ある日唐突にハニーポットを運用してみたくなりました。以前IoTマルウェアの記事を書かせていただいた経緯もあり、そういったマルウェアからの攻撃を実際に受けてみたいなと思ったのが動機です。森久和昭さんの「サイバー攻撃の足跡を分析するハニーポット観察記録」が会社に置いてあって、カッコイイ!とミーハーな気持ちで運用し始めました。Kindle版この商品を含むブログを見る全くハニーポットについてなにも知らない状態だったので、調べてみたところ、ハニーポットの選定やインストール方法の記事は発見したのですが、運用にいくら位必要なのか明記しているのはあまりなかったので備忘録的に記しておきます。自宅にRaspberryPiが転がっていたのでそいつをハニーポット化してみようかとも思いましたが、自宅のネットワークに手を加えると同居人に鉄拳制裁を喰らうので今回はEC2を利用しました。ホスティングサービスを利用してハニーポットを構築する前に留意しておくべきなのはサービスの利用規約ですが、AWSの日本語規約は、現時点ではハニーポット運用は明示的に許可されてもいませんし、明示的に禁止されてもいません。今回の運用中、事業主から注意されるようなことはありませんでしたが、T-potを立てたサーバ自体が侵害されてしまった場合、事業主の判断でインスタンスを止められたり、規約違反としてサービスが利用できなくなる可能性もあります。規約は各ホスティングサービスによって異なりますので確認の上実施ください。黒彪さんが以下の記事にて各サービスに問い合わせた結果を載せていらっしゃるので、参考にしてください。blackle0pard.hateblo.jp今回EC2上に立てた環境は以下の通りです。16-10T-potの要求スペックが結構高い(ハニーポット+ELKで可視化して見ようと思うとメモリ最低4GB、ボリューム最低64GB)のでこんなことになっております。別にSSDにする必要はなかったと思うのですが、いい機会なので使ってみました。T-potのインストールについてはこちらがわかりやすかったので参考にさせていただきました。IPは作成すると追加料金がかかったことと(かなり微々たるものではありましたが)、割り当てられるIPが北米のものになってしまったので日本のIP帯にくる攻撃が見たかったため今回は割り当てていません。このような感じの構成で10日間、運用してみました。¥2,168※レートはあくまでもAmazonが管理しているので為替レートを即時反映しているわけではないと思われるこのスペックならそんなもんか〜と思っていたのですが、方々から「高い」と言われるので、日常的にサーバーを運用している人にとっては多分高いんだと思います。SSDをHDDにすればもう少し抑えられそうです。ちなみにさくらのVPSとかでも料金を見積もってみましたが、メモリ4GB以上/SSDで64GB以上...とするとこんな感じになってしまい、あまり値段的には変わらない感じでした。ConoHaはもう少し安いようなので、移動しようかなあと検討中です。ConoHaはハニーポット構築は不可とのことでした。攻撃を観察してみたい人はハニーポットOKなVPSとかでぽこっとサーバを立てて1週間とか運用してみると楽しいと思います。インストール時にトラブったんですがそれでも一時間半くらいで導入できました。※ポート22は2222へ、23は2223へ転送されるようになってます23日に急に観測数が跳ね上がっていますが、これは多分Shodanで見つけられるようになったのがその頃くらいからだからなのではないかと思われます。同じ期間の辻さんのハニーポット情報と結構違うような気がするなぁと思っていましたが、telnetやsshで試行されるユーザー名とパスワードは似た感じ、という印象です。先週の我が家のハニーポット情報です。上段、ポート別アクセス数(3時間毎)中断、試されたIDとパスワード(週を通じCowrieとDionaea毎)下段、攻撃元の国別件数(3時間毎)となっております。開けてあるポートもおそらく違うでしょうし(私は全ポート解放はしてません)、どの場所のIP帯かでも違うと思うので、環境差が出てしまった、という感じでしょうか。バージョン16-10だと、一部の検体はハニーポット(cowrie)であることを検出していて捕まえられないようです。リリースはされていませんが、17.06ブランチでは修正されているようなので、近々こちらにアップデートする予定です。広告を非表示にする関連記事2018-06-18古いマルウェアを観察するシリーズ(2)Gafgytこんにちは。それではまたしても古いマル...2018-06-05古いマルウェアを観察するシリーズ(1)Doflooお久しぶりです。先日参加した技術書典で...2018-02-11サーバのパケットキャプチャを取ってMirai亜種からのスキャン活動をELKで可視化するこんにちは、にほんももんがです。昨年植えたハニーポット(Cow...2017-10-22技術書典にサークル参加して得た知見(というか反省)にほんももんがです。読者になるはてなブログをはじめよう!haruna_nishiwakiさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。