コンテンツへスキップ

必要なものは以下の3つです。

・サーバに設置済みのWordPress
Two-Factorプラグイン
・セキュリティキー

セキュリティキーはAmazonでYubico で検索すると色々出ます。
指紋認証やNFC対応があると高くなりますが、3500円程度のもので大丈夫です。

今回使用したのはこちら。(MicroSDカードはサイズの比較用)

まずは、WordPressの管理画面からTwo-Factorプラグインをインストールして有効化します。

次に、管理画面の「ユーザー」から「プロフィール」ページへ移動します。

プロフィールページ下部に「Two-Factor 設定」と「セキュリティキー」の項目が追加されているを確認したら、FIDO U2F Security Keysの有効・メインのチェックボックスを有効にして更新ボタンを押します。

セキュリティキーをUSBポートに指して、正常に認識したことを確認します。
「新しいキーを登録」をクリックして、セキュリティキーを登録します。

無事セキュリティーが登録できました。(リネームや削除も可能)

試しにログアウトして、再度管理画面にログインしてみましょう。
ログインページでパスワードを入力後にセキュリティキーのチェックページに遷移します。

同時にこのようなウィンドウが表示されるので、セキュリティキーにタッチします。

いつものダッシュボードに遷移したら正常完了です。

MINI Hardening Project #3.5@OWASP Kansai
https://minihardening.connpass.com/event/152553/

今回、Panasonic WonderLabで開催された MiniHardening 3.5に参加しました。
「詳細な競技内容は発信禁止」とのことなので詳細は書けませんが一般的な話として。

脆弱性のあるソフトウェアのアップデート
不必要なサービスは止める
バックアップ大事、リストアまで確認すべし
余計な権限は付けない、必要の無いユーザーは消す
パスワードは強固に、出来れば接続制限も
ファイアウォール無効ダメ、出来ればOutboundも制限する

こういった、普通やろ?と思われる事柄が、Hardeningでは身をもって体験できます。
体で覚える情報セキュリティ(インシデントレスポンス)といったところでしょうか。
今回は競技時間も長かったため、約5時間「コレ放っておくとヤバイ!」な事象が次々起こるのをひたすら捌き続ける(捌けるとは言っていない)感じでした。

私はLinuxの操作と一部のCMSなら少しは自分で動けたのですが、知らない分野(特にアプリケーション)がよわよわなので課題が山積み…というかLinuxすら最近Docker/Kubernetesばかり触っているため、Linux力の低下を実感しました。

次々と事件が起きるためオペレーションミスや判断ミスも多々発生し、悔しいことも多いですが、それも含めて色々と良い経験になりました。

以上、Hardeningはインシデントレスポンスという珍しいイベントを体験できる、楽しく学べる貴重な勉強会だと思います。サーバーを構築・管理する人には強くおすすめします。

出来れば最初はMicro、次にMini、そして本家のステップが望ましいとは思いますが、開催自体が多くはないので近くの地域で開催されていたら思い切って飛び込むと良いと思います。

最後に、OWASP Kansai・MINI Hardening Projectの運営の皆様、ありがとうございました。🙇

ダウンロードとインストール

  1. ISCのダウンロードページからCurrent-Stableのところからダウンロード
    https://www.isc.org/download/
  2. BINDInstall.exe を管理者として実行し、インストーラを起動
  3. ディレクトリやオプション指定の画面ではTools Onlyにのみチェックを入れ、Installボタンを押し、インストール
  4. Visual C++ランタイムのインストールを求められる場合も同意してインストール

パスを通す

環境変数のPathにdig.exeのインストールディレクトリを追加するため、 ファイル名を指定して実行 (Windowsキー+R )画面に以下を入力する

rundll32 sysdm.cpl,EditEnvironmentVariables

C:\Program Files\ISC BIND 9\bin にインストールされているはずなので、ファイルを確認の上、Path に上記のパスを追加。

コマンドプロンプトからdigを実行できるか確認する。

Windows 10 用のリモート サーバー管理ツール
https://www.microsoft.com/ja-JP/download/details.aspx?id=45520

Windows 10(64bit) は WindowsTH-RSAT_WS_1803-x64.msu を選択

PowerShellを起動

whoami/fqdn

RSAT for Windows 10 で追加される機能 (ja-JP)
https://social.technet.microsoft.com/wiki/contents/articles/32010.rsat-for-windows-10-ja-jp.aspx
"Active Directory Module for Windows PowerShell"をインストールするのが目的

hoge(OU)に含まれるメンバー一覧を表示する

Get-ADGroupMember -Identity "hoge"