---
# System prepended metadata

title: セキュリティ演習 当日メモ

---

# セキュリティ演習 発表

## 発表の流れ

### 1．事前に予想した攻撃

#### hogehoge @誰々

- SQLインジェクション
- クロスサイトスクリプティング
- ディレクトリリスティング
- DNSキャッシュポイズニング
- SSHでの不正なログイン

### 2．1日目に観測された現象、攻撃方法の推測 (1,2人程度がまとめて発表する)
- SSHでrootユーザへのログイン試行(成功)
    - 必ず存在するユーザ`root`を狙った攻撃。パスワードを推測。
- backdoor.shの設置
- DNSサービス(Bind)の停止
    - RNDCを利用したと思われる。(systemctl statusのログより)
- 犯行声明を表示
    - rootでログインしてwallコマンドを実行した
- httpd(Apache)を停止

### 3．2日目に行った対策と結果 (班ごと)
- OS
    - rootのパスワードを強固なものに変更
    - SSHでのrootログインを禁止(PermitRootLogin no)
    - 強固なパスワードを設定したSSHログイン用ユーザを作成
    - wコマンドでログイン中のユーザを把握
    - firewallの起動と設定(必要なサービス(ssh,dns,http,imap,(smtp))のみ許可)
        - 必要なサービスを事前に確認しておかなかったため、必要なサービスを遮断してしまうトラブルが起こった。
        - ftpは許可しなかったのでftpを利用した攻撃は予防できた。
    - last,lastbコマンドでSSHからのログイン試行を監視
    - SSHでのrootログイン試行が観測されたIPアドレスをFWで遮断
    - Bindの脆弱性対策。cntrolsの設定変更。
        - rndcを利用した攻撃を予防できた
    - tomcatでコンテンツが自動デプロイされるディレクトリの監視
    - 他班のサポート
        - tomcatの管理画面のユーザ名とパスワードを変更(root権限が必要なため?)
    - サービスの稼働チェック(定期)
    - サービスのログチェック(dnsやmaillog)
## 参考

### 公表された対策
- apache
    - バージョン情報非表示
    - デフォルトコンテンツ削除
    - デフォルトドメインの使用禁止
    - コンテンツディレクトリへの権限設定
- tomcat
    - sampleアプリの削除
    - tomcat起動ユーザをrootから変更
- bind
    - オープンリゾルバ対策(recursive no)
    - rndcのリモート操作制限
- vsftpd
    - 外部からのアクセス制限
- yum update
    - cve-2015-5477
- 手動アプデ
    - cve-2017-5638