第5回ハニーポッター技術交流会の発表資料です

1. 脆弱性診断とハニーポット
らいる@railreku

2. 自己紹介
• WebサイトやAPIに関する脆弱性診断に関わる傍ら、
ファジングに関する調査検証を行う。
• ネットワーク管理、ハニポ運用も担当
• 発表資料から一部カット

3. 大事なこと

4. 小ネタ
来てた人向けのちょっとしたお得情報でした

5. 今回のポイント
• 脆弱性診断にもハニーポットを活用する余地はある（かも）
• 仕事の名目でハニポを運用してログ分析もできる（たのしい）
• 週次レポートとか書くことで習慣づく、分析の半自動化も試みたりや
りがいが増える

6. なぜ脆弱性診断でハニーポット？
ハニーポットたのしい！（しろめ）

7. なぜ脆弱性診断でハニーポット？
• でもハニーポット楽しいだけじゃ業務でハニーポット立てれない・・
• お金にならない
• 許可がでない
• なんの意味があるん
• 脆弱性診断とハニーポットに親和性を持たせられないか？
• しかし防御手法に近しいハニーポットはなかなか攻撃側の脆弱性診断に関
わる要素がない
• 攻撃手法だけならゼロデイでもない限りPoCは調べれば出る

8. 脆弱性診断とハニーポットを結びつける何
か
なにかないかなにかないか
なにかないかなにかないか
なにかないかなにかないか

9. 脆弱性診断とハニーポットを結びつける何
か
• スキャン通信を検知するケースは多い。
• もしかしたら新しいスキャンを検知するかも？
• そもそも一般的スキャナはどうでもいい。ほしいのはオリジナルのス
キャナだ。
• ならすでに起こっているスキャンを拾えばいい。

10. WOWHoneypotを使わせてもらいました
• 選定理由
• 余計な機能がなくて軽量
• 余ってるノートPCにubuntu乗っけて入れた
• 他のサービスをオープンしないように厳命された
• 興味があった
• Cowrieやdianaeaは触ったことがあったが、新しく出てきたし触ってみたい
• 技術書典4で同人を出すらしい

11. 何ができるようになったか
• WOWHoneypotで検知したアクセスパターンからdirbを用いたオリジ
ナルスキャンパターン
• 4月からの蓄積だけでも従来のスキャンでは得られなかったパターンが300
件ほどある
• 社内向け検知レポート
• 他の顧客で検知した情報は出せないが、自チーム向けの攻撃ならいくらで
も出せる
• 報告会などで使えるのでうれしいとフィードバック受けた（自分もうれしい）

12. 週次レポート
• 今週の検知傾向
• 特徴的な攻撃に関して抽出
• 総検知傾向分析
• 総検知数、それぞれの攻撃種類ごとの総数
• 参考情報（参考URL）
• 調査した結果他のハニーポッターの傾向との違いとかを分析
• PoCを掲載

13. 円滑な分析のコツ（主観）
• 1週間の通信ログを抽出するスクリプトを作る
• 通信ログをBase64デコードした結果を別ファイルに書き出すスクリプ
トを作る
• 送信元IPである程度まとめてしまう

14. 今後の展望
• HTTPでdirbのパターンを増やすメリット以外にもでてきたから他の
サービス向けハニポを立てる
• T-POTで楽々構築でもいいかもしれんけど、多少カスタマイズもしたいな
• 社内のパケット解析基盤を導入して自動ログ解析基盤を作る
• 借りれたけど要求スペックが高いから検討中・・

15. ご清聴ありがとうございました
質問は らいる@railreku まで