ばぁど・うぉっちんぐ

セキュリティに強いWeb屋。自由と春を求めて羽ばたく渡り鳥。

このブログはGoogle Analyticsを利用しています

ばぁどのハニーポット・うぉっちんぐ - 2018/12/29 ~ 2019/01/04 -

新年あけましておめでとうございます。 今年も定期的にアウトプットしていきます。

ハニーポット観察日記としての定期アウトプットです。

観察期間:2018年 12月29日 00:00:00 - 2019年1月04日 23:59:59

CVE

CVE 検知した回数 前回比
CVE-2006-0819 55 +54
CVE-2003-0818 13 +12
CVE-2014-0160 12 -2
CVE-2017-7269 8 ±0
CVE-1999-0183 3 +3

CVE-2006-0819の脆弱性を前回に比べて50回以上も多く検知しています。

以前紹介したCVE記事まとめはこちら

ultrabirdtech.hatenablog.com

攻撃種別

f:id:UltraBirdTech:20190106111139p:plain

攻撃種別 カウント数 %
known attacker 46873 86.97%
bad reputation 6094 12.81%
その他 - -

マルウェア

Total: 20

ファイル名 取得日時 タイプ 検出率
tmp5CVnXC 2018/12/29 03:34:24 ELF 32-bit LSB executable 41/58
b33b30c3c... 2018/12/29 22:01:21 Bourne-Again shell script executable (binary data) 30/58
tmpr4NDqW 2018/12/30 07:01:37 ELF 32-bit LSB executable 39/57
tmpgB9tuk 2018/12/31 00:29:58 ELF 32-bit LSB executable 39/57
tmp5yyTQH 2018/12/31 07:52:33 ELF 32-bit LSB executable 40/59
tmp73DV0y 2019/01/01 01:22:40 ELF 32-bit LSB executable 40/59
tmpOwg70t 2019/01/01 06:45:14 ELF 32-bit LSB executable 40/58
tmpLqsYlO 2019/01/01 21:11:27 ELF 32-bit LSB executable 40/58
tmpD3EBVM 2019/01/01 23:24:32 ELF 32-bit LSB executable 40/58
tmpFCPS27 2019/01/02 03:37:31 ELF 32-bit LSB executable 40/58
b01ae8eba... 2019/01/03 04:14:04 ASCII text 0/58
20ceeed36... 2019/01/03 04:14:04 ASCII text 0/57
d660d1120... 2019/01/03 04:14:04 ASCII text 0/57
8779e030c... 2019/01/03 04:14:04 ASCII text 0/57
512893f96... 2019/01/03 04:14:04 ASCII text 0/57
5ab400ec0... 2019/01/03 04:14:04 ASCII text 0/57
f6426a2b8... 2019/01/03 04:14:04 ASCII text 0/58
d1858ce41... 2019/01/03 04:14:04 ASCII text 0/57
tmp8QtNGh 2019/01/03 05:20:45 ELF 32-bit LSB executable 39/58
0293300dd... 2019/01/03 09:09:26 ASCII text 0/57

所感

新年一発目のアウトプットになります。

年末年始だから他の時期と比べて何か違いあるかなと思ったのですが、あまり変化ありませんでしたね。少し残念。

ばぁどのハニーポット・うぉっちんぐ - 2018/12/22 ~ 2018/12/28 -

ハニーポット観察日記としての定期アウトプットです。

観察期間:2018年 12月22日 00:00:00 - 12月28日 23:59:59

CVE

CVE 検知した回数 前回比
CVE-2014-0160 14 +14
CVE-2017-5638 8 +6
CVE-2017-7269 8 -2
CVE-2015-1427 6 -16
CVE-2008-4250 4 +4
CVE-2016-6563 2 +2
CVE-2003-0818 1 -1

