オフェンシブ視点ã«ã‚ˆã‚‹ Cloud Security 入門 ~AWS ç·¨~ - blog of morioka12
1. 始ã‚ã« ã“ã‚“ã«ã¡ã¯ã€morioka12 ã§ã™ã€‚ 本稿ã§ã¯ã€AWS 環境ã«ãŠã‘る攻撃者ã®ã‚ªãƒ•ã‚§ãƒ³ã‚·ãƒ–ãªè¦–点㧠Cloud Security ã®å…¥é–€ã¨ã—ã¦ç´¹ä»‹ã—ã¾ã™ã€‚ 1. 始ã‚ã« å…è²¬äº‹é … 想定èªè€… 2. クラウドã«ãŠã‘ã‚‹è„…å¨ ã‚¯ãƒ©ã‚¦ãƒ‰ã®é‡å¤§ã‚»ã‚ãƒ¥ãƒªãƒ†ã‚£è„…å¨ 11ã®æ‚ªè³ªãªè„…å¨ ã‚¯ãƒ©ã‚¦ãƒ‰ã‚µãƒ¼ãƒ“ã‚¹åˆ©ç”¨ã«é–¢é€£ã™ã‚‹ãƒªã‚¹ã‚¯ Top 10 AWS ã‚»ã‚ュリティ構æˆãƒŸã‚¹ Top 10 3. AWS 環境ã«ãŠã‘る攻撃者ã®è¦³ç‚¹ 3.1 AWS 環境ã®å¤–部ã‹ã‚‰ã®è¦³ç‚¹ 3.2 AWS 環境ã®å†…部ã‹ã‚‰ã®è¦³ç‚¹ 4. MITRE ATT&CK Framework for Cloud (IaaS) 4.1 åˆæœŸã‚¢ã‚¯ã‚»ã‚¹ (Initial Access) 4.2 実行 (Execution) 4.3 永続化 (Persistence) 4.4 権é™æ˜‡æ ¼ (Privilege Escalation) 4.5 防御回é¿
ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã‚’パワーアップã•ã›ãŸã€‚ - birabiraã®ã‚ã‚‚
AWSã®LightSailãŒå°‘ã—安ããªã£ã¦ã„ãŸã€‚ RAM 1Gã§ã‚‚$5ãªã®ã§ã¨ã¦ã‚‚ãŠã™ã™ã‚。 å‰å›žã®ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã¯RAM 500Mã§åˆ¶é™ãŒã¨ã¦ã‚‚多ã‹ã£ãŸã®ã§ã„ã£ãã®ã“ã¨æœ€åˆã‹ã‚‰ä½œã‚Šç›´ã—ãŸã€‚ 作るã®ã«4æ—¥ãらã„ã‹ã‹ã£ãŸã€‚ãã®ä»£ã‚ã‚ŠSystemdã‚„rsyslogã¨ã‹è‹¥å¹²ã‚ã‹ã‚‹ã‚ˆã†ã«ãªã£ãŸã€‚ã†ã‚Œã—ã„。 便宜上ã€suricataã¨ufwã‚‚ãƒãƒ‹ãƒã£ã¦ã“ã¨ã«ã—ã¦ã‚‹ã‘ã©è¨±ã—ã¦ãã ã•ã„ãªã€‚ æ§‹æˆ AWSã®VPSã«å„ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆç‰ã‚’è¨ç½®ã—ã¦ã€ãれらをS3ã«ã„ã£ãŸã‚“アップãƒãƒ¼ãƒ‰ã€‚ 自宅ã®PCã«ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã—ãŸELKã«ã¦ãƒã‚°ã‚’åŽé›†ã—ã¦åˆ†æžã™ã‚‹ã€‚ å‰å›žã¨æ¯”ã¹ã¦ufwã¨dionaeaãŒè¿½åŠ ã•ã‚ŒãŸã€‚ 使用ã—ãŸã‚‚ã® Suricata IDSã¨ã—ã¦å‹•ä½œã€‚ アクセスを一般的ãªã‚·ã‚°ãƒãƒãƒ£ã«ãƒžãƒƒãƒã•ã›ã‚‹ã“ã¨ã§ã©ã®ã‚ˆã†ãªæ”»æ’ƒãŒæ¥ãŸã‹ã‚’パッã¨ã§åˆ¤æ–ã§ãる。 Dionaea 様々ãªãƒãƒ¼ãƒˆã«å¯¾ã™ã‚‹ã‚¢ã‚¯ã‚»ã‚¹ã‚’ã‚ャプãƒãƒ£ã§ãã‚‹ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆ
クラウドãƒã‚¤ãƒ†ã‚£ãƒ–ãªãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã‚’AWS上ã«ä½œã£ã¦ã¿ãŸè©± - ã‚ã‚‹ç ”ç©¶è€…ã®æ‰‹è¨˜
