WindowsおよびUnix/Linuxプラットフォームで作業する場合、多くの管理者および開発者ワークステーションで見られる、より遍在的なツールの1つであるPuTTYに精通していることは間違いありません。 Microsoft Windowsには、ごく最近までSSHクライアントがありませんでした。以前は、WindowsマシンからUnixシステムに接続する場合は、SSHクライアントが必要です。 開発者のSimon TathamによるPuTTYは、汎用性の高いオープンソースの端末エミュレータ、シリアルコンソール、ファイル転送アプリケーションとして人気があります。
すべてのソフトウェアと同様に、PuTTYは複雑であり、複雑なものに欠陥がある可能性があります。 これらの欠陥は、悪意のある攻撃者によって悪用されることがあります。 年 2019年3月、PuTTYは8つの脆弱性を修正し、 SSHv2の仲間ライブラリである LibSSH2は9つの脆弱性を修正しました。
これらの脆弱性は、いくつかの異なるシナリオを表しています。 一部はDoS攻撃、その他は秘密鍵フレーズの漏洩、その他は脆弱なシステムで任意のコードを実行する可能性を許可します。 SSH経由でリモートシステム（通常はサーバ)Connectする必要がある可能性のある人たちは、アクセス権限が昇格された管理者またはユーザであり、PuTTYの主要ユーザグループで構成されていることを考えると、これらの脆弱性を可能な限り迅速に軽減しないリスクがあることがわかります。
課題への対応
このシーンを想像してみてください。あなたと同僚は、グローバル企業で約 100,000 のエンドポイントを実行および管理しています。 これには、サーバ、ワークステーション、ノートパソコン、仮想マシン、オンプレミス、移動中、クラウド内、あるいは他の誰かのクラウドで実行されているクラウドインスタンスが含まれ、すべてオペレーティングシステム、アプリケーション、アプリケーション所有者、関係者がいます。 少なくとも以下が課題です。
- PuTTYまたは関連するアプリケーションのすべてのインスタンスをどのくらい迅速に見つけて、それらが最新であることを確認することができますか？
- 管理者や開発者が勤務日がグローバルオフィスの周辺で始まるにつれてオンラインになると、問題が自動的に解決されるようにするには、どうすればよいでしょうか？
- CIOまたはCISOが、その日の朝、どのような重大なセキュリティインシデントが見出しになっているかの最新ニュースを見て、ステータスを尋ねたときに、組織的に最新の状態であることをどのように確認できますか？
こうした困難な課題は、Taniumが独自に支援できるものです。 準備にあたっては、PuTTYを例に、以下を考慮してください。
- 私たちは脆弱ですか？
組織内のどこかに古いバージョンのPuTTYや LibSSH2 がないことを確認するには、どうすればよいですか？ これをリアルタイムで報告し、結果を確認する方法 - アクセスするためにこれらの脆弱性を利用しようとしている人はいますか？ 脆弱性に関する悪意あるアクティビティを示唆する可能性のある行動指標を探し、さらに調査する必要があります。
- 全員が更新バージョンにアクセスできるようにするには、どうすればよいですか？ 更新されたバージョンのPuTTYと関連ツールをAdminグループにプッシュするか、少なくともアプリケーション配信のセルフサービスの一部としてインストールすることを許可できますか？
- 脆弱なバージョンのソフトウェアDetectして使用を防止できますか？
これらの各セクションと、Taniumが提供できる内容を見てみましょう。
1. リアルタイムビュー
まず、当社の資産全体にわたるすべてのPuTTYインストールのリアルタイムビューを得ることができます。
Taniumに「Get Installed アプリケーション バージョン[putty] < 0.71.0.0 from all machines with Operating System contains WindowsQuestionを実行します。
または、インストールされているすべてのアプリケーションを要求し、「putty」という単語でフィルタリングして、リアルタイムの実行結果便利なグラフフォーマット表せるようにすることもできます。
Tanium Indexは、Threat Responseモジュールコンポーネントであり、RESTファイルに対する脅威インジケータ検知と報告を含むセキュリティユースケースの重要な実現要因です。 このモジュールを使用して、すべての管理対象システムで、putty.EXEの任意のバージョンの存在をリアルタイムで検索できます。 これは重要です。多くの場合、PuTTYは実際にはインストールされたアプリケーションではなく、エンドポイントにスタンドアロン実行可能ファイルとして存在します。 あらゆる状況で確実に見つけられるようにするには、どうすればよいでしょうか？
Traceイベントレコーダは、Threat Responseモジュールもう1つのコンポーネントです。 Traceを使用して、ネットワーク上のLinux、Mac、Windowsエンドポイント上の主要なフォレンジックイベントとセキュリティイベントを直接調査できます。 Traceは、プロセスの実行、ログオン履歴、Connectionsネットワーク接続、ファイルとレジストリの変更など、重要なイベントのライブおよび履歴ビューを提供します。 この例では、過去 30 日間に、当社の管理対象システムのどこかでPuTTYを実行した人がいないか知りたいと考えています。 以下の例では、ユーザ「Elain_Devito」が正確にこれを行ったことがわかります。
2。 シグナル
次に、PuTTYの脆弱性の1つを悪用しようとする悪意ある攻撃者を反映した疑わしい行動があったかどうかを調べてみましょう。 Taniumシグナルを使用すると、複数の検索式を組み合わせることで、疑わしいプロセスや興味深いプロセスの動作Detectできます。
以下は、CVEの1つに関連付けられているアクティビティDetectするためのシグナル例です。 基本的に、PuTTY関連のプロセスがコマンドシェルまたはPowerShellインスタンスを生成した場合は、そのことを知りたいので、調査できます。
3。 パッケージDeployする
古いバージョンのPuTTYによるリスクを軽減するもう1つの機会は、必要な管理者または開発者ユーザにインストールをプッシュできる最新のパッケージを用意することです。 Deployモジュールの例：
次のスクリーンショットでは、エンドユーザーがインストールするパッケージを選択できるSelf Serviceアプリケーション配信ポータルで、PuTTYを選択可能なオプションとして利用可能にしました。
4。 Protectモジュールを使用してネイティブのセキュリティ機能を管理する
Taniumのスピードと柔軟性が、この状況でどのようにユニークな助けになるかTaniumを示すもう1つの例です。 AppLockerの企業レベルのポリシーを使用して、脆弱なputty.EXE実行可能ファイルを起動しないようにできます。エンドポイントに「Protect」モジュールとポップアップが表示され、Taniumセルフサービス経由でアップグレードするようにユーザに警告します。
この一見シンプルなシナリオは、世界中の無数の組織で、週単位で繰り返し繰り返されています。 既存の運用およびセキュリティツールは、実際のスケールでのアクションには適していません。セキュリティおよび運用チームから、「この所要時間」が「わからない、「1週間かも」の範囲になると尋ねられました。 確信を持ってこれを行うことはできません
このようなシンプルで典型的なイベントに対応する能力には、アジリティをもって対応し、避けられない打刻をスケールかつ迅速に実行できる権限が必要です。
Taniumを実際にご覧になりたいですか？ 1対1のデモをスケジュール するか、毎週のウェビナーに参加してください。 今後のイベントでは、Taniumの専門家にご相談ください。