以前紹介したCVE記事まとめはこちら

ultrabirdtech.hatenablog.com

攻撃種別

f:id:UltraBirdTech:20181229071101p:plain

攻撃種別 カウント数 %
known attacker 71878 94.06%
bad reputation 4093 5.36%
その他 - -

マルウェア

Total: 21

ファイル名 取得日時 タイプ 検出率
tmpPfeN3f 2018/12/22 03:53:38 ELF 32-bit LSB executable 38/56
tmpJy_oWJ 2018/12/22 13:07:27 empty 0/59
18409417c... 2018/12/22 13:08:12 ELF 32-bit LSB executable 35/57
tmpnvUHSI 2018/12/23 08:55:22 ELF 32-bit LSB executable 39/59
tmp2xq_sc 2018/12/24 04:28:05 ELF 32-bit LSB executable 39/59
b33b30c3c... 2018/12/24 13:39:14 Bourne-Again shell script executable (binary data) 28/57
tmpAq8spq 2018/12/25 02:26:29 empty 0/59
f8c28666f... 2018/12/25 02:27:01 ASCII text 0/56
tmpUvwbJM 2018/12/25 02:27:04 empty 0/59
tmpzTBsqe 2018/12/25 03:31:54 ELF 32-bit LSB executable 39/58
tmpHnExlQ 2018/12/26 03:40:53 ELF 32-bit LSB executable 40/58
tmpj68T8m 2018/12/27 03:32:43 ELF 32-bit LSB executable 41/58
0293300dd... 2018/12/27 05:43:43 ASCII text 0/58
20ceeed36... 2018/12/27 05:43:43 ASCII text 0/57
d660d1120... 2018/12/27 05:43:43 ASCII text 0/57
8779e030c... 2018/12/27 05:43:43 ASCII text 0/57
512893f96... 2018/12/27 05:43:43 ASCII text 0/57
5ab400ec0... 2018/12/27 05:43:43 ASCII text 0/57
f6426a2b8... 2018/12/27 05:43:43 ASCII text 0/58
d1858ce41... 2018/12/27 05:43:43 ASCII text 0/58
b01ae8eba... 2018/12/27 06:15:57 ASCII text 0/58

所感

2018年最後の定期アウトプットです。

色々と新しい知見を得ることができました。

来年も精力的にアウトプットしていきます。

ばぁどのハニーポット・うぉっちんぐ - 2018/12/15 ~ 2018/12/21 -

ハニーポット観察日記としての定期アウトプットです。

観察期間:2018年 12月15日 00:00:00 - 12月21日 23:59:59

CVE

CVE 検知した回数
CVE-2015-1427 22
CVE-2017-7269 10
CVE-2017-0143 8
CVE-2010-0569 6
CVE-2003-0818 2
CVE-2017-5638 2
CVE-1999-0183 1
CVE-1999-0278 1
CVE-2006-0189 1

今回は新しいものが3件ありました。

以前紹介したCVE記事まとめはこちら

ultrabirdtech.hatenablog.com

CVE-2010-0569

www.cvedetails.com

Unspecified vulnerability in Cisco ASA 5500 Series Adaptive Security Appliance 7.0 before 7.0(8.10), 7.2 before 7.2(4.45), 8.0 before 8.0(5.2), 8.1 before 8.1(2.37), and 8.2 before 8.2(1.16); and Cisco PIX 500 Series Security Appliance; allows remote attackers to cause a denial of service (device reload) via malformed SIP messages, aka Bug ID CSCtc96018.

Ciscoに関する攻撃ですね。 Cisco ASA 5500 はファイアウォールの模様。 バージョンによって、DOS攻撃の状態になってしまうみたいですね。

Cisco

www.cisco.com

JVN

JVNDB-2010-001135 - JVN iPedia - 脆弱性対策情報データベース

CVE-1999-0278

www.cvedetails.com

In IIS, remote attackers can obtain source code for ASP files by appending "::$DATA" to the URL.

リモートからアクセスして、ファイルを閲覧することができる脆弱性。 CIAの機密性が損なわれているようです。

CVE-2006-0189

www.cvedetails.com

Buffer overflow in eStara Softphone 3.0.1.14 through 3.0.1.46 allows remote attackers to execute arbitrary code via a long attribute (aka "a") field in the SDP data of a SIP packet on UDP port 5060.

