Kali Linux：セキュリティポリシー、コンピューターとネットワークサービスの保護

→パート1. Kali Linux：セキュリティポリシー、コンピューターとネットワークサービスの保護

→パート2. Kali Linux：netfilterを使用したトラフィックのフィルタリング

→パート3. Kali Linux：監視とログ

→パート4. Kali Linux：システムを保護および監視するための演習



最近、Habrコミュニティに「 Kali Linux Revealed 」という本の翻訳の妥当性について質問しました。 検討の結果、投票結果と資料へのコメントを考慮して、本の一部を翻訳することにしました。 第7章「Kaliの保護と監視」から始めます。 特に、この資料ではセクション7.1〜7.3の翻訳を提供します。これらのセクションは、システムセキュリティポリシー、サーバー、ラップトップ、およびネットワークサービスの保護に当てられています。

第7章カリの保護と監視

ますます要求の厳しい大規模プロジェクトでKali Linuxの使用を開始するとすぐに、おそらく独自のシステムをより真剣に考える必要があります。 この章では、セキュリティポリシーについて説明します。



ここでは、セキュリティポリシーを定義するときに注意する必要があるさまざまなポイントを強調し、コンピューターとプロのペンテスターの両方がさらされる脅威を示します。 さらに、ラップトップおよびデスクトップに適用可能なセキュリティ対策について、特にファイアウォールとパケットフィルタリングに注意して説明します。 最後に、監視ツールと戦略に焦点を当て、潜在的な脅威を識別するための監視の設定方法を示します。

7.1。 セキュリティポリシーの定義

「セキュリティ」の概念は、例外なくすべての状況に適用できるわけではない幅広い概念、ツール、および手順で構成されているため、一般的な用語でセキュリティについて話すことは意味がありません。 必要なものを正確に選択するには、何かを保護しようとしている人の目標を明確に理解する必要があります。 システム保護は、いくつかの質問への回答から始まります。 セキュリティを確保するための最初の利用可能な手段を導入するために真剣に駆け巡った後、誰もが本当に重要なものに注意を払う危険を冒します。



通常は、特定の目標を定義することから始めるのが最善です。 これを行うには、次の質問に対する回答を見つけることが役立ちます。

• 何を保護しようとしていますか？ セキュリティポリシーは、コンピューターとデータのどちらを保護するかによって異なります。 後者の場合、さらに、データが何であるかを正確に知る必要があります。
  
  
• 何から身を守りますか？ これは機密データの漏洩ですか？ 偶発的なデータ損失？ 特定のサービスの誤動作によって引き起こされる収入の損失？
  
  
• 誰から身を守っていますか？ たとえば、システムの通常のユーザーのエラーから保護する場合や、真剣に構成されたハッカーの外部グループから保護する場合など、セキュリティ対策は大きく異なります。
  
  

「リスク」という用語は、通常、これらの3つの要因すべてを指すために使用されます。保護する対象、予防する必要のある対象、および誰がそれを引き起こすことができるか。 リスクモデリングには、上記の3つの質問に対する回答が必要です。 セキュリティポリシーは、構築されたリスクモデルに基づいて作成できます。その後、特定のアクションを実行することで実装できます。

▍セキュリティはプロセスです

（コンピューターだけでなく）世界的に有名なセキュリティの専門家であるBruce Schneierは、セキュリティの分野で最も重要な神話の1つに対処しようとしています。 時間の経過とともに変化を保護するものは、脅威や潜在的な攻撃者が利用できるツールでも同じことが起こります。 セキュリティポリシーが元々理想的に設計および実装されていたとしても、達成された内容に満足してはなりません。 リスク要素は進化しており、それに応じて対応策を開発する必要があります。

セキュリティポリシーを設定する場合、利用可能な資金の範囲を狭める可能性があるため、追加の制限を考慮する必要があります。 システムを保護するためにどこまで進んでいきますか？ この問題は、何を正確に行う必要があるかを決定する上で決定的な影響を及ぼします。 多くの場合、それに対する答えは価値の観点からのみ表されますが、他の側面を考慮する必要があります。 その中には、ユーザーの作業の複雑さや生産性の低下があります。



