インシデント② 暗号通貨マイニング
Pro会員限定上級約53分9レッスン
CPU を食い尽くす暗号通貨マイナーのインシデントに対応します。高負荷プロセスの特定から、本体・設定・通信の確認、呼び戻す仕掛けの特定、封じ込め、駆除、egress の遮断までを、目標を手がかりに自分で進めます。
対象者: 高負荷の原因を突き止め、マイナーを安全に封じ込め・駆除し、再発を防げるようになりたい方
前提知識: インシデント① Web シェル 修了程度
この教材を終えると、できるようになること
- プロセス一覧から、CPU を占有している不審なプロセスを、正規の高負荷と見分けて特定できるようになる。
- マイナーの設定ファイルから、接続先のプールなどの情報を読めるようになる。
- 通信状態から、プロセスと外向き接続を結び付けられるようになる。
- 外部から取得したスクリプトを定期的に実行する仕掛けを特定できるようになる。
- マイナーのプロセスを止め、止まったことを終了コードで確かめられるようになる。
- IoC としてハッシュを残したうえで、マイナーの本体を駆除できるようになる。
…ほか 2 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1マイナーに対応する
高負荷の特定から封じ込め・駆除・egress の遮断まで、目標を頼りに対応します。
- 高負荷の犯人を特定するCPU を食い尽くしているプロセスを見つける約6分（有料会員限定）
- 本体と設定を確認するマイナーの設定から接続先のプールを読む約5分（有料会員限定）
- プールへの通信を確かめるマイナーの外向きの接続を通信状態で確かめる約5分（有料会員限定）
- 呼び戻す仕掛けを探すマイナーを落としてくる定期実行を特定する約6分（有料会員限定）
- プロセスを止めるマイナーのプロセスを停止して負荷を下げる約6分（有料会員限定）
- 本体を駆除するハッシュを記録してから本体のディレクトリを削除する約6分（有料会員限定）
- 呼び戻す仕掛けを外すcron とサービスの永続化を記録してから外す約7分（有料会員限定）
- プールへの egress を遮断する外向き通信を OUTPUT で止めて保存する約7分（有料会員限定）
- 確認クイズ: インシデント② マイニング高負荷の特定から駆除・egress まで約5分（有料会員限定）