セキュリティ監査

組み込みシステムツールを使用してホストセキュリティを監査します。外部ツールは不要です。netstat、lsof、ss、ufw/iptables、systemctl、ps、who、last を使用します。

前提条件

インストールは不要です。すべてのツールはmacOSとLinuxの標準装備です。

Linuxのファイアウォール確認には、ufw または iptables が利用可能である必要があります。macOSでは pf が使用されます。

コマンド

オープンポートとリッスンプロセス

# すべてのリッスンポートをプロセス名付きで表示 (Linux)
ss -tlnp

# すべてのリッスンポートを表示 (macOS / フォールバック)
netstat -an | grep LISTEN

# 各ポートを所有するプロセスを特定
lsof -i -P -n | grep LISTEN

実行中のサービス (Linux)

# アクティブなsystemdサービスをすべて列挙
systemctl list-units --type=service --state=running

# 特定のサービスステータスを確認
systemctl status sshd

ファイアウォールルール

# UFWステータス (Linux/Ubuntu)
sudo ufw status verbose

# iptablesルール (Linux)
sudo iptables -L -n -v

# macOS pfステータス
sudo pfctl -s rules

アクティブなログインと最近のアクセス

# 現在ログインしているユーザー
who

# 最近のログイン履歴
last -20

# 失敗したログイン試行 (Linux)
sudo grep "Failed password" /var/log/auth.log | tail -20

# 失敗したログイン試行 (macOS)
log show --predicate 'eventMessage contains "Failed password"' --last 1h

実行中のプロセス

# CPUで並べ替えたすべてのプロセス
ps aux --sort=-%cpu | head -20

# 異常なプロセスを確認 (macOS)
ps aux | grep -v grep | awk '{print $1,$11}' | sort -u

ファイルのアクセス権限とSUIDバイナリ (Linux)

# SUIIDバイナリを検索
find / -perm /4000 -type f 2>/dev/null

# 全員書き込み可能なディレクトリ
find /tmp /var /etc -perm -o+w -type d 2>/dev/null

使用例

完全なセキュリティスナップショット:

echo "=== LISTENING PORTS ===" && lsof -i -P -n | grep LISTEN
echo "=== ACTIVE LOGINS ===" && who
echo "=== RECENT LOGINS ===" && last -10
echo "=== RUNNING SERVICES ===" && (systemctl list-units --type=service --state=running 2>/dev/null || echo "systemctl not available")

クイックポート露出チェック:

lsof -i -P -n | grep LISTEN | awk '{print $1, $9}' | sort -u

ルール

• 常にコマンドを現在のユーザーとして実行します。sudo が必要な場合は、それを記載しますが自動実行しません
• 明示的なユーザー確認がない限り、ファイアウォールルールを変更したり、プロセスを終了したりしません
• 結果をリスクレベルに要約します: Critical / High / Medium / Low / Info
• 完全な監査出力を workspace/security-audit-<date>.md に保存します
• 0.0.0.0 または :: (すべてのインターフェース)でリッスンしているポートは、localhost専用よりも高リスクとしてフラグを立てます
• 強調表示: 予期しないリッスンポート、未知のプロセス、最近の失敗したログイン、全員書き込み可能なディレクトリ
• macOS vs Linux: uname -s で検出し、適切なコマンドを使用します
• 最終レポートは簡潔にします: エグゼクティブサマリー + カテゴリ分けした結果 + 推奨アクション