Virtual Box に脆弱性発覚


■Virtual Box に脆弱性発覚

当サイトの

Windows でセキュリティ

でも利用している、Virtual Box に脆弱性が発見されたらしい。

「VirtualBox」にゼロデイ脆弱性
~ロシアのセキュリティ研究者が“GitHub”で明らかに
https://forest.watch.impress.co.jp/docs/news/1152373.html

脆弱性が影響するのは、現行版の version でもある、

5.2.20 およびそれ以前のバージョン

ということらしい。

なお、本脆弱性が利用可能となる条件は、

・ネットワークアダプターの割り当てが NAT となっていること
・アダプタータイプが Intel PRO/1000 MT Desktop(82540EM)であること

ということらしい。

なお、これらを確認するには、

Virtual Box を起動後、

Kali Linux なり metasploitable2 なりの

仮想マシンを選択した状態で、

メイン画面にある

『設定』

をクリックし、

出てくるダイアログの左側メニューにある、

『ネットワーク』

を選択する。

その際出てくる、ネットワークアダプターの割り当て部分が、

NAT

となっており、かつ、

『高度』

と書かれているところをクリックすると下に出てくる、

『アダプタータイプ』

Intel PRO/1000 MT Desktop(82540EM)

となっていると、本脆弱性の影響を受ける模様。

なお、NAT を選ぶとデフォルトがこれになる模様なので、

NAT 以外を選んでおいたほうがよい。



注意すべき事項としては、推測ではあるが、

1 つでも条件にあてはまる仮想マシンがあれば、

その仮想マシン起動時に本脆弱性を受けるであろう、

ということ。

そしてもう一つは、

各仮想マシンで複数のネットワークアダプターを

利用している場合、一つでもこの条件に当てはまる

ネットワークアダプタがあれば、やっぱり

脆弱性の影響を受ける可能性があるということ。

ちゃんと調べていないのでなんとも言えない部分はあるが、

多分それを使っているときに影響を受けると思われる。

したがって、最も良いのは、

本脆弱性の影響を受けないバージョンに上げること

なのだが、現状の最新版である、

5.2.22 or 6.00-Beta

が本脆弱性の影響を受けないのかどうか、が

定かではない。

こういうの、困るんですよねぇ。

ということで、まずはやっぱり上述の対応を

しておいた上で、最新バージョンが出次第

アップデートを行う、というのが

一般ユーザーにできる最善の方法かもしれない。

私自身、ひとまず 6.00-beta に update してみたものの、

どうも extension pack も update しないといけない模様。

このあたりの方法については、

ちゃんと動くようになり次第記載する予定。

ひとまず、脆弱性を突く練習をするために

自分自身が脆弱性を突く攻撃の標的となっては

元も子もないので、対応しておくことをお勧めする。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: ブログ | タグ: , | コメントする

サイト開設からの軌跡(一年五ヶ月経過)


■サイト開設からの軌跡(一年五ヶ月経過)

サイト開設から一年と五ヶ月。

今月も、素人がサイト開設したらどうなるか、の記録として、

PV 数などを残しておこうと思う。

  1. PV 数の推移
  2. 読まれている内容
  3. 今後の予定
  4. 所感

PV 数の推移

この十七ヵ月における Page View 数、訪問者数、および記事数の推移は以下の通り。

経過月数 年月 月間 PV 数 一日平均 PV 数 訪問者数 記事数
1 2017/06 23 1 17 15
2 2017/07 124 4 46 20
3 2017/08 228 7 74 20
4 2017/09 533 17 250 8
5 2017/10 1280 41 599 8
6 2017/11 1690 56 854 16
7 2017/12 2546 82 1355 22
8 2018/01 4107 132 2015 17
9 2018/02 4673 166 2322 14
10 2018/03 4928 159 2557 14
11 2018/04 4822 161 2444 6
12 2018/05 6947 224 2982 7
13 2018/06 6911 230 3430 7
14 2018/07 9540 308 4755 5
15 2018/08 8801 284 4328 7
16 2018/09 8648 288 4146 6
17 2018/10 13262 428 6373 4

先月も記事作成はかなり少ない。

こんなことではいかんのだが、

別にやらねばならぬこともあり、

そちらに時間を取られたりして、

なかなか記事作成に時間がさけない。

記事が書けていないということは、

新たな技術を習得できていない、ということだ。

まずい。

自己研鑽を兼ねた趣味なのだから、

もっと時間をかけねば。

その一方で、PV 数は急増。

平均 PV 数も 400 越えと、過去最多。

一日平均 300 PV は 1 回しか達成していないのに、

今月は MAX で 695 PV も経験した。

どうも、Google のパンダアップデートや

ペンギンアップデートのあとから上がりだしたみたいだが、

特に検索順位が上がったようにも見えない。

いったい何が起こったのか…。

ただ、増えた要因の一つには、

情報処理安全確保支援士試験

が 10/21 に開催されたことが挙げられる。

これ関連の記事が明らかに大幅増となっている。

ということで、季節要因ではあるが、

まぁ増えてくれるのはうれしいことだ。



読まれている内容

先月の PV 数 Top 3 のうち、上位三記事は、

専用カメラモジュールを使う
過去最低の応募者数 – 情報処理安全確保支援士試験 –
ライブカメラ(監視カメラ)を作る!

となり、前回六位の

過去最低の応募者数 – 情報処理安全確保支援士試験 –

が、なんと二位に返り咲いた。

やはり、情報処理安全確保支援士試験があったのが影響している。

ただ、そのほかにも、

・一位 PV 数が 400 PV 増
・二位 PV 数が 300 PV 増
・三位 PV 数が 200 PV 増

と、軒並み前月よりも増加している。

この調子で伸びて行ってくれることを願うばかりだ。

一方、主力になってほしいと常に期待している

Raspberry Pi でブラウザから操作できるラジコン戦車を作る!

シリーズは、Top 10 に返り咲き。

PV 数も 170 PV 前後から 370 PV 程度までと、

倍増している。

まだまだ主力とは言えないものの、

関連ページも徐々に増えてきているため、

こちらも順調に伸びて行ってほしいものだ。

今後の予定

毎回代わり映えしないが、進捗確認の意味も込めて。

■Blog
・セキュリティ+ラズパイ関連ニュース(継続)

■セキュリティ
・OWASP ZAP の使い方(完)
ずーっとたまっていたが、何とか今月完了できた。
あくまで超基本的な使い方にとどまっているが、
導入としては意味ある記事にはできたかと思う。

・脆弱性検査ツールの使い方と比較(未)
いつでもやれる環境は整ったのだが、
残念ながらまだ着手できていない。
じっくり分析すると面白い結果になるとは思うのだが。

・Burp Suite の使い方(新)
検査ツール比較の一環でもあるが、
折角 OWASP ZAP を使えるようにしたので、
同じような脆弱性検査ツールである、
Burp Suite も試してみて、
OWASP ZAP とどのような違いがあるのか、
を試してみたいと思う。

・CTF 関連(未)
着手したいしたいと思いつつも全然だな。

・Bug Bounty Program(未)
こちらも全く。

■linux
・HTTPS/FTPS 化(未)
・SSH 公開鍵設定(未)
まぁこれはどこ見てもあるからいいかなぁ…。
やられ環境を安全化する際に検討してみよう。

