不正アクセスをシュミレーションツール

不正アクセスをシュミレーションするツールです。セキュリティテストやデモ、SIEM/SOCのトレーニング用に設計されたものもあります。

1. Atomic Red Team (MITRE ATT&CKに基づく)

# インストール
git clone https://github.com/redcanaryco/atomic-red-team.git
cd atomic-red-team

# Windowsイベントログを生成（一部Linuxでも動作）
./atomic-red-team/execution/frameworks/scripts/Invoke-AtomicTest.ps1

2. Log-Monster (SIEMテスト用)

# インストール
git clone https://github.com/neu5ron/log-monster.git
cd log-monster

# 不正アクセスログ生成
python log-monster.py \
  --output /var/log/attacks.log \
  --attacks "sql_injection,xss,bruteforce" \
  --count 1000

3. VECTR (セキュリティ評価プラットフォーム)

# Dockerで実行
docker run -d -p 8080:8080 --name vectr securityriskadvisor/vectr
# WebUIから不正アクセスシナリオを実行

4. OSSECテストルール

# OSSECのテストモードを使用
ossec-control enable test-rule

# テスト攻撃を生成
echo "Dec 31 23:59:59 server1 sshd[1234]: Failed password for root from 192.168.1.100" | /var/ossec/bin/ossec-logtest

5. Metasploitフレームワーク (実際の攻撃シミュレーション)

# Metasploitをインストール
sudo apt install metasploit-framework -y

# テスト用スクリプトでログを生成
msfconsole -q -x "
use auxiliary/scanner/ssh/ssh_login
set RHOSTS 127.0.0.1
set USERNAME root
set PASS_FILE /usr/share/wordlists/rockyou.txt
set STOP_ON_SUCCESS false
run
exit
"

6. Splunk Attack Range (企業向け)

# インストール
git clone https://github.com/splunk/attack_range.git
cd attack_range

# 設定ファイルを編集後
python3 attack_range.py -a simulate -st T1003.001 -t 300

7. Caldera (MITRE ATT&CK自動化)

# Dockerで実行
docker run -d -p 8888:8888 mitre/caldera:latest

# APIを使用して攻撃を実行し、ログを生成
curl -X POST http://localhost:8888/api/v2/operations \
  -H "Content-Type: application/json" \
  -d '{"name":"test_attack","adversary_id":"test"}' 

8. SIEM用テストデータジェネレーター

JSON形式の不正アクセスログ生成

#!/usr/bin/env python3
# generate_siem_logs.py

import json
import random
from datetime import datetime, timedelta
import time

def generate_attack_event():
    attack_types = [
        {
            "name": "SQL Injection",
            "severity": "high",
            "technique": "T1190",
            "indicators": ["' OR '1'='1", "UNION SELECT", "--", "/*"],
            "source": "web"
        },
        {
            "name": "Brute Force SSH",
            "severity": "medium",
            "technique": "T1110",
            "indicators": ["Failed password", "Invalid user", "Connection closed"],
            "source": "network"
        },
        {
            "name": "Phishing Attempt",
            "severity": "high",
            "technique": "T1566",
            "indicators": ["suspicious attachment", "malicious link", "spoofed sender"],
            "source": "email"
        },
        {
            "name": "Data Exfiltration",
            "severity": "critical",
            "technique": "T1048",
            "indicators": ["large outbound transfer", "unusual port", "encrypted traffic"],
            "source": "network"
        }
    ]

    attack = random.choice(attack_types)
    timestamp = datetime.now().isoformat() + "Z"

    event = {
        "timestamp": timestamp,
        "event_type": "security_alert",
        "attack_type": attack["name"],
        "severity": attack["severity"],
        "mitre_technique": attack["technique"],
        "source_ip": f"{random.randint(1,255)}.{random.randint(1,255)}.{random.randint(1,255)}.{random.randint(1,255)}",
        "destination_ip": "192.168.1.100",
        "user": random.choice(["admin", "user1", "service_account", None]),
        "description": f"Detected {attack['name']} attempt from external IP",
        "indicators": random.sample(attack["indicators"], random.randint(1, len(attack["indicators"]))),
        "recommended_action": random.choice(["block_ip", "reset_password", "investigate", "quarantine"]),
        "confidence": random.randint(70, 95)
    }

    return event

# ログを生成
with open('/var/log/siem/alerts.json', 'a') as f:
    for i in range(100):
        event = generate_attack_event()
        f.write(json.dumps(event) + '\n')
        time.sleep(random.uniform(0.1, 2.0))

9. Wazuhテストツール (HIDS/NIDS)

# Wazuhマネージャーでテストアラート生成
/var/ossec/bin/ossec-control restart

# テストルールのトリガー
echo "Dec 31 23:59:59 server sudo: pam_unix(sudo:auth): authentication failure; logname= uid=0 euid=0 tty=/dev/pts/0 ruser= rhost=  user=root" >> /var/log/secure

注意点

1. 倫理的配慮: これらのツールはテスト環境でのみ使用
2. 法的制約: 許可なく他人のシステムに対して使用しない
3. 分離環境: 本番環境と隔離したネットワークで実行
4. 目的限定: 教育、テスト、研究目的のみ
5. ログ管理: 生成したログの適切な管理と破棄

おすすめツール

• 教育/デモ用: 自作スクリプト – 完全にコントロール可能
• 企業トレーニング: Atomic Red Team – MITRE ATT&CK準拠
• SIEMテスト: Log-Monster – 多様なフォーマット対応
• 実戦的テスト: Metasploit – 実際の攻撃ツール