インシデント③ 内部からの横展開
Pro会員限定上級約50分9レッスン
侵害されたアカウントが、内部の別のサーバーへ横展開しようとするインシデントに対応します。侵入の起点・内部への接続・使われた鍵と消された記録を突き止め、入口を塞いでセッションを断つ封じ込めまでを行います。
対象者: 1台の侵害が他のサーバーへ広がる横展開を、検知して封じ込められるようになりたい方
前提知識: インシデント② マイニング・ログ改ざんの検知 修了程度
この教材を終えると、できるようになること
- 認証の記録から、横展開の起点となった侵入ログインを特定できるようになる。
- 通信状態から、内部の別のサーバーへの確立済みの接続を特定できるようになる。
- プロセス一覧から、横展開に使われている ssh のプロセスと、その引数を特定できるようになる。
- 改ざんされた認証ログを、別の仕組みの記録と突き合わせて補えるようになる。
- 乗っ取られたアカウントの known_hosts から、横展開の影響範囲を洗い出せるようになる。
- authorized_keys から攻撃者の鍵だけを、所有者と権限を保って除去できるようになる。
…ほか 2 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1横展開を封じ込める
侵入の起点・内部への接続・使われた鍵を追い、入口を塞いでセッションを断ちます。
- 侵入の起点を特定する外部から成功したパスワードログインを突き止める約6分（有料会員限定）
- 内部への接続を捕まえる他のサーバーへの SSH 接続を通信状態から見つける約5分（有料会員限定）
- 接続元のプロセスを特定する横展開に使われている ssh のプロセスと引数を読む約5分（有料会員限定）
- 消された記録を別の記録で補うauth.log から消されたログインを journal で見つける約6分（有料会員限定）
- 次の標的を洗い出すknown_hosts から横展開の影響範囲を把握する約5分（有料会員限定）
- 攻撃者の鍵を外すauthorized_keys から攻撃者の鍵だけを除去する約6分（有料会員限定）
- アカウントの入口を塞ぐロック・有効期限・sudoers で deploy を無力化する約6分（有料会員限定）
- セッションを断つ攻撃者のセッションと横展開の ssh をすべて止める約6分（有料会員限定）
- 確認クイズ: インシデント③ 横展開起点・記録の突き合わせ・鍵・封じ込め約5分（有料会員限定）