TL;DR AWSã®ãƒžãƒãƒ¼ã‚¸ãƒ‰ã‚µãƒ¼ãƒ“スを活用ã—ã¦ä½Žã‚¤ãƒ³ã‚¿ãƒ©ã‚¯ã‚·ãƒ§ãƒ³åž‹ã®ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆç’°å¢ƒã‚’作ã£ãŸ コストも月々約$15ã§é‹ç”¨å¯èƒ½ コマンド3回ãらã„ã§èª°ã§ã‚‚デプãƒã‚¤ã§ãるよã†ã«ãªã£ã¦ã„ã‚‹ã®ã§èˆˆå‘³ãŒã‚ã‚Œã°ä½¿ã£ã¦ã¿ã¦ãれよ㪠背景 AWSã«ç½®ã低インタラクション型ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆï¼ˆsynã«å¯¾ã—ã¦synackã ã‘è¿”ã—ã¦å¾Œã¯é€ã‚‰ã‚Œã¦ãる通信を監視ã™ã‚‹ã‚„ã¤ï¼‰ã€ä»Šãªã‚‰ã‚·ãƒ£ã‚ッã¨ã‚¹ãƒ‘ッã¨å®Ÿè£…ã§ãã‚‹ã‚“ã ã‚ã†ãªã‚ã‚ã‚ã¨éŽåŽ»ã®ã‚¯ã‚½å®Ÿè£…ã‚’æ€ã„出ã—ã¦æ‚¶çµ¶ã—ã¦ã‚‹â€” Masayoshi MIZUTANI (@m_mizutani) 2019å¹´2月1æ—¥ ã¨ã„ã†æ„Ÿã˜ã§æ˜”クラウド上ã§é‹ç”¨ã—ã¦ã„ãŸãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã®ã“ã¨ã‚’ãµã¨æ€ã„出ã—ãŸã®ã§ã™ãŒã€ä»•äº‹ã§å¤šå°‘AWSã®ã‚µãƒ¼ãƒ“スをç†è§£ã—ãŸä»Šã ã£ãŸã‚‰ã‚‚ã†ã¡ã‚‡ã£ã¨ã¾ã¨ã‚‚ã«å®Ÿè£…ã§ããã†ã よãªãã€å®Ÿè£…ã™ã‚‹ãªã‚‰ã‚¤ãƒ³ã‚¹ã‚¿ãƒ³ã‚¹ã§å®Œçµã™ã‚‹ã‚“ã˜ã‚ƒãªãã¦ã‚¯ãƒ©ã‚¦ãƒ‰ã®ãƒžãƒãƒ¼ã‚¸ãƒ‰ã‚µãƒ¼ãƒ“スã¡ã‚ƒã‚“ã¨ä½¿ã£ã¦æ¶ˆè€—ã—ãªã„作りã«ã—
EC2上ã«ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã‚’è¨ç½®ã—ã¦Kibanaã§åˆ†æžã§ãるよã†ã«ã™ã‚‹ (lurker + fluentd + elasticsearch + kibana) - Qiita
æ¦‚è¦ å‚™å¿˜éŒ²ã‚’å…¼ãã¦AWS上ã®EC2ã«ä½Žã‚¤ãƒ³ã‚¿ãƒ©ã‚¯ã‚·ãƒ§ãƒ³åž‹ã®ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆï¼ˆå®Ÿéš›ã«ä¾µå…¥ãªã©ã¯ã•ã›ãšã«æ”»æ’ƒãƒ‡ãƒ¼ã‚¿ã®åŽé›†ã‚’ã™ã‚‹ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆï¼‰ã®æ§‹ç¯‰æ–¹æ³•ã‚’ã¾ã¨ã‚ã¾ã™ã€‚構æˆã¨ã—ã¦ã¯ä»¥ä¸‹ã®ã‚ˆã†ã«ãªã‚Šã¾ã™ã€‚ 最åˆã€ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã‚’é‹ç”¨ã—ã¦ã„ãŸæ™‚ã¯ã„ã¡ã„ã¡ã‚¹ã‚¯ãƒªãƒ—トを書ã„ã¦ã„ã‚ã„ã‚調ã¹ã¦ã„ã¾ã—ãŸãŒã€ã„ã„åŠ æ¸›é¢å€’ãã•ããªã£ã¦ããŸã®ã§ã‚ã‚Šã‚‚ã®ã®ã‚¤ãƒ³ã‚¿ãƒ¼ãƒ•ã‚§ãƒ¼ã‚¹ã¨ã—ã¦Kibanaを使ã†ã“ã¨ã«ã—ã¾ã—ãŸã€‚ インスタンスã¯ã‚„や特殊ãªæ§‹æˆã§ã€ãƒžãƒãƒ¼ã‚¸ãƒ¡ãƒ³ãƒˆã¨ã—ã¦ä½¿ã†ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆNICã®eth0ã®ä»–ã«ã€è¦³æ¸¬ç”¨ã®NIC（eth1）ã¨ã‚°ãƒãƒ¼ãƒãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ã‚’è¿½åŠ ã—ã¦è¦³æ¸¬ãƒ‡ãƒ¼ã‚¿ã«ä½™è¨ˆãªãƒ‡ãƒ¼ã‚¿ã‚’æ··ãœãªã„よã†ã«ã—ã¾ã™ã€‚eth1ã«ã¯IPアドレスã¯å‰²ã‚Šå½“ã¦ãšã€OSã¯ä¸€åˆ‡ã®å¿œç”ã‚’ã—ã¾ã›ã‚“ãŒã€ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã‚½ãƒ•ãƒˆã‚¦ã‚§ã‚¢ãŒé©åˆ‡ã«ARPã‚„TCPã®å¿œç”ãªã©ã‚’è¿”ã™ã“ã¨ã«ã‚ˆã£ã¦è¿½åŠ ã§å‰²ã‚Šå½“ã¦ãŸã‚°ãƒãƒ¼ãƒãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ã«å¯¾ã™ã‚‹æ”»æ’ƒã‚’ã‚ャプãƒãƒ£ã—ã¾ã™ã€‚ ãƒã‚°ãƒ‡ãƒ¼ã‚¿ã¯f
クラウドãƒã‚¤ãƒ†ã‚£ãƒ–ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆ on AWS 2022春ã®é™£
å‰å›žã®ã‚らã™ã˜ 3å¹´ã»ã©å‰ã«AWS上ã«ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆç’°å¢ƒã‚’作æˆã—ã¾ã—ãŸã€‚ 大雑把ã«èª¬æ˜Žã™ã‚‹ã¨ã€ï¼ˆä¸»ã«ï¼‰AWSã®EC2インスタンスã‚ã¦ã«ã©ã®ã‚ˆã†ãªexploitãŒé£›ã‚“ã§ãã‚‹ã®ã‹ï¼Ÿã¨ã„ã†ã®ã‚’知るãŸã‚ã«ã€ EC2インスタンスã«ç®¡ç†ç”¨ã€ãŠã‚ˆã³è¦³æ¸¬ç”¨ã®Elastic IP addressã‚’è¨å®šã—ã€ãã“ã§ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã‚’å‹•ã‹ã™ ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã§å–å¾—ã—ãŸç”Ÿãƒ‡ãƒ¼ã‚¿ï¼ˆpcap）をS3ã«ä¿å˜ã—ã€Lambdaã§åˆ†æžã™ã‚‹ 分æžçµæžœã¯ CloudWatch Logs Insights ã§é–²è¦§ã§ãるよã†ã«ã™ã‚‹ ã¨ã„ã†æ§‹æˆã«ã—ã¦ã„ã¾ã—ãŸã€‚ã“ã‚Œã¯ã“ã‚Œã§ãƒžãƒãƒ¼ã‚¸ãƒ‰ã‚µãƒ¼ãƒ“スを使ã£ãŸé¢ç™½ã„構æˆã ã£ãŸã¨å½“時ã¯æ€ã£ã¦ã„ãŸã®ã§ã™ãŒã€å®Ÿéš›ã«å‹•ã‹ã—ã¦ã¿ã‚‹ã¨ã„ãã¤ã‹ã®èª²é¡ŒãŒã‚ã‚Šã€æœ€çµ‚çš„ã«ã¯é‹ç”¨ã‚’æ¢ã‚ã¦ã—ã¾ã„ã¾ã—ãŸã€‚ å‰å›žã®èª²é¡Œ 1) Elastic IP addressã®åˆ¶é™ã§ã‚¹ã‚±ãƒ¼ãƒ«ã—ã«ãã„ EC2ã¯è‡ªå‰ã§2ã¤ä»¥ä¸Šã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã‚¤ãƒ³ã‚¿ãƒ¼ãƒ•ã‚§ãƒ¼
Honeypot_on_GCP-20191006.pdf
I Don’t Have Time: Getting Over the Fear to Launch Your Podcast
ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã§ã‚ˆã見るユーザーエージェントã«ã¤ã„ã¦èª¿ã¹ãŸ - ã‹ã‚“ãšãã£ã¨
