Security Center:コアファイル監視の設定のベストプラクティス

タイプ

説明

特定のタイプ

操作

ファイルパスの例

誤検知をトリガーする可能性のある操作の説明

コアシステムファイル

このタイプのディレクトリには、ほとんどのシステムコマンドと共有リンクライブラリが含まれています。 これらのディレクトリに作成された監視ルールは、悪意のあるバイナリの挿入やシステム依存関係の改ざんなど、攻撃者による潜在的な悪意のある改ざんを検出するのに役立ちます。

実行可能システムバイナリディレクトリ

書き込みと削除

• /bin/*

• /usr/bin/*

• /sbin/*

• /usr/sbin/*

パッケージ管理ソフトウェアを使用して実行されるインストールや更新などのアクティビティも、ディレクトリにデータを書き込む可能性があります。 コードリポジトリからソースコードを手動で取得し、コードをコンパイルしてソフトウェアをインストールすると、誤ってディレクトリにデータを書き込む可能性があります。 ほとんどの場合、make && make install コマンドが使用されます。 通常の操作によってアラートがトリガーされないようにするには、ビジネス要件に基づいてホワイトリストルールを構成する必要があります。

共有ライブラリディレクトリ

書き込みと削除

• /usr/lib/*

• /usr/lib64/*

構成ファイル

攻撃者は、さまざまなキーシステム構成ファイルを修正して攻撃を開始する可能性があります。 例：

• 攻撃者は、ユーザーアカウントレコードを追加または変更して、システムへのアクセスを継続的に取得したり、システムの権限をエスカレーションしたりできます。

• 攻撃者は、ドメインネームシステム ( DNS ) 解決設定を変更して、DNS ハイジャックを実装できます。

• 攻撃者は、ログ構成を変更して、監査を中断または回避できます。

• 攻撃者は、特定のセキュリティ設定を変更または無効にして、攻撃を開始できます。

• 攻撃者は、O & M アプリケーションの構成ファイルを改ざんして認証プロセスをハイジャックし、セキュリティ対策をバイパスしたり、特定のユーザーの権限をエスカレーションしたりできます。

• 攻撃者は、Web サーバーの構成ファイルを修正して悪意のあるライブラリファイルをロードしたり、DNS 解決設定を変更してトラフィックを悪意のある Web サイトにリダイレクトしたりできます。

ユーザーと権限に関連するファイル

書き込み

• /etc/passwd

• /etc/shadow

• /etc/group

• /etc/gshadow

• /etc/sudoers

• /etc/sudoers.d/*

useradd、usermod、userdel、passwd コマンドを使用して実行される通常の操作などにより、ファイルにデータが書き込まれる場合があります。 特定の O & M ルールに基づいて適切なホワイトリストルールを作成するか、アラートデータを監査ログとして使用できます。

キシステム構成ファイル

書き込みと削除

• /etc/resolv.conf

• /etc/hosts

ファイルは、ネットワーク設定、名前解決設定、およびカーネルパラメータを変更する O & M タスクを実行することによって変更されます。

O & M アプリケーションの構成ファイル

書き込み

• /etc/ssh/sshd_config

• /etc/security/pam_env.conf

• /*/.ssh/authorized_keys

ファイルは、システムメンテナンス、構成の更新、セキュリティ強化、または定期的なキーローテーション中に変更される場合があります。 適切なホワイトリストルールを作成することをお勧めします。

セキュリティ監査の構成ファイル

書き込みと削除

• /etc/audit/auditd.conf

• /etc/audit/rules.d/*

• /etc/selinux/config

• /etc/rsyslog.conf

• /etc/rsyslog.d/*

システムの監査フレームワークを初めて構成するとき、またはコンプライアンスとセキュリティ要件を満たすために監視ルールを変更するときに、ファイルが変更される場合があります。

Web サービスの構成ファイル

書き込み

• /etc/httpd/conf/httpd.conf

• /etc/httpd/conf.d/*

• /etc/apache2/apache2.conf

• /etc/apache2/sites-available/*

• /etc/apache2/sites-enabled/*

• /etc/nginx/nginx.conf

• /etc/nginx/conf.d/*

Web サービスの初期構成、インストール後の設定、関連モジュールの追加と削除、および Web サービスの更新により、ファイルが変更される場合があります。

データベースの構成ファイル

書き込み

• /etc/my.cnf

• /etc/mysql/my.cnf

• /etc/postgresql/*/main/postgresql.conf

• /etc/postgresql/*/main/pg_hba.conf

• /etc/mongod.conf

• /etc/redis/redis.conf

データベースサービスのインストールと O & M の変更により、ファイルが変更される場合があります。 ビジネス要件に基づいて適切なホワイトリストルールを作成することをお勧めします。