Buffer OverFlowの攻撃ですね。 eStara Softphone に対する脆弱性の模様。

攻撃種別

f:id:UltraBirdTech:20181215191241p:plain

攻撃種別 カウント数 %
known attacker 38673 91.33%
bad reputation 3510 8.29%
その他 - -

マルウェア

Total: 24

ファイル名 取得日時 タイプ 検出率
tmpiMe8i7 2018/12/15 19:27:20 ELF 32-bit LSB executable 39/57
tmpNF1mEC 2018/12/16 00:45:51 ELF 32-bit LSB executable 39/57
tmpwg26_u 2018/12/16 12:24:26 ELF 32-bit LSB executable 41/56
b33b30c3c... 2018/12/17 03:21:44 Bourne-Again shell script executable (binary data) 29/57
tmpNdXpu8 2018/12/17 04:11:12 ELF 32-bit LSB executable 41/56
tmpEkSclY 2018/12/18 01:56:22 ELF 32-bit LSB executable 40/58
tmpUbuECW 2018/12/18 14:04:21 ELF 32-bit LSB executable 40/58
tmpJxr82Q 2018/12/19 08:29:27 ELF 32-bit LSB executable 39/58
tmpZe2rgi 2018/12/19 12:52:42 ELF 32-bit LSB executable 39/58
0293300dd... 2018/12/19 13:46:45 ASCII text 0/58
tmpSXAi4p 2018/12/19 20:46:29 ELF 32-bit LSB executable 39/58
tmpuaUWoB 2018/12/20 02:03:55 ELF 32-bit LSB executable 39/57
tmp61PIhc 2018/12/20 13:54:01 ELF 32-bit LSB executable 39/57
cfe3dccf9... 2018/12/20 15:22:58 ELF 32-bit LSB executable 38/58
8ebd963f8... 2018/12/20 15:54:04 ELF 32-bit LSB executable 37/58
489d08169... 2018/12/20 16:25:01 ASCII text 0/57
b01ae8eba... 2018/12/20 17:16:00 ASCII text 0/58
512893f96... 2018/12/20 17:16:00 ASCII text 0/57
d1858ce41... 2018/12/20 17:16:00 ASCII text 0/58
20ceeed36... 2018/12/20 17:16:01 ASCII text 0/57
d660d1120... 2018/12/20 17:16:01 ASCII text 0/57
8779e030c... 2018/12/20 17:16:01 ASCII text 0/57
5ab400ec0... 2018/12/20 17:16:01 ASCII text 0/57
f6426a2b8... 2018/12/20 17:16:01 ASCII text 0/58

所感

新しいCVEが3つも採取できて驚いた。

年末は動的解析とかで時間を溶かそうかなと思います。

ハニー・ポッターになって3ヶ月過ぎたので振り返り

本記事は、Honeypot Advent Calendar の18日目の記事です。

adventar.org

沢山の方のハニーポットの知見を読ませていただき、とても参考にさせていただいております。 ありがとうございます。

さて、そんな私ですが今回は12月に入ってハニーポッターになって3ヶ月目になりました。 年末ですし、せっかくの機会なので振り返りを行なっていきます。

なぜ始めたのか?

改めて、なぜ始めたかを振り返ります。

今年Webアプリケーションエンジニアからセキュリティエンジニアへのジョブチェンを目指していたため、少しでもリアルにサイバー攻撃を経験できる場が欲しかったからです。 結果マルウェアを取得できたり、CVEを検出できたりするので、それらの解析をできているのはとても良い経験になっています。

ハニーポットを植えて何ができるようになった?

マルウェア解析

マルウェアを収集できるようになったので、マルウェアの解析をできるようになりました。 主にマルウェアの表層解析とVirus Totalでの結果を集計しています。

下記のようにPythonで解析スクリプトを作り、作業の自動化にも取り組んでおります。 比較的綺麗にリファクタリングできているかなと思っております。

github.com

CVEについて

あまり過去に発表されたCVEについて触れるこがなかったのですが、 ハニーポットで検知したCVEの調査を行うことでどのような脆弱性があるかを知るきっかけになります。 週によっては特定の脆弱性に対する攻撃回数が極端に伸びる時があり、流行の攻撃がわかります。 なぜ、攻撃が流行っているのか調べると面白そうなのですが、そこまでできていない・・・