■電子工作
・UART 設定(未)
もうドロップでいいかなぁ…。
いや、一応残しておこう。

・OpenCV の利用(未)
これはもう完全にペンディング。

・機械学習(未)
昨日の記事にも書いたが、まずは書籍学習からかな。
まだまだ先になりそうだが、一応記録として残しておこう。

■情報処理安全確保支援士
・記事再整理(継続)
今のところリライト全然できてない。
が、別にいいような気もしてきた。

■その他
・サイト再整理(未)
整理方法についてはまだまとまっていない。
とりあえずペンディングにしようと思う。



所感

先月は情報処理安全確保支援士試験のおかげで、

PV 数は過去最高を大きく更新することができた。

ここ二ヶ月ほど PV 数減が続いていたので、

かなりうれしい。

情報処理安全確保支援士試験様様である。

いままでメリットがないメリットがないと書いてきたが、

こうして記事を書けば見てもらえる、という

メリットはあるかもしれない。

記事作成については、OpenSCAP や Vuls といった、

これまであまり知らなかったツールの効果確認や

結果比較は面白いとおもっているので、

はやくこれを試したいのだが、なかなか時間が取れない。

加えて Burp Suite も試したいから、

早く今やってることを片付けないとなぁ。

が、時間はかかるからまぁ焦らずにやろう。

あとはやっぱり機械学習にもチャレンジしたい。

こちらも下準備というか事前調査はちょこちょこ

継続していって、ある程度他のことが片付いたら、

一気に取り組み出せればと思う。

一歩ずつ、一歩ずつだ。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: ブログ | タグ: | コメントする

Raspberry Pi で機械学習


■Raspberry Pi で機械学習

これまで、ラズパイを使って、

・ブラウザ(スマホ)から操作できるライブカメラ
・ブラウザ(スマホ)から操作できるラジコン戦車

などを作ってきた。

これらに関しては、

ラズパイで電子工作

などに書いているので、興味があれば見ていただければと思う。

で、その後どうしようか、という所が悩みどころ。

今のところセキュリティ関連の記事を充実させようと

思っているが、やっぱりラズベリーパイを使う以上、

電子工作とか、何か動くものを作っていきたいと思う。

ということで、次に考えているのが、

・ラズパイで AI

というキーワード。

時代の流れにのって、AI とか機械学習とか、

ある程度は知識として持っておきたいし、

それでいろんな作業を便利にできるなら、

ぜひとも活用していきたいと思っている。

が、今のところまったくもって知識を得られていない。

なかなか着手もできていない。

色々忙しいというのもあるが、

やはり最初の一歩を踏み出すには

結構勇気や労力がいる。

なんか簡単に使い始められるような、

入門的なものってないのかなぁ、なんて思っていたら、

こんな記事を見つけた。

Raspberry Piでディープラーニングを学ぼう
TensorflowやPythonの基礎が学べる
「AIプログラム学習キット2プラス」
https://fabcross.jp/news/2018/20181031_aiprogramlearningkit2plus.html



記事を読む限り、入門にはよさそうである。

何がよいかって、

・最初から Tensorflow が使える状態になっている
・サンプルプログラムや練習問題がある
・実際に使えそうな応用問題もある

という所。

手順通りにやっていけば、

一通りわかった気にはなれそうな感じはする。

特に、実際に手を動かしてやるっぽいので、

単に学習するよりも身に付きやすいとは思う。

ということで、結構興味をもっていたんだが…。

31,000 円か…。

一介のサラリーマンが小遣いで自己投資するには、

ちと勇気がいる値段。

しかも、これを出している会社が、私的には微妙。

raspberry pi でホワイトハッカー育成ツールを、

として、

raspberry pi に kali linux を積んで、

ちょっとばかし脆弱性検査ツールを追加しただけのものを、

30,000 円で売っているのである。

もちろん全くの初心者ならば、

30,000 円でそんな環境が手に入るだけでも

よいと思うので、別に批判するつもりはない。

ただ、全くの初心者はおそらく Kali Linux や

追加でインストールされているツールを

そもそも使いこなせないと思う。

じゃぁ多少知識がある人間なら有用かといえば、それも微妙。

というのは、私レベルであっても、

ラズパイに Kali linux をインストールするのは

Raspberry Pi に Kali Linux をインストールしてみた

でやっているし、

それ以外のツールを導入するのであれば、

ラズパイでセキュリティ

などでできる、それほど難しい作業ではないのである。

なので、これを 30,000 円という価格で売るというのが、

売り物に対して比較的高額に感じてしまうのである。

今回の、AI を学習できるキットというのも、

実は結構簡単なものなのに、それなりのお値段に

なっているのではないか、と思ってしまうのである。

とはいえ、AI 初心者の私にとって、

内容的にはなかなか魅力的であることは事実。

あー、3 万ぐらい衝動買いできるぐらいの

稼ぎがほしい…。

とはいえ、現実はそうもいかないので、

やっぱり今回は見送りで、別の手段を探すとするかな。



なんてことを考えながら、

ついでに raspberry pi で機械学習などを

学べる方法について調べてみたら、

なんとこんなものがあるではないか。

by カエレバ

 

これなら 2,000 円もしない。

しかも raspberry pi でやることを目的として

書かれている(はず)なので、私の目的にはばっちりある。

さらにラズパイちゃんはすでに手元にあるので、

OS を stretch にする必要はあるが、

基本手元で試しながらできるはず。

うーん、これいいかも。

今現在は、別にやらねばならぬことがあるため、

やっぱりまだすぐには手を出せないのだが、

まずはこれを手始めに、機械学習の勉強から

初めてみてもよいかも。

結局何に使うの?というのは

まだ何にも考えていないが、

こういうのは技術的な概要だけでも押さえておきたいし、

raspberry pi を使ってであれば、

完全に趣味としてとらえて対応できる。

うん、機械学習への取り組みは、

やっぱこれから始めよう。

今やらねばならないことは、

少なくとも年明けまでは取り組む必要があるので、

それをさっさと終わらせてしまって、

再び raspberry pi で趣味と自己研鑽できる状態に

戻ってこよう。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: ブログ | タグ: , | コメントする

Web アプリ診断(OWASP ZAP の基本的な使い方)


■Web アプリ診断(OWASP ZAP の基本的な使い方)

前回までで、

・Windows 環境で仮想マシン(Virtual Box)を使えるようにする
・仮想マシン上で、Kali Linux を動かす
・仮想マシン上で、練習用サーバーの metasploitable2 を動かす
・Kali Linux にある metasploit で脆弱性をついてみる

という所まで実施できた。

これで、一般的なサーバーやサーバー機能を持つ機器に対し、

・どうやって脆弱性を突くのか?
・脆弱性を突くとどうなるのか?

という所が多少理解(体験)できた。

ということで今回は、次のステップとして、

・Web アプリに対する脆弱性診断

にトライしてみようと思う。

Web アプリに対する脆弱性診断ツールとしては、

OWASP ZAP や Burp Suite などが有名だが、

今回はまず OWASP ZAP を使った診断をしてみたいと思う。

OWASP ZAP 自体は、Linux でも Windows でも

動作させることが可能。

実際、

ラズパイでセキュリティ

では、

脆弱性検査 – OWASP ZAP(インストール編) –

にて、raspberry pi に OWASP ZAP を

インストールする方法について記載している。

ただ、実際に試してみるためには、

やっぱりやられサーバーが必要となる。

ということで、今回は既にやられ用サーバーとして

metasploitable2 を使えるようにしていることもあり、

Windows 環境で試してみる。

とはいえ、使い方としては別に OS 毎に

代わるわけではないため、Linux 系に

インストールした場合でも同様に使えるかと思う。

以下、OWASP ZAP の基本的な使い方について記載していく。

  1. 事前準備と診断対象の確認
  2. OWASP ZAP を利用したセキュリティ診断
  3. 診断結果とその見方
  4. まとめ

なお、繰り返しになるが、本記事で記載の内容を、

他者の管理するサーバー等に対して、

許可なく実施することは違法行為となるため、

絶対にやらないでいただきたい。

他者に迷惑をかけることなくセキュリティ診断の方法論について学ぶため、

これまで述べてきたような環境構築を実施し、

自分の責任範囲にとどめて実施していただきたい。



・事前準備と診断対象の確認

事前準備として、まずはやられ側サーバーの

Web アプリケーションを確認しておく。

Metasploitable2 は、

Web アプリケーションの脆弱性も検査できるよう、

OWASP Top 10 に記載されたすべての脆弱性を盛り込んだ

Web アプリケーションが構築されている。

特に検査に必要なわけではないが、

最初にこれを確認してみようと思う。

まずは metasploitable2 上で IP address を確認する。

その方法については、

metasploit の使い方

に記載している通り、metasploitable2 のコンソール上で

ipconfig コマンドを実行すればよい。

metasploitable2 の IP address を確認したら、

続いて Kali Linux 上でブラウザを立ち上げ、

「http://(先ほど調べた)metasploitable2 の IP Address」

を入力し、アクセスしてみる。

私の環境であれば、今回は

http://10.0.2.5

となる。

で、実際に出てきた画面がこちら。
*赤枠は私が勝手につけたもの。

このように、metasploitable2 には、

Web アプリケーションの脆弱性検査用サイト

が立ち上がっているのである。

いやはや、非常にありがたいことだ。

で、実際このサイトのトップから検査してみてもよいのだが、

それだと非常に時間がかかってしまうため、

今回は、mutillidae に対して診断をかけることにする。

この mutillide という Web アプリケーションには、

Metasploitable2 Exploitability Guide
https://metasploit.help.rapid7.com/docs/metasploitable-2-exploitability-guide

