日本の組織に対する最近の不正アクセスについての警告

概要

日本の組織を標的とした一連の不正アクセス事件が観察されています。これにより主に個人情報の漏洩が引き起こされています。この活動には、既知のソフトウェア脆弱性の利用、不正なAPI操作、MetabaseにおけるSQLインジェクション、WARファイルを通じたWebシェルの展開が含まれています。これらのケースは、マネジメントシステム、BIツール、公開想定外の内部アプリケーションを狙ったものに見えます。

調査

JPCERT/CCは、APIエンドポイントの利用、NoSQLインジェクション、特定の悪意あるIPアドレスの使用を含む複数の攻撃ベクトルを特定しました。調査により、攻撃者が既知の脆弱性や設定ミス、例えば無保護の設定ファイルやバックアップファイルをスキャンしていることが明らかになりました。最近の更新では、.warファイルに埋め込まれたWebシェルがクエリパラメータを介してシェルコマンドを実行するために使用されたことが特に強調されています。

軽減策

提案される軽減策には、敏感なAPIエンドポイントのレート制限、厳格なアクセス制御、脆弱なソフトウェア（Metabaseなど）のセキュリティパッチ適用が含まれます。組織は、最小権限の原則をAPIトークンに適用し、特定の地理的地域にサービスの提供を制限するべきです。マネジメントおよびBIツールがパブリックインターネットに露出しないように強化することが強く推奨されます。

対応

発見後、組織は直ちに侵害されたAPIトークンを無効化し、特定された悪意あるIPからのアクセスをブロックし、可能な側面移動を探すべきです。Webサーバーログを確認して異常なGET/POSTリクエストをチェックし、不正な.warまたは.jspファイルの展開を調べることが推奨されます。また、組織は影響を受けた顧客に潜在的な二次被害を通知するためのコミュニケーションプランを準備するべきです。

シミュレーション実行

• 攻撃ナラティブとコマンド: つまり、このメソッドにおいて、攻撃者は非探知を回避するため、通常プロキシのプールを使用します。また、検証のために、脅威インテリジェンスブラックリストに定義された特定のIPの1つを使用して攻撃者をシミュレートします。 20.210.128.125)。ファイアウォールを通過するインバウンド接続試行をシミュレートし、ソースIPに基づいてルールをトリガーすることを目指します。

• 回帰テストスクリプト：

  # このスクリプトは、ブラックリストに登録されたIPからのネットワーク接続をシミュレートします。
  # 注：現実のシミュレーションでは、これは制御された
  # 外部ソースによって実行されます。ローカルテストのために、ファイアウォールがこのトラフィックを検知するようにログエントリを
  # ロギングパイプラインに挿入します。
  
  echo "$(date '+%b %d %H:%M:%S') firewall-01 filter: inbound permit tcp 20.210.128.125 44332 -> 192.168.1.50 443 tcp dport=443 spt=44332 state=NEW" >> /var/log/firewall.log
  
  echo "シミュレーション：ブラックリストIP 20.210.128.125のログエントリが挿入されました"

• クリーンアップコマンド：

  # シミュレートされたログエントリを削除してベースラインを復元します。
  sed -i '/20.210.128.125/d' /var/log/firewall.log
  echo "クリーンアップ：シミュレートされたログエントリが削除されました。"