
## 概要

- SIEM on Amazon OpenSearchを利用して(仮想の)インシデント調査を行う社内のイベントに参加した。
- その際に勉強したことをメモしておく。


## 原因究明の流れ

1. 調査の目的を決める
2. ログを絞り込む
    
    <img src="https://i.gyazo.com/aaa955064105ab56dccbfe8140b6a32a.png" alt="drawing" width="600"/>
    
    - 画面上部: クエリーバー。ログをフィルターするための条件式を入力
    - 画面左: indexの切り替えとフィールド一覧表示
    - 画面右: 検索結果の時系列表示と、個々のログ。フィールドを指定してテーブル形式で表示することも可能
3. 対象のログの詳細を見て事象を理解する

## インシデント別捜査手順

### 1. IAM認証情報の侵害

- 調査の目的: `インシデントかどうかの判断と侵害の対象を特定する`
- **log-aws-guardduty-***のログに絞る
- フィールドを以下に絞る
    
    
    | @log_type | ログタイプまたはログを送信したサービス |
    | --- | --- |
    | rule.name | IDS 等の検出名。GuardDuty では Inspector や Macie の検出結果名 |
    | source.ip | 送信元 IP アドレス |
    | user.id | ユーザ固有の ID。AWS リソースの場合はアクセスキー |
    | user.name | ユーザ名。AWS リソースの場合は IAM のユーザー名やロール名。SH ログでは OS のユーザー名 |
    | cloud.instance.id | EC2 インスタンス ID |
    | rule.description | 検出した脅威の説明 |
- GuardDutyの検出結果のうち、IAMUserに関するものに絞る
    
    ```bash
    rule.name:*IAMUser*
    ```
    
- 侵害されたログの詳細のresorce.resourceTypeを見る
    
    <img src="https://i.gyazo.com/7eac4a690ae86caf87cf8ce8ef3b2de8.png" alt="drawing" width="600"/>
    
    - ↑から、**EC2 インスタンス (i-00bbd9925dcbc5bb9) にアタッチされているロール (threat-detection-wksp-compromised-ec2) の認証情報を窃取して攻撃したことがわかる**

### 2. EC2インスタンスの侵害

- 調査の目的: 侵入方法を調査して根本原因を特定する
- 攻撃内容を確認
    - **log-aws-guardduty-***のログに絞る
    - 以下で絞り込む
        
        ```bash
        rule.name:*EC2*
        ```
        
        <img src="https://i.gyazo.com/aaa955064105ab56dccbfe8140b6a32a.png" alt="drawing" width="600"/>
        
        - [rule.name](http://rule.name/) (findins) から SSH Brute Force と 脅威リストとのマッチング (MaliciousIPCaller.Custom) を確認
- SSHに対する脆弱性の有無を確認
    - **log-aws-securityhub-***のログに絞る
    - ↑のうち、event.module(ログの生成元)をinspectorに絞る
    - sshで検索
    - rule.descriptionで、検知されている脆弱性を確認
- SSH Brute Forceの攻撃の成否を確認
    - **log-linux-secure-**のログに絞る
    - sshdに対して外部からアクセスしているログを抽出
        
        ```bash
        process.name:sshd and source.ip:*
        ```
        
    - user.nameの値の集計を見ると、rootが大半(外部からの SSH 接続には一般的には使用されないユーザー名のため、攻撃と思われる)
        
        <img src="https://i.gyazo.com/834f2e80de61f85a19c4ae87f0240566.png" alt="drawing" width="600"/>
        
    - event.outcome(行為が成功したか失敗したか)が成功のログに絞り込む
        
        <img src="https://i.gyazo.com/5f5d659390f330748d42130f014e8967.png" alt="drawing" width="600"/>
        
    - ↑から、**SSH Brute Forceを行い、ユーザーID alice を使ってログインが成功したことがわかる**

### 3. S3バケットの侵害

- 調査の目的: `被害状況を確認する`
- 成功した攻撃を確認する
    - **log-aws-cloudtrail-***に絞る
    - 1で検出した攻撃者のuseridとipアドレスで絞り込む
    - event.outcomeで成功した攻撃に絞り込む
    - ログのrequestParameters.keyを見ると、config.pyを取得していることがわかる
        - requestParameters.keyを表示フィールドに追加すると、すべての攻撃でconfig.pyをGetしていることがわかる
            
            <img src="https://i.gyazo.com/8bdad1d77a57971f3fffad569b8ffb28.png" alt="drawing" width="600"/>
            
    - S3への驚異を検出するためMacieのログに絞り込む
        - **log-aws-securityhub-***を選んで、クエリーバーに `event.module:macie`
         と入力
        - ↑から、バケットに読み込み権限が付与されたことがわかる
    - PutBucketAclのログを探す
- 以下がわかる
    - **• 10:21:19 - S3 バケットに ACL を変更して読み込み権限を付与**
    - **• 10:24:03 - EC2 インスタンスの認証情報でS3 バケットから config.py を窃取**