リスクモデリングの完了後、セキュリティポリシー自体の開発について考えることができます。



たとえば、実装するセキュリティのレベルを決定する際の極端な例を示す2つの例があります。 一方では、基本レベルのセキュリティを提供することは非常に簡単です。



たとえば、保護するシステムは古いコンピューターであり、その唯一の役割は、一日の終わりに数個の数字を加算することです。 そのようなコンピューターを保護するために特別なことをしないという決定は、非常に合理的です。 システムの客観的な値は小さく、データの値はこのコンピューターに保存されていないため、完全にゼロです。



このシステムに侵入した潜在的な攻撃者は、計算機のみを自由に使用できます。 そのようなシステムを保護するためのコストは、おそらくそれを壊すことによる損失よりも高くなります。



システムの価値の範囲の反対側には、最先端のセキュリティツールを使用して機密データの機密性を確保するタスクがあります。 このシナリオでは、他のすべては重要ではありません。 このような場合、データを完全に破壊することが適切な手段になります（ファイルを消去したり、ハードディスクを断片に分割したり、これらの断片を酸に溶かすなどしても安全です）。 将来の使用のためにデータを保存する必要があるという追加の要件がある場合（簡単にアクセスできる必要はありませんが）、問題のコストが問題にならない場合は、爆弾シェルターに保存されているイリジウムプラチナプレートにデータを書き込むことから始める必要があります地球上のいくつかの場所の山の腸に建てられ、それぞれが（当然）完全に秘密であり、軍隊によって守られている必要があります。



これらの例は非常に極端に思えるかもしれませんが、情報保護の目標と制限が考慮される反射の結果である限り、特定のリスクに対する適切な対応を表すことができます。 論理的な判断に基づいたセキュリティポリシーはすべて受け入れられます。



より典型的なケースに戻りましょう。 情報システムは、同種の、そして基本的に独立したサブシステムに分割できます。 各サブシステムは、独自の要件と制限によって特徴付けられます。 そのため、リスク分析とセキュリティポリシーフレームワークの開発は、これらのサブシステムごとに個別に実行する必要があります。 セキュリティポリシーに取り組む際に覚えておくべき重要な原則が1つあります。小さな攻撃対象領域は、大きな攻撃対象領域よりも防御が容易です。 ネットワークもそれに応じて編成する必要があります。 重要なサービスは、最小限のルートまたはコントロールポイントを介してアクセス可能な少数のコンピューターで組み立てる必要があります。 この背後には明確な論理があります。これらのコントロールポイントを保護する方が、外の世界全体から貴重なコンピューターを保護するよりも簡単です。 この状況で、ネットワークフィルタリングの有用性が明らかになります（ファイアウォールで実行されるものを含む）。 フィルタリングは専用のハードウェアに基づいて実装できますが、Linuxカーネルに統合されたファイアウォールなどのソフトウェアファイアウォールを使用することが、よりシンプルで柔軟なソリューションです。

7.2。 セキュリティ対策について

前のセクションで述べたように、Kali Linuxを保護する方法の質問に対する単一の正しい答えはありません。 それはすべて、それをどのように使用するか、そして何を保護しようとしているかによって異なります。

▍7.2.1。 サーバー保護

パブリックサーバーでKali Linuxを使用する場合、ほとんどの場合、構成ファイルに設定できる標準パスワードを変更してネットワークサービスを保護する必要があります（詳細については、「 ネットワークサービスの保護 」を参照してください）。おそらくファイアウォールを使用してそれらへのアクセスを制限することによって（これについては7.4。、 ファイアウォールまたはパケットフィルタリングで詳しく説明します 。



サーバー自体またはサービスのいずれかで他のユーザーにアカウントを発行する場合、ブルートフォース攻撃に耐えることができるなど、耐クラック性のあるパスワードが設定されていることを確認する必要があります。 同時に、 fail2ban



をインストールすることをお勧めしfail2ban



。これは、ネットワーク上でブルートフォースパスワードのクラッキングを複雑にします（ログイン試行の失敗の制限を超えるIPアドレスをフィルタリングすることにより）。 fail2ban



をインストールするには、次のコマンドを実行します。

 apt update apt install fail2ban
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

