おうちでローカルインフラセキュリティを学ぼう
526 Views
July 29, 24
スライド概要
2024年7月26日 Shima Tech Hub#4
アールスリーインスティテュートは、kintoneを中心とした クラウドサービスを活用することで お客様の継続的な業務改善をサポートします。
関連スライド
各ページのテキスト
(子供の夏休みの自由研究にも使えるかも!?) おうちでローカルインフラセキュリティ を学ぼう - Shima Tech Hub #04 2024/07/27 R3 Institute 與那城 雄 www.r3it.com
自己紹介 與那城 雄(よなしろ ゆう) X: @cloneko 沖縄生まれ沖縄育ち。所属の会社はだいたい関西。 • オンプレ(自社で保有・管理)のサーバー管理(6年くらい) • 地域振興と人材育成の会社でワークショップのヘルプとIT系雑用 • 専門学校の講師(インフラ・クラウド関連) • 研修のアシスタント • 県内某市の小中学生向けキャリア教育事業の事務局内SE?ヘルプデスク? • アールスリーインスティテュートのシステム開発グループで開発者 ← 今ここ → インフラ関連やってるほうがキャリア長いです。 好きなAWSのサービスはLambdaとS3とRoute 53です。 www.r3it.com
アールスリーインスティテュート システムの受注開発と 法人向けSaaSの二本立て 僕はシステムの受注開発のほうのチームに所属しており、 主にkintone / AWS 上で動作するシステム開発を行っています。 (西島のトークに出てた)gusuku Customineもゴリゴリ使用しています! ※ gusuku Customineについてはしまてく#2のトークを参考に! https://www.docswell.com/s/r3it/KYWPDE-2024-05-27-110449 www.r3it.com
キミノマホロ 前のスライドでシステムの受託開発と書いてましたが… アールスリーの「キミノマホロ」は、 お客さまの業務・組織・風土を理解し、 お客さまに必要なシステムの開発・導入・定着だけではなく 業務改善があたりまえになるようなカルチャー変革のための サービスです。 詳しくは「キミノマホロ」で検索! www.r3it.com
今日の話にかかわる職歴 最初(?)の会社でPマーク/ISMS認証取得のためにインフラ整備を担当 専門学校の講師のときにはネットワーク・インフラ・セキュリティについ ての講義を担当 現職以外ではIT系困りごとはだいたい呼び出されて対応 → ネットワーク機器の設定とかトラブルシューティングとか対応しがち www.r3it.com
セキュリティについてのおさらい www.r3it.com
セキュリティの基本の話 一般的にセキュリティとは 価値のある何かから「危険や脅威から解放された状態」を実現するための 段取りや手段。 ソースは Wikipedia https://ja.wikipedia.org/wiki/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3 国家のセキュリティ(国家安全保障)だと 国土・国民・財産・国家の独立 etc… 一般人のセキュリティ(防犯)だと 自分や家族の身体の安全・所有財産 etc… www.r3it.com
みなさんのお仕事でいうセキュリティだと 情報セキュリティですよね? 情報セキュリティで守らないといけないものといえば… なんですか? www.r3it.com
(情報)セキュリティで最初に考えること あなたにとって何が大切かを考えることが大切です。 一般的に大切とされるものはありますが、人・組織ごとに守るべきもの・ 優先順位は異なります。 開発したプログラム・作成した作品 • 業務上扱う情報 • 経営に関する情報 • 見られたり悪用されたら困る奴(センシティブな情報) • 本人や会社にとって秘密にしておきたい奴 • などなど。 www.r3it.com
大切なものに対する脅威 一般的に脅威とされるものとして • 悪意のある人からの破壊・搾取・妨害行為 • 自然災害・戦争など • 悪意のない行為によるもの があり、大切なものがこれらの行為にさらされないようにどうしたら検討 するかを考えることがセキュリティの第一歩になります。 www.r3it.com
ローカルインフラセキュリティを学ぶ www.r3it.com
ローカルインフラセキュリティの定義 このトークでいう「ローカルインフラセキュリティ」は、LAN内で考慮す べきセキュリティのことと定義します。 インターネットが絡むセキュリティについては、今回は話しません。 また、このトークですべてのローカルインフラセキュリティをカバーでき るわけではありません(時間がいくらあっても足りない)。 あと、おうちで試せる範囲に限ってます。 www.r3it.com
おうちで試せる範囲 ここでいう「おうち」とは「一般のご家庭」のことを指してます。 「逸般の誤家庭」は想定していません。 「逸般の誤家庭」が気になった方は検索を! www.r3it.com
注意事項 これから出てくる「試せる」ことについて、 他人のリソースに対してやらないでくださいね。 (窃盗罪・器物損壊罪・傷害罪・不正アクセス禁止法などに抵触します。) www.r3it.com
試してみる内容 Wi-Fi経由でのインターネット接続を邪魔してみよう 2. 通信を傍受してみよう 3. バックドアを作ってみよう 4. パスワードを盗んでみよう 5. 機器を破壊しよう 1. www.r3it.com
Wi-Fi経由でのインターネット接続を邪魔してみよ う ■攻撃方法の検討 どんな方法があるだろう… www.r3it.com
Wi-Fi経由でのインターネット接続を邪魔してみよ う 電子レンジアタック 2. Evil Twin 3. アクセスポイントとつながっているケーブルを抜く 4. ブレーカーを切る 5. アクセスポイントを物理破壊 1. www.r3it.com
