Security Center:コアファイル監視のベストプラクティス

タイプ

説明

サブタイプ

アクション

ファイルパスの例

潜在的な誤検知

コアシステムファイル

これらのディレクトリには、システムコマンドと共有ライブラリが含まれています。これらを監視することで、悪意のあるバイナリの設置や依存関係の変更などの改ざんを検知します。

システム実行可能バイナリディレクトリ

書き込み、削除

• /bin/*

• /usr/bin/*

• /sbin/*

• /usr/sbin/*

パッケージ管理によるインストールやソースからのコンパイル (make && make install) を行うと、これらのディレクトリに書き込みが発生します。これらの操作に対してホワイトリストルールを設定してください。

共有ライブラリディレクトリ

書き込み、削除

• /usr/lib/*

• /usr/lib64/*

設定ファイル

攻撃者は、次のような目的で重要な設定ファイルを変更します。

• ユーザーアカウントを追加または変更して、システムへのアクセス権を取得、または権限を昇格させる。

• DNS 設定を変更して、DNS ハイジャックを実行する。

• ロギング設定を変更して、監査を回避または妨害する。

• 目的を達成するためにセキュリティ設定を変更または無効にする。

• 運用アプリケーションの設定ファイルを改ざんして、認証プロセスを乗っ取り、セキュリティ対策をバイパスし、またはユーザー権限を昇格させる。

• Web サービスの設定ファイルを変更して、悪意のあるライブラリをロードしたり、解析ルールを変更してトラフィックを悪意のあるサイトにリダイレクトしたりする。

ユーザーおよび権限ファイル

書き込み

• /etc/passwd

• /etc/shadow

• /etc/group

• /etc/gshadow

• /etc/sudoers

• /etc/sudoers.d/*

標準コマンド (useradd、usermod、userdel、passwd) を使用するとこれらのファイルに書き込みが発生します。手順に基づいてホワイトリストルールを追加するか、監査のためにアラートデータを使用してください。

重要なシステム設定ファイル

書き込み、削除

• /etc/resolv.conf

• /etc/hosts

ネットワーク設定、名前解決、またはカーネルパラメータを定期的に変更すると、これらのファイルが変更されます。

運用アプリケーションの設定ファイル

書き込み

• /etc/ssh/sshd_config

• /etc/security/pam_env.conf

• /*/.ssh/authorized_keys

システムのメンテナンス、セキュリティ強化、およびキーローテーションによって、これらのファイルが変更される場合があります。それに応じてホワイトリストルールを設定してください。

セキュリティ監査設定ファイル

書き込み、削除

• /etc/audit/auditd.conf

• /etc/audit/rules.d/*

• /etc/selinux/config

• /etc/rsyslog.conf

• /etc/rsyslog.d/*

監査フレームワークの初期設定やコンプライアンスのためのポリシー調整により、これらのファイルが変更されることがあります。

Web サービス設定ファイル

書き込み

• /etc/httpd/conf/httpd.conf

• /etc/httpd/conf.d/*

• /etc/apache2/apache2.conf

• /etc/apache2/sites-available/*

• /etc/apache2/sites-enabled/*

• /etc/nginx/nginx.conf

• /etc/nginx/conf.d/*

初期設定、モジュールの変更、および Web サービスの更新を行うと、これらのファイルが変更されます。

データベース設定ファイル

書き込み

• /etc/my.cnf

• /etc/mysql/my.cnf

• /etc/postgresql/*/main/postgresql.conf

• /etc/postgresql/*/main/pg_hba.conf

• /etc/mongod.conf

• /etc/redis/redis.conf

データベースサービスのインストールや運用上の変更により、これらのファイルが変更されることがあります。必要に応じてホワイトリストルールを追加してください。

一般的な永続化の場所

攻撃者は、再起動後や定期的な実行中に永続的なアクセスを維持するために、スケジュールされたタスク、悪意のあるサービス、または起動スクリプトを追加します。

Cron 関連ファイル

書き込み

• /etc/crontab

• /etc/cron.d/*

• /var/spool/cron

• /etc/cron.hourly/*

• /etc/cron.daily/*

• /etc/cron.weekly/*

• /etc/cron.monthly/*

通常の crontab 管理では、これらのファイルが変更されることがあります。

サービス関連ファイル

書き込み

• /etc/init.d/*

• /etc/rc.d/rc.local

• /etc/systemd/system/*

• /lib/systemd/system/*

サービスベースのアプリケーションをインストールすると、システムサービスが変更される可能性があります。

シェル設定ファイル

書き込み

• /*/.bashrc

• /*/.bash_profile

• /etc/profile

運用スタッフは、環境設定を変更したり、コマンドエイリアスを作成したりするために、これらのファイルを変更します。

Web サービスコードディレクトリ

Web コードディレクトリを監視することで、Web シェルのアップロードや、ページの改ざん、スクリプトインジェクションなどの不正な変更を検知できます。攻撃者は脆弱性を悪用して Web シェルをアップロードし、リモートでサーバーにアクセスします。

Web コードディレクトリ

書き込み、権限変更

/var/www/html/<code dir>/*.php

サービスのデプロイ、CMS プラグインの更新、および CI/CD ツール (Jenkins、GitLab CI/CD、Ansible) を使用すると、これらのディレクトリへの書き込みが発生します。書き込みプロセスルールを設定するか、アップロードディレクトリを除外するか、ファイル拡張子を制限してください。

機密情報を含むファイル

認証情報の漏洩は大きなリスクです。ホストへのアクセス権を取得した後、攻撃者はラテラルムーブメントを実行するために認証情報を探します。機密ファイルへの読み取り操作を監視すると、これらの活動を検出するのに役立ちます。

クラウドサービス CLI 認証情報

読み取り

• /*/.aliyun/config.json

• /*/.ossutilconfig

関連アプリケーションが、これらのファイルを正当に読み取ることがあります。たとえば、Alibaba Cloud CLI は ~/.aliyun/config.json を、kubectl は ~/.kube/config を読み取ります。セキュリティスキャナーもこれらのファイルにアクセスします。ホワイトリストルールでこれらの操作を考慮してください。

バージョン管理認証情報

読み取り

/*/.git-credentials

データベース設定

読み取り

/*/config/database.yml

運用およびオーケストレーションシステム用の秘密鍵

読み取り

/*/.ssh/id_rsa, /*/.kube/config