はてなブックマーク

An Library to assist in TPM communication capture and tampering - CyberDefenseInstitute/tpmproxy 準備 PC が 1 台必用です。 TPM は無くても構いませんが、あった方が少しだけ楽しみが増えます。 Linux（Ubuntu） をインストール後、Linux 上で仮想マシンに Windows をインストールする流れになりますので、Windows 11 がインストール可能な程度のスペックが必用です。 PC が用意できたら次の作業を行ってください。 BIOS（UEFI）で仮想化機能を有効化 Ubuntu 24.04 インストール Linux 上で仮想マシンが動かせれば何でも構いません（Arch Linux はいいぞ） 本稿では Ubuntu 24.04 のコマンド、パッケージ、パスを前提に手順を解説

はじめに リモートワークや遠隔メンテンナンスなどのために、組織内のWindowsマシンへリモートデスクトップ（※以下「RDP」と略します）によるアクセスを許可している場合、セキュリティリスクには十分な注意が必要です。VPNやWindowsのアカウントが攻撃者に奪われた場合、Windowsマシンの完全な制御が攻撃者に渡り、機密情報の漏洩やランサムウェアの展開など重大な被害を受ける可能性があるからです。弊社でフォレンジック調査のご相談を受けるサイバー攻撃の手口でも、VPNの脆弱性などを悪用したWidowsマシンへのRDP不正接続が増加している感があります。 こうした被害を防止するには、インターネットに露出したVPNやファイアウォールなど、いわゆるアタック・サーフェスの認証制御やアクセス制限を強化することが重要です。逆に言えば、攻撃者は脆弱性スキャンやフィッシングによる認証情報窃取などのさまざま

はじめに 技術部の桜です。 今回は、application/jsonにおけるAWS WAFのバイパスを試してきました。 この記事ではまず、 RFC 8259(The JavaScript Object Notation (JSON) Data Interchange Format)を読む過程でWAF Bypassに使えそうだなと思った事を検証しています。 次に、上記の検証を経て気になったことを検証しています。 環境 上記のような構成で、セキュリティグループにより自宅IPからのHTTP, SSHアクセスのみを許可しています。 また、EC2上でDockerを使用し、Nginx、Express×Node.js、PostgreSQLを動かしてXSSを意図的に埋め込んだ脆弱なアプリケーションを構築しています。 (Nginxを動かす必要はないとは思いますが、勉強を兼ねて動かしています。) 検証について

東京五輪会場の制御システムに対するペネトレーションテストから得られた知見を公開します 長年、実際の様々な 制御システム の ペネトレーションテスト にて、初期侵入から被害発生までの攻撃シナリオをテストしてきた中からの紹介です。 2021年に開催された東京オリンピック・パラリンピックでは、大会に向け様々なサイバーセキュリティ対策が行われた事をご存知の方も多いかと思います。 そのような中、弊社は、内閣サイバーセキュリティセンター（NISC）が実施した大会会場の制御システムに対するペネトレーションテスト1にテスト実施事業者として参加しました。 本件はNISCのサイバー関連事業者グループのページにて、「主な施策　1.リスクマネジメントの促進 大規模国際イベントにおけるサイバーセキュリティ対策 競技会場に対するペネトレーションテスト結果の事例の情報共有　〜東京オリンピック・パラリンピック競技大会の取

こんにちは、技術部の手島です。 先日、日本ヒューレット・パッカード様（以下 HPE）のProLiantサーバーを借用して調査する案件をいただきました。 その際、案件とは別に、ProLiantサーバーに備わったOne-buttonセキュア消去という機能が気になり、どれくらい中身が消えているんだろう？と試してみた結果を書いていきます。 今回やること、手順と解説 目的: SATA SSDに対してOne-buttonセキュア消去機能を実施し、データ復旧を試みる 使用機材: HPE ProLiant ML110 Gen11 作業手順: 同じ型のSSDを2つ用意、同じファイルを書き込む 未消去の SSD 1台をデータ復旧して XORパターン等を抽出 もう1つの SSD に One-buttonセキュア消去を行う 手順2. で入手した XOR パターンを用いて消去済 SSD のデータ復旧を試みる 今回は

