メインフレームのための特権昇格ハックトップ10

「これらのファイルは安全で、アクセスするには特別な操作権限が必要です！」

私は、IBMのリソースアクセス制御施設（RACF）やBroadcomのTop Secretおよびアクセス制御施設（ACF2）などのメインフレーム外部セキュリティマネージャーを管理してきた無数のメインフレームセキュリティ専門家からこの声明を聞いてきました。これらのESMは特定のアカウントに権限を割り当てるのに非常に効果的であり、適切なユーザーだけが各データセットにアクセスできるようにします。それにより、メインフレームセキュリティ専門家は、自分たちのデータが保護され、安全であるという安心感を得ます。残念ながら、この安心感は誤りです：メインフレームハッカーが特権を昇格させる非常に効果的な方法をいくつか発見しているという事実を無視しています！これにより、通常の制限付きユーザーから特権アカウントにアップグレードし、特別な操作権限を持つことができ、メインフレームセキュリティマネージャーがそれを知らないままになります。一度その特権を持つと、彼らはメインフレームとその機密データに完全に制御を持つことになります。

「特権昇格について心配していません。なぜなら、すでにメインフレームアカウントへのアクセスが必要であり、メインフレームはハッキングできないからです！」

これは、メインフレームコミュニティの中で非常に一般的な感情であり、システムへの非常に現実的なリスクを無視しています。私は、ハッカーが探索するメインフレーム攻撃面を特定し、メインフレームペネトレーションテスターが最初の足場を得るために成功した上位6つの方法を特定する手助けをしてきました¹。さらに悪いことに、これらの攻撃は、過去12ヶ月間に59パーセントの組織が経験した内部脅威の問題を含んでいません²。内部の脅威はすでにメインフレーム上で有効な認証情報と権限を持っており、機密データを外部に持ち出したり、ランサムウェアをインストールしたり、メインフレームの運用能力に大きな影響を与える力を手に入れる特権昇格攻撃の一歩手前です。ITインフラストラクチャにメインフレームがある場合、このような攻撃の壊滅的なビジネスへの影響をすでに認識しているはずです。

攻撃者は、システムプログラマーが設定した制限をどうやって回避できるのでしょうか？以下は、単純な設定を利用して制限付きユーザーにメインフレームの完全制御を提供するトップ10の方法です：