今まで検知したCVEの総数は17個。 下記が今まで検知したCVEのまとめになります。

検知日時:2018年9月9日 - 2018年12月14日

CVE 検知した回数
CVE-2005-4050 370
CVE-2017-7269 109
CVE-2017-5638 95
CVE-2017-0143 76
CVE-1999-0183 46
CVE-2003-0818 25
CVE-2014-3120 23
CVE-2016-6563 17
CVE-2003-0825 8
CVE-2015-1427 7
CVE-2014-3566 6
CVE-2014-0160 6
CVE-2008-4250 4
CVE-2012-1823 2
CVE-2010-3055 2
CVE-2017-9805 1
CVE-2005-0045 1

定期的なアウトプットの癖

定期的なアウトプットの癖がつきました。 気が向いた時とか、面白そうな攻撃が検知できたときだけアウトプットしようとすると三日坊主になってしまうので笑

ultrabirdtech.hatenablog.com

頑張って毎週土曜日に観測日誌を書いているので、もしよければ覗いてみてください。

今後の展望

ログ分析

ログを分析した上で、観察日誌としてアウトプットを行なっていきます。

ただ、まだ何が悪いログなのかがわからない・・・ ここら辺のスキルがまだ足りていないようです。

そして、できるのであればログに対して怪しいものを自動検出して、slackに通知とかやってみたい。 AIとか導入して機械学習の勉強材料にしたいところです。 妄想している状況なので、できるかわかりませんが笑

技術同人誌企画しています!!

技術同人誌絶賛企画中です。

shin・DO・meeee を2019年も、どうぞよろしくお願いします。

サークル内にハニーポッターが2人いるので、共同執筆でハニーポットで得た経験をまとめて本としてアウトプットしようと企画中です。 内容は色々と考えているので、乞うご期待ください。

次回、技術書典受かるかどうかわかりませんが・・・苦笑

まとめ・所感

2018年、セキュリティエンジニアとしての第一歩を踏み出せたかなと思います。

2019年も引き続き、ハニーポットの運用を行いつつ自分の糧にできればいいなー。

以上です。

受託Webアプリエンジニアを辞めて、セキュリティエンジニアに挑戦しているお話

本記事は退職者 その2 Advent Calendar 2018の17日目の記事です。

adventar.org

色々と落ち着いたので転職エントリなるものを書いてみる。 年末ですしね。Advent Calendarも12月の恒例行事だし、せっかくの機会だし、一度私自身の考えを整理するためにもやってみたかったので便乗します。

2018年9月末Webアプリエンジニアを辞めました。 1ヶ月ニート期間を満喫した後、2018年11月頭よりセキュリティエンジニアとして働いております。

今年は転職を2回行いました。 1社目Web受託会社(2018年3月末退職)→2社目Web受託会社(2018年9月末退職)→サイバーセキュリティ会社という変遷をしたのですが、今回は1社目、2社目はあまり意識せずにWeb業界(受託)からセキュリティ業界への変更として見てもらえればいいかなと思います。

1. なぜ受託のWebアプリエンジニアになったか?

新卒で入社した会社がWebアプリケーションの受託開発をメイン事業としている会社だったからです。

私は大学時代に情報工学を専攻しており、新卒の就職活動でプログラマを志望していました。

情報工学科でしたがプログラムに関する知識はなく、C言語を大学の講義資料のまんま見よう見まねでコピペするような、ダメダメな情報工学科の学生でした。

手に職をつけるという意味では、Webアプリエンジニアはとてもいい選択だと思っております。 私自身一つのことを極めるオタクタイプの人間なので、技術職は向いていたかなと思います。

2. 受託のWebアプリエンジニアになってどうだったか?

とても楽しかったです。 休日に書籍を買って勉強して平日の業務に活かすとか普通にやってました。 そもそもそういうことをやるのがプロとしての姿勢と言われて育ちましたし、 早く一人前になるために私自身納得して業務外での勉強を自主的にやっていました。

仕事として残業もしましたが、よくTwitterで見る毎日終電・土日に出社することが当たり前みたいな大炎上プロジェクトは回避できました。

受託開発会社で良かったなと思った点は、案件ごとに触れられる技術が違うので、色々な技術に触れることができたことです。 自分の肌に合う技術に出会える可能性が高いのは受託開発の良いポイントだなと思っています。 実際に私はRubyに出会えることができましたし、今も一番の得意言語はRubyだと思っています。

また、1社目の会社がとても良い会社であり、技術者としての生き方、勉強の仕方を学びました。私が今技術者として存在していられるのは1社目の会社のおかげです。本当に感謝しております。ありがとうございます。

3. なぜ受託のWebアプリケーションエンジニアを辞めたのか?

