2022年5月25日に以下の条件でインストールしたサイトを脆弱性診断する。

・環境：　AWS東京リージョン

・OS:　AlmaLinux8.6　（AMIからインスタンス作成）

・Webサーバ：　Apache httpd 2.4.37(AlmaLinux)

・PHP:　php-fpm 7.4.19

・アプリ：　Wordpress 6.0

動作確認後にプレ診断実施した結果、以下の脆弱性候補が検出された。

１．The web server has the following HTTP methods enabled: TRACE

CVSS:　5.8(Midium)

Apacheではデフォルトで「HTTP TRACEメソッド」有効なことによる。

２．The remote SSH server supports the following weak KEX algorithm(s):

diffie-hellman-group-exchange-sha1 | Using SHA-1

CVSS:　5.3(Midium)

アルゴリズムの危殆化のため無効となったことによる。

３．The remote SSH server supports the following weak client-to-server encryption algorithm(s):

aes128-cbc／aes256-cbc

CVSS:　4.3(Midium)

アルゴリズムの危殆化のため無効となったことによる。

４．It was detected that the host implements RFC1323/RFC7323.

    CVSS:　2.6(Low)

TCPタイムスタンプ自体はデフォルトでON。環境によって無効化が推奨される。

最新のリリースで構成していても、サービス構築後には脆弱性診断の実施が有効である例となっている。

Japan Vulnerability Notes／脆弱性レポート 一覧 (jvn.jp)では、日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報が提供されている。

情報システム全般の脆弱性関連情報なので多岐に亘るが、Webサイトの安全な運用に必要な脆弱性情報も提供されており、該当する場合には対応を検討する。これはWebサイト運用におけるリスク管理の基本と言える。

Webサイトを構成するプラットフォームの脆弱性は、脆弱性のある機能を実際に使っていて、サイバー攻撃の手段がある場合にセキュリティ上の脅威となる。顕在化した脆弱性によるセキュリティ上の脅威が明らかになった場合には、総合的な視野からのリスク管理が求められる。

該当する脆弱性をついたサイバー攻撃により、財産的価値のある情報の漏洩、個人情報の漏洩、サービス停止など大きな被害が想定される場合には緊急の対策を検討する。緊急ではない場合でも、対策に要するコスト、期間を見積り、想定される被害とのトレードオフを勘案して、対策時期、対策範囲を判断することになる。

脆弱性レポートの見落としなどで潜在化した脆弱性は脆弱性診断で顕在化できることがある。脆弱性診断はリスク管理の一コマではあるが、被害の発生を防ぐ効果は大きい。新たにWebサイトをリリースする際には必須であり、その後もできるだけ頻繁に実施を継続することが望ましい。

情報処理推進機構（IPA）がウェブサイトの攻撃兆候検出ツール iLogScannerを無償提供している。 iLogScannerにウェブやsshなどのアクセスログを入力すると、サイバー攻撃と思われる痕跡を検出し、一部の痕跡については攻撃が成功したか否かを判定してくれる。サイトがサイバー攻撃を受けていないか、その兆候を定期的に確認することができる。 本サイトで紹介している脆弱性プレ診断は、このツールではサイバー攻撃の兆候として検知され、結果レポートが以下のように報告される。

iLogScanner – 解析結果レポート

解析結果

• 終了ステータス：完了
  
• 解析日時：2022/05/06 14:45
• 解析対象ファイル：ssl_access_log
• 解析指定日付： –
• 解析対象日付：2022/05/06 – 2022/05/06
• 解析レベル：詳細
  
• 検出数　　：
  計 1205 件
  

検出したWebサイトへの攻撃について、下記に詳細を記述します。

詳細レベルで検出したWebサイトへの攻撃について、下記に詳細を記述します。

解析結果ログ

#解析結果ログの見方 #—————————————————————- #[ログファイル名] #[行番号] [脆弱性種別] [攻撃が成功した可能性が高い] [該当するアクセスログ] [シグネチャ対応コード] #—————————————————————- #※ 各項目はタブ区切りになります #※ 攻撃が成功した可能性が高い場合、「●」がつきます #以下、解析結果ログ ssl_access_log-20220424 12846 クロスサイトスクリプティング – … – – [06/May/2022:04:36:57 +0000] “GET /Web/SA2/ScriptList.do?gui_pagenotableData=><script>alert(document.cookie)</script> HTTP/1.1” 404 196 B958  

