新人エンジニアによるハニーポット構築

2025年11月10日（月）
Hello LT world『みんなで語る!好きと学びのアウトプット LT Night』
登壇時の資料です
https://findy.connpass.com/event/372581/

Transcript

1. 攻撃目的のパケットを観測してみよう 
 ほぼ新人エンジニアによるハニーポット構築 
 2025/11/01 Hello LT world『みんなで語る！好きと学びのアウトプット LT Night』
2. 目次 1. 自己紹介 2. 問題 3. 構築 4. 振り返り
3. 自己紹介
4. 自己紹介 氏名：nahaton 所属：某金融グループのIT企業所属 特技：アカル（古代メソポタミアのビール酵母パン）づくり 備考：U25枠の文字が読めず一般枠で応募してしまいました... 　　　あと今回が初のLT発表です
5. 問題
6. いきなりAP試験 Q：ダークネットは、インターネット上で到達可能であるが、使われて いないIPアドレス空間を示す。このダークネットに おいて観測されるものはなにか。 IPA 応用情報技術者試験 令和6年秋期 問38を基に作成
7. いきなりAP試験 Q：ダークネットは、インターネット上で到達可能であるが、使われて いないIPアドレス空間を示す。このダークネットに おいて観測されるものはどれか。 IPA 応用情報技術者試験 令和6年秋期 問38を基に作成 A：マルウェアがIoT機器やサーバなどの攻撃対象を探すために 送信するパケット
8. ITへの興味のきっかけはセキュリティ 　　　　友人　　　　　　　　　　　　　　　　　　　　　　　 ぼく 怪しいリンク踏んだら オンラインゲームの垢取られた 草 ボイスチャット
9. 応用情報技術者試験の勉強に飽きた 実際に自分の目で確認したい！
10. ハニーポットを建てる
11. 構成 環境：GCP 構成：e2-standard-4（4 vCPU、2コア、16GB） リージョン・ゾーン：asia-northeast1（東京）- a ストレージ：240GB ・インバウンドルール 　・管理者用：24964～24967を管理者のIPのみアクセスできるように制限 　・ハニーポット用：管理者用以外のポートを全てアクセス可能にする
12. 実際の画面
13. これで一応観測はできるのだが... 面白くなってきたのでオリチャーを発動 ・fail2ban（DDos対策用のツール）を導入 ・サーバの異常を検知してメール送信させる ・毎日午前3時に自動再起動
14. 感想など
15. よかったこと① ◯当初の目的の達成 　・サイバー攻撃用のパケットを実際に確認できた 　 　・ログをはじめて見た時は意味がわからなかった 　→｢どのような技術で何を狙ったものなのか｣がﾁｮｯﾄﾀﾞｹわかるように
16. 観測結果の一部を紹介① 単純なユーザー名やパスワードが辞書攻撃で用いられる ユーザー名 ・root、admin、user といった単純な単語 ・ubuntu、docker 等の有名サービス名も多い パスワード ・password、admin、123123 などの一般的パスワード ・漏洩したと思われる複雑な文字列も観測
17. 観測結果の一部を紹介② サイバー攻撃もクラウド・自動化する時代に ◯攻撃者の利用インフラTOP3 1. Alsycon b.v.（オランダのISP）　 85,695件 2. Google Cloud Platform 72,186件 3. WestNetworks Private（アメリカの通信会社）　 65,283件 ◯セキュリティアラート ・Pythonスクリプトで自動化された攻撃が最も多い ・次点でアメリカの国家安全保障局製のバックドアツール
18. よかったこと② ◯GCPに初めて触った →各種サービスを理解 ◯様々なトラブルに見舞われた ・解決する途中でネットワークやサーバ運用の仕組みを知る →ITインフラに携わっている人の偉大さが染みる
19. 実際に味わった苦労 踏み台サーバーを作っても 接続できない！ 一晩寝たらサイトに アクセスできなくなってる！ なんかサイト接続が安定しない！
20. 反省点 ◯ゴールの設定 ・あくまでもパケットの確認までを目標として設定してしまった →できた後はどうするかまで考えるべきであった ◯未解決のトラブル ・全て解決できた訳ではない、踏み台サーバ実装は中止するはめになった →振り返りや学習を今後も行っていきたい
21. Thank you！