10. 守る側（ブルーチーム）のツール 🛡️¶

🔊 音声で聴く

このノートの ① 〜 ⑤ は **レッド（攻撃）**の技術。この章は裏返した ブルー（守備）の技術です。攻撃で学んだ永続化・バックドアが、ここでは「探す対象」になります。攻撃手口を知っているからこそ、「どこを見ればいいか」が分かります。

🔑 脆弱性を直すだけでは足りない：攻撃者は侵入中に、脆弱性とは別の裏口（バックドア）を仕込みます。だからパッチを当てても、既に仕込まれた裏口は残り続ける（→ 08章の解説）。守る側は「穴を塞ぐ」だけでなく「既に裏口が仕込まれていないか」を調べることが欠かせません。それがこの章のツールの役目です。

守る側の調査ツール¶

flowchart TD
    Q["サーバーに侵入痕跡は？"] --> A["rkhunter / chkrootkit<br>rootkit・バックドア検知"]
    Q --> B["Lynis<br>システム監査（穴探し）"]
    Q --> C["YARA<br>マルウェア痕跡照合"]
    Q --> D["LinPEAS<br>権限昇格の穴を列挙"]
    style Q fill:#2d333b,stroke:#3fb950,stroke-width:2px,color:#e6edf3
    style A fill:#2d333b,stroke:#58a6ff,stroke-width:2px,color:#e6edf3
    style B fill:#2d333b,stroke:#58a6ff,stroke-width:2px,color:#e6edf3
    style C fill:#2d333b,stroke:#58a6ff,stroke-width:2px,color:#e6edf3
    style D fill:#2d333b,stroke:#bc8cff,stroke-width:2px,color:#e6edf3

ツール	何を調べる	攻撃の何に対応
rkhunter / chkrootkit	rootkit・バックドアの痕跡	永続化・バックドア設置
Lynis	システム設定の穴（監査）	設定ミスによる侵入口
YARA	既知マルウェアのパターン照合	マルウェア設置
LinPEAS	権限昇格できる穴を列挙	権限昇格

💡 LinPEAS は攻守両用。攻撃者が昇格の穴を探すツールですが、守る側が「自分のサーバーに穴がないか」事前チェックにも使えます。

Linux サーバーでの使い方¶

# システム監査（読み取り専用。「この設定が緩い」等を指摘）
sudo apt install lynis && sudo lynis audit system

# rootkit・バックドアの痕跡チェック
sudo apt install rkhunter && sudo rkhunter --check

# 権限昇格の穴を列挙（守りの事前チェックにも）
curl -L https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh | sh

macOS を守る（自分の Mac をチェック）¶

Mac には標準で防御機構が効いています。まず現状確認：

spctl --status         # Gatekeeper（未署名アプリをブロック）
csrutil status         # SIP（システム保護）

さらに自分で調べるなら、KnockKnock（Objective-See の無料GUIアプリ。常駐・永続化を一覧）や brew install lynis。

💡 標準の Gatekeeper/SIP/XProtect で一般的なマルウェアはほぼ防げます。ただし「設定の緩さ」は標準では見ないので、Lynis のような監査が有効です。

攻撃を理解することは、守りを強くすること。 これがペンテストを学ぶ最大の価値です。