米国国立標準技術研究所 (NIST) は、米国脆弱性情報データベースNational Vulnerability Database (NVD) 
を運営している。NVDは脆弱性情報の詳細情報を提供するためのデータリポジトリで、自動処理のための標準化されたデータが提供されている。

OpenVASのレポートには、共通脆弱性識別子CVE(Common Vulnerabilities and Exposures)番号、共通プラットフォーム一覧CPE(Common Platform Enumeration)番号、共通脆弱性評価システムCVSS(Common Vulnerability Scoring System)値、が診断の結果として記載される。

CVEで命名された脆弱性情報の詳細情報をNVDで提供する分担になっており、レポートに記載されたCVE番号のリンクから具体的な脆弱性の情報を検索することができる。

JPCERT/CCと情報処理推進機構（IPA）が共同で管理している脆弱性情報データベース（JVN iPedia）は、日本国内製品、日本に流通している製品を対象範囲に含み、内容も日本の一般向けとして公開されている。

JVN iPediaにも登録されている脆弱性については、OpenVASのレポートのCVE番号を脆弱性情報データベース（JVN iPedia）で検索することで、日本語での情報を得ることができる。

スキャンターゲットとスキャン内容の設定は、ログイン後にメニューのScans>New Taskとする。ターゲットは脆弱性練習台のホストowaspbwa。

ScanTargetは、項目の右端新規マークから設定する。

それぞれsaveする。

スキャン開始は、以下のtaskリストからowaspbwaを選択し、▷マークをクリックして開始する。

statusマークがNew＞Requested＞0%と変遷してスキャン開始が確認できる。

ローカルのホストでもしばらくかかるので、何もしないでいるとログイン画面に戻ってしまう。ログアウトしてもスキャンは継続しているので、終わったころに再度ログインするくらいでちょうど。

レポート確認は、メニューのScans>Reportsとする。

owaspbwaを選択しDate列の青字日付をクリックすると、概要が表示される。

Resultsタブをクリックすると脆弱性のリストが深刻度順に表示される。

黒メニュー下のアイコン列のダウンロードボタンをクリックすると、結果レポートをダウンロードできる。

PDF出力したので、以下のようなレポートが得られる。

最初の項目は以下のように記載されている。

OpenVASをRed Hat LINUXに導入する手順が紹介されていた。多数紹介されている中では新しく、最もシンプルだった。

Hyper-V上にAlma LINUX8.5をサーバとして構築して、以下の手順で実際に導入した。 4月24日、Version 21.4.3。

# sudo dnf update -y

# sudo dnf install wget -y

# sudo dnf config-manager –set-enabled powertools

# sudo dnf install epel-release.noarch -y

# sudo dnf update -y

# wget -q -O – https://updates.atomicorp.com/installers/atomic | sudo sh

# sudo dnf install gvm -y

# sudo sed -i ‘s/=enforcing/=disabled/’ /etc/selinux/config

# reboot

# gvm-setup

紹介されている手順はここまで。
このサーバにhttpsでアクセスするとOpenVASのダッシュボードが利用できる。

但し、実際には追加で以下の手順が必要だった。OpenVASを利用しなれている方には常識なのかもしれない。

# mkdir /var/run/gvm

# chown gvm:gvm /var/run/gvm

# sudo -Hiu gvm gvmd –get-users –verbose
admin xxx6e69-d013-478d-abb8-062cc7f3yyyy

# sudo -Hiu gvm gvmd –modify-setting 78eceaec-3385-11ea-b237-28d24461215b –value xxxx6e69-d013-478d-abb8-062cc7f3yyyy

# sudo -Hiu gvm gvmd –get-scanners
zzzz9003-5fc2-4037-a479-93b44021zzzz OpenVAS /run/ospd/ospd-openvas.sock 0 OpenVAS Default

最後のOpenVAS Defaultがタスクを構成する時に選択するスキャナ名になっている。

運用開始後、脆弱性情報の現行化には以下コマンドを実施する。

# sudo -Hiu gvm greenbone-feed-sync –type GVMD_DATA

# sudo -Hiu gvm greenbone-feed-sync –type SCAP

# sudo -Hiu gvm greenbone-feed-sync –type CERT
（これはSCAP終了後に実施する）