セキュリティ監視に関心がある方へ向けて、OSSの通信監視・分析ツールであるArkime（発音 /ɑːrkɪˈmi/ アーキミ-）の環境構築手順を紹介します。パッとArkimeを試してみたい方には使える内容かと思います。 Arkimeの雰囲気を知らない方へOT環境を題材にOT IDSがわりに使った雰囲気も書きました。 はじめに サイバーディフェンス研究所の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。 OT IDSは、運用している環境に影響を与えたく無いという組織への現実解であり、この種のツールに触れる方が増えればなぁと常々思っています。が、現実には様々な事情で手が出ない方が多い気もしています。昨年公開したOTネットワークセキュリティ監視の資産管理と振る舞い検知が手軽に試せた - 元有償のパッシブ型監視ツールを適用した模擬制御システムを攻撃

はじめに 「デジタルフォレンジック」はだいぶ耳馴染みのある言葉になってきた気がしますが、「ファストフォレンジック」という言葉を耳にされたことはあるでしょうか？ と書き出して「おい、これ長くて堅い話になりそうだぞ、ファストじゃないぞ」と自覚しました。が、もし10分程度のお時間があれば、何か飲みながらでもおつきあいただけると幸いです。。 この記事では、組織内のPCがEmotetのようなマルウェアに感染したセキュリティインシデントを事例として、ファストフォレンジックの実務をご紹介したいと思います。 デジタル・フォレンジック研究会の証拠保全ガイドライン（第9版）では、次のように説明されています。 ファスト・フォレンジック（ファストフォレンジック） 早急な原因究明、侵入経路や不正な挙動を把握するため、必要最低限のデータを抽出及びコピーし、解析すること ※ 出典 : https://digitalfo

はじめに IT系のお仕事をしている人だと、ターミナルに住んでる人も少なくないのかなと思いますが、皆さんは画像を見るときどうしていますか？ 「画像は普通にエクスプローラー(Finder)からプレビューで開いているよ」という人も多いかと思いますが、シェルから直接画像を閲覧できるターミナルエミュレータも世の中には存在しているのです。 今回は、ターミナル内で画像を表示させる手法についてよく使われているものをかんたんに整理してみました。 大きく分けて2つに分類できる さて、画像をターミナル上で表示すると言っても、どのようなやり方があるのでしょうか？ いろんなツールが世の中にあるようですが、大きく分けて2つに分類することが出来ます。 文字領域を画像のドットとして利用する場合 ちゃんと画像として表示させる場合 文字領域を画像のドットとして利用する場合 昔から良くある方法ですね。 文字領域を画像のドットし

セキュリティ対策したときに本当に有効なのかと自分で確認したことはありますか？ドアを施錠したらガチャガチャ確認するのに、セキュリティ対策した後ガチャガチャ確認しないのは不思議ではありませんか？ もしあなたが制御システムに関わっている方であれば、セキュリティ対策の有効性について考えたことはありますか？例えばインターネットと疎通可能か自分で確認したことはありますか？ はじめに ドアノブ、ガチャガチャしてますか？ ドアを施錠したとき、ドアノブをガチャガチャして確認しますよね。これをセキュリティ診断の目線で考えると、攻撃者目線で侵入できるか確認していることにあたります。 FWなどサイバーセキュリティ対策（施錠）をしたとき、侵入できるか確認（ガチャガチャ）していますか？確認していないとしたらなぜでしょう？確認せずに不安じゃないですか？ なぜガチャガチャしないのか？ 「対策実施した人を信じている。」「サ

巷で話題の初期化済みの体表温度計が入手できたので、この温度計の記録媒体を解析し、削除されたとみられるファイルが本当に削除されているかどうか確認を行いました。 対象となるデバイスは、ディスプレイの上にあるカメラで顔を写すと検温してくれる非接触体表温度計です。コロナ禍に店先によく置かれていたやつです。ある方の解析によると、検温した方の顔写真がデバイス内に記録されているものがあり、オークションサイトで購入した中古品に残存していたとのことです。 今回は、同様のデバイスで初期化済みのものが入手できましたので、利用者の顔写真が完全に削除されているか解析を試みました。 eMMC取り外し まず本体を分解し基板を観察したところ、8GバイトのeMMCと呼ばれるフラッシュメモリが見つかりました。これをリワークマシンを使用して取り外します。 弊社にはERSA社のリワークマシンHR550があり、eMMCのような裏面