## 感想

- GuardDutyがなければ調査の取っ掛かりすらつかめなかったはず。GuardDutyは絶対有効にしておこうと思った。

## 参考

- [SIEM on Amazon OpenSearch Service Workshop](https://catalog.us-east-1.prod.workshops.aws/workshops/60a6ee4e-e32d-42f5-bd9b-4a2f7c135a72/ja-JP/03-log-analysis-basics)
- [OpenSearch Dashboardsのクエリ(KQL)の書式](https://www.elastic.co/guide/en/kibana/current/kuery-query.html)
- [GuardDutyの検出結果の形式](https://docs.aws.amazon.com/ja_jp/guardduty/latest/ug/guardduty_finding-format.html)
- [GuardDutyの検出結果タイプ](https://docs.aws.amazon.com/ja_jp/guardduty/latest/ug/guardduty_finding-types-active.html)

SIEM on Amazon OpenSearchでインシデント調査を行う


# はじめに
[『体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践』](https://www.amazon.co.jp/%E4%BD%93%E7%B3%BB%E7%9A%84%E3%81%AB%E5%AD%A6%E3%81%B6-%E5%AE%89%E5%85%A8%E3%81%AAWeb%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%81%AE%E4%BD%9C%E3%82%8A%E6%96%B9-%E7%AC%AC2%E7%89%88-%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%8C%E7%94%9F%E3%81%BE%E3%82%8C%E3%82%8B%E5%8E%9F%E7%90%86%E3%81%A8%E5%AF%BE%E7%AD%96%E3%81%AE%E5%AE%9F%E8%B7%B5-%E5%BE%B3%E4%B8%B8/dp/4797393165)を読んだので、内容をまとめてみます。

# 前提知識

### 受動的攻撃とは

- 受動的攻撃とは、Webサイトの利用者に罠をしかけることにより、そのユーザを通してアプリケーションを攻撃する手法
- サイトをまたがった受動的攻撃では以下のように攻撃する
1. 利用者が罠サイトを閲覧
2. 罠サイトから、仕掛けを含むHTMLをダウンロードする
3. HTMLの仕掛けが発動して正規のサイトに攻撃のリクエストを送信する
4. 正規サイトからJSなどの仕掛けを含むレスポンスが返る

### 同一オリジンポリシーとは

- JavaScriptなどのクライアントからサイトをまたがったアクセスを禁止するセキュリティ上の制限。
- 受動的攻撃を防止するために用意された。
- 「同一オリジン」であるとは、以下のすべてを満たす場合
1. URLのホストが一致
2. スキームが一致
3. ポート番号が一致

### CORSとは

- WebアプリケーションにおいてJSの活用が進むようになり、同一オリジンポリシーの制限を超えてサイト間でデータをやり取りしたいというニーズが強くなった。
- それを実現するため、CORSが策定された。
- CORSは、同一オリジンポリシーに依存するアプリケーションとの互換性を保ちながら、異なるオリジンとのデータ交換を可能にするもの。
- 情報の提供元がAccess-Control-Allow-Originヘッダを出力することで、XMLHttpRequestでのアクセスを許可できる
- 仕組み
- シンプルなリクエスト
- 以下の条件を満たす場合、相手側の許可なしにXMLHttpRequestを用いてリクエストを送信可能(HTMLフォームで送れる場合と同程度のリスクのリクエスト)
1. メソッドはGET/HEAD/POSTのいずれか
2. リクエストヘッダは以下に限る
1. Accept
2. Accept-Language
3. Content-Language
4. Content-Type
3. Content-Typeヘッダは以下のいずれか
1. application/x-www-form-urlencoded
2. multipart/form-data
3. text/plain
- プリフライトリクエスト
- 上記を満たさない場合は、プリフライトリクエストを送信する必要がある

### CORSはなぜ受動的攻撃を防げるのか

<img src="https://i.gyazo.com/14d26146e3c02f94095ceb97b3a464c9.png" alt="drawing" width="600"/>