にあるように、OWASP Top 10 +αの脆弱性が組み込まれている。

ということで、実際に先ほどの画面の赤枠をクリックし、

http://10.0.2.5/mutillidae

にアクセスしてみると、以下のようなページが現れる。

今回は、これに対して OWASP ZAP による診断をしてみようと思う。



・OWASP ZAP を利用したセキュリティ診断

事前準備といっても、必要なものは、

・診断対象となる Web サーバーの URL

のみである。

あとは OWASP ZAP にこの URL を入力してやれば、

自動で診断してくれるから楽なもの。

ということでその手順を書いていく。

まずは OWASP ZAP を立ち上げる。

Kali Linux には普通に OWASP ZAP が入っているので、

それを起動する。

具体的には以下の通り。

①デスクトップ左上にある、「Applications」をクリック

②リストのうち、「03-Web Application Analysis」にカーソルを合わせる

③OWASP ZAP をクリックする。

図はこちら。

なお、

Raspberry Pi に Kali Linux をインストールしてみた

でも記載したように、

Raspberry Pi 用の Kali Linux の場合は

【はじめからは入ってはいない】

ので、別途インストールが必要なことにご注意いただきたい。

その場合のインストール方法に関しては、

脆弱性検査 – OWASP ZAP(インストール編) –

に記載しているので、そちらを見ていただければと思う。

で、無事起動できれば、こんな画面が出てくる。

ダイアログは、

「ZAP のセッションをどう扱うか?」

ということが聞かれているだけなので、

なんでもいいがとりあえず何かを選んで

「Start」

ボタンを押す。

その後、Add-on を確認するダイアログもでるが、

まぁとりあえずスルーでよいだろう。

で、起動したらいよいよ診断スタート。

下図に示す、起動した画面の赤枠に対し、

①診断対象となるサーバーの URL を入力する
*今回の場合、ttp://10.0.2.5/mutillidae

②Attack ボタンを押す

とするだけ。

あとは放置しておけば、勝手にどんどん診断してくれる。
*今回の場合、数十分ってところかな?

超簡単、あら便利。

もちろん、より深く診断するためには、

もっといろいろオプションやら Add-on やらが

使えるのだが、まずは基本的な使い方を抑えるという意味では、

操作は以上でおしまい。

うーん、すごく簡単だわ。



・診断結果とその見方

診断が終われば、OWASP ZAP のメイン画面に、

以下の通り、

「Attack complete – See the Alerts tab for details of any issues found」

というメッセージがでる。
*以外と静かに終わる。

ということで、これが出ればいよいよ結果を確認していく。

全体概要

検出された脆弱性は、画面左下の Alert タブに出る。

検出された脆弱性の深刻度は、旗の色であらわされており、

・赤い旗が High
・オレンジの旗が Middle
・黄色い旗が Low

を各々示している。

今回は、

・High が 5 種類
・Middle が 4 種類
・Low が 5 種類

検出された。

Cross Site Scripting の他、

Remote OS Command Injection など、

結構深刻な脆弱性が検出されている。

では、この後どう対応すればよいのだろうか?

まずは個々の脆弱性を確認していこう。

個々の脆弱性確認

Alert タブに表示されている各脆弱性の左にある

三角マークをクリックすると、その脆弱性が存在する箇所が

リスト表示される。

リスト表示されたもののうち、一つをダブルクリックすると、

以下の通り、別のウィンドウが表示される。

ここには、

・脆弱性が存在する URL
・深刻度
・脆弱性の概要
・対策方法
・参考情報

などが示される。

なお、この情報は、メイン画面の右下部分にも記載されている。

また、この脆弱性を選択した状態で、

メイン画面の右上には、脆弱性が影響する箇所
*今回の場合は、該当する HTML のソース部分

が表示される。

よって、これらの情報を参考にすれば、

影響箇所や要修正箇所なども容易に理解できるはずである。



・まとめ

今回は、Web アプリの脆弱性を検査するツールとして、

OWASP ZAP

の超基本的な使い方、および結果の見方を記載した。

URL を指定し、実行するだけで、

結構ちゃんと検査してくれるっぽいことが分かった。

しかも、指摘された脆弱性の概要や、

指摘箇所、修正方法や参考情報なども提示してくれる。

これは非常にありがたいツールだと思う。

ということで、今回のポイントは以下の通り。

Point!・診断対象の URL を入力して実行するだけ!
・実行が終わったら、各脆弱性の中身を確認!
・指摘箇所を確認し、修正方法を参考にしながら修正!

現時点では本当に基本的な使い方をしたに過ぎないが、

より深い診断をするためには、ツールのオプションや

さらなる使い方を勉強する必要がある。

が、こんな簡単な操作をするだけでも

結構な脆弱性が検出できるため、

Web アプリを作成したら必ずやっておいたほうがよいだろう。

なお、今回診断対象となった、

metasploitable2 の mutillidae には、

OWASP Top 10 に記載のすべての脆弱性が組み込まれているが、

今回の検出結果がそれをちゃんとカバーできているのか、

までは確認できていない。

また、Burp Suite など、ほかにも有名なツールもある。

今後、これらとの結果比較など、もう少し深い分析をしていきたいと思う。

まぁ、いつになるかはわからんけれども…。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: Windows でセキュリティ | タグ: , | コメントする

いよいよ正念場か!? – 情報処理安全確保支援士 –


■いよいよ正念場か!? – 情報処理安全確保支援士 –

先日、IPA より、

情報処理安全確保支援士の登録者数

に関するプレス発表があった。

プレス発表
国家資格「情報処理安全確保支援士(登録セキスペ)」
10月1日付登録人数は合計17,360名に
https://www.ipa.go.jp/about/press/20181001.html

前回までで 1 万人弱であったから、

今回だけで一気に 8 千人程度増えたことになる。

いよいよ情報処理安全確保支援士人気に火が付いたのか!?

こんなに増えたのだから、2020 年までに 3 万人なんて余裕では?

なんて思ってはいけない。

これで、いよいよ情報処理安全確保支援士制度は

正念場を迎えた、と思っている。

折角数が激増したにも関わらず、

なぜそう思うのか?