理由は2つあります。

自分のやりたいことに向き合ってみたから

1つ目は、キャリアパス、やりたいことを見つめなおした結果です。

現在の私はプロジェクトのマネジメントに興味がありません(きっぱり)。

エンジニアのキャリアパスとして一般的なもの*1プログラマシステムエンジニア→プロジェクトマネージャー(以下PM)といったものがあります。

PMになるためには、プログラマなどの技術者として必要な技術とは別のタスク管理力や顧客折衝力、チームビルディングなどの技術が必要になってくるので、今の時点ではPMの勉強をする気が起きませんでした。

だって、技術が楽しいんだもの。 許されるうちは私は技術者として必要とされる技術を追求していきたいです(わがまま)。*2

そこで私が今興味を持っていること、構築したいキャリアを考えた結果、サイバーセキュリティという選択肢が出てきたのです。

受託開発に限界を感じたから

2つ目は受託開発に疑問を持ち始めたからです。

プログラマとして働いていくうちに、CIとか、ユニットテストとか、プログラムを綺麗に書くなどの作業がすごい重要だと気付きました。 ただ受託開発だとお客様理由で「期限」というものがあって、案件を受注した時点で開発する立場からは動かせない絶対的な制約条件がある場合がありました。 本当はプロジェクトとして正常な状態を保ちたいのに、期限という外部的な要因で諦めなければいけない状況にモヤモヤしていました。

上記の理由から受託開発は私の中ではもう限界だったのです。*3*4

4. なぜセキュリティを選んだのか

理由は2つあります。

成長する業界であり求められている人材だから

一つ目は近い将来、伸びる業界だし、求められている人材だからです。 まず、サイバーセキュリティの業界はこれからも絶対に必要な業界です。 理由はインターネットなどのサイバー領域が存在する限り、そのサイバー領域を狙って悪いことを企む輩(クラッカー)がいるからです。 クラッカーがいる限り、サイバーセキュリティに関する仕事は必ず存在します。

また、人材に関してはIPAから下記のようなレポートが出ています。 www.ipa.go.jp

資料によるとセキュリティエンジニアが足りなくなるとのこと。

サイバー攻撃は増える一方であり、人材も足りないのならば、今このタイミングで私もサイバー領域を守る立場になってみようと思った次第です。

目を覚ませ、僕らの世界が何者かに侵略されているぞ!!

情報処理安全確保支援士になったから

2つ目は、情報処理安全確保支援士になったからです。 自己研鑽の一環で大学時代からIPAの試験に挑戦し続けていました。 これからはプログラマとしてもセキュリティは必要だろうなと考えたため、情報処理安全確保支援士に挑戦し、合格、そして登録までしました。

晴れて、情報処理安全確保支援士として名乗れるようになったのですが、セキュリティに関して何ができるかって言われると何もできなかった私がいました。 名刺とかには「情報処理安全確保支援士」って付けられるのに、セキュリティ業務を何もできない、何も経験がないってダサいなと思いました。

それがコンプレックスになりつつあり、こんなコンプレックス持つくらいなら挑戦してみようと考え、思い切ってセキュリティ界隈に飛び込んでみました!*5

5. セキュリティエンジニアになるために頑張ったこと

本を読み漁りました

セキュリティ関係の本を読み漁りました。 情報処理安全確保支援士に挑戦するときに、色々と本は買っていたのでそれの読み直しなども行いました。

年末にも新しく本を買って勉強してみようかなと思います。

セキュリティ技術を学べる塾に行った

情報処理安全確保支援士や本は基本的に座学が中心であり、ハンズオン形式で学べる環境がありませんでした。 しかしググってみたところ、セキュリティ技術を学べるセミナーがいくつかあることがわかりました。 私が発見したところは、毎月受講生を募集しており、タイミングも重なったため運よく翌月からセキュリティ技術を学べるセミナーに週1回参加することができました。

