普通のハニーポットに戻りたい〜><この広告は、90日以上更新していないブログに表示しています。小ネタHASSH機能の紹介9月30日、CowrieにHASSH機能が実装されました。HASSHとは、9月27日にSalesforceが公開したOSSのSSHクライアントフィンガープリンティングツールです。githubをご覧ください。engineering.salesforce.comgithub.com一応簡単に解説しますと、SSHのハンドシェイクで鍵交換をする段階でパケットに含まれるアルゴリズムの情報からMD5を計算します。これがFingerprintというクライアントの特徴になります。鍵交換がされた時点でFingerprintが取れるので、SSHでログインを成功させる必要はありません。HASSH機能を試す本当に特徴が現れるのか、実際に1日程度植えて観測してみました。適当に可視化してみました。内周はHASSHのFingerprint、外周はIPアドレスです。IPアドレスは伏せています。始まるFingerprintが多いことがわかります。始まるFingerprintをもつホストは、同様のツールでアクセスしているであろうと想像できます。ここで「もしかしてほぼ区別されないのではないか?」という疑念が生まれたので、ここで自分の端末からsshしてFingerprintを取ってみました。LTS)にCowrieを立ててアクセスしてみます。すると以下のようになりました。3c0fd089c7135d88c6319124fc5a15d2以上の結果から、普通に最新版のOpensshで接続するとFingerprintに相違がなく区別ができませんが、Nmapを使うと別のFingerprintが取れていることがわかります。言い換えると同じSSHクライアントを使っていると区別がつかなくなりますが、特殊なツールが使われている場合に区別をつけることができるのです。まとめ開発者たちは、これを使うことで不正なクライアント(バージョンが古い状態のものや、攻撃ツール)を検知することができると言っています。このHASSHがCowrieに実装されたことで、簡易的な攻撃ツールの検知や区別をつけやすくなるでしょう。2018の1日目の記事です。...2016-06-30SSHハニーポットはKippoではなくCowrieを使えお久しぶりです。»プロフィールid:junk_cokenハニーポットが好きな芸人です。月別アーカイブ@junk_cokenさんのツイート参加グループプログラミング検索はてなブログをはじめよう!junk_cokenさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。