本ブログをご覧の皆様、弊社についてどのような印象をお持ちでしょうか？「謎のハッカー集団」「なんか凄そう」「やばいことやってそう」...etc.おそらくこんな風に思ってらっしゃるのではないでしょうか。今回はそんな風に思われがちな弊社エンジニアに「セキュリティ初心者🔰や新人さんにオススメな本・サイト」を聞いてみました！ 導入 技術統括部の鶴亀です。内容に入る前に突然ですが、皆さん己の中に「コッテコテな関西弁を喋るおっちゃんかおばちゃん」を宿しましょう。...ちょっとずーつ、ちょとず～つ関西弁が聞こえてきますでしょう？「そんな無茶な！」や「豚まん食べたい」が関西弁で聞こえるようになったなら、早速次へ進みましょうか。 本ブログ記事制作のきっかけですが、「新年度なったし新人さん向けにお勧めの本まとめたら反響あるんちゃう？とりあえず聞いてみよ～」と社内で呟いた事です。結果として、「ええんちゃう？ほな

内製のポストエクスプロイトツール Immeer のご紹介とともに、弊社のネットワーク・ペネトレーションテストではどのようなことをやっているのか解説いたします。 はじめに サイバーディフェンス研究所 アドベントカレンダー 2022 の 23 日目（17 記事目）です。 弊社のネットワーク・ペネトレーションテストサービスは、数多くの内製ツールとそれを使いこなすエキスパートを主軸とした疑似サイバー攻撃を行います。 サイバーディフェンス研究所のネットワーク診断（内部・外部）は、経験豊富なエンジニアが本物の攻撃に限りなく近いテストを行うことで、ホスト単体だけでなく、ネットワーク全体を侵入対象と見なした戦略的なハッキングを実施します。数千ホストを超える大規模ネットワーク、IP電話や監視カメラといった特殊経路からの侵入可否も検証可能です。 ... 数多くの内製ツールには弊社所属の歴代ハッカー達の哲学が随

うちの会社ってどんな会社？ サイバーディフェンス研究所の社員を対象に、会社の魅力や入社のきっかけなど仕事に対する想いのほか、普段謎に包まれている個人の素性に迫るインタビュー企画が実現！記念すべき第一弾は、バイナリ解析グループのリーダー松隈大樹さんにご登場いただきましたッ！ こんにちは松隈さん。本日はよろしくお願いします。早速なんですが、今の役職と業務内容について教えてください。 よろしくお願いします。今は技術統括部という部署の中にあるバイナリグループのリーダーを担当しています。バイナリグループは、IDA（マルウェア解析等に使用される逆アセンブラ）を使ったプログラムの解析などのリバースエンジニアリングを主に担当していて、例えばWindowsやLinuxの実行ファイル形式を解析して脆弱性を発見したり、組み込み機器のファームウェアを読むこともありますね。他グループがやっているWeb診断に手を出し

OTセキュリティ業界ではネットワーク監視製品が賑わっています。特に、運用中の制御システムに影響を与えずに、通信パケットから学習を行い、資産（アセット）情報を自動抽出するとともに正常状態からの変化をアラートする製品を各社提供している様子がうかがえます。そんな中、無償のツールを探し回り比較したところ、商用並みのすごいツールに出会えたので紹介します。ちなみに上図のようにインターネットとの通信の様子をリアルタイム表示する機能もあるのでOTに限らずIT環境に適用しても面白いと思います。 はじめに サイバーディフェンス研究所の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。 先に開催された2022年の重要インフラサイバーセキュリティコンファレンスでは、セキュリティベンダ各社より、通信パケットをキャプチャして解析し異常を検知しアラートする類の製品が紹介され

