CyberFix Note

#ハードニング の記事

防御・ハードニング

Linuxで一般ユーザーがrootを奪う典型経路と、SUIDやsudoersの棚卸しから始める防御策

Linuxの権限昇格は、SUIDバイナリやsudoersの過剰な許可、書き込み可能なcronやsystemdユニット、dockerグループ、未修正のカーネル脆弱性などから起きます。典型経路をMITRE ATT&CKと対応づけ、防御側が定期的に回す棚卸しコマンドと検知の設計を実務目線で整理します。

ペンテスト・CTF

無線LAN診断に使うモニターモード対応USB Wi-Fiアダプタの選び方

自社や自宅の無線LANを点検するためのモニターモード対応USB Wi-Fiアダプタの選び方を整理します。チップセットとLinuxのin-kernelドライバ、パケットインジェクション、帯域、アンテナ、USB給電に加え、国内で使う前提となる技適マークの確認方法と特例制度、電波法と不正アクセス禁止法の注意を示します。

脆弱性・CVE解説

Acronis BackupのcPanel、Plesk、DirectAdmin向けプラグインにCVE-2026-87886。不適切な既定パーミッションによる権限昇格がKEV入り

2026年9月16日にCISAのKEVへ追加されたCVE-2026-87886を、Acronisのアドバイザリと更新情報、KEV、NVDで整理します。対象3製品と修正ビルド、CWE-276の機構、限定的な悪用の中身、更新手順と暫定策、侵害の確かめ方、バックアップ基盤が狙われる理由まで解説します。

攻撃手法・脅威動向

署名済みの脆弱なドライバでEDRを止めるBYOVD攻撃の仕組みと対策

BYOVD(Bring Your Own Vulnerable Driver)は、正規に署名された脆弱なカーネルドライバを持ち込み、EDRの停止やカーネル権限の奪取に悪用する手口です。ランサムウェアでの利用例と、脆弱ドライバブロックリストやメモリ整合性、App Control、ASRルールによる対策を一次情報をもとに整理します。

防御・ハードニング

家庭と小規模オフィスでDNSフィルタリングを始める機材の選び方

Pi-holeやAdGuard Homeで悪性ドメインや広告への名前解決を家庭内の端末からまとめて遮断するための機材の選び方を整理します。Raspberry Piなどの小型機、ストレージ、電源、有線LANの選定軸に加え、DoHやIPアドレス直指定による迂回、単一障害点化といった限界と運用の注意も示します。

防御・ハードニング

TLS証明書の有効期間は47日へ。ACMEによる自動更新と証明書の棚卸しで期限切れ障害を防ぐ

CA/Browser ForumのBallot SC-081v3により、公開TLS証明書の最大有効期間は2026年3月15日から200日、2027年に100日、2029年に47日へ短くなります。手動更新が回らなくなる理由と、証明書の棚卸し、ACMEによる自動更新、非対応機器の扱い、期限監視とCTログによる発行監視を実務者向けに整理します。

防御・ハードニング

クラウドの設定ミスを仕組みで防ぐ。CSPMによる継続監視とIaCスキャン、ポリシーアズコードで公開バケットや全開放のセキュリティグループを作らせない設計

公開ストレージ、0.0.0.0/0のインバウンド、過剰なIAM、無効なログ、暗号化の未設定といったクラウドの設定ミスを、作らせない、見つける、直すの3層で防ぐ設計を整理します。IaCスキャンの観点、CISベンチマークを基準にしたCSPMの始め方、ポリシーアズコードでの例外管理、最小構成からの導入順序を解説します。

防御・ハードニング

暗証番号式キーボックスの選び方。鍵の受け渡しと社内の鍵管理を、置き鍵をやめて記録が残る運用に変える

郵便受けや植木鉢の置き鍵、机の引き出しに入れたサーバールームの鍵は、場所を知っている人なら誰でも持ち出せます。玄関先の壁掛けキーセーフとオフィスの鍵管理ボックスを分けて、ダイヤル式とテンキー式の違い、取り付け方と持ち去り耐性、暗証番号の変更と貸出簿の運用、そしてキーボックスでは守れない範囲までを整理します。

脆弱性・CVE解説

Linuxカーネルの3件がまとめてKEV入り。kTLS受信経路のCVE-2025-39682、ebtables SNATのCVE-2026-53266、AF_ALGのCVE-2025-39964と3日期限の意味

CISAは2026年9月18日、Linuxカーネルの脆弱性3件(CVE-2025-39682、CVE-2026-53266、CVE-2025-39964)を同日にKEVカタログへ追加し、期限を3日後の9月21日としました。kTLS、ebtables、AF_ALGのどこで何が起きるのか、ディストリごとの修正状況の確かめ方、優先すべきホストと暫定の緩和策を一次情報に沿って整理します。

