実践 bash によるサイバーセキュリティ対策

bash と Linux の標準コマンドを利用したセキュリティ対策手法!
bash と Linux の標準コマンドを活用したセキュリティ対策手法についての解説書。サイバーセキュリティの現場では、常に GUI の最新ツールを使えるとは限りません。CUI によるセキュリティ対策はセキュリティ技術者にとって必須の知識です。本書では、Linux/Mac/Windows 環境で bash を含む標準的な Linux のコマンドラインツール群を用いて、各種情報収集や収集した情報の解析、監視、侵入テスト (ペネトレーションテスト) など、サイバーセキュリティの具体的な手法を実践形式で説明します。本書は四部構成です。第 I 部では bash シェルや正規表現の基本を学びます。第 II 部ではデータの収集、加工、分析、表示といった防御のためのサイバーセキュリティ技術について学びます。第 III 部ではペネトレーションテストや脆弱性の発見をリモートから行う手法について学びます。第 IV 部ではコマンドラインによるシステムやネットワークのセキュリティ管理について学びます。

セキュリティの現場では、専用の GUI ツールがいつも手元にあるとは限りません。『実践 bash によるサイバーセキュリティ対策』 (Paul Troncone / Carl Albing 著、高橋基信 訳、オライリー・ジャパン発行 / オーム社発売、2020 年 4 月刊) は、Linux/Mac/Windows 環境で bash を含む標準的な Linux のコマンドラインツール群を用いて、各種情報収集や収集した情報の解析、監視、侵入テスト (ペネトレーションテスト) といったサイバーセキュリティの具体的な手法を実践形式で説明する翻訳書です。原書は "Cybersecurity Ops with bash" で、副題に「セキュリティ技術者のためのシェルスクリプト活用術」と掲げるとおり、シェルスクリプト を守りの道具として使いこなすための技法書です。版元の紹介文は、CUI によるセキュリティ対策はセキュリティ技術者にとって必須の知識だと位置づけています。

四部構成 / 全 23 章、bash の基礎から監視ツールの自作まで

本書は四部構成で、本文は 1 章から 23 章まで続き、その後に付録 A から C、用語集、索引が付きます。第 Ⅰ 部「基本的な技術」 (1 章から 4 章) では、コマンドラインの定義、Git Bash / Cygwin / Windows Subsystem for Linux を使って Linux や bash を Windows 上で実行する方法、変数 / 条件 / ループ / 関数といった bash の基礎、grep で使う 正規表現 の基礎を押さえ、4 章「防御と攻撃の基礎」で機密性 / 完全性 / 可用性 / 否認防止 / 真正性の 5 つの観点と、偵察から始まる攻撃のライフサイクルを整理します。第 Ⅱ 部「bash による防御のためのセキュリティ活動」 (5 章から 12 章) は章数の上でも最も厚い部で、cut / file / head や Windows の reg / wevtutil によるデータ収集、awk / sed / join / tr によるデータ処理、sort と uniq を軸にした Web サーバのアクセスログの解析と異常の検知、リアルタイムのログ監視、そしてネットワーク監視とファイルシステム監視のツールをステップ 1 からステップ 3 の手順で組み上げる章が並びます。11 章は xxd と VirusTotal を使うマルウェア解析、12 章は tput や HTML を使った表示の整形とレポートです。

第 Ⅲ 部「bash によるペネトレーションテスト」 (13 章から 16 章) は、版元の紹介文が「ペネトレーションテストや脆弱性の発見をリモートから行う手法」と説明する部で、偵察、スクリプトの難読化、コマンドライン版ファザー、拠点確立の 4 章から成ります。第 Ⅳ 部「bash によるセキュリティ関連操作」 (17 章から 23 章) は運用寄りの内容で、chmod / chown / setfacl や Windows の icacls を使ったファイルのパーミッションと ACL、logger と eventcreate によるログの書き込み、ping を使うシステム監視、apt / dpkg / yum / wmic によるインベントリ調査、構成管理、Have I Been Pwned を使って侵害されたパスワードやメールアドレスを確認する監査のツールを扱い、23 章のまとめで閉じます。付録 A は bash のネットワークリダイレクション機能、付録 B は Shellshock、付録 C は bash スクリプトのトレースオプションで、ほとんどの章の末尾に練習問題が置かれています。