一般的な永続化メカニズム

攻撃者は、スケジュールされたタスク、悪意のあるサービス、またはスタートアップスクリプトを追加して、定期的な実行中またはシステムの再起動後に永続的なアクセスを維持できます。

Cron

書き込み

• /etc/crontab

• /etc/cron.d/*

• /var/spool/cron

• /etc/cron.hourly/*

• /etc/cron.daily/*

• /etc/cron.weekly/*

• /etc/cron.monthly/*

通常の O & M 操作では、既存の crontab エントリが追加、調整、または削除される場合があり、その結果、cron ファイルが変更されます。

サービス

書き込み

• /etc/init.d/*

• /etc/rc.d/rc.local

• /etc/systemd/system/*

• /lib/systemd/system/*

特定のサービスアプリケーションをインストールすると、追加や変更操作など、システムサービスに対する操作が発生する可能性があります。

シェル構成

書き込み

• /*/.bashrc

• /*/.bash_profile

• /etc/profile

O & M 担当者がデフォルトの環境設定を変更したり、頻繁に使用される複雑なコマンドのエイリアスを作成したりすると、関連ファイルが変更される場合があります。

Web コードディレクトリ

Web サービスのコードディレクトリを監視するルールは、Web アプリケーションのセキュリティを確保するのに役立ちます。 ほとんどの場合、攻撃者は脆弱性または不正アクセスを悪用して悪意のある webshell ファイルをアップロードします。 webshell ファイルを使用すると、攻撃者は侵害されたサーバーにリモートでアクセス、制御、および管理できます。 Web サービスのコードディレクトリを監視することで、潜在的な webshell のアップロードや、Web ページの改ざんや悪意のあるスクリプトの挿入などの不正な変更を効果的に検出できます。

Web コードディレクトリ

書き込みと権限の変更

/var/www/html/<code dir>/*.php

サービスの更新、サービスのデプロイ、特定のコンテンツ管理システム ( CMS ) のプラグインとテーマのインストールと更新など、日常のビジネスおよびメンテナンス操作では、Web スクリプトファイルがコードディレクトリに書き込まれる場合があります。 Jenkins、GitLab CI / CD、Ansible などの特定の自動デプロイメントツールも、継続的インテグレーションとデプロイメントプロセス中にファイルを書き込む場合があります。 これらの場合、特定の書き込みプロセスを構成するか、外部ファイルのアップロードを許可するディレクトリを制限し、特定のファイルサフィックスを制限してセキュリティを確保する必要があります。

機密コンテンツを含むファイル

機密認証情報の漏洩は、サイバーセキュリティにおける主要なリスクの 1 つです。 攻撃者はホストにアクセスした後、機密情報を検索して横方向の移動を実行し、侵入フットプリントを拡大します。 機密コンテンツを含むファイルの読み取り操作を監視することで、侵入や悪意のあるアクティビティをできるだけ早く効果的に検出できます。

クラウドサービス CLI の認証情報

読み取り

• /*/.aliyun/config.json

• /*/.ossutilconfig

ほとんどの場合、機密情報を含むファイルは、ファイルが属するアプリケーションによって読み取られます。 たとえば、Alibaba Cloud CLI は ~/.aliyun/config.json を読み取って認証情報をロードします。 kubectl は ~/.kube/config を読み取って Kubernetes 証明書情報を取得します。 特定のセキュリティソフトウェアは、このタイプのファイルをスキャンして、サーバー上の悪意のあるファイルを識別する場合があります。 ホワイトリストルールを作成するときは、これらの通常の読み取り操作を考慮する必要があります。

バージョン管理の認証情報

読み取り

/*/.git-credentials

データベースの構成

読み取り

/*/config/database.yml

O & M およびオーケストレーションシステムの秘密鍵情報

読み取り

/*/.ssh/id_rsa、 /*/.kube/config