防御・ハードニング

LANポートロックの選び方。有線ポートへの物理的な不正接続と抜けを抑える製品の見極め方

会議室や店舗の空きLANポートに勝手に機器をつながれると、社内ネットワークに直接足がかりを作られます。ポート挿入型ブロッカー、コネクタ固定型ロック、鍵の管理方式という3つの違いを整理し、対応形状、取り外し工具、必要数の見積もり、802.1Xや未使用ポートの停止といった論理的な対策との組み合わせまで、総務と情報システム担当が導入判断に使える基準としてまとめます。

防御・ハードニング

アウトバウンド通信制御(egress filtering)の設計。侵入後のC2通信と持ち出しの経路を出口で絞る

ファイアウォールの外向き通信が既定許可のままだと、侵入後のC2通信やデータの持ち出しが正規のHTTPSに紛れて通ります。MITRE ATT&CKのM1037、NIST SP 800-41 Rev. 1、CISAほかの共同ガイダンスを軸に、セグメント別の出口ポリシー、DNSの固定、クラウドでの置き換え、段階的な導入と拒否ログの監視までを設計手順として整理します。

脆弱性・CVE解説

MikroTik RouterOSの脆弱性CVE-2026-86060とCVE-2026-67277。SSH経由の権限昇格がKEV入りした理由、更新と露出確認の手順

2026年9月10日にCISAのKEVカタログへ追加されたMikroTik RouterOSの2件を、MikroTik公式アドバイザリとCERT Polskaの公表で整理します。修正版6.49.21、7.23.4、7.24.2の選び方、SSHを開けない回避策、更新後のFlagged確認と不審な設定の点検手順まで解説します。

防御・ハードニング

特権アクセス管理(PAM)の作り方。管理者権限を金庫に入れて必要なときだけ貸し出す

ドメイン管理者やroot、クラウドのルートアカウントを常時保有させない運用の設計手順を、保管と払い出し、ジャストインタイム昇格、セッション記録という仕組みの面から整理します。Windows、Linux、クラウドごとの具体策と、製品を買わない現実解も示します。

脆弱性・CVE解説

PleskのBackup Managerに見つかったroot権限昇格CVE-2026-68488と任意ファイル書き込みCVE-2026-68487

Plesk for LinuxのBackup Managerで、リストア時のシンボリックリンク競合により一顧客がrootへ至るCVE-2026-68488と、署名のないヘッダのパストラバーサルCVE-2026-68487を一次情報で整理します。CVSS 9.9の読み方、機構、修正版18.0.80.7と18.0.79.11への更新手順、緩和と事後確認を解説します。

防御・ハードニング

キー入力の盗聴と注入を防ぐ無線キーボードとマウスの選び方

2.4GHz独自プロトコルの受信機で起きるキー入力の盗聴(KeySniffer)と入力注入(MouseJack)、Logitech Unifyingの一連の脆弱性(CVE-2019-13052から13055)、Bluetooth LEのSecurity Mode 1 Level 4とペアリング方式、Logi BoltとMicrosoftのAES暗号化の公式記載、有線に戻す判断、受信機のファームウェア更新、企業での持ち込み機器の統制と共有オフィスでの注意までを一次情報で確認できた範囲で整理します。

防御・ハードニング

遠隔保守用IP-KVMスイッチとリモート電源の選び方

サーバ室に行かずに再起動やBIOS操作を行うためのIP-KVM(KVM over IP)とスマートPDUを、管理経路そのものが侵入口になるという観点から選ぶ手順を整理します。BMCやiDRACとの違い、認証と暗号化、管理VLANと踏み台、ファームウェア更新、監査証跡、電源リブートの権限まで一次情報で確認できた範囲でまとめます。

防御・ハードニング

Kubernetesクラスタのセキュリティ設定の基礎

Kubernetesクラスタを運用する層の守り方を、RBACの権限設計、Pod Security StandardsとPod Security Admission、NetworkPolicyによる既定拒否、Secretsの保存時暗号化、kubeletとコントロールプレーンの設定、監査ログとアドミッション制御まで、公式ドキュメントの記述に沿って整理します。

防御・ハードニング

法人向け無線LANアクセスポイントの選び方。WPA3と802.1X認証、コントローラ管理で選ぶ業務用AP

中小企業とSOHOが複数台のアクセスポイントをまとめて運用するとき、何を基準に機種を選ぶかを整理します。WPA3の動作モード、802.1XとRADIUSによる利用者ごとの認証、SSIDとVLANの分離、コントローラ管理とライセンス費用、PoE給電と更新体制まで、一次情報で確認できた範囲でまとめます。

