アメリカ合衆国(US)から不正アクセスを観測したのでご紹介。
今回も、動画を見ていただこう。
前回、構築手順を書いたkippo。
ログをMySQL(mariaDB)で管理したいと思い、kippoで設定を試みるも、以下エラーが出て、途方にくれていた。
1 | 2015-07-21 00:41:42+0900 [-] Unable to format event {'log_namespace': 'twisted.logger._global', 'log_level': <LogLevel=warn>, 'fileNow': '/usr/lib64/python2.7/site-packages/twisted/python/log.py', 'format': '%(log_legacy)s', 'lineNow': 210, 'fileThen': '/usr/lib64/python2.7/site-packages/twisted/python/log.py', 'log_source': None, 'system': '-', 'lineThen': 210, 'log_logger': <Logger 'twisted.logger._global'>, 'time': 1437406902.593759, 'log_format': 'Warning: primary log target selected twice at <{fileNow}:{lineNow}> - previously selected at <{fileThen:logThen}>. Remove one of the calls to beginLoggingTo.', 'message': (), 'log_time': 1437406902.593759}: Invalid conversion specification |
調べてみると、Twistedのインターフェースが変わったようで、MySQL(mariaDB)にデータが入らなかった。
そこで、kippoをベースに作られた cowrie(タカラガイ) を発見。
こちらを利用することにした。
cowrieでは、先ほどの問題は解消していた。
Logging issue with Twisted 15
wordpress利用サイトのセキュリティ診断書を作成するでは、wpscan を紹介した。今回は、plecost3 をご紹介。
plecost3 を動かすにはpython3で必要なので、簡単にpython3のインストール手順からご紹介する。
python3をインストール
リポジトリを登録
1 | rpm -Uvh https://www.softwarecollections.org/en/scls/rhscl/python33/epel-7-x86_64/download/rhscl-python33-epel-7-x86_64.noarch.rpm |
python3 をインストール
1 | yum -y install python33 |
scl(Software Collections)でpython3を利用するように設定。
1 | scl enable python33 bash |
pip をインストール
1 | easy_install pip |
これまでブログをやってみるものの３日坊主だった私が今、アウトプットをし続けてる事が出来ているのは一冊の本に出会ったから。
サーバーにKippoを導入して以来、クラッカーから大量にSSHのログイン試行されているので、ログインに失敗したログからアカウントとパスワードを抜き出して、ランキングを作ってみた。
本ランキングを作るにあたり、 elasticsearch1.6 + kibana4 を利用した(こちらの導入方法は後日)。
また、kippoの導入方法は既に以下に記載済みなので参考にされたし。
抽出条件
kippo の以下のログインを試みたが失敗しているログから、アカウントとパスワードを取得。
1 | login attempt [shoutcast/123456] failed |
ランキング化をしたものは大きく以下の２パターン。
- 最も試行の多いパスワードの文字数
- ６列目までのそれぞれ使用される頻度が多い文字数
取得期間: 2015/06/28 - 2015/07/04
では、ランキングスタート!!
前回の記事 ssh専用ハニーポットKippo でKippoのインストール方法を端折ったので、
今回はインストール方法を書く。
Kippoインストールには、Python2.5以上が必要なので、もし入っていなければインストールしておく。
過去、ssh専用ハニーポットKippo を使って、SSH経由でサーバに侵入しようと試みるクラッカーの動向を追った。
今回は、実際サーバを管理する際に、セキュリティ対策の一つとして有効であるsshの接続ポートを変更する方法をご紹介。
ちなみにSELINUXを使うともっとセキュリティを高める事が出来るが、敷居が高い方も多く無効にしてる方も多いようなので、SELINUXを無効にしている場合の説明をさせていただく。
@matsumotory さん謹製の mod_mruby と mruby-geoip で地理情報を使ってアクセス制御してみた。
スペック
1 | # more /etc/redhat-release |