netsh.exe について理解する:
目的: IP アドレス、DNS、ファイアウォール設定などのネットワーク設定を構成します。
ファイアウォール管理: ファイアウォール ルールを有効化、無効化、または変更できます。
ファイアウォールを無効にする:
コマンド: netsh.exe を使用してファイアウォールを無効にします。
netsh advfirewall すべてのプロファイルの状態をオフに設定
侵入テストでの使用法:
ピボット: ファイアウォールを無効にすると、ネットワーク制限が解除され、侵入テスターはシステム間を移動できるようになります。
コマンド実行: コマンドが適切な権限で実行されていることを確認します。
侵入テスト文献からの参照:
netsh.exe は、ネットワーク設定の構成やファイアウォールの管理に関する侵入テスト ガイドでよく言及されています。
HTB の記事では、ネットワークベースの侵入テスト中にファイアウォール設定を管理するために netsh.exe を使用することがよく言及されています。

侵入テストにおいて、アクセスを維持し、痕跡を隠蔽するための重要なステップの一つは、攻撃の証拠を消去することです。内部サーバー上のアクティビティを隠蔽するためにデータを操作するには、攻撃のログと痕跡を確実に削除する必要があります。このシナリオにおいて、Windowsイベントログを消去することが最適な方法である理由を詳しく説明します。
* Windowsイベントログについて：Windowsイベントログは、システム、セキュリティ、アプリケーションのイベントを記録する重要なフォレンジックアーティファクトです。これらのログは、ユーザーアクティビティ、システム変更、潜在的なセキュリティインシデントに関する詳細な情報を提供します。
* Windows イベント ログをクリアする理由:
* 包括的なカバレッジ：イベントログを消去すると、ログイン試行、アプリケーションエラー、セキュリティアラートなど、記録されたすべてのイベントが削除されます。これにより、調査担当者が攻撃者によるアクションを追跡することが困難になります。
* 検出の回避: 侵入テスターは、イベント ログをクリアして、システム管理者やセキュリティ監視ツールによってその存在やアクティビティが検出されないようにします。
* イベントログをクリアする方法:
* ログを消去するには、Windows の組み込みコマンドラインユーティリティ wevtutil を使用します。例:
シェル
wevtutil cl システム
wevtutil cl セキュリティ
wevtutil cl アプリケーション
* これらのコマンドは、それぞれシステム、セキュリティ、アプリケーションのログをクリアします。
* 代替オプションとその欠点:
* システム時刻の変更：システム時刻の変更は混乱を招く可能性がありますが、変更は簡単に検出でき、元に戻すことができます。既存のログエントリは消去されません。
* ログ権限の変更: 権限を変更すると、新しいエントリが防止される可能性がありますが、既存のエントリは削除されず、管理者に疑わしいアクティビティを警告できます。
* ログ保持設定を減らす: これにより、将来のログが制限されますが、すでに記録されているログには影響せず、管理者が簡単に気付く可能性があります。
* 事例参照:
* HTBに関する記述：Hack The Box (HTB)に関する多くの記述は、ステルス性を維持するために、エクスプロイト後のログを消去することの重要性を示しています。例えば、「Gobox」や「Writeup」マシンでは、目立たないようにするために、検出を回避するためのログデータの管理が必要でした。
* 現実世界のシナリオ：現実世界の侵入テストでは、攻撃者はフォレンジック調査員やインシデント対応チームによる検出を回避するために、ログを消去することがよくあります。この手順は、レッドチームによる調査や高度な持続的脅威（APT）のシミュレーションにおいて非常に重要です。
結論として、Windowsイベントログを消去することは、侵入テスト中のアクティビティを隠蔽するための確立された方法です。これは、システムから攻撃の証拠を消去し、ステルス性を維持し、テスターの行動が検知されないようするための最も効果的な方法です。

オンパス攻撃 (以前は MITM (中間者) と呼ばれていました) により、攻撃者は 2 者間の通信を傍受して変更できます。
* ARPポイズニング（オプションB）:
* 攻撃者は偽の ARP 応答を送信して、自分の MAC アドレスを正当なデバイス (ゲートウェイなど) の IP アドレスに関連付けます。
* これにより、トラフィックが攻撃者のシステムを通過するようになり、パケットのキャプチャと操作が可能になります。
* Ettercap、Bettercap、ARP スプーフィング スクリプトなどのツールがよく使用されます。

A: ライブラリは、アプリケーションやデータを侵害する可能性のあるセキュリティバグやエクスプロイトに対して脆弱である可能性があります。Web検索の結果によると、オープンソースライブラリには、Heartbleed、Shellshock、DROWN、npm left-pad1234など、攻撃者に悪用される可能性のある脆弱性がしばしば存在します。これらの脆弱性により、攻撃者は機密データを抽出したり、任意のコマンドを実行したり、暗号化されたトラフィックを復号したり、アプリケーションの機能を破壊したりする可能性があります。したがって、アプリケーションコードでサードパーティのオープンソースライブラリを使用すると、重大なセキュリティリスクが生じます。
D: コードの出所が不明です。つまり、コードの起源と履歴が検証または文書化されていないということです。Web検索結果によると、オープンソースライブラリとクライアントプロジェクトは非同期的に開発され、継続的に進化しているため、コードの変更や更新を追跡することが困難です2。さらに、オープンソースライブラリは他のライブラリに依存している可能性があり、追加のリスクや脆弱性が生じる可能性があります1。したがって、アプリケーションコードでサードパーティのオープンソースライブラリを使用すると、重大な品質リスクが生じます。