防御・ハードニング

温湿度と漏水と扉の開閉を見張るサーバールーム環境監視センサーの選び方

小規模オフィスの機器室やラック1本の環境を守るために、温湿度、漏水、扉の開閉、停電という監視対象ごとにセンサーを選ぶ観点を整理します。可用性と物理アクセスの証跡という位置づけ、通知経路の設計、センサー自体の保護、しきい値と点検の決め方までまとめます。

防御・ハードニング

セキュリティ機能から見るオフィス複合機とプリンターの選び方

オフィスの複合機とプリンターは、文書そのものが通り、内部ストレージに残り、ネットワークに常時つながる機器です。国際標準に基づく調達要件、初期パスワードと不要プロトコルの扱い、ストレージ暗号化と認証プリント、廃棄とリース返却までを、経済産業省とIPA、NIST、各社の公式資料で整理します。

防御・ハードニング

小規模オフィスのネットワーク機器を施錠して収める鍵付きサーバーラックの選び方

ルーターやスイッチ、NAS、UPSを施錠して収めるための鍵付きサーバーラックを選ぶ観点を整理します。物理アクセスが管理者権限に化ける仕組み、19インチの寸法規格、壁掛けと床置きの使い分け、施錠方式と鍵の管理、放熱と換気、電源とケーブルの取り回し、地震対策の固定までまとめます。

防御・ハードニング

書類と電子媒体の施錠保管に使う鍵付きキャビネットの選び方

個人情報が載った書類やバックアップ媒体を施錠して保管するための鍵付きキャビネットを選ぶ観点を整理します。金庫との役割の違い、シリンダーやダイヤルなどの施錠方式、扉と引き出しの形式、転倒防止の固定基準、在宅勤務での保管、そして鍵そのものの管理までまとめます。

防御・ハードニング

SSHサーバのハードニングと鍵の運用

パスワード認証から公開鍵認証へ移す理由を署名の仕組みから説明し、OpenSSH公式のman説明とリリースノートで確認できた既定値をもとに、sshd_configの要点、鍵の作り方と保管、踏み台とアクセス経路、ログと検知までを整理します。

防御・ハードニング

セキュリティ重視の無線LANルーターの選び方。WPA3と自動更新、ネットワーク分離で選ぶ買い方ガイド

家庭や小規模オフィスで無線LANルーターを買うときに見るべきセキュリティの軸を整理します。WPA3対応やWi-Fi規格、ファームウェア自動更新とサポート期間、ゲストやIoTのネットワーク分離、内蔵の脅威対策やVPNを基準に、実在する製品の候補まで示します。

防御・ハードニング

USBポートブロッカーの選び方。空きポートを物理的に塞いで無許可の接続を防ぐ

使わないUSBポートやLANポートを物理的に塞ぐポートブロッカーの役割と限界を整理します。内部不正によるデータ持ち出しや不正なデバイス接続への物理的な備えとして、対応ポートや鍵の互換、色分け、取り外し工具の要否といった選定の軸を、事業所や共用端末の管理担当向けにまとめます。

防御・ハードニング

会社支給とBYODで変わるモバイルデバイス管理(MDM)ツールの選び方

組織のスマートフォンやタブレット、PCを一元管理するMDMがどんな仕組みかを原理から示し、会社支給とBYODで変わる論点、対応OSやポリシー配布、リモートワイプ、条件付きアクセスといった選定指標、導入後の運用と退職時の失効までを、専任担当を置きにくい組織の視点で整理します。

防御・ハードニング

ファイアウォールが通信を許可と拒否で仕分ける仕組み

ファイアウォールが送信元やあて先の情報をもとに通信を許可するか拒否するかを判断する仕組みを、パケットフィルタリングからステートフルインスペクション、次世代ファイアウォールへの進化とともに整理します。アプリケーション層を守るWAFとの守備範囲の違いや、家庭と組織での位置づけと限界も説明します。

防御・ハードニング

DNSの名前解決とその安全性を支える技術

ドメイン名がIPアドレスに変換される流れと、キャッシュポイズニングなどの危うさを整理し、応答の真正性を守るDNSSECと、経路上の盗聴を防ぐDNS over HTTPS／DNS over TLSの役割の違いを、RFCやJPRSの一次情報をもとに開発者と運用担当向けに説明します。

防御・ハードニング

最小権限の原則（Least Privilege）。なぜ権限を絞ることが最強の防御の一つなのか

必要最小限の権限だけを与える「最小権限の原則」を、なぜ効くのか（侵害時の被害局所化・横展開の抑止）という原理から噛み砕き、過剰権限の典型例とRBAC・ジャストインタイム権限・定期棚卸しといった実践、ゼロトラストとの関係までを実務目線で整理します。