よã見ã‹ã‘るユーザーエージェントã«ã¤ã„ã¦èª¿ã¹ã¦ã¿ãŸ 今回ã¯å°‘ã—趣å‘を変ãˆã¦â€¦â€¦ ãƒãƒ‹ãƒ¼ãƒãƒƒãƒˆã®ãƒã‚°ã§ã‚ˆã見ã‹ã‘るユーザーエージェントã«ã¤ã„ã¦èª¿ã¹ã¦ã¿ã¾ã—ãŸã€‚ ZmEu é …ç›®å 内容 UserAgent ZmEu パス /phpmyadmin/scripts/setup.php, /pma/scripts/setup.php ãªã© 最åˆã«æ®‹ã—ã¦ã„ã /w00tw00t.at.blackhats.romanian.anti-sec:) ã®ãƒã‚°ãŒç‰¹å¾´çš„ãªè„†å¼±æ€§ã‚¹ã‚ャナã§ã™ã€‚Webサイトç‰ã‚’é‹å–¶ã—ã¦ã„ã‚‹æ–¹ã§ã‚ã‚Œã°ã€ãƒã‚°ã«ã“ã®æ–‡å—列ãŒã‚ã‚‹ã®ã‚’見ãŸã“ã¨ãŒã‚る方も多ã„ã®ã§ã¯ãªã„ã§ã—ょã†ã‹ï¼Ÿ アクセス先ã¯phpmyadminã®ã‚»ãƒƒãƒˆã‚¢ãƒƒãƒ—スクリプトã®ã»ã‹ã€SSHパスワードã®ãƒ–ルートフォースアタックも行ã£ã¦ã„ã‚‹ã¨ã®æƒ…å ±ã‚‚ã‚ã‚Šã¾ã™ã€‚英語版 Wikipedia ã«ã¯ãƒšãƒ¼ã‚¸ãŒã‚ã‚‹ãらã„ãªã®ã§ã€ãŠãらã有åãªã‚¹ã‚ャ
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
GitHub - Purp1eW0lf/Blue-Team-Notes: You didn't think I'd go and leave the blue team out, right?
Divining risk: deciphering signals from vulnerability scores
Service Information
GitHub - tillmannw/honeytrap: a low-interaction honeypot
GitHub - ivre/masscanned: Let's be scanned. A low-interaction honeypot focused on network scanners and bots. It integrates very well with IVRE to build a self-hosted alternative to GreyNoise.
GitHub - bartnv/portlurker: Port listener / honeypot in Rust with protocol guessing and safe string display
Low Interaction Honeypots with Python · ./own.sh
GitHub - joeylane/honeypot.py: A simple low interaction honeypot written in Python.
GitHub - m-mizutani/lurker: Scalable security network sensor as low interaction honeypot
GitHub - mushorg/glastopf: Web Application Honeypot
GitHub - OWASP/Python-Honeypot: OWASP Honeypot, Automated Deception Framework.
GitHub - telekom-security/tpotce: 🯠T-Pot - The All In One Multi Honeypot Platform ðŸ
GitHub - 4sp1r3/honeytrap: Dockerized Honeytrap for use in T-Pot
{{#tags}}- {{label}}
{{/tags}}