以下、その理由について、

私なりの考え方を記載する。



経過処置の終了

そもそも、今回なぜこんなに登録者数が増えたのか。

それは、

・経過処置対象期間の終了に伴う駆け込み登録

があったからだ。

これまで、情報処理安全確保支援士になるためには、

・情報処理安全確保支援士試験に合格し、登録する
・支援士と同等の能力を有するものとして認められる
*警察におけるサイバーセキュリティ対応業務従事者等

といった手段の他、前制度である、

・情報セキュリティスペシャリスト試験合格者
・テクニカルエンジニア(セキュリティ)試験合格者

に関しても、登録することで、

情報処理安全確保支援士となることができた。

ただし、これら前制度の試験合格者に対しては、

過去の試験合格をもって、無試験であっても

情報処理安全確保支援士に登録できる期限が決められていた。

具体的には、経過措置対象期間として、

平成 30 年 8 月 19 日

までに登録申請をする必要があったのだ。
*情報処理安全確保支援士制度になってからの試験合格者には、
*このような試験合格の有効期限は今のところ存在しない。

これを過ぎると、過去の試験合格をもってしても、

情報処理安全確保支援士試験

を再度受験して合格する必要がある。

このため、IPA も過去の試験合格者に対して

登録期限が迫っていることのはがき連絡を行ったりしていた。

その結果、

過去の試験合格者が駆け込みで登録した、

というのが今回急増した理由である。

なお、経過措置対象者は 49,105 名いたらしく、

そのうち、トータルで 15,018 名が登録し、

支援士となったとのこと。

およそ 1/3 が登録しているが、逆に言えば、

2/3 は登録していない、ということになる。

そして今回の登録をもって、今後、

旧制度における試験合格者は、

新制度における試験を再度受験し合格しない限り、

情報処理安全確保支援士になることはできない。

元々なりたい人であれば、経過措置対象期間内に

登録手続きを済ませているであろうから、
*わざわざ再試験を受けたいと思う人は別に受けているだろうし、

今後このような急増は見込まれず、

これまでの新制度合格者の登録によってしか

支援士数は増えない、ということだ。
*同等の能力を持つと認められるものは除くが、
*これが急増するのは国側の制度乱用となるため、
*あまり考えられない。

このため、今回急に増えたからと言って、

今後も同じように増えていくことはあり得ないのである。

むしろ、

登録する資格のある人 = (ほぼ)新制度での試験合格者のみ

となるため、そもそも登録資格を持つ人の母数が激減する。

よって、支援士となる人も、増えるどころか

急減するのが当たり前なのである。



これまでの支援士試験合格者と登録者の推移

また、今回の登録によって、

情報処理安全確保支援士の総数は

17,360 名

となっている。

しかしながら、その 87% 近くは、

旧制度の試験合格者

である。

逆に言えば、新制度になってから登録したのは、

支援士全体のうち、

わずか 13% 程度しかいない、

ということだ。

実際、過去の支援士試験合格者のうち、

試験合格直後に登録する人は、1/4 程度である。

2017 年春から始まった試験において、

合格者は毎回 2,500 人超いるが、

直後に登録するのは 600 人程度。

試験合格からしばらくたって登録する人もいるようだが、

当然のごとく直後に登録する人よりは随分少なくなる。

ということは、今後も一回の試験当たり、

800 人前後が登録すればよいほう、という形になる。

こういったことを考えれば、今後、

登録者数が発表されるたびに、

大体 800 人ずつぐらいしか支援士の数は増えていかない

ということが予想される。

今回の登録者数の 1/10 程度だ。

加えて、

過去最低を更新 – 情報処理安全確保支援士試験の応募者数 –

でも記載した通り、

そもそもこの情報処理安全確保支援士試験に

応募する人自体が減ってきている。

これは即ち、人気が全然上がってはおらず、

むしろ低下しつつあることを意味していると考えられる。

ということは、今後は登録者数自体も減っていくことが

考えられる。



まとめと今後の希望

これまで述べてきたように、

・今回で旧制度の登録資格保持者に対する経過措置が完了する
・新制度の試験合格者による登録は少なく、今後も減少が見込まれる

という二点から、

情報処理安全確保支援士制度はいよいよ正念場を

迎えることになったと思われる。

今回の駆け込み登録による登録者数増という手段が

なくなってしまった上、

新制度における試験合格者の登録者数も減り続けている今、

このままだと、情報処理安全確保支援士の数は

大きく増えないまま、下火になっていくことが想定される。

数を増やせばよい、という話ではないと思っているが、

維持費の高さやメリットのなさ等、

デメリットのほうが話題として先行している現状で、

さらに数も増えなくなっていく、となれば、

情報処理安全確保支援士を目指そうという人自体が

激減していくことだろう。

では、情報処理安全確保支援士という、

日本で初めての情報セキュリティに関する国家資格は

もうすたれるしか道がないのだろうか?

これから盛り返していくためには、具体的方法は別にして、

情報処理安全確保支援士という資格自体の魅力を上げる

ことしかないと思われる。

維持費を安くする必要は特にない。

維持費をはるかに上回るメリットを提供すればよいのである。

それが実現できれば、私のように、

・新制度下での試験は合格したが、登録していない人

などの登録が見込めるようになるだろう。

また、経過措置自体は終了してしまったとはいえ、

旧制度時に一度合格している人であれば、

・一旦合格しているから、今一度チャレンジしてみよう

という人も増えるはずである。

さらには、今までチャレンジしたことのない人も

増えると思われる。

これにより、日本の情報セキュリティ全体のレベルが

上がっていくことにつながると思っている。

資格自体の魅力を上げるためにはどうすればいいのか、

我々も考える必要があるが、経産省や IPA には

今一度真摯に検討してほしいと切に願う、今日この頃であった。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: ブログ, 情報処理安全確保支援士 | タグ: , , | コメントする

サイト開設からの軌跡(一年四ヶ月経過)


■サイト開設からの軌跡(一年四ヶ月経過)

サイト開設から一年と四ヶ月。

今月も、素人がサイト開設したらどうなるか、の記録として、

PV 数などを残しておこうと思う。

  1. PV 数の推移
  2. 読まれている内容
  3. 今後の予定
  4. 所感

PV 数の推移

この十六ヵ月における Page View 数、訪問者数、および記事数の推移は以下の通り。

一ヶ月目(2017 年 06 月)
PV 数 0023、一日平均 PV 数 001、訪問者数 017、記事数 約 15 記事
二ヶ月目(2017 年 07 月)
PV 数 0124、一日平均 PV 数 004、訪問者数 046、記事数 約 20 記事
三ヶ月目(2017 年 08 月)
PV 数 0228、一日平均 PV 数 007、訪問者数 074、記事数 約 20 記事
四ヶ月目(2017 年 09 月)
PV 数 0533、一日平均 PV 数 017、訪問者数 250、記事数 約 08 記事
五ヶ月目(2017 年 10 月)
PV 数 1280、一日平均 PV 数 041、訪問者数 599、記事数 約 08 記事
六ヶ月目(2017 年 11 月)
PV 数 1690、一日平均 PV 数 056、訪問者数 854、記事数 約 16 記事
七ヶ月目(2017 年 12 月)
PV 数 2546、一日平均 PV 数 082、訪問者数 1355、記事数 約 22 記事
八ヶ月目(2018 年 01 月)
PV 数 4107、一日平均 PV 数 132、訪問者数 2015、記事数 約 17 記事
九ヶ月目(2018 年 02 月)
PV 数 4673、一日平均 PV 数 166、訪問者数 2322、記事数 約 14 記事
十ヶ月目(2018 年 03 月)
PV 数 4928、一日平均 PV 数 159、訪問者数 2577、記事数 約 14 記事
十一ヶ月目(2018 年 04 月)
PV 数 4822、一日平均 PV 数 161、訪問者数 2444、記事数 約 06 記事
十二ヶ月目(2018 年 05 月)
PV 数 6947、一日平均 PV 数 224、訪問者数 2982、記事数 約 07 記事
十三ヶ月目(2018 年 06 月)
PV 数 6911、一日平均 PV 数 230、訪問者数 3430、記事数 約 07 記事
十四ヵ月目(2018 年 07 月)
PV 数 9540、一日平均 PV 数 308、訪問者数 4755、記事数 約 05 記事
十五ヵ月目(2018 年 08 月)
PV 数 8801、一日平均 PV 数 284、訪問者数 4328、記事数 約 07 記事
十六ヵ月目(2018 年 09 月)
PV 数 8648、一日平均 PV 数 288、訪問者数 4146、記事数 約 06 記事