アンチウイルスソフトって必要なの？とか、ちゃんと私のこと守ってくれるの？とか思われたことはありますか。日常的にアンチウイルスと対峙しながら侵入テストをやっている者の目線で、5 つのアンチウイルス製品に対しいろいろ実験した結果を一般の方向けに解説してみます。アンチウイルスに対するモヤッとした疑問を少しでも解消していただけたら幸いです。 はじめに 技術部の松永です。 本題に入る前に、私がアンチウイルスについて語る資格がありそうか、簡単に自己紹介から始めたいと思います。 私はアンチウイルスの専門家ではなく、製品の開発や販売、評価などに関わったことはありません。サイバーディフェンス研究所入社から 10 年、セキュリティテストに携わっています。特に侵入テスト（ネットワークペネトレーションテスト）を主業務とするようになって 5 年目になりますが、私が攻撃ツールの研究開発を大好物としていることもあり、こ

こんにちは、技術部の手島です。 弊社では、脆弱性診断サービスの１つとして組み込み機器診断を行っていますが、その作業の一つとして記憶媒体からファームウェアを読み出す作業があります。この目的で弊社ではデータ復旧装置を保有しており、技能維持トレーニングを行っている様子を紹介します。 今回はなにするの？ データ復旧の技能維持トレーニングとして、NANDフラッシュメモリを使用した記憶媒体を破棄する際に、データ消去が不適切な場合には残ったデータがどう見えるのか、実際にUSBメモリを用いて検証してみます。 このようにNANDコントローラが破損・破壊されたという前提で、USBメモリをデータ復旧させます。この状態で生存しているのは裏側のNANDフラッシュメモリのみです。 準備 実験台として、秋葉原で8GBの容量のUSBメモリをいくつか購入しました。今回は、予め内容が分かっているファイルをUSBメモリに保存し

本稿では、初めて実際に独自プロトコルのDissectorを作る人が最初にぶつかるであろう壁を乗り越える方法を紹介します。 Dissectorって何？という人は、先に↓こちらを読んでください。 WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました - DARK MATTER 本稿では、基本的なDissectorの作り方と、Dissectorを活用したパケット解析方法を紹介します。WiresharkのDissectorをご存知でしょうか？DissectorはWireshar ... できるようになること 複数のパケットに分割されたパケットのDissectorの作成 TCPのパケット分割について（いちおう書いておきます） TCPはストリーム型の通信であり、送信サイズや通信環境によりTCPの仕組みでパケットが分割されて送信される場合があります。このため一般に公

はじめに 石垣です。 前回の記事続編としてIoT特有のセキュリティ対策具体例をご紹介したいと思います。 はじめに こんにちは石垣です。 社会的に大きな影響を及しているCOVID-19によって、「ニューノーマル」と呼ばれる、新しい常識や常態への順応・適応が否が応でも求められるようになりました。 社会の仕組みが「ニューノーマル」仕様となるべくIoTが生活に組み込まれて身近になると同時に、IoTのセキュリティ対策はどうなっているのだろうかと思われた方はいるのではないでしょうか? 今回はIoTにおけるセキュリティについて理解するべき三つの基本リスクと対策について理解いただく事を目的として本記事を執筆しました。 本記事 ... 弊社ではハードウェア診断を行っているため、お客様から具体的な対策を教えてほしい等の相談を受けますが、診断報告書による大まかな脆弱性修正方法および参考資料、報告会での技術的な回

光ファイバーの盗聴について考えたことはあるでしょうか？「光ファイバーって盗聴できるの？」「そんなの知ってるよ」など答えは様々かも知れません。ただ実際に試したことがある方は少ないのではないでしょうか？本稿では、光ファイバーの盗聴を実験した顛末を紹介します。実験は成功したのでしょうか？ 本記事は、光ファイバー（光ケーブル）が盗聴されるリスクがある事を知っていただく事を目的としています。光ファイバーについて場合によっては必ずしも安全というわけではないことを知った上でセキュリティ対策を考えていただきたいと思います。 ご自身の環境以外では試さないようお願いします。 なぜ光ファイバーからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。以前LANケーブル(有線LAN)からの侵入・盗聴の実験を紹介したところ多くの方に参照いただけました。 サ

サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず