SniffingLAN内のいずれかのパソコンがspambot等に感染している場合、どこかにスパムメールを送信してしまう場合がある。これを検出してくれるサイトには例えば以下がある。http://cbl.abuseat.orgいずれのパソコンが感染しているかは、それぞれウイルススキャンをしてみればよいことであるが、しかしウイルスがrootkitを利用している場合には、検出不可能な場合があるようだ。このようなときは、LAN内を流れるパケットをチェックしなければならない。高価な機器を購入しなくとも、例えば以下のソフトで可能である。http://www.bothunter.net/http://www.wireshark.org/満たすべきハードウェア条件しかし、これらのソフトを使用するためのハードウェア的な前提条件がある。スイッチングハブでないことスイッチングハブの場合、パケットの送信元と送信先のマシンにしかパケットが届かず、他のマシンでいくらsniffingを行なおうとしても無駄である。一般に通常のハブよりスイッチングハブの方が高価であるが、sniffingのためには安いハブの方がよい。modeに移行できるものでなければならない。このモードがOFFのときには、やはり自分に向けられたパケットしか受け取ることができない。modeに変更する模様である。ハードウェア条件を満たせないとき上記のいずれかでも満たせない場合には、LAN内の他のマシンがやりとりするパケットを監視することはできない。この場合には、監視用マシンをルータあるいはゲートウェイなどとして設定し、他マシンのネットとのやりとりはすべてこのマシンを経由させるようにするほかない。BotHunterメモ基本的にはマニュアル通りにインストールし、マニュアル通りに使用すれば自動的にSpambotを見つけてくれるはずなのだが、一点以下で多いにはまった。snortが正常に動作しないBotHunterはトラフィックを監視するために、snortという別ソフトを改造したものを使用しているらしい(リリースに同梱)。BotHunter自身は以下のようにトラフィック監視を行う(らしい)。snortに監視させるためのルールを作成する。BotHunterの起動時に自動的に自身のsnortを起動する。snortの出力を監視し、それに問題があればユーザに問題を報告する。testpageを表示させてみればわかる。http://www.bothunter.net/bothunter/testpage-1.X.htmlBotHunterの監視対象となっているマシンのブラウザで単に上のページを表示させればBotHunterが「問題」として報告してくれる。profiles」等の値が0以外になるはず。これが全く動作しない。上の三つのフィールドが0のままになっている。この理由は以下に記述があった。noneと記述する必要がある。