先月は、

Windows でセキュリティ

の作成を継続。

記事数的には少ないのだが、

なんだかんだで記事をかく時間が取れず、

6 記事という相変わらず少ない記事数。

そして PV 数は減少継続だが、平均 PV 数は微増。

まぁ、ほぼ変わらずという感じか。

しかし、8 月は減ることが予想されていたものの、

9 月は戻ってくれると思っていたが、全然戻っていない。

それどころか、減少の一途をたどっていたので、

もはやこれまでかと再び意欲を失いかけていた。

が、9 月末になって随分と回復傾向に。

10 月はその勢いで再び増加に転じてほしいものだ。



読まれている内容

先月の PV 数 Top 3 のうち、上位三記事は、

専用カメラモジュールを使う
ライブカメラ(監視カメラ)を作る!
WebIOPi で遠隔操作(インストール編)

となり、前回六位だった WebIOPi の記事が

三位に返り咲いた一方、

前回、前々回と三位だった、

過去最低の応募者数 – 情報処理安全確保支援士試験 –

は六位と入れ替わった状態。

なお、本サイトの絶対王者、

専用カメラモジュールを使う

は、7 月に 1700 PV 程度まで言っていたものの、

9 月には 1000 PV 程度まで落ちている。

二位は 450 PV 前後で変わらずだが、

三位は 400 PV -> 330 PV と若干落ちている。

とはいえこの状態ということは、

longtail 側が上がってきたのかもしれない。

また、ちょっと特徴的なのは、

Home

が Top 10 入りしたこと。

それまで 130 PV 前後で来ていたが、

加筆修正したのが聞いたのか、220 PV 程度になってた。

やはり玄関口となるページなので、

これが上がってくれるのはうれしい。

一方、主力になってほしいと常に期待している

Raspberry Pi でブラウザから操作できるラジコン戦車を作る!

シリーズは、Top 10 から陥落。

PV 数も 220 PV 前後から 170 PV 程度までと落ちている。

これが上がってくれるのが望ましいのだが、

なかなかうまくいかないものだ。

今後の予定

毎回代わり映えしないが、進捗確認の意味も込めて。

■Blog
・セキュリティ+ラズパイ関連ニュース(継続)

■セキュリティ
・OWASP ZAP の使い方(未)
Windows でセキュリティ』の続編として記事作成を計画中。
ただその前に、まずは自分で使えるようにしないと。
metasploitable2 は、脆弱性のある Web サーバーとしても
構築されているため、そこに対してやってみようと思っている。

・Metasploit の使い方(完)
今月は無事こちらについて完了することができた。
使い方自体は raspberry pi に入れた場合と
全く同じなので、raspberry pi の方は省略予定。

・脆弱性検査ツールの使い方と比較(新)
折角 metasploitable2 を使えるようになったので、
こちらに OpenSCAP や Vuls、Nicto2、Lynis など、
数ある脆弱性検査ツールを適用してみて、
*OpenVAS や Nessus も。
結果がどうなるかを比較してみる、というのをやってみたい。

・CTF 関連(未)
着手したいしたいと思いつつも全然だな。

・Bug Bounty Program(未)
こちらも全く。

■linux
・HTTPS/FTPS 化(未)
・SSH 公開鍵設定(未)
まぁこれはどこ見てもあるからいいかなぁ…。
やられ環境を安全化する際に検討してみよう。

■電子工作
・UART 設定(未)
もうドロップでいいかなぁ…。

・OpenCV の利用(未)
これはもう完全にペンディング。

・機械学習(見)
結構リアルに勉強したくはなってきている。
Raspberry pi で動かす前に、まずは勉強かな。
とはいえ、それ以前に勉強しないといけないことが
山ほどあるため、ちょっと時間はかかりそう。

■情報処理安全確保支援士
・記事再整理(継続)
今のところリライト全然できてない。

■その他
・サイト再整理(未)
徐々に取り組んではいる。
こちらはちょっとづつかなー。



所感

先月はお盆の影響から回復すると思っていたが、

残念ながら、PV 数減は継続となった。

が、先月後半からは以前以上の伸びが

見えだしているので、今月はちょっと期待中。

記事作成については、Windows のセキュリティが

一旦作成完了したので、今後どうしようかを考え中。

ただ、前述したとおり、OpenSCAP や Vuls といった、

これまであまり知らなかったツールの効果確認や

結果比較は面白いとおもっているので、

これを試してみて記事にまとめられればと思う。

とはいえ、現在進めているお勉強の方も

加速させなければならず、今後もサイト更新の進捗は

停滞気味になると思われる。

まぁ、やりたいこと自体はあるので、

粛々と進めていこう。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: ブログ | タグ: | コメントする

metasploit の使い方


■metasploit の使い方

これまで、

Windows でセキュリティ

として、

Windows 上でセキュリティ診断を行う環境の構築

について記載してきた。

具体的には、

・仮想マシンソフトとしての Virtualbox の導入
・セキュリティ診断を行うための Kali Linux の導入
・診断される対象となる metasploitable2 の導入

という所について、その具体的な方法について書いた。

ということで、今回はようやく整った環境を使い、

実際のセキュリティ診断の一手法について、

・metasploit の使い方

を中心に記載してみたいと思う。

主な内容は以下の通り。

  1. 事前準備
  2. Metasploit を利用したセキュリティ診断
  3. まとめ

なお、繰り返しになるが、本記事で記載の内容を、

他者の管理するサーバー等に対して、

許可なく実施することは違法行為となるため、

絶対にやらないでいただきたい。

他者に迷惑をかけることなくセキュリティ診断の方法論について学ぶため、

これまで述べてきたような環境構築を実施し、

自分の責任範囲にとどめて実施していただきたい。



・事前準備

metasploit を使って実際に診断していくためには、

いくつか準備しておく必要がある。

そんなに大したものではないが、

手順を正確に追えるようにするためにも、

ひとまず記載しておく。

仮想マシンのネットワーク設定

これまで導入してきた各種仮想マシンを起動する前に、

まずやっておくべきは、ネットワーク設定。

各仮想マシンに対するネットワーク設定方法については、

すでに

Windows 10 への Metasploitable2 の導入

にて記載しているので、設定方法については

そちらをみて頂きたい。

で、上述の記事では、Kali Linux のネットワーク設定を

NAT

としていたが、今回は

Kali Linux と metasploitable2 の両方とも、

NATネットワーク

として構成する。

仮想マシンの起動と IP address の確認

ネットワーク設定を内部ネットワークに変更したら、

各々の仮想マシンを起動する。

初めは、

二つの仮想マシンを同時に立ち上げるなんてできるのか?

