ログ改ざんの検知と認証ログの精査
Pro会員限定上級約52分9レッスン
auth.log・journal・wtmp（last）・btmp（lastb）を突き合わせて侵入の足取りを精査し、auth.log から消された鍵ログインを見つけます。追記専用の属性とログの転送で、証跡を消されにくくする是正も行います。
対象者: 認証ログを精査し、ログ自体が消されていないかまで確かめられるようになりたい方
前提知識: 監査ログと auditd 修了程度
この教材を終えると、できるようになること
- auth.log から総当たりの最初と最後の試行、狙われたユーザー名、攻撃元IPを読み取れるようになる。
- 失敗ログインの回数を数え、数え方による違い（何を数えているか）を説明できるようになる。
- Accepted の行から、攻撃元IPからのパスワード認証の成功を特定し、その意味を説明できるようになる。
- last で wtmp のセッション履歴を読み、auth.log の記録と食い違う点を見つけられるようになる。
- lastb で失敗履歴を読み、auth.log と件数・送信元が一致するかを確かめられるようになる。
- auth.log と journal を突き合わせ、片方からだけ消された認証の記録を特定できるようになる。
…ほか 2 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1認証ログを精査し、改ざんを見抜く
独立した複数の記録を突き合わせて欠落を見つけ、証跡を守る設定を入れます。
- 総当たりの痕跡を読むauth.log の Failed password から総当たりの範囲をつかむ約5分（有料会員限定）
- 失敗の回数を数えるgrep -c やパイプで総当たりの規模をつかむ約5分（有料会員限定）
- 成功したログインを見極める失敗の山の後にある、パスワード認証の成功を見つける約6分（有料会員限定）
- ログイン履歴（last）と突き合わせるwtmp に残るセッションと auth.log を照らし合わせる約5分（有料会員限定）
- 失敗履歴（lastb）と照らすbtmp の失敗履歴が auth.log と同じ数・同じ送信元か確かめる約5分（有料会員限定）
- 消された行を journal から見つけるauth.log から消えた 10:14 の鍵ログインを、別の記録で裏付ける約8分（有料会員限定）
- auth.log を追記専用にするchattr +a で、書き換え・削除を防ぐ約7分（有料会員限定）
- 認証ログを別サーバーへ転送するrsyslog の転送設定を足し、rsyslogd -N1 で検査する約6分（有料会員限定）
- 確認クイズ: ログ改ざんの検知記録の突き合わせと、証跡を守る設計約5分（有料会員限定）