GUI のツールが無い現場で CUI が効く理由

専用ツールでなく bash を選ぶ理由は、サーバ側に必ず入っているものだけで仕事を完結できる点にあります。侵害が疑われるサーバに追加のソフトウェアを入れる行為は、証拠を上書きしたり相手に気づかれたりする恐れがあるため避けたいもので、SSH で入って手元のコマンドだけで状況を把握できる能力は、それ自体が防御側の力になります。もう 1 つの理由は、テキスト処理の道具をパイプでつなぐ設計です。grep で絞り込み、awk や cut で列を切り出し、sort と uniq で出現回数を数える流れは、アクセスログや認証ログのように 1 行 1 レコードの形式を持つデータに対して汎用的に働きます。本書の第 Ⅱ 部は、この基本動作を収集、加工、集計、監視、表示の順に並べており、個々のコマンドの使い方を覚えさせる本ではなく、それらを組み合わせて小さな監視ツールを自作する発想を身につけさせる構成です。一方で、複雑なロジックや例外処理が増えたスクリプトは Python などで書き直したほうが保守しやすくなるのも事実で、本書の手法はまず状況を見える化する段階で最も力を発揮します。

Windows 環境も対象に含む前提知識と、向かない読み方

bash の基本文法を知らなくても読み始められる作りで、第 Ⅰ 部でコマンドラインの基礎、bash の基礎、正規表現の基礎を順に扱うため、シェルの基本は本書の中で学べます。Windows 環境の読者も対象に含まれ、Git Bash / Cygwin / Windows Subsystem for Linux の選択肢から始まり、以降の章でも Windows のログファイルやレジストリの収集、Windows におけるタスクのスケジュール、Windows のファイルパーミッションが Linux と並べて説明されます。逆に向かないのは、bash そのものを網羅的に学ぶ文法書を求める人 (第 Ⅰ 部の扱いは入門の範囲です) と、特定のセキュリティ製品の操作手順を知りたい人です。2020 年刊の翻訳書なので、対象となる OS やツールの環境はその時点のものとして読む必要もあります。章数で見ても第 Ⅱ 部の 8 章と第 Ⅳ 部の 7 章に対して第 Ⅲ 部は 4 章で、本書の重心は防御と運用の側にあり、攻撃側の技法だけを目的に選ぶ本ではありません。

セキュリティ運用の担当者がこの本で得られるもの

著者の Paul Troncone は、書店掲載の書誌 (出版社提供) によれば刊行時点でサイバーセキュリティおよび情報セキュリティの専門家で、Digadel Corporation を 2009 年に設立した人物、Carl Albing は広範な業界経験を持つソフトウェアエンジニアで、教師であり研究者でもあると紹介されています。訳者の高橋基信は同じ書誌で、刊行時点で株式会社 NTT データ IT マネジメント室に所属し、オープンソースの Samba を中心とした出版活動などをしている技術者とされています。この本で元が取れるのは、サーバやネットワークの運用を担っていて、専用の監視製品を導入する前にまず自分の手でログを読み、変化を検知する仕組みを作りたいインフラエンジニアやセキュリティ担当者です。読み進めると、ログの異常を sort と uniq で洗い出し、開いているポートやファイルの変化を前回の結果やベースラインと比較して通知する小さなツールを、Linux でも Windows でも標準コマンドだけで組めるようになります。シェルの延長でセキュリティの基礎体力を付けたい人にとって、2020 年時点の実務に根ざした堅実な一冊です。