおすすめログ設定をElasticsearchで構築してみる」の「準備編」に続いて、実際にプロキシサーバのコンフィグレーションを行います。プロキシサーバとして(Squid)を利用します。 本記事の続編は以下の通りです。 * 「メールサーバ編」 * 「エンドポイントログ編（その１- 概要/Sysmon）」 * 「エンドポイントログ編（その２- Winlogbeat/Elasticsearch）」 ※本記事で作成するFilebeatモジュールやSquidの設定例はこちらへ仮置きしておきます（今後、もう少しわかりやすい配置にする予定です）。 ※Ubuntu18.04上で構築（FilebeatはDEBパッケージでインストール）しますので他のディストリビューションやFilebeatインストール方法の場合にはファイルの配置場所などを読みかえてください。

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

先日Twitterに次のような書き込みをしたところ思ったより反応が良かったので、詳細の設定を紹介します。 UDP53番、TCP443番、UDP123番とポートノッキングをするとTCP443番に10秒だけsshdが現れる、という中二病全開の設定をした。皆様にもお勧めしたい。— hnw (@hnw) 2017年3月26日 といっても特殊なことをしたわけではなく、knockdでポートノッキングの設定を行い、iptablesと組み合わせて実現しました。 ポートノッキングとは ポートノッキングというのは、決められたポートを決められた順番で叩くことでファイアーウォールに穴を空けられるような仕組みのことです。ポートノッキングを使えば、TCPの7000番、8000番、9000番の3ポートにパケットを送りつけると22番ポート (SSH) へのアクセスが許可される、といった設定ができます。 ポートノッキングの

自分用に雑に解く際の手法とかをまとめました。 文字数の都合上、WindowsのPrivilegeEscalationと調査の方針は以下に載せなおしました。 kakyouim.hatenablog.com 2020 3/4追記 Privilege Escalationをまとめた記事を新しく作成したので、ここに書いていたLinux PEは以下を参照してください。 kakyouim.hatenablog.com ネットワークの調査 IPアドレスの調査 脆弱性スキャン 脆弱性の調査 Webサービスの調査 手動で調査 ディレクトリブルートフォース その他 tomcatの調査 axis2の調査 スキャナを用いた調査 その他のサービスの調査 sshの調査 RDPの調査 変なポートの調査 snmp(udp161)の調査 telnet(23)の調査 domain(53)の調査 smtp(25)の調査 pop

https://www.open-scap.org/ OpenSCAP は SCAP を実装しているオープンソースプロジェクトで、XCCDF または OVAL で記述されたチェックリストに従ってシステムを検証してレポートを作成する。 SCAP はアメリカ国立標準技術研究所 (NIST) によって開発された情報セキュリティ対策の自動化と標準化のための規格で、製品についてのID (CPE)、 脆弱性についてのID (CVE)、設定についてのID (CCE), 脆弱性の深刻さのスコアづけ (CVSS)、自動チェックのための言語 (OVAL)、チェックリストのフォーマット (XCCDF) などが標準化されている。 インストール 依存関係で openscap, openscap-scanner パッケージもインストールされる。 CentOS 6.x で存在した、 scap-oval.xml, sca

参考資料： 第6章 コンプライアンスおよび OpenSCAP を使った脆弱性のスキャン：Red Hat Customer Portal セキュリティ設定共通化手順SCAP概説：IPA OpenSCAP のインストールRPM パッケージが用意されていますので yum からインストールできます。 インストールされた oscap コマンドに -V オプションを付けて実行すると、サポートされているバージョンなどを確認することができます。 oscap -V ==== Supported specifications ==== XCCDF Version: 1.2 OVAL Version: 5.11.1 CPE Version: 2.3 CVSS Version: 2.0 CVE Version: 2.0 Asset Identification Version: 1.1 Asset Reporti

SCAP(Security Content Automation Protocol) ～情報セキュリティ対策の自動化と標準化を実現する技術仕様～ 米国では「脆弱性発生件数の増加(*1)」など、社会におけるセキュリティへの関心が高まるなか、政府省庁の情報セキュリティ対策への要求として、情報システムのセキュリティを強化することを義務付けた法律FISMA（Federal Information Security Management Act：連邦情報セキュリティマネジメント法）が2002年に施行されました。 これに伴い政府省庁では、様々な法律（FISMA、SOX法など）や連邦政府情報処理規格（Federal Information Processing Standards：FIPS）、ガイドライン（NIST SP800シリーズ）などからセキュリティ要求事項を洗い出し、あらゆる情報システム（モバイ

はじめに 前回に引き続き、今回もシステムの脆弱性スキャン・検査ツールを紹介していきます。今回はOSSのOpenVAS、Vuls、OpenSCAPについて簡単に概略を解説し、機能比較を行います。 OpenVASの概略 OpenVASは、前回で解説したNessusがクローズドソースになった後、これまでに公開されていたOSSのソースコードをベースに開発が続けられています。基本的な構成はNessusと同じエージェントレスの脆弱性検査ツールで、2017年11月時点での最新のバージョンはOpenVAS-9です。 Linux版のOpenVASでは各ディストリビューション用のパッケージが用意されているので、そちらを用いた方が簡単にインストールできます。今回、筆者はUbuntu 17.10-desktopにUbuntu用のOpenVAS 9をインストールしました。インストールはhttps://launchp

- Kubernetes Meetup Tokyo #30 ( https://k8sjp.connpass.com/event/171599/ ) で発表した資料です。 * スライド上のリンクはPDFをダウンロードしたらクリック可能です - メルカリではMicroservices化を進めており、各サービスのコンテナをKubernetesクラスタにのせて運用しています。本セッションでは、大規模なKubernetesクラスタを運用するにあたって、セキュリティの観点から、どのような考え方で運用する 必要があると考えているか、セキュリティ戦略を説明します。 【登壇時ビデオ】 https://www.youtube.com/watch?v=5rW0T63A_P8&t=5370 【スライド内主要リンク】 ■攻撃シナリオ チュートリアル https://github.com/rung/tutorial

Linuxサーバを堅牢化する方法のひとつに、「余計なsetuidやsetgidを無効にする」というのがあります。 rootが不正利用されたときの危険性を減らすためです。 サーバを構築する際には、常にその用途を心にとどめておき、それに応じてシステムを構築します。可能な場合は、不要な機能を提供する権限やパッケージ全体を削除するようにします。あるバイナリが実行する処理や、setuidされている理由が不明な場合は、manページを参照してください。manページが役に立たないときはそのソースにあたることを忘れないでください。 Rod Flickenger著，山口晴広監訳：『LinuxサーバHucks』，p.29，オライリージャパン，2003.10. ・・・ つまり、次の作業が必要です。 手元のサーバでsetuid/setgidされているコマンドやライブラリをすべて把握する それぞれの役割をmanやコー