# Webアプリケーションの主な脆弱性/攻撃手法と対策

| 攻撃 | 概要 | 典型的な原因 | 発生箇所 | 影響を受けるページ | 影響の種類 | 影響の度合い | 利用者関与 | 対策の概要 |
| --- | --- | --- | --- | --- | --- | --- | --- | --- |
| [ ] XSS | 開発者の意図しない形でHTMLやJSを注入・変形される | HTML生成の際に特殊記号を正しく扱っていないこと | Webアプリケーション上でHTML,JavaScriptを生成している箇所 | すべてのページ | Webサイト利用者のブラウザ上でのJSの実行・偽情報の表示 | 中~大 | 必要 | 1. 属性値はダブルクォートで囲む 2. HTMLで特別な意味を持つ記号文字をエスケープする |
| [ ] SQLインジェクション | シングルクォートなどを用いてリテラルからはみ出した文字をSQL文として認識させ、アプリケーションが呼び出すSQL文を変更する | リテラルの扱いの不備 | SQL呼び出しをしている箇所 | すべてのページ | 情報漏えい・データ改ざん・認証の回避・プログラムの実行・ファイルの参照/更新 | 大 | 不要 | 静的プレースホルダ(値のバインドをデータベースエンジンで行う)を利用してSQLを呼び出す |
| [ ] CSRF | アプリケーションの「重要な処理」を勝手に実行させる | Webの以下の性質のため、正規のリクエストと不正なリクエストの見分けがつかない 1. formのaction属性にはどのドメインのURLも指定できる 2. Cookieに保存されたセッションIDは自動的に送信される | 以下のいずれかのサイト上の「重要な処理」が行われるページ 1. Cookieのみでセッション管理が行われているサイト 2. HTTP認証・TLSクライアント証明書のみで利用者の識別をしているサイト | CSRF脆弱性のあるページ | 被害者の権限で「重要な処理」を実行させられる | 中~大 | 必要 | 「重要な処理」の前に正規利用者からのリクエストであることを確認する(CSRF対策トークン・パスワード再入力・Referer確認) |
| [ ] クリックジャッキング | iframeとCSSを巧妙に利用して、透明にした攻撃対象ページと罠のサイトを重ね合わせ、利用者が気づかないうちに攻撃対象サイトでのクリックを誘導する | HTMLの仕様を巧妙に悪用 | マウスなどの操作のみで「重要な処理」を実行でき、かつ認証を要するページ | クリックジャッキング脆弱性のあるページ | 被害者の権限で「重要な処理」を実行させられる | 中~大 | 必要 | 「重要な処理」の実行ボタンなどがあるページでX-Frame-Optionヘッダを出力する |
| [ ] セッションハイジャック | 第三者がセッションIDを悪用してなりすます | 1. セッションIDが推測可能 2. セッションIDを外部から強制できる 3. セッションIDをURLに埋め込んでいる | セッションIDを生成している場所 | セッション管理をしているページすべて | なりすまし | 大 | 不要 | 1. 実績のあるセッション管理機構を利用する(自作しない) 2. ログイン時にセッションIDを変更する 3. URL埋め込みのセッションIDの禁止 |
| [ ] オープンリダイレクト | 任意のドメインにリダイレクトできる脆弱性(フィッシングに悪用可能) | 以下の両方 1. リダイレクト先のURLを外部から指定できる 2. リダイレクト先のドメイン名のチェックがない | 外部から指定したURLにリダイレクト可能な箇所 | Webアプリケーションの利用者が被害を受ける | フィッシングサイトへの誘導・マルウェアを配布される | 中~大 | 必要 | 以下のいずれか 1. リダイレクト先の固定 2. あらかじめ許可されたドメインのみリダイレクトする |
| [ ] HTTPヘッダインジェクション | 任意のレスポンスヘッダの追加、レスポンスボディの偽造 | 外部から指定したパラメータに含まれる改行をそのままレスポンスとして出力する | 外部から指定したパラメータに基づいてHTTPレスポンスヘッダを出力している箇所 | すべてのページ | なりすまし、偽ページの表示、キャッシュ汚染 | 中~大 | 必要 | 以下のいずれか 1. 外部からのパラメータをHTTPレスポンスヘッダとして出力しない 2. パラメータ中の改行コードをチェックする |
| [ ] ディレクトリトラバーサル | アプリケーションの意図しないファイルに対して閲覧・改ざん・削除をする | 以下の3つ 1. ファイル名を外部から指定できる 2. ファイル名として、異なるディレクトリを指定できる 3. ファイルに対するアクセス可否をチェックしていない | ファイル名を外部から指定できるページ | すべてのページ | 秘密情報の漏洩、データの改竄・削除、任意のスクリプトの実行、アプリケーションの機能停止 | 大 | 不要 | 以下のいずれか 1. 外部からファイル名を指定できる仕様を避ける 2. ファイル名にディレクトリ名が含まれないようにする 3. ファイル名を英数字に限定する |
| [ ] OSコマンドインジェクション | 意図しないOSコマンドを実行する | シェルのメタ文字がエスケープされていない | シェルを呼び出す機能のある関数を実行している場所 | すべてのページ | 秘密情報の漏洩、データの改竄・削除、外部への攻撃、アプリケーションの機能停止 | 大 | 不要 | 以下のいずれか 1. シェル呼び出し機能のある関数の利用を避ける 2. シェル呼び出し機能のある関数には外部からのパラメータを渡さない 3. OSコマンドにわたすパラメータを安全な関数によりエスケープする |

# 参考

- [体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践](https://www.amazon.co.jp/%E4%BD%93%E7%B3%BB%E7%9A%84%E3%81%AB%E5%AD%A6%E3%81%B6-%E5%AE%89%E5%85%A8%E3%81%AAWeb%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%81%AE%E4%BD%9C%E3%82%8A%E6%96%B9-%E7%AC%AC2%E7%89%88-%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%8C%E7%94%9F%E3%81%BE%E3%82%8C%E3%82%8B%E5%8E%9F%E7%90%86%E3%81%A8%E5%AF%BE%E7%AD%96%E3%81%AE%E5%AE%9F%E8%B7%B5-%E5%BE%B3%E4%B8%B8/dp/4797393165)


masatora.net