CyberFix Note
防御・ハードニング
Linuxで一般ユーザーがrootを奪う典型経路と、SUIDやsudoersの棚卸しから始める防御策
Linuxの権限昇格は、SUIDバイナリやsudoersの過剰な許可、書き込み可能なcronやsystemdユニット、dockerグループ、未修正のカーネル脆弱性などから起きます。典型経路をMITRE ATT&CKと対応づけ、防御側が定期的に回す棚卸しコマンドと検知の設計を実務目線で整理します。
#MITRE ATT&CK の記事
防御・ハードニング
アラート待ちから抜け出す脅威ハンティングの始め方
検知アラートを待つ運用から、仮説を立てて手元のログを能動的に探しに行く運用へ移るための実務記事です。MITREのTTPベースハンティング、ATT&CKのDetection Strategy、CISAとASD's ACSCほかの共同ガイダンス、JPCERT/CCのログ分析資料をもとに、仮説の立て方から探索の実行、検知ルールへの昇格までを整理します。
攻撃手法・脅威動向
環境寄生型攻撃(LOLBins)の仕組みと振る舞いで見つける検知設計
OS標準の正規ツールを使う環境寄生型攻撃は、新しい実行ファイルを残さない場合があり、ファイル単位のシグネチャや既知IOCだけでは見逃しやすい手口です。CISAほか9機関の共同ガイダンスとMITRE ATT&CK、Microsoft公式資料をもとに、成立の機構とログ設計、抑止策を整理します。
攻撃手法・脅威動向
ARPスプーフィングによる中間者攻撃の仕組みと多層の対策
ARPは送信者を確かめる手段を持たないため、同じL2セグメントにいる相手にキャッシュを書き換えられる場合があります。RFC 826やMITRE ATT&CK T1557.002、スイッチベンダ公式資料をもとに、成立条件と限界、検知と対策を整理します。
攻撃手法・脅威動向
Kerberoastingとは何か。サービスアカウントの弱いパスワードが狙われる仕組みと対策
Kerberoasting(MITRE ATT&CK T1558.003)は、Active Directoryの正規のKerberos機能でサービスチケットを集め、サービスアカウントのパスワードをオフライン解析にかける手口です。成立条件と検知、対策を一次情報から整理します。
攻撃手法・脅威動向
DLLサイドローディングとは何か。署名済み正規アプリが悪用される仕組みと対策
DLLサイドローディング(DLL side-loading)は、署名済みの正規アプリケーションがWindowsのDLL検索順序を悪用され、悪意あるDLLを読み込まされる攻撃であり検知回避の手口でもあります。MITRE ATT&CK T1574.001とMicrosoft公式資料をもとに仕組みと対策を整理します。
攻撃手法・脅威動向
MITRE ATT&CKで攻撃を体系的に理解する。戦術と技術のマトリクスを検知・防御にどう活かすか
攻撃者の行動を戦術と技術のマトリクスで整理するMITRE ATT&CKを、原理から実務での使い方まで解説します。検知ルールの評価やレッドチーム演習、脅威インテリジェンスへの活用の勘所を具体的に示します。