17.10でサイバー攻撃を観測してみた世の中では、ハッカーによるサイバー攻撃が日常的に行われています。サイバー攻撃をわざと誘い込んで、攻撃内容を分析するためのツールを、ハニーポットといいます。最新のサイバー攻撃の状況をいつでも観測できる環境が欲しかったので、有名なハニーポット「T-Pot」を自宅サーバにインストールしてみました。※サイバー攻撃の「おとり環境」を作る話なので、セキュリティやネットワークの知識が十分ある人に限り、試すようにしてください。攻撃の観測まとめT-Potとは?T-Potは、様々なハニーポットツールが詰め合わせで入っている、マルチハニーポットプラットフォームです。攻撃を誘い込むためのおとり環境と、攻撃内容を可視化できるダッシュボード画面があり、インストールするだけで簡単に使用できます。ドイツテレコム社が開発しています。16.04の上で、様々なツールがdockerコンテナとして動作しています。以下のような感じです。ConpotICS(産業用制御システム)への攻撃を検知CowrieSSHとtelnetへの攻撃を検知DionaeaWebアプリケーションへの攻撃を検知GlastopfWebアプリケーションへの攻撃を検知HoneytrapTCP、UDPへの攻撃を検知suricataオープンソースのIDS/IPS準備T-Potは、いろいろなツールが入っていて便利なのですが、その分、必要スペックがかなり高いです。標準インストールの場合は必須条件:ハードディスク64GB、メモリ4GB、DHCPが使えること、プロキシなしでインターネットに接続できること推奨条件:SSD128GB、メモリ8GBという感じです。ESXi)で、ハードディスク128GB、メモリ4GB、CPU2コアの仮想マシンを作り、そこにインストールすることにしました。自宅ファイアウォールにハニーポット専用ゾーンを設定して、他のマシンから隔離し、アクセス制御を厳格にやっています。参考までに、自分の環境の構成は以下の通りです。この辺は、各自の環境に合わせて考えてみてください。Image自分でgithubからリポジトリをクローンしてisoイメージを作る方法の2種類があるようです。前者の方が楽そうだったので、自分は公式isoイメージ(tpot.iso)を使うことにしました。ここからダウンロードできます。isoイメージで仮想マシンを起動して、インストールを進めていきます。使用する地域を聞かれるので「other」→「Asia」→「Japan」を選択。キーボードの種類を聞かれます。表示された文字のうち、自分のキーボードにあるキーを押下。(同じような質問が数回出るので、答えていきます)キーボードに、所定の文字が存在するか聞かれます。「Yes」か「No」を選択。インストールの種類を聞かれます。コンソールログインするときのパスワードを入力。webでダッシュボード画面にアクセスするときのユーザ名を入力。OSのダウンロードなどが行われ、数十分待つとインストールが完了します。この時点で、https://●●●●:64297/にアクセスすると、ダッシュボード画面を見れるようになります。通常の家庭用ブロードバンドルータがある環境では、インターネット側からのアクセスは遮断されてしまうため、そのままでは攻撃を観測できません。ポートフォワーディングの設定を入れて、インターネットからのアクセスをT-Potに転送する設定をします。各ツールで待ち受けているポートの中から、観測したいポートを設定します。全部でなくても良いです。80また、通常はDHCPによりIPアドレスが割り当てられていますが、DHCPだとIPアドレスが変わってしまう可能性があり、長期運用には不向きです。DHCPサーバに、T-PotサーバのMACアドレスを登録することで、IPアドレスが変わらないようにするのがおすすめです。T-Potの中身はUbuntuであり、T-Pot側でIPアドレスを固定する設定はたぶん可能だと思うので、必要に応じて設定しましょう。攻撃の観測ここまでの設定をして、しばらく放置すると、続々と攻撃が集まってきます。ダッシュボード画面の「>T-Pot」を選ぶと、集計画面を表示できます。どこかのサイトにT-Potサーバを晒したわけでもないのに短時間でこれだけ攻撃が来るのは、おそらく攻撃者がIPアドレスをランダムに指定して、乱れ打ちしているからでしょう。攻撃元は中国やロシアなどが多いですね。まとめT-Potのおかげで、簡単にサイバー攻撃の観測環境を作ることができました。今後は、T-Potをさらに使い込んで、いろいろな分析をしてみようと思います。コメントをキャンセルメールアドレスが公開されることはありません。