ハニーポット演習組み向けの予習資料
セキュリティ&プログラミングキャンプ2010のハニーポット演習に参加予定の学生さん向け予習のお題です。
●Windowsのマルウェア解析演習で使うツールの習得 以下ツールの使い方をあらかじめマスターしておくこと。使い方は、あえてURLを載せないので、検索エンジンなどで調べてください。某講師の記事が引っかかるはずです。 ■Sysinternals Suite (Microsoft) http://technet.microsoft.com/ja-jp/sysinternals/bb842062.aspx Process Monitor, Process Explorer, Autorunsなど ■ProcessWalker Express http://www001.upp.so-net.ne.jp/yamashita/product/pwexp/pwexp.htm ■SysAnalyzer http://labs.idefense.com/software/malcode.php ●Linuxのコンピュータフォレンジック手法について 基本、標準コマンドで探してもらうことを想定して、Linuxのやられサーバに仕掛けられた不正アクセスの痕跡やrootkitの痕跡、Backdoorを調べるにはどういった手順が良いか、あらかじめ考えておくこと。その手法はWebで公開してもよし、twitterでつぶやいてもよし。本番演習まで秘密にしてもよし。
yasulibさんのコメントに対する回答
今回のお題は、仮想マシン単体、なので以下の条件があります。出血大サービス。
・chkrootkitなどの外部プログラムは用意していません。人間、楽をしてはいけません。コンピュータフォレンジックの現場では手足を縛られて調査をしなければならないことも多々あります。 ・ログサーバなど、別だしで用意していません。 ・nmapでホストOSからポートスキャンするのは良いアイデア ・Backdoorポートが発見された場合、そのBackdooreプログラムを探す方法は? ・侵入者はまぬけなので、いろいろな所に痕跡を残していので、もうちょっと 詳しく書くとLinux標準のコマンド、標準の機能(各種ログ等)で侵入者が どういう行動をしたか想像しながら探すのがポイントです。 ・ぶっちゃけ、rootkitは仕掛けられていますが、汚染されていないコマンド も残っています。