と思っていたが、VirtualBox を立ち上げると最初に現れる、

VirtualBox マネージャー

画面に表示されている各仮想マシンをダブルクリックすれば、

普通にそれぞれの仮想マシンが起動されていた。

で、まずは metasploitable2 にログインする。

ID : msfadmin
PW : msfadmin

を各々入力すれば、ログインできる。

そのうえで、

                msfadmin@metasploitable:~$ ifconfig

として ifconfig コマンドを実行すれば、

metasploitable2 の IP address を調べることができる。

今回の場合、IP address は以下の通り、

10.0.2.5

となっていた。

Kali Linux からの解放ポート等調査

metasploitable2 側の IP address がわかれば、

今度は Kali Linux 側に移り、metasploitable2 側の

解放ポートなど、基本的な情報を調べる。

具体的には、nmap を使うのが簡単。

今回の Kali Linux には nmap が初めからインストールされている。

よって、Kali Linux 側で terminal を立ち上げ、

                root@kali:~# nmap -sV 10.0.2.5

を実行する。

その結果、metasploitable2 側で起動しているサービスや

解放ポート、およびそのポートで利用しているソフトウェアの

バージョン等が判明する。

実際に実行してみると、以下の通りとなっている。

これで一通り事前情報が収集できたので、

いよいよ metasploit を利用していく。



・Metasploit を利用したセキュリティ診断

metasploit の起動

事前準備が整ったところで、いよいよ metasploit を使った

セキュリティ診断を実施していく。

まずは metasploit の立ち上げ。

Kali Linux 上で Terminal ソフトを立ち上げ、

                root@kali:~# msfconsol

を実行すれば、しばらくした後

以下のような画面がでてきて、起動が完了する。

なお、画面冒頭にあるアスキーアートは、

起動ごとに変更される模様。

脆弱性の探索

metasploit を起動したら、まずは脆弱性の探索を実施する。

metasploit では、既存の脆弱性に対して、

それを突く為の攻撃用コードである、

exploit code

を利用することができる。

よってここでは、先ほどの事前準備で判明した、

metasploitable2 側で起動している各種サービス

に対する脆弱性を探索してみる。

先ほどの事前準備では、nmap の実行結果から、

vsftpd 2.3.4

が起動していることが判明している。

この vsftpd 自体は FTP server ソフトであり、

version 2.3.4 には、任意コードが実行可能となる

脆弱性が存在することが知られている。
* 他にも、backdoor が仕込まれていることがわかっている。

ということで、今回はこの

vsftpd

に対する exploit code が存在するかどうか、を

確かめてみる。

それには、search コマンドを利用すればよい。

metasploit を起動した状態で、

                msf > search vsftpd

と実行してみると、以下に示す通り、

backdoor を突く exploit code として、

exploit/unix/ftp/vsftpd_234_backdoor

が存在することが示された。

なお、search コマンドの引数には、ほかにも、

CVE

microsoft

など、CVE 番号がついている特定の脆弱性や、

OS ベンダー名などでも検索が可能となっている。

よって、新たに脆弱性などが公表された場合には、

                root@kali:~# apt-get update
                root@kali:~# apt-get upgrade -y

などで metasploit の exploit code データベースを

update した上で metasploit を起動し、

search コマンドで CVE 番号が付いた脆弱性を指定すれば、

該当する脆弱性に対する exploit code が既に

存在するかどうか、を調べることができる。

exploit code が存在するか否かは

実際に脆弱性を突かれるかどうかに大きく影響するため、

セキュリティ診断のためにうまく使うのがよいだろう。

Exploit code の利用

で、話を戻すと、search コマンドを実施した結果、

Matching Module として、

exploit/unix/ftp/vsftpd_234_backdoor

が存在することがわかっていたので、これを使ってみる。

具体的には、metasploit の use コマンドを使い、

                msf > use exploit/unix/ftp/vsftpd_234_backdoor

として実行する。

これで、vsftpd に対する exploit code を

利用できる状態になる。

で、実際に利用する際には、この exploit に対応する

各種引数等を指定する必要があるのだが、

その引数は exploit 毎に異なる。

よって、それを調べるために、show コマンドを

options を引数として、以下の通り実行する。

                msf exploit(unix/ftp/vsftpd_234_backdoor) > show options

すると、以下の通り、Module Option 部分に、

RHOST : ターゲットとなるサーバーの IP address
RPORT : ターゲットとなるサーバーの vsftpd 用ポート

を設定する必要があることが提示される。

ここで、RPORT 部分はすでに初期値として 21 が設定されており、

今回は初期値と同じポート番号で vsftpd が起動しているため、

ここは変更する必要がない。

一方で、RHOST は未設定となっているため、

続いてこちらを設定する。

具体的には、set コマンドを利用し、

以下のようにして RHOST に今回のターゲットである

metasploitable2 の IP address 10.0.2.5 を

設定する。

                msf exploit(unix/ftp/vsftpd_234_backdoor) > set RHOST 10.0.2.5

これにより、以下の通り RHOST が設定されたことがわかる。

で、ここまでくれば、あとは exploit code を実行すればよい。

実行自体は簡単で、以下の通り、run コマンドを実行するだけ。

                msf exploit(unix/ftp/vsftpd_234_backdoor) > run

その結果、画面は以下のようになる。

一見、何も起こっていないように思えるが、

この状態ですでに侵入は完了している。

実際、この状態のまま、

現在稼働しているカーネルを調べるコマンドである、

uname -a

を実行してみると、以下のような結果が得られる。

ちゃんと metasploitable2 側のコンソールになっている。

さらに、

whoami

コマンドを実行すると、以下のようになる。

これにより、

vsftpd 2.3.4 の脆弱性を利用することで、

metasploitable2 に対し、root でログインできた

ことが確認できた。



・まとめ

今回は、これまでの準備を踏まえ、実際に

・metasploit を使って脆弱性を突く

という方法について述べてきた。

これにより、metasploitable2 に対し、

・root 権限でログインする

ということが実際にできることが確認できた。

実際にやっていることは、

・metasploit というツールを使う

ということだけである。

まさに、script kiddy 以外の何物でもない。

が、脆弱性およびそれを利用する exploit code さえあれば、

こんなに簡単な手順でサーバーを乗っ取れてしまうのである。

script kiddy レベルでできることが大きく広がっており、

かつその影響も甚大化しているというのが実感できた。

自身がサーバーを立てたりする場合には、

最新版のソフトウェアを利用するのは当然のこと、

どうしても利用せざるを得ないサービスなどに対しては、

こういったツールを使い、設定の誤り等を含む

脆弱性がないか等、うまく診断できればと思う。

ということで、今回のポイントは以下の通り。

Point!・search コマンドで exploit の存在を調査!
・use コマンドで exploit を利用できる状態にする!
・exploit 利用時に必要な情報は、show options で確認!
・必要なオプションは set コマンドで設定!
・あとは run で実行するだけ!

今回やりたかったことは、ひとまずこれで完了。

ただ、折角 kali linux を入れているのに、

metasploit だけで終わらせるのはもったいない。

また、metasploitable2 に vuls や OpenSCAP、

Nicto2 や Lynis などを適用してみたら、

何がどんな形になるのか、などなど、

色々試してみたいと思う。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: Windows でセキュリティ | タグ: , | コメントする

CompTIA Pentest+ の内容

■CompTIA Pentest+ の内容

以前、

セキュリティの新資格 – CompTIA Pentest+ –

という記事で、新たなセキュリティ資格として、

CompTIA Pentest+

というのが発表された、というような内容を書いた。

この資格に関して、その内容に関する紹介記事があったので、

取り上げてみる。

「優れたセキュリティ人材はめったに見つからない」は間違い:
「人がいない」「予算がない」でやりたくてもやれない
脆弱性検査を実施するための現実的な施策とは
http://www.atmarkit.co.jp/ait/articles/1809/26/news002.html

によれば、本サイトでも紹介しているような、

・nmap
・metasploit

のようなセキュリティ診断ツールの使い方だけではなく、

Python で簡単なスクリプトをかける力や、

ペネトレーションテスト(侵入テスト)の範囲設定、

計画立案、報告、脆弱性情報の収集、といったところも

入っているらしい。

内容的にはよさそうなのだが、レベル的には

どんな感じなんだろうか?

nmap や metasploit の使い方レベルであれば、

正直 script kiddy レベルであって、

ハッカーとは言い難いのではないだろうか。

ということで、同じ CompTIA 資格のうち、

別の資格の難易度をちょっと見てみた。



CompTIA における別のセキュリティ資格としては、

まず CompTIA Security+ というのがあるらしい。

いろんなブログを見てみたが、どうも結構簡単っぽい。

こんな問題集も出ている模様。

ちなみに、問題集よりも実際の問題は難しいらしいが、

一方で Web 模擬問題もあるようで、こちらは

試験問題とほぼ同じレベルの模様。

どうもこの Web 模擬試験をやっていれば受かるっぽく、

合格した人も、

・実質一日の勉強で合格した

とか、

・結構簡単に受かった

みたいなコメントが多かったため、難易度はそれほどでもない模様。

情報セキュリティマネジメントと同等以下ぐらいの感じだろうか?