セキュリティ会社に入社するために転職活動をして、面接も経験したのですが、 このセキュリティ技術を学べるセミナーは、好印象に受け取られていた印象です。

何かしら志望している職種を手に入れるために行動できていると、企業側も評価しやすいですよね。

ハニーポットを植えてみた

直にサイバーアタックを受けてみたい!と思い植えました。 個人がどのように観察するかによりますが、色々とセキュリティの知見を得ることができているのでとても楽しい勉強教材です。 取得できた脆弱性情報調べたり、ログの見方なんかも勉強しながらログからの情報検知を試しております。 月6,000円くらいの維持費がかかっていますが、自己投資だと思って我慢しております(苦笑

もし良ければ毎週観察日誌書いているので見てみてください。

ultrabirdtech.hatenablog.com

6. 転職活動

少し、転職活動についても触れておきます。 10月の1ヶ月をニート期間として転職活動に勤しみました。 10月に妹の結婚式があり、親族控え室で「今ニートです」と宣告する地獄を経験しましたが、それ以外は充実したニート期間でした。

転職エージェントさんには8月のお盆休みから相談をしており、エンジニアに特化した求人が得意なエージェントさんを活用させていただきました。 最終的に10月中旬には、ご縁のあった企業様から内定をいただき、11月よりセキュリティエンジニアの卵として日々努力しております。

7. セキュリティエンジニアに挑戦してみてどうだったか

まだセキュリティエンジニアの卵として2ヶ月目なのですが、毎日充実した日々を送らせてもらっています。

やはり私自身がどうなりたいかを考えたときに、周囲の環境を変えると言うのはすごい効果がありますね。

周りがセキュリティエンジニア、セキュリティに知見を持っている方々に囲まれているので毎日学びがあり、セキュリティエンジニアを目指す環境としては、とても充実した日々を過ごせています。

また、情報処理安全確保支援士を取得するために勉強した内容がすごい生きてきています。 情報処理安全確保支援士を勉強した時は、大量にセキュリティの知識を詰め込むだけだったのですが、業務の度に点の知識が線で繋がることを実感しております。

そしてすごい意外だったのですがプログラムできるということが、セキュリティエンジニアとしての一つの長所になりつつあります。 プログラムスキルってWebアプリエンジニアとしては当たり前のスキルでしたが、セキュリティエンジニアとしては絶対条件ではないみたいです。

プログラミング最の高ですね。

8.今後の展望

今後は一人前のセキュリティエンジニアを目指して日々精進いたします。

早いうちに情報処理安全確保支援士として名前負けしないような人材になりたい。 そして、目下の目標は30歳までにホワイトハッカーになることです。

漠然とホワイトハッカーというものに憧れております。

2018年の6月にお笑い芸人ハライチさんがMCを務める深夜番組で、ホワイトハッカーに色々聞いてみるという回がありました。

それを見ていたら「ハッカーって私でも目指せるのかなぁ・・・」と思ってしまったんですね。 だって、ハッカーって技術職の最高峰の職位みたいな感じがして、とてもかっこいいじゃないですか!(知らんがな)

2社目の受託開発会社に転職して数ヶ月経った6月頃色々と仕事が辛い時期にさしかかっていて、やりたいことができない時期がありました。 凄いもどかしくて「なんで今辛い思いしているのだろう」、「人生ってやりたいことをやっていいんだよな」と思いつめていました。

大学時代の友人に「子供の頃からの夢だったバスの運転手になった友人」とか「マッサージ業界で新風を巻き起こそうとしている友人」がいるのですが、そんな彼らをみたいたら、夢や目標もなくただ仕事をしている私ってなんなんだろうなと思い、どうせだったらやりたいことをやろうと行動した次第です。

そんな「やりたいことをやることが大事」という、人生を生きる上で一番大事なことに気づかせてくれた2社目の会社にも、とても感謝しております。ありがとうございます。

これからもホワイトハッカーという目標に向けて引き続き努力していこうと考えているので、どうぞよろしくお願いいたします。

9.まとめ

現在、私はセキュリティエンジニアとして日々努力しております。Webアプリエンジニアとして学んだことも活かしていきます。

やはり、人生やりたいことをやったほうがいいですよね。

私は好きにした、君らも好きにしろ

この言葉に尽きます。

以上です。

*1:企業毎に異なると思います。企業さんによっては技術職一本で行けるようにキャリアパスを考えてくれている企業さんもいらっしゃいますね

*2:遠くない未来、私もプロジェクトマネジメント力は必要になるスキルだと思うので、必要になる前に勉強はしようと思っています(ただ、今じゃない)。目安は30代以降かな。。。

