ハニーポットの概要と目的の説明、あとは比較的導入しやすいハニーポットであるKippoの紹介とデモを行いました。

1. Kippoで遊ぶ
3ねん 技術研究課ぐみ
たけなが あつし

2. 誰だおまえ
• たけながです
• 技術研究課に生息
• カメラマン兼プログラマー
• 林檎歴 やっと1年
• マサカリは投げる方が好き
• JOYSOUND教 信者

3. 最近の出来事

4. カメラバッグを買いました
Lowepro ProTactic 350 AW

5. レンズを買いました
Nikon AF-S NIKKOR 28mm f/1.8G

6. 実家に帰ることを諦めました
なんで貯金すぐ死んでしまうん？

7. おかげさまで
年末年始は酷くヒマ

8. そして始まる 自宅NWいじり
※個人的な趣味であり、会社とは全く関係ありません

10. 帰れなくても
光ファイバーでつながっていた…

11. …はずだけど
最近つながらない

12. 実家回線は動的IPアドレス

13. 実家PCにこっそり仕込んだ
DDNSクライアント

14. いつまで経っても
更新されないIPアドレス

15. 明らかに動いてない

16. IPアドレスわからない

17. 結局繋がっていない

19. 本題

20. ハニーポット
ってご存じですか？

21. Wikipedia先生いわく
ハニーポット (英語: Honeypot) は、コンピュータセキュリティ用語としては、不正アクセスを受けることに価値を持つシステムのことを指す。元来は「蜜（の詰まった）壷」の意味で、何らかの有益
そうな情報や資源がありそうな場所を用意して、それにつられた者を観察したり、肝心な部分で被害を出さないために目をそらせたり、コンピュータ・フォレンジックスを行うための証拠を集めたりす
る、一種のおとり手法に使われる。手法そのものをハニーポットと呼ぶこともある。
ハニーポットはおとりのために設置するので正規の通信が発生しないという特徴がある。これは、記録に残るアクセスはすべて不正アクセスとなるので、誤検知を減らし検知洩れをなくすことができ
る。 ハニーポットの目的として、ウイルスやワームの検体の入手、不正アクセスを行うクラッカーをおびき寄せ重要なシステムから攻撃をそらしたり、記録された操作ログ・通信ログなどから不正アク
セスの手法と傾向の調査を行うなど挙げられる。
ハニーポットの初期の事例として、天文学者クリフォード・ストールの著書『カッコウはコンピュータに卵を産む』にある「SDIネット」が挙げられる。1987年、ローレンス・バークレー国立研究所の
システム管理者であったストールは、同所のコンピュータを踏み台にして軍事施設のデータベースを漁っていた侵入者の正体を調べるために、「SDIネット」と名付けたいかにもSDI（戦略防衛構想）
の資料を扱っていそうな偽のデータベースを作り上げた。これに侵入者が没頭している間にその居場所を捜査当局に逆探知させることに成功したのである。後の調査で侵入者は入手した情報をKGBに売
り渡していたことがわかり、世界的なニュースとなった。
一般的なハニーポットの技術は、オペレーティングシステム (OS) やアプリケーションに脆弱性を残した攻撃を受ける部分と受けた攻撃によって外部への踏み台とならないように通信をコントロールす
る技術、攻撃者の不正アクセスによって変更された点の検出から成り立つ。また、ハニーポットとは別に通信ログをとることも重要である。
CPUやネットワークリソースを提供してくれるコンピュータはクラッカーにとって恰好のおもちゃとなるため、内部の資源や情報を得ようと攻撃を行う。しかしそのコンピュータに、あらかじめ少々意
地の悪い仕掛けを施しておき、特定のホストからの通信が集中すると「メンテナンスのため、あと10分でシャットダウンします」というメッセージを出して、通信をしばらく締め出してしまったり、（架
空の）ユーザーが多数利用しているように見せかけて、極端に反応速度を落としたりする（なお、これらと同時に、外部に気付かれない形で、通信ログを取り続けている）。こうすると、クラッカーは
余計に中身が気になって、後はもうこのサーバの中身を見ることだけに熱中することになる。
また、メールの第三者中継を許可する設定に見せかけるのもよいだろう。実際にはログを出力するだけにしておいて、第三者中継を許可するように見せかけておけば、スパム送信者が興味深い足跡を残
すこともあるし、すべて架空のメールアドレス宛てに設定したメーリングリストを用意しておけば、それ宛にもスパムメールを送ろうとするはずだ。
なお、これらの機能をまとめて提供するソフトウェア製品も多数販売されている。
ハニーポットは、目的に応じて設計されるので目的の数だけハニーポットの形態があるといえるが、実現方法によって次のように分けることができる。
高対話型ハニーポット - The Honeynet Projectのハニーネットの様に実際に脆弱性を残した「本物」のOSやアプリケーションなどをハニーポットとして利用する。「本物」を使う分、高度な情報を得
ることができるが、侵入されたときのリスクが高い。また、ハイ・インタラクション型ハニーポットと呼ばれることもある。
低対話型ハニーポット - 特定のOSやアプリケーションをエミュレートし監視を行う。エミュレートした範囲に機能が制限されるので高対話型に比べ比較的安全に運用が出来る。ただ、機能を限定して
いるので情報量は落ちてしまう。特定用途向けのハニーポット。Honeyd、Spector、GHH ("Google Hack" Honeypot)、mwcollectなどがある。また、ロー・インタラクション型ハニーポットと呼

22. わざと
攻撃されやすく作って

23. 攻撃者をあつめる

24. はちみつで虫集め

25. 釣れるもの

26. ボット
ウィルス
クラッカー
まれにスーパーハカー

27. 釣りの理由はさまざま

28. ウィルスのサンプル集め

29. 攻撃手法の早期発見

30. 行動の観察

31. セキュリティのお勉強
おもしろい、たのしい

32. aka. 暇つぶし

33. 年末年始の暇つぶしにピッタリ

34. なので 作った

35. www.nyoron.jp
LT終わったら消しますよ

36. SSHがガラ空きです
と、いう設定

37. 壊して頂いても結構です
ばっちこい

38. 遊んでいる間に
Kippoの説明

39. https://github.com/desaster/kippo

40. SSHハニーポット

41. 実装言語はPython

42. 実環境への影響は無い
作者「多分ね」

43. 各種コマンドの実行
出来ない場合も多いけど

44. ファイル操作
書き込みも削除もどんとこい

45. wgetしたものの収集
開くなキケン

46. ちょっとした しうち
Windowsユーザーは無理かも

47. 操作ログの記録
タイピングまでみえるよ

48. さっそく
操作ログを見てみる

49. 見た目にも分かりやすく
攻撃者を観察できます

50. 観察するだけでも面白い
「ハニーポット 観察」でレッツGoogle

51. 攻撃を知れば防御もし易い

52. まとめ
• 防御したいなら攻撃方法を知ろう
• ハニーポットは攻撃方法を知るための
便利ツール
• バレないように気をつけて
• IPAのセキュリティスペシャリストは
面白い
• 貯金の利用は計画的に