また、先ほどの記事によれば、

CompTIA Security+ の上位資格として、

CompTIA CySA+ と CompTIA Pentest+

が同レベルで挙げられている。

ということは、情報処理安全確保支援士と同等レベルぐらいと

考えればよいのかもしれない。

が、なんか書いている内容を見る限りだと、

それよりは簡単そうに思えるんだけれども。

ちなみに、CompTIA CySA+ に関しては、

Security+ 同様、問題集が出ている。

一回読んでみればまぁレベル感がわかるんだろうな。

2,700 円か…。

時間的余裕ができれば一度購入して読んでみてもいいかもしれない。



とりあえず、個人的に興味深い資格であることは確か。

試験費用も 3, 4 万円と、ちょっと高いが、

個人では無理、というほどでもない。
*しかしそう考えると、情報処理安全確保支援士は試験費用自体は安い。
*維持費用が高すぎるが。

とはいえ、内容的なものを見ると、以前も紹介した

でも、スコープの決定や計画立案、

報告や依頼者とのやり取りについても記載されている。

ということを考えれば、

・ペネトレーションテスター入門

ぐらいのレベル感だと思えばよいのかもしれない。

仕事としてペネトレーションテストをする人になりたければ、

基本論としてこの内容を押さえておく、

というのがいいような気もしてきた。

まぁ、レベルは結局受けてみないとわからないので、

ひとまず個人的な興味の対象として、

継続して情報を収集しておこうと思う。

2019 年には日本語版の試験もできるらしいし、

受けるにしてもそれからでよいかな。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: ブログ | タグ: , | コメントする

Windows 10 への Metasploitable2 の導入


■練習用サーバー metasploitable2 の導入

Kali Linux を Virtual Box 上で動作させられるようになれば、

次は、Kali Linux を使いこなすための練習用やられサーバーを

Virtual Box 上で動かせるようにしていく。

Kali Linux などを使って実際にセキュリティ診断をするためには、

当然、診断対象となるサーバーが必要となる。

しかしながら、実在の他者が管理するサーバーに対して

無断でセキュリティ診断を実施することは、

ハッキング行為とみなされて違法となる可能性が高い。

よって、自分自身が管理し、責任を持つ、

練習用のやられサーバー

を立てる必要があるが、任意の脆弱性を含むような

サーバーを自分で作るには、それはそれで大変な労力と知識が必要。

ということで今回は、すでに練習用やられサーバーとして

様々な脆弱性をてんこ盛りに盛り込んだ仮想マシン用サーバーである、

RAPID7 metasploitable2
https://metasploit.help.rapid7.com/docs/metasploitable-2

を導入し、これに対するセキュリティ診断を行っていく。

そのためにも、今回は

・Virtual Box 上で metasploitable2 を動作させる

という所まで記載しようと思う。

主な内容は以下の通り。

  1. metasploitable2 のダウンロード
  2. インストール
  3. インストール後の設定と起動


・metasploitable2 のダウンロード

Metesploitable2 自体は、

仮想マシン上で動作する脆弱性検査練習用サーバーとなっている。

このため、仮想マシン用のイメージが準備されている。

まずはこれをダウンロードする。

ダウンロードの方法は二種類あるようだが、

ここでは恐らく簡単な方法について記載する。

初めに、SourceForge のページにアクセスする。

https://sourceforge.net/projects/metasploitable/

下図赤枠をクリックし、metasploitable2 の

仮想マシン用イメージを含む、zip ファイルをダウンロードする。

そうすると、ダウンロードが始まるが、

数十分以上かかるため、おとなしく待っておく。

ダウンロードが完了すると、

・metasploitable-linux-2.0.0.zip

というファイルがダウンロードフォルダーにできる。

これでダウンロードは完了。



・インストール

ダウンロードが完了したら、続いてはインストールを行う。

ダウンロードしたファイルは仮想マシン用イメージを含む

zip ファイルなので、まずはこれを解凍する。

ダウンロードした

metasploitable-linux-2.0.0.zip

を好みの場所に解凍する。

解凍後、まずは Virtual Box を立ち上げる。

そのうえで、メイン画面左上に存在する、

『新規』

アイコンをクリックする。

そうすると、以下のような画面が出てくる。

この画面がでたら、もろもろ設定していく。

まずは『名前』の部分。

自分でわかりやすい名前を付ければよいが、

私の場合は

『metasploitable2』

とした。

名前を入れると、次はその直下にある『タイプ』の選択。

ここは普通に

『Linux』

を選択する。

そうすると次の『ヴァージョン』部分は

自動的に Ubuntu(64-bit) になるはず。

で、その下にある『メモリーサイズ』は

特にデフォルトで問題ないため、変更せずに進む。

最後は『ハードディスク』の選択。

この部分で、先ほどダウンロード、解凍した

metasploitable2 のイメージを選択する。

まずは

『すでにある仮想ハードディスクを使用する(U)』

にチェックを入れ、右下にあるフォルダーマークをクリックする。

すると、ファイルを選択するいつものダイアログが出てくるので、

先ほど解凍した際にできているはずの、

・Metasploitable.vmdk

を選択し、開く。

で、最後は『作成』ボタンを押せば、

このような形になって、インストール(というかインポート)完了。



・インストール後の設定と起動

インポートが完了すれば、あとは起動すればよいようなものだが、

最初にネットワーク接続について確認しておく必要がある。

設定方法は、

Windows 10 への Kali Linux の導入

で記載しているが、今回、metasploitable2 の方は

『NATネットワーク』

に設定するため、改めて設定方法を記載する。

なお、NAT ネットワークだとどうなるか、については

こちらのブログが詳しく記載してくださっているため、

こちらを参照していただいてもよい。

プログラマの歩き方
VirtualBox: ネットワーク設定
http://zorinos.seesaa.net/article/450304938.html

で、実際の設定に関して。

まずは Virtual Box マネージャー画面において、

左上にあるメニュー画面から

『ファイル』-> 『環境設定』

を選択する。

その結果、以下のダイアログが出てくる。

ここで、左側のメニューから図赤枠にある

『ネットワーク』

を選択する。

その結果、画面が以下の通り遷移するため、

画面の右側にある赤枠のアイコンをクリックする。

そうすると、以下の通り NAT ネットワークを設定可能となる。

この準備をしたうえで、

Windows 10 への Kali Linux の導入

で記載したネットワーク設定と同様の設定を行い、

その際のネットワーク選択を

『NAT ネットワーク』

にしておく。

実際にセキュリティ診断をする際には、

診断する側である Kali Linux も

『NAT ネットワーク』

に設定することで、

Kali Linux と metasploitable2 のみのネットワーク

を構築し、セキュリティ診断をしていけばよい。

で、ネットワークの設定が終わったら、いよいよ起動。

Virtual Box 上の Metasploitable2 を

ダブルクリックしてやれば、勝手に起動してくれる。

あとはしばらく待っていると、以下のような画面が出てくる。

この画面がでてきたら、

ID : msfadmin
PW : msfadmin

としてログインすれば、完了である。



・まとめ

ここまで、Windows 10 でセキュリティ診断環境を構築すべく、

・Virtual Box の導入
・Kali Linux の導入

を行ってきたが、今回は、

Kali Linux でセキュリティ診断を行う際の対象

となる、

metasploitable2

を導入する方法について記載した。

ということで、今回のポイントは以下の通り。

Point!・metasploitable2 の zip ファイルをダウロードし、解凍
・Virtual Box の新規作成から Metasploitable.vmdk をインポート
・ネットワーク設定を内部ネットワークに設定!

