Help us understand the problem. What is going on with this article?

Scuba Database Vulnerability Scanner を使ってみた!!

More than 1 year has passed since last update.

Scuba Database Vulnerability Scanner とは

(WAFとかで有名な)Impervaが発表した 無償のデータベース脆弱性スキャナ です。
今回、その Scuba Database Vulnerability Scanner(以降、Scuba)を用いて、AWS RDS に対してスキャンする方法が公開されました。
https://www.imperva.com/blog/2018/02/vulnerability-assessment-scanning-for-aws-cloud-databases/

やってみようと思います!

構成

Imperva 推奨環境でやってみます。

architecture.png
(画像元:Imperva)

ちなみに、これは not recommended だそうです!!
anti-architecture.png
(画像元:Imperva)

準備

[実行環境]

  • WindowsPC
  • EC2 (Amazon Linux 2)
  • RDS(MySQL 5.5.46)
  • RDS(MySQL 5.5.57)

[WindowsPC]

  1. 下記のサイトから申請します。
    名前などを入力して、[Download free tool]を選択すると、メールが届きます。
    サイト:https://www.imperva.com/lg/lgw_trial.asp?pid=213

  2. 圧縮ファイルを展開します。
    ※ インストールは不要で、exeを実行して起動させるタイプ

[EC2]

  1. 外部からアクセス出来る(EIP)を持ったインスタンスを起動します。

  2. セキュリティグループの設定

    • WindowsPCからEC2へ[ssh(22)]でアクセス出来る設定

[RDS(MySQL 5.5.46)]

  1. MySQL 5.5.46 で起動します。

  2. セキュリティグループの設定

    • EC2からRDSへ[mysql(3306)]でアクセス出来る設定

[RDS(MySQL 5.5.57)]

  1. MySQL 5.5.57 で起動します。

  2. セキュリティグループの設定

    • EC2からRDSへ[mysql(3306)]でアクセス出来る設定

[AWSへの脆弱性/侵入テスト申請]

https://aws.amazon.com/forms/penetration-testing-request

実行

スキャン 実行

  1. WindowsPCにて、[Scube.exe]を起動します。

  2. ライセンス許諾が出るので、[Accept]を選択します。

  3. トップ画面が表示されます。
    [MSSQL][ORACLE][MYSQL] はRDSとして対象のようです。POSTGRESQL はよ!!
    top.png

  4. 右のフレームの選択肢を入力して、[Go!]を選択します。
    top2.png

  5. 失敗します…
    error.png

  6. MySQL JDBC をダウンロードして、[MYSQL folder]を選択して、表示したフォルダへ入れておきます。

  7. もう一度 4.と同じものを入力して、[Go!] すると実行されます。
    going.png

結果

一覧

result-1.png
result-2.png

項目詳細

result-detail.png

マイナーバージョンアップで比較

やはり5.5.57 の方が少ないですね。

1.RDS(MySQL 5.5.46) への実行

result-mysql5546.png

2.RDS(MySQL 5.5.57) への実行

result-mysql5557.png

まとめ

特に難しい設定もなく、簡単に実行が出来ました。
全て英語なので、結果を読み解くのは辛いですが、CVE がわかれば問題ないかと思います。
Vuls のDB版といった感じでしょうかね。

作業負荷も高くないので、定期に実施して、脆弱性対応漏れを確認するのは良いかもしれない。

参考元URL:

AWSのクラウドデータベースの脆弱性と設定ミスを確認する方法

bee3
Why not register and get more from Qiita?
  1. We will deliver articles that match you
    By following users and tags, you can catch up information on technical fields that you are interested in as a whole
  2. you can read useful information later efficiently
    By "stocking" the articles you like, you can search right away
Comments
No comments
Sign up for free and join this conversation.
If you already have a Qiita account
Why do not you register as a user and use Qiita more conveniently?
You need to log in to use this function. Qiita can be used more conveniently after logging in.
You seem to be reading articles frequently this month. Qiita can be used more conveniently after logging in.
  1. We will deliver articles that match you
    By following users and tags, you can catch up information on technical fields that you are interested in as a whole
  2. you can read useful information later efficiently
    By "stocking" the articles you like, you can search right away
ユーザーは見つかりませんでした