*3:もちろん受託開発を中心としている企業様の中には、これらの問題に立ち向かいマネジメント力や技術力で解消している企業さんがいることも知っております。それらの企業さんからは学べることがたくさんあり、色々勉強させていただいております。ありがとうございます。

*4:余談ですが、2回目の転職先の候補として、ユーザー企業のプログラマというのもありました。 Rubyは今でも人材としての価値は高いようですし、転職エージェントさんからもRubyの開発案件なら沢山ご紹介できますよと言っていただけました。 ただ、今回はまだ20代なので失敗しても巻き返せると思い、挑戦できる時期にセキュリティエンジニアに挑戦するという選択をしました。

*5:Webアプリエンジニアとしても、セキュアプログラムやネットワーク構成の設計時など、ある一定の経験値を積んだエンジニアであればセキュリティの知識は必須です。ただ、私は将来的に情報処理安全確保支援士として仕事を受けると考えた時、もう少しセキュリティに特化した業務を経験しておきたいと考えました。

ばぁどのハニーポット・うぉっちんぐ - 2018/12/08 ~ 2018/12/014 -

ハニーポット観察日記としての定期アウトプットです。

観察期間:2018年 12月08日 00:00:00 - 12月14日 23:59:59

CVE

CVE 検知した回数
CVE-2005-4050 63
CVE-2017-7269 7
CVE-2015-1427 2
CVE-2003-0818 2
CVE-2017-0143 2
CVE-2017-5638 2

CVE-2005-4050が先週に引き続き流行しています。 先々週からすごい多いのですが、なにかあったのですかね。

以前紹介したCVE記事まとめはこちら

ultrabirdtech.hatenablog.com

攻撃種別

f:id:UltraBirdTech:20181215191241p:plain

攻撃種別 カウント数 %
known attacker 20087 84.43%
bad reputation 3606 15.16%
その他 - -

マルウェア

Total: 33

ファイル名 タイプ 取得日時 検出率
9c2848962... ELF 32-bit LSB executable 2018/12/08 02:07:41 37/56
5685b086c... ELF 32-bit LSB executable 2018/12/08 02:08:06 33/56
86fbdd7df... ELF 32-bit MSB executable 2018/12/08 02:08:31 33/55
5c8c41253... ELF 32-bit LSB executable 2018/12/08 02:08:55 36/57
0ffa9e646... ELF 32-bit LSB executable 2018/12/08 02:09:20 36/57
tmp95XNLf ELF 32-bit LSB executable 2018/12/08 03:32:09 39/58
tmp6ARi47 ELF 32-bit LSB executable 2018/12/08 03:32:10 39/58
tmpvudhxY ELF 32-bit LSB executable 2018/12/08 13:53:05 39/58
b33b30c3c... Bourne-Again shell script executable (binary data) 2018/12/08 16:56:56 27/56
tmpNnKr41 ELF 32-bit LSB executable 2018/12/09 03:30:26 39/58
tmp7Pc3mF empty 2018/12/09 05:23:15 0/60
ed52ad58b... ELF 32-bit LSB executable 2018/12/09 05:26:01 36/57
9910ca23d... ELF 32-bit LSB executable 2018/12/09 11:32:48 32/57
tmpySDcJi ELF 32-bit LSB executable 2018/12/10 01:40:56 40/57
tmpMD4yoT ELF 32-bit LSB executable 2018/12/10 13:53:29 39/58
tmpn2P0_c ELF 32-bit LSB executable 2018/12/11 01:07:43 39/58
tmphKIQZE ELF 32-bit LSB executable 2018/12/11 13:17:17 39/58
tmpD5zovT ELF 32-bit LSB executable 2018/12/11 19:55:08 39/58
tmpocCRDU empty 2018/12/11 20:12:09 0/58
f8c28666f... ASCII text 2018/12/11 20:12:39 0/58
42c3c0577... ELF 32-bit LSB executable 2018/12/11 20:13:00 36/59
tmpF27r4G ELF 32-bit LSB executable 2018/12/12 00:41:50 39/58
0293300dd... ASCII text 2018/12/12 06:27:24 0/58
20ceeed36... ASCII text 2018/12/12 06:27:24 0/57
d660d1120... ASCII text 2018/12/12 06:27:24 0/57
8779e030c... ASCII text 2018/12/12 06:27:24 0/57
512893f96... ASCII text 2018/12/12 06:27:24 0/57
5ab400ec0... ASCII text 2018/12/12 06:27:24 0/57
f6426a2b8... ASCII text 2018/12/12 06:27:24 0/58
d1858ce41... ASCII text 2018/12/12 06:27:24 0/58
b01ae8eba... ASCII text 2018/12/12 07:24:27 0/58
tmpawt7Ud ELF 32-bit LSB executable 2018/12/12 13:00:47 39/56
tmpGdSTni ELF 32-bit LSB executable 2018/12/12 19:50:42 39/56