次回は、いよいよ Kali Linux と metasploitable2 を使い、

metasploitable2 に組み込まれた脆弱性をつく方法と、

ついた結果どうなるか、という所を試していこうと思う。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: Windows でセキュリティ | タグ: , | コメントする

Windows 10 への Kali Linux の導入


■Kali Linux の導入

Virtual Box を利用できるようになれば、

次は Kali Linux を Virtual Box 上で

動作させる。

基本的には、Kali Linux をダウンロードして

Virtual Box 上で動かせばよいだけの話なのだが、

いくつか気を付けないといけないポイントがある。

よってここではそれらも踏まえて記載していく。

主な内容は以下の通り。

  1. Virtual Box 用 Image のダウンロード
  2. インストールとエラー対応
  3. 起動後の設定


・Virtual Box 用 Image のダウンロード

まず初めに、Kali Linux の Image file をダウンロードするため、

Kali Linux Downloads
https://www.kali.org/downloads/

にアクセスする。

このページでは、 軽量版や通常版など、

複数の iso image file がダウンロードできる。

しかしながら、Virtual Box 上で動作させる場合、

iso image ではうまく動作してくれない模様。

iso image で動く等の記載をしているブログなども

多いのだが、私の環境では色々エラーが出て動かなかった。

ということでいろいろ調べていたのだが、

結局ダウンロードページにある Virtual Box 用の

image を利用すればよい模様。

わざわざ準備されているのだから、素直に従えという話なんだな。

で、その Virtual Box 用の Image file をダウンロードする。

先ほどのダウンロードページにアクセスすると、

各種環境向けの Kali Linux Image が準備されている。

このうち、以下の図に示すように、

・Kali Linux 64-bit Vbox

と記載がある行の、

Offensive Security Download Page

をクリックする。

64-bit 版か 32-bit 版かは自分の環境に合わせて

適切な方を選択すればよい。

そうすると、実は結局、(どの仮想マシン用イメージのリンクを選んでも)

こっちのページに飛ばされる。

Kali Linux Downloads – Virtual Images
Kali Linux VMware, and VirtualBox Image Downloads
https://www.offensive-security.com/kali-linux-vm-vmware-virtualbox-image-download/

最初からこっちに行けばいいじゃないか、という話だが、

まぁその通りである。

ただ、このページでも実はわなが潜んでいる!
*と思うのは私だけかもしれないが…。

ページ中ほどには、仮想マシン用の Kali Linux image を

ダウンロードできるようにするための表があるのだが、

上述のページにアクセスした際に前面に表示されているのは、

VMWare 向けの image

であって、Virtual Box 向けのものではないのだ。

私は、てっきり Virtual Box 用だと思い込んでしまって

ダウンロードし、動かない動かないとはまっていた記憶がある。

Virtual Box 用ではなく、VMWare という別の

仮想マシンソフト向けなのだから、動くはずがないのだ。

では、Virtual Box 用の image はどこにあるか、というと、

下図赤枠で囲んだタブをクリックすることで出てくる。

その結果、タブが切り替わって以下の通り、Virtual Box 用の

image をダウンロードできるページになる。

よって、このページで、以下赤枠内の 64-bit か 32-bit かの

いずれかを自分の環境に合わせてダウンロードする。

ダウンロードには結構時間がかかるので、しばらく放置しておこう。

これで、ダウンロードまでは終了できるはずである。



・インストールとエラー対応

ダウンロードが完了したら、続いてはインストールを行う。

私の場合は 64-bit 版をダウンロードしたので、

kali-linux-2018.2-vbox-amd64.ova

をダブルクリックして起動する。

すると、このような画面が出てくる。

『インポート』をクリックし、次に進む。

その結果、以下のような画面が出てきて、

インポート作業が自動的に進んでいく。

で、しばらく待っているとインポート作業が終了し、

Virtual Box 上で Kali Linux が起動できるようになる。

通常であれば、この画面で左側にある

Kali-Linux-2018.2-vbox-amd64

をダブルクリックすれば、Kali Linux が起動するはず。

が、私の場合、

VT-x is disabled in the BIOS for both all CPU modes
(VERR_VMX_MSR_ALL_VMX_DISABLED)

というエラーを示すダイアログが出てきて、

うまく起動できなかった。

BIOS において、CPU mode として VT-x が disable されている

といわれている。

ということで、どうも BIOS から CPU mode の設定を

変更しないといけない模様。

致し方なく、パソコンを再起動し、BIOS 設定画面を立ち上げる。

これはパソコンによって違うのだが、BIOS 設定に入るには、

F7, F12 などを押しながら電源を入れる

ということをしないといけない。

私の持っている VAIO の場合は、

F3 または F4

を押しながら電源を入れることで入れるらしい。

または、ってなんなんだ!!!

と思いながら、一旦電源を落とし、

とりあえず両方押しながら電源を入れると、

VAIO の BIOS 設定画面に入ることができたので、

以下の通り、赤枠で囲んだ、

『BIOS 設定を起動』

を選択。

続いて出てくる画面の左側に出るメニューのうち、

『Advanced』

を選択すると、CPU のモードを選択できるようになる。

その結果、画面右側に出てくるいくつかの設定項目のうち、

上から二つ目(赤枠部分)に

「Intel(R) Virtualization Technology」

という項目があり、そのさらに右側は

「Disable」

となっている。

これにより、仮想マシンが起動しなくなっているので、

ここを

「Enable」

に変更する。

あとは画面右下にある、

「Save」

を押すと、設定を保存するか?と聞かれるので、

Yes を選択後、

「Exit」

を選択する。

その結果、BIOS 設定画面に戻るので、普通に再起動。

その後、Windows 10 にログインして

Virtual Box を起動 -> Kali Linux を起動

とすると、Kali Linux の起動が始まり、

しばらく待っていると、以下の通り

Kali Linux のログイン画面

が無事表示された。

ここで、Kali Linux のデフォルトアカウントとして

User Name : root
Password : toor

を入力し、ログイン。

以下のような画面となり、無事起動が完了した。



・インストール後の設定

Kali Linux が無事起動したら、まずは update しておきたい。

が、Virtual Box 上の Kali Linux が、

インターネットにつながらないと、update はできない。

このため、インターネットに接続するために必要な

Virtual Box 上での設定をまずは行う。

まずは以下の通り、Kali Linux が起動している Window の

上部にあるメニューから、

『仮想マシン』

をクリックし、出てくるメニューの中にある、

『設定』

を選択する。

そうすると、次のような画面が現れる。

この画面でいろいろ設定ができるわけだ。

で、今回はネットワーク設定を行いたいため、

図の赤枠で囲った、左側にある

『ネットワーク』

をクリックする。

その結果、画面は以下のように変わるため、

赤枠の割り当て部分を、

『NAT』

に変更する。

その後、OK を押せば、Host OS 側がインターネットに

つながっている限り、インターネット接続が可能となるはず。
*ダメな場合は一度 Virtual Box を再起動してみるとよい

なぜ NAT を選んだか、NAT だとどうなるか、に関しては、

こちらのブログがわかりやすく解説されているので、

そちらに譲る。

http://secstar.blogspot.com/2016/09/virtual-box.html

あとは普通に、Kali Linux 上で Terminal を立ち上げ、

                    root@kali:~# apt-get update
                    root@kali:~# apt-get upgrade -y

とすればよい。

なお、日本語の表示や日本語入力に関しては、

ラズパイで linux

の中にある

日本語環境の構築

と基本的に同じなので、省略する。



・まとめ

これまで何度かはまっていたが、

これで何とか

Virtual Box 上で Kali Linux を動作させる

ということに成功した。

実際に動かせてしまえば、

当たり前の話ではあるが、一度動いてしまえば

あとは結構サクサクと動いてくれている。

これで、metasploit など、

いろいろなセキュリティツールを

試せる環境が整った。

ということで、今回のポイントは以下の通り。

Point!・ISO や VMWare 用ではなく、Virtual Box 用のイメージをダウンロード!
・起動しない場合には、BIOS を起動し、CPU を仮想マシン稼働可能なモードに変更!
・起動後は、Kali Linux のネットワーク設定を NAT に設定!

次回は、Kali Linux を使って実際のセキュリティ診断をするために、

疑似的な被害者となる、

metasploitable2

を Virtual Box 上で動作するようにしていこうと思う。




Copyright (c) 2017 Webmaster of this site All Rights Reserved.
カテゴリー: Windows でセキュリティ | タグ: , , | コメントする