初学者に向けた、毎日ログを見て疲弊しないための資料です。

1. 毎日見よう
アクセスログ
2018/06/30
hogeuga

2. Abstruct
ハニーポット運用で一番時間がかかるのは、ログの確認と分析、だと思います。
カジュアルにハニーポットを始めた人は、ここで挫折し、引退してしまいます。
これについて、ログを見るコストを下げることで、継続的にログを見る/分析でき
るような環境を作るのが、本発表の目的です。
※「LT枠空いてたし、何かしゃべろうかなぁ」というのが動機、じゃないよ、多分

3. お前誰よ
■ Twitter: @hogehuga
■ 趣味
– 職業分類上、コンサルタントです。
– 趣味の似非リサーチャー
■ 今は業務が忙しくて…
■ インシデント情報収集分析が好き
– バイクだよ
■ CBR250RR, CrossCAB,V-Twin Magna
■ 神戸の勉強会に、バイクでよく行く
– Love 四川麻婆豆腐、激辛料理
– Vuls
■ https://vuls.io/
■ https://vuls-github.slack.com/
– IoTSecJP
■ http://ruffnex.net/iotsecjp/
■ https://iotsecjp.slack.com/

4. 本発表の対象
■ 対象者
– これからハニーポッターになろうという人
– 自分みたいに、ショボい (´・ω・`) ハニーポッター
– 帰宅後に、家でPCを開くのが苦痛な人
– ログ転送したKibanaとか、重くてiPhoneで見れねーんだよ、な人
■ 対象外の人
– プロの人、経験豊富な人
– 毎日帰宅後にPCを開くのが苦痛じゃない人
– 目grepの達人

5. ハニーポッターになろう
■ ハニーポッターになるためにやることは？
– ハニーポットを…
■ 設置先を検討する
■ 設置する
■ メンテナンスする
■ ログを見て分析する
■ 分析結果を公開する
■ この中で一番面倒かつ時間がかかるのは「ログを見て分析する」こと
– 継続力を試される
■ 自慢じゃないが、すぐ飽きるよ
– そもそも見る環境が必要
■ PCでないと、快適に見れない。家帰ってまでPC触りたくないよ
– T-Pot、お前だよ！iPhoneじゃ見れないことが多いんだよ！
普通に、サーバ運用ですね。
ログに関しては、運用レポート相当。

6. ハニーポッターと挫折の部屋
■ 興味あるから、植えてみよう
– WOWHoneyPotとか入れるの楽やん
– T-Potとか、フルセットのハニポが簡単導入だ！
■ 植えて最初のうちは
– 作ったんだしログ見よう
– 初めて見た！面白い！
– Kiabanaやsshログイン、面倒だけど面白い！
■ そして迎える、マンネリ
– ログ見るために準備するのめんどくさい
– いつものログでしょ？
■ いつの間にか、ハニーポットレスになる
– 面倒だから、もういいや(´･ω･`)

7. そんなのもったいない
だったら、ログを見るのを簡略化して、生活の一部に取り込もう！

8. 挫折要因と対策
■ ログの確認/分析以外は、一度設置したら放置でも問題ないことが多い。
– 一度設置したら、動かさないほうが良いかも
■ グローバルIPによって傾向が違うことが多い
– 気が付いたらバージョンアップする/自動アップデート
■ OSは自動アップデート、ハニポなら cronで git pull
■ むしろ、放置の人も多いのでは？
■ ログを見るの、面倒じゃね？
– 「見に行く」「取りに行く」という行為が面倒
■ Pushさせる、自動化する
– 家でPC開きたくないよ = iPhone/Android で何とかできんの？
– Kibanaとか、PCで見るべきでしょ
■ iPadならまだしも、iPhone Xとかのサイズだと、ね

9. 生活の一部にハニポを取り込もう！
■ Pull型の情報はめんどくさい
– ログとかを、まとめてPushすればいいんじゃない
■ PCで見ないと、見づらいよね
– GUIベースではなく、テキストベースの情報配信がよさそう
– iPhone等で見れるようにしたいね
定時にログをまとめて送ってくれるシステムがいい！
→寝る前にログを見る習慣
こういうのに向いてるのがあった。LogWatchだ！
■ いろいろいじらないとだめね
– 長いリクエストは、端折られる
– SSHのログ処理が残念
– メールかよ！

10. それ、Slackでいいじゃない
■ Slack、使ってますよね？
– iPhoneやAndroid用のアプリがあり、操作性はそこそこ良い
– Slackに届けば、スマホにPush通知が出て、気づく
■ 受動的に、スマホを持っていれば情報が届く
– メールと違い、スレッド管理やインタラクティブにアクションしやすい
– WebHookでテキスト飛ばせばいいので、ボットは不要
■ EndpointはSlackとして、送るデータをどうしよう
– 適当に自分でまとめたのを、WebHookで送ればいい。自由だ。
– おおよそ1日分のログを送り付ける、のがよいかも
■ 最初のうちは、日々の傾向等を知るために毎日見たほうがよいのでは？
■ 慣れてきたり、ログ集約方法が固まったら、変えればいいよ
■ ログ保存は？
– Slackの有料プラン(独り利用)なら 1000円以下
– 検索もできる！

11. ショボい (´・ω・`) の作ったよ
■ dailyLogCheck
– https://github.com/hogehogehugahuga/dailyLogCheck
■ 適当に、その日一日のログから以下を集計してSlackに送るためのセット
– SourceIP/ASN集計
– UserAgent集計
– Request集計
– (マージしてないけど、sshの集計)
内容自体は比較的どうでもよくて、ログを毎日見ることで異変に気付ける(?)体質訓
練になるのでは。
Readmeに、GEOIPLOOKUP必要と書いてない…等
不足情報等あるので、自分で改造！PR推奨！

12. まとめ
■ 「趣味の」ハニーポッターの挫折要因は、ログを見る部分ではないか？
– 見るコストを下げよう
■ Pushさせる
■ いつも使うツールに送る（メールは経験上、だめだ）
– Slackに送るといいんじゃない
■ 気づいたことをその場でThreadに書いたりできる
■ 情報収集等に利用できる (RSSのインテグレーションがある)
– 情報元を集約できる
– ショボい とりあえず実装 を出したから、改造して楽しめばよいのでは
■ 初めてなら、こんなのでも十分。
■ 機能不足を感じたら、SIEMへステップアップ

13. おしまい
以上、ご清聴ありがとうございました。