Wi-Fi経由でのインターネット接続を邪魔してみよ う 電子レンジアタック アクセスポイントと通信している機器の間に電子レンジを置いて あたためスタート! ただしこの方法は2.4GHz帯で通信している場合にしか効きません。 (昔はめっちゃ効いたが、最近は5GHz帯が主流&Wi-Fi7など6GHz帯を使用 するようなものも出てくる予定なので、その場合は効きません。) 明らかに通信状況が悪くなるのを観察できるのでおうちで試すのにおすす め。 www.r3it.com
Wi-Fi経由でのインターネット接続を邪魔してみよ う Evil Twin 無線LANのアクセスポイントを別途用意してESSID・PSKを同じに設定し て、本来接続したいアクセスポイントではないアクセスポイントに接続さ せる。 ハードオフとかで安く中古のアクセスポイント買ってきて試せるよ! (おうちに古いアクセスポイントとか転がってませんか?) 通信内容を盗聴することが可能なアクセスポイントでそれをやると通信内 容もGETできるよ! → 盗聴方法はこのあとすぐ! www.r3it.com
Wi-Fi経由でのインターネット接続を邪魔してみよ う アクセスポイントとつながっているケーブルを抜く • ブレーカーを切る • アクセスポイントを物理破壊 • アクセスポイントや回線を物理破壊・使用不可にするのは定番。 (昔よくあったファミコンのやりすぎで、親がACアダプターの線切った り、ファミコン自体を隠したり壊したりする話と同じ) www.r3it.com
Wi-Fi経由でのインターネット接続を邪魔してみよ う ■ どうやったら防げるだろう… www.r3it.com
通信を傍受してみよう ■攻撃方法の検討 どんな方法があるだろう… www.r3it.com
通信を傍受してみよう ポートミラーリング機能があるスイッチングハブを間に挟もう! ポートミラーリングとは… スイッチングハブを通るすべての通信を指定のポートにつながっている機 器にも流す機能。 普通に売ってるスイッチングハブにはそんな機能はありません。 逸般の誤家庭案件かと思いきやメルカリで3000円くらいで買えます。 Amazonで新品で8000円くらいで買えます。 (一般人はそんなもの買いませんが、遊びで試せる価格…かな…) リピーターハブ?知らない子ですね。 www.r3it.com
通信を傍受してみよう ■ どうやったら防げるか考えてみよう! www.r3it.com
バックドアを作ってみよう ■攻撃方法の検討 どうやって作る? どうやって仕込む? www.r3it.com
バックドアを作ってみよう 下記URLにアクセスします。 https://chatgpt.com/ あとはがんばりましょう。 www.r3it.com
バックドアを作ってみよう 嘘です。作ってもらいました。 https://chatgpt.com/share/2d9b3878-5908-48bb-bb2d-9cc0427993ee ただし、macOS/Linuxで動作するGolangのコードです。 (最初Pythonで作らせてたけど、Golangの話のあとに話するのにそれは ちょっと無いだろと思ったのでGolangで作ってもらいました) いろいろ雑なコードなので、実用するような予定がある場合はちゃんと作 り直しましょう。 ※ (いろんな意味で)実用ダメゼッタイ www.r3it.com
バックドアを作ってみよう どうやってターゲットに動かしてもらうの? ・このプログラムを動かすと性能が向上するらしいよ! ・新しいマイクラのMODだってよ! ・新しいサーバー構築プログラムだよ!動かしてみない? ・社内の構築手順書にしれっとまぎれこませておく などなど「そそのかし」が重要です。 (古典的なソーシャルエンジニアリング手法です) www.r3it.com
バックドアを作ってみよう 昔あった話で、偽物のXcodeを配布してそれでビルドしたアプリが軒並み マルウェアになってたみたいな話もありました。 (詳しくは「Xcode Ghost」で検索! インターネットの記事とかに記載されている手順書とかもまるっと信じる のは禁物です。 (公式ドキュメント読め。っていっても、公式ドキュメントが改ざんされ ている可能性もあるので、そうなったら…ねぇ…) 最近だとpolyfill.io事件とかもあったし…世知辛いですね… www.r3it.com
バックドアを作ってみよう ■ どうやったら防げるか考えてみよう! www.r3it.com
パスワードを盗んでみよう ■攻撃方法の検討 どうやって盗む? 誰のパスワードを盗んだらよさそう? www.r3it.com
パスワードを盗んでみよう みんな大好きショルダーハック。 あと、子供はスマホのロック解除コードを結構見てるよ… 他人がパスワードを入力しているところを観察してみよう! ※ 他人のパスワードを取得してロックを解除したり、システムにログイン するのは法律違反です。 www.r3it.com
パスワードを盗んでみよう 他人とパスワードを共有する文化圏もありますが… (恋人同士でお互いのスマホのロックの解除できることで愛情の証明にし ているとか…) あと、いわゆるソーシャルエンジニアリング的手法で、盗み出すこともで きるかも…? (上司のふりをするとか、親のふりをして子供に対して強権発動するとか …) www.r3it.com
パスワードを盗んでみよう ■ どうやったら防げるか考えてみよう! www.r3it.com
機器を破壊しよう ■攻撃方法の検討 どうやって破壊する? 何を破壊したら効果ありそう? www.r3it.com
機器を破壊しよう 何をつかう…? www.r3it.com
機器を破壊しよう ■ どうやったら防げるか考えてみよう! www.r3it.com
危ない行為が一通りおわったところで… ■ あなたにとって、守るべきものは何なのかを あらためて考えてみましょう ■ そして、それを守るためにどういう対策をしたらいいかを 考えてみましょう www.r3it.com
まとめ www.r3it.com
まとめ わるいことをする人の気持ちを考えてみることは大切。 セキュリティのことを考えるときは、何が大切で何を守らないといけない かをちゃんと考えて、それを守る方法を考えましょう。 → ISMSの一番最初のリスク評価はこれ。 子供の夏休みの宿題にも、大人の夏休みの課題にもぜひ活用ください。 くれぐれも、自分の責任の範囲でできるところでやってくださいね! www.r3it.com