所感

CVE-2005-4050 が気になりますね。

www.cvedetails.com

バッファオーバーフローを狙った攻撃で、リモート攻撃などを可能にする脆弱性のもよう。

12月に流行るなんてインフルエンザみたいですね。

ばぁどのハニーポット・うぉっちんぐ - 2018/12/01 ~ 2018/12/07 -

ハニーポット観察日記としての定期アウトプットです。

観察期間:2018年 12月01日 00:00:00 - 12月07日 23:59:59

CVE

CVE 検知した回数
CVE-2005-4050 87
CVE-2017-7269 8
CVE-2015-1427 4
CVE-2003-0825 2
CVE-2014-3566 1
CVE-2016-6563 1

前回に引き続きCVE-2005-4050が流行している模様。 先週、他のハニーポットを見る機会があったのですが、同様にCVE-2005-4050の攻撃を大量に検知していました。 おそらく全体的に流行っているようですね。関連して脆弱性か何か発表されたのかな。。。

以前紹介したCVE記事まとめはこちら

ultrabirdtech.hatenablog.com

攻撃種別

f:id:UltraBirdTech:20181208081704p:plain

攻撃種別 カウント数 %
known attacker 29146 86.9%
bad reputation 4092 12.2%
その他 - -

前回に比べてbad reputationの割合が増えましたね。 ここら辺もう少し長い目で見てもいいんだろうな。 次回から比較なども検討していきます。

マルウェア

Total: 13

ファイル名 タイプ 取得日時 検出率
tmpLemIzQ ELF 32-bit LSB executable 2018/12/01 04:19:00 40/57
tmpBRTiXJ ELF 32-bit LSB executable 2018/12/01 19:41:10 40/57
tmpccyXY4 ELF 32-bit LSB executable 2018/12/02 14:07:00 40/57
80555461c987303f528794b1e5d159bddcd93342772291bdf1562277101f0c6d Bourne-Again shell script executable (binary data) 2018/12/02 18:47:58 16/57
tmpR2QNGT ELF 32-bit LSB executable 2018/12/02 19:37:42 40/57
tmpHmKfyt ELF 32-bit LSB executable 2018/12/03 05:04:27 40/57
tmpxsR0BP ELF 32-bit LSB executable 2018/12/03 17:46:22 38/55
tmp67sdCR ELF 32-bit LSB executable 2018/12/04 03:29:34 38/55
tmp5SWH1v ELF 32-bit LSB executable 2018/12/05 03:34:52 40/58
tmpl5oldr ELF 32-bit LSB executable 2018/12/05 19:49:54 39/57
tmpsQ8aOJ ELF 32-bit LSB executable 2018/12/05 19:49:55 39/57
b33b30c3cc7e027320e4d203303cc36a4e84b44451278bbb524ec54d5f61a4d6 Bourne-Again shell script executable (binary data) 2018/12/05 20:07:13 29/57

所感

CVE新しいものがなければ、工数は15分程度でできそうです。

ログの調査などもそろそろ始めたい。

あとはマルウェア調査結果の表崩れをなんとかしたい。