SSHハニーポット(Cowrie) つくってあそぼのススメ

2018/07/06 インフラ勉強会オンライン登壇

Transcript

1. SSHハニーポット(Cowrie) つくってあそぼのススメ 2018.07.06　おさじ@pypypyo14
2. 自己紹介 おさじ @pypypyo14 人前で喋ることに慣れたいインフラエンジニア ハニーポット初心者 インフラ勉強会　過去の登壇 2018.02.17　独自ドメインのメールアドレスを作ろう
3. はじめに ハニーポットを 既に触られている方には 物足りない内容です よかったらよりよい遊び方教えてください
4. はじめに 本セッションのゴール • ハニーポットという楽しいツールの存在を知る • 本物の不正アクセス攻撃ログを見て 楽しい気持ちになる 目次： (質疑込み30分) • ハニーポットって何？ • 低対話型SSHハニーポット Cowrie の紹介 • デモンストレーション • 2日間の不正ログイン情報まとめてみた
5. ハニーポットって何？ Honeypot is nani?
6. ハニーポットっ て何？ 　　　　　　　　　　　　　　　　　　　　　　 ––– wikipedia 概要 • 攻撃者をおびき寄せる「甘い罠」 • 敢えて攻撃を受け、そのログを分析することで 攻撃者の動向分析をしたりするツール
7. 低対話型SSHハニーポット Cowrie の紹介 Cowrie is nani?
8. Cowrieの紹介 Cowrieとは？ • SSHサーバのフリをしてくれる 「低対話型」ハニーポットの一種 • 低対話型：OSやアプリケーションをエミュレート • 高対話型：脆弱性を持つ本物の OSやアプリケーションを利用 　 何ができるの？ • 不正ログインに使用されたログイン情報の記録 • 侵入者がシェルに打ち込んだコマンドの記録&再生
 • 侵入者がサーバに置いたファイルの保存
9. Cowrieの紹介 つまりどういう仕組み？ • 悪者が無防備なサーバの22番ポートを狙って侵入… 　 Linuxサーバ 22 任意のuser名 任意のpassword ログイン成功！シェル起動！ -------- user@svr04:~$ cat /etc/passwd user@svr04:~$ wget http://(悪いファイル) ...
10. Cowrieの紹介 つまりどういう仕組み？ • 残念！それは私のCowrieさんだ　 Linuxサーバ 22 2222 Cowrie xxxxx SSH (本物) 管理者 シェルは本物ではなくてエミュレートされたもの 侵入者が打ったコマンド等の情報はログに残される
11. Cowrieの紹介 インストール参考資料 • 公式GitHub(英語) https://github.com/micheloosterhof/cowrie • 発表者がかつてまとめたもの https://qiita.com/pypypyo14/items/f399366b34b8dfcb7aa1 （参考）構築に要求されるインフラスキル • インターネットにつながる Linuxサーバの用意 • Linux 一般ユーザ作成 • SSHポート番号の変更 • ファイアウォール設定変更 ◦ 必要なポートの解放 ◦ ポートフォワーディング設定 (22 → 2222) python全くわかんなくても何とか構築はできました
12. デモンストレーション Demonstration
13. デモンストレー ション どんな感じのログが残るか見てみよう • ログイン情報(txt, json) • 発行したコマンドのログ • おいていったファイル
14. 不正ログイン情報 まとめてみた Access Log Summary
15. 不正ログイン情 報まとめてみた 集計期間 • 2018/7/2(月) 00:00 ～ 7/3(火) 23:59 ※ UTC 集計対象 • アクセス元の国 • ログインユーザID • ログインパスワード
16. 不正ログイン情 報まとめてみた 集計期間 • 2018/7/2(月) 00:00 ～ 7/3(火) 23:59 ※ UTC 集計対象 • アクセス元の国 • ログインユーザID • ログインパスワード ログイン試行回数　27,702件 ユニークIPアドレス 66個(12ヶ国)
17. 不正ログイン情 報まとめてみた • （参考）かっこよい可視化の例(T-Pot)
18. 不正ログイン情 報まとめてみた • （今回）雑な集計の例 ↓　jsonをCSVに雑に変換 +α 温かみのある手作業 ↓　からのピボット
19. 不正ログイン情 報まとめてみた • アクセス元（国別） （日本は私の可能性が結構ある）
20. 不正ログイン情 報まとめてみた • ログインユーザID
21. 不正ログイン情 報まとめてみた • ログインパスワード パスワードはバリエーションに富んでいて 見てて楽しかったので 一緒に見てみましょう
22. おしまい