Webサービスをサポートしている場合、攻撃者がトラフィック（認証Cookieを含む可能性があります）を分析できないように、HTTPSを介したアクセスを手配する価値があります。

▍7.2.2。 ラップトップ保護

Pentesterラップトップは、パブリックサーバーと同じリスクにさらされていません。 たとえば、アマチュアハッカーによって実行されるランダムスキャンの被害を受ける可能性は低く、これが発生しても、おそらくネットワークサービスが有効にならないでしょう。



あるクライアントから別のクライアントに移動するときに、実際のリスクがしばしば発生します。 たとえば、ラップトップは外出先で盗まれたり、税関で没収されたりする可能性があります。 だからこそ、おそらくフルディスク暗号化（詳細については、セクション4.2.2。「 完全に暗号化されたファイルシステムへの インストール 」を参照）を使用し、場合によっては自己破壊機能を構成する必要があります（詳細については、「 インストール 」 セキュリティを高めるためにパスワードを自己破壊します。 調査中に収集したデータは機密であり、最高の保護が必要です。



さらに、ファイアウォールルールの設定が必要になる場合があります（詳細については、セクション7.4。「 ファイアウォールまたはパケットフィルタリング 」を参照）が、サーバーと同じ目的ではありません。 VPNを生成するトラフィックを除くすべての発信トラフィックをブロックする必要があるでしょう。 これは、安全なネットワークを編成することを意味します。 たとえば、VPN接続が機能しなくなった場合、（ネットワークへのローカルアクセスに切り替えるのではなく）すぐにその接続を知ることができます。 そのため、ウェブを閲覧したり、インターネット上で何か他のことをしたりして、クライアントのIPアドレスを漏らすことはありません。 これに加えて、ローカル外部チェックを実行している場合、ネットワーク上で作成する「ノイズ」を減らすために、ユーザーとその保護システムの注意を引き付けるために、実行するすべてを制御することをお勧めします。

7.3。 ネットワークサービス保護

未使用のネットワークサービスを無効にすることをお勧めします。 カリでは、ほとんどのネットワークサービスがデフォルトで無効になっています。



サービスは無効になっていますが、セキュリティ上のリスクはありません。 ただし、それらを含めて、次の理由により注意が必要です。

• デフォルトでは、ファイアウォールは有効になっていないため、サービスがすべてのネットワークインターフェイスでリッスンする場合、実際にはそれらはパブリックになります。
  
  
• 一部のサービスには認証用の資格情報がありません;初めて使用するときに設定するオプションがあります。 一部には標準アカウントがあり、そのログインとパスワードは広く知られています。 サービスアクセスパスワードが自分だけが知っているパスワードに設定または変更されていることを確認します。
  
  
• 多くのサービスは、完全な管理者権限を持つスーパーユーザーとして実行されるため、それらへの不正アクセスやセキュリティシステムの穴は、通常深刻な結果につながります。
  
  

standard標準アカウントについて

ここでは、インストール後に標準の資格情報を使用するように構成されているすべてのプログラムをリストしません。 対応するパッケージの詳細を調べるには、そのREADME.Debianファイルを調べ、docs.kali.orgおよびtools.kali.orgの情報を調べて、特定のサービスがそれを確実にするために特別なアクションを必要とするかどうかを調べる必要がありますセキュリティ。



ライブモードでシステムを使用する場合、ルートアカウントのパスワードはtoorです。 そのため、ルートアカウントのパスワードを変更するまで、またはパスワードを使用した接続を禁止するように構成する前に、SSHを有効にしないでください。



さらに、BeEFプログラム（インストール済みのbeef-xssパッケージから）には、ユーザー「beef」およびパスワード「beef」の形式のデフォルト資格情報があり、標準構成ファイルに記録されていることに注意してください。

まとめ

この記事では、システムセキュリティポリシーの形成に関するいくつかの考慮事項を理解し、サーバー、ラップトップ、およびネットワークサービスを保護する方法について学びました。 次回、セクション7.4の翻訳を共有します。これは、Kali LInuxのファイアウォールとパケットフィルタリングについて説明しています。



親愛なる読者！ セキュリティポリシーの形成にどのように取り組みますか？ さまざまな目的でコンピューターをどのように保護しますか？