1. 承認されたプログラム施設（APF）の承認されたライブラリへのアクセスを利用して、特別な操作権限を得ることができます。RACFは、リソースにアクセスしようとするたびに参照されるあなたの認証情報の権限をメモリに保存します。APF承認ライブラリを介して、elv.apfというオープンソースのハッカーツールを使用して、メモリのセクションを自動的に変更し、権限を望むものに変更できます。
2. APF承認ライブラリにアクセスできないユーザーアカウントを持っている場合は、作成しようとしてみてください。アカウントにBPX.FILEATTR.APF設定があるか確認してください。もしあれば、extattr +aコマンドを使用して、APF承認ライブラリに変更し、特別な操作権限を得るためにステップ1を使用できます。
3. APF承認ライブラリに直接アクセスまたは作成できない場合は、データ結合パス攻撃を使用して以前拒否されたデータセットに到達してみてください。入れ子の権限のおかげで、データセットに対して高いレベルのアクセス権を持っていて、その下にAPF承認ライブラリがある場合、RACFを騙して適切な権限を持っていると思わせ、上記の方法のように使用できます。
4. データ結合パス攻撃と同様に、アカウントにDASDVOL権限がある場合、APF承認ライブラリをアカウントに対して実行可能なパスにコピーして移動し、特権を昇格させるために最初のステップを実行する能力を提供します。
5. 上記の能力がない場合は、それを持つアカウントにアクセスできるかどうかを確認してください。IBM^® z/OS^®は、アカウントが他のアカウントとしてジョブやスクリプトを提出できるようにするために、代行権限を定期的に使用します。上記のいずれかのステップを実行できるアカウントの代行権限を持っている場合、その代行アカウントを使用して特別な操作権限を自分に与えることができます。
6. もう一つ忘れがちな権限はBPX.SUPERUSERで、これによりアカウントがUSS上でスーパーユーザーまたはルート権限を持つことができ、それを利用してAPF承認ライブラリを含む任意のファイルにアクセスまたは変更できます。
7. ペネトレーションテスターが本番機で特別な操作権限を得る非常に一般的な方法は、ネットワークジョブエントリー（NJE）サービスを通じてです。ペンテスターは、上記の権限が保護される可能性が低い開発機を最初に攻撃することがよくあります。メインフレームの信頼されたノードで最初の足場を持つと、NJEを使用してすべての本番機に同時にジョブを提出します。これにより、各論理パーティションで特権アカウントを作成したり、特権ジョブやスクリプトを自動的に提出したりすることができます。さらに恐ろしいことに、NJEパスワードはJES2PARMLIBに保存されており、信頼されたノードをシミュレートするための中間者攻撃のために偽造できます。
8. 特権アカウントのパスワードを取得することは、特権を昇格させる最も簡単な方法の一つです。セキュリティの衛生状態は過去20年間で著しく改善されましたが、本番メインフレームは潜在的な問題を避けるためにセットアップされ、手つかずのままです。プロフェッショナルペンテスターは、z/OSやz/Linux上でパスワードデータセットやファイルを迅速に検索して、特権を昇格させるために使用できる認証情報のリストを見つけることができるとよく述べています。これらのファイルは、ハッカーが発見し悪用するまで忘れられていることがよくあります。
9. RACFパスチケットは、要求される製品または機能によって生成される一度きりのパスワードです。⁴アカウントがこの機能にアクセスできる場合、特権アカウントの一時的なパスワードを生成し、その認証情報で直接ログインしてメインフレームを完全に制御できます。
10. 上記のすべては、非常に一般的な権限と設定ミスに関連しており、高度なシステムプログラマーの努力にもかかわらず、動的な環境と膨大な数のユーザーアカウントのために完璧に管理することはほぼ不可能です。それでも、上記が成功しない完璧なセキュリティ体制があっても、0Dayソフトウェアの脆弱性に対して脆弱である可能性があります。メインフレームのソフトウェアの脆弱性を探しているセキュリティ研究者は非常に少なく、多くのシステムプログラマーは自分たちが安全であると信じています。残念ながら、これが彼らをさらに脆弱にしている可能性が高いです。Pirate Boyの共同創設者Gottfrid Svartholmは、スウェーデンのNordea銀行を攻撃して20以上のRACF特権ユーザーIDを作成するために、いくつかの0Day攻撃を開発しました。⁵また、Key Resources Inc.のような企業は、ソフトウェアのメモリや権限違反の可能性をスキャンする脆弱性分析プログラム（VAP）ソリューションを持っており、最も一般的なソフトウェア製品で数十の潜在的な脆弱性を見つけることがよくあります⁶。IBM^® Guardium^®に関するCommon Vulnerability and ExposuresデータベースのクイックGoogle検索では、そのソリューションだけで40を超える脆弱性が返されます。⁷

特権昇格攻撃から効果的に防御する際の重大な課題に対処すると、メインフレームセキュリティ専門家は、特権を昇格させる方法を見つけることができるユーザーを迅速に特定する支援を必要とすることが明らかになります。BMC AMI Securityのエンドポイント検出および応答ソリューションは、すべてのユーザーの権限を追跡し、ユーザーの認証情報が変更され、以前に拒否されたデータセットにアクセスできるようになった場合に、セキュリティオペレーションセンターおよびメインフレーム管理者にリアルタイムで通知します。これにより、セキュリティチームは潜在的な侵害やランサムウェアがメインフレーム上の貴重なデータを破壊する前に、即座に対応し修復することができます。このソフトウェアソリューションについて詳しく知りたい場合は、Christopher_perry@bmc.comにご連絡いただくか、BMC Softwareを訪れて詳細をご覧ください。

¹ https://www.bmc.com/blogs/top-6-ways-a-hacker-will-gain-access-to-your-mainframe/ ↩

² https://www.helpnetsecurity.com/2019/04/05/detect-insider-threats/ ↩

³ https://github.com/ayoul3/privesc ↩

⁴ https://www.ibm.com/support/knowledgecenter/en/SSLTBW_2.3.0/com.ibm.zos.v2r3.icha700/pass.htm ↩

⁵ https://www.share.org/blog/the-mainframe-security-threat,-inside-and-out ↩

⁶ https://www.cvedetails.com/vulnerability-list/vendor_id-14/product_id-32588/IBM-Security-Guardium.html ↩

これらの投稿は私自身のものであり、必ずしもBMCの立場、戦略、または意見を代表するものではありません。