わざとシステムを攻撃させて攻撃手法を観測する「ハニーポット」を30日間設置した結果をセキュリティエンジニアが公開

2024年06月27日09:01

カテゴリ:
ニュース
セキュリティ

1: PARADISE ★ 2024/06/26(水) 10:01:47.11 ID:uU20lAmI9

　遠隔でシステムを操作するツールである「SSH」への攻撃をわざと行わせて行動を観察する「ハニーポット」を30日間にわたって設置した結果をセキュリティエンジニアのソフィアン・ハムラウイ氏が公開しています。

ハムラウイ氏はカーネルが「6.8.0-31-generic」でOSが「Ubuntu 24.04 LTS x86_64」のマシンを用意し、ハニーポットとして使用しました。

30日に行われたログイン試行は合計1万1599回で、1日あたり平均386回ログインが試されている事がわかります。

ログインを試す際に使用されたユーザー名のランキングには「root」や「admin」「ubuntu」「support」など、標準で使用されるものや一般的に使用されがちな名前が登場。第2位に「345gs5662d34」という不思議な名前が登場していますが、これはPolycom CX600というIP電話機で使用されている標準ユーザー名とのこと。

以下ソース
https://gigazine.net/news/20240622-ssh-honeypot/

2: 警備員[Lv.13] 2024/06/26(水) 10:04:02.46 ID:xc5JSgkC0

sshの待受ポートを変えとくだけで全然違うよ。

6: 名無しどんぶらこ 2024/06/26(水) 10:07:45.29 ID:+XTL2ov/0

sshのログインって証明書使うんじゃないの？
なんでパスワード許可してんのさ

13: 名無しどんぶらこ 2024/06/26(水) 10:20:32.82 ID:P+W9wrmc0

>>6
面倒くさいとか言う素敵な理由でパスワード管理にしたがる管理者がいるからね…

31: 名無しどんぶらこ 2024/06/26(水) 12:23:27.72 ID:4l+kv/Wg0

>>6
実験だからさ

9: 名無しどんぶらこ 2024/06/26(水) 10:11:20.20 ID:lnSDuN9h0

観測もいいが探知して捕まえてくれよ

37: 名無しどんぶらこ 2024/06/26(水) 13:19:56.51 ID:c8Wf5qzA0

>>9
当然相手も何段も串刺してアクセスしてくるから
そのプロクシ何段も辿って逝く前に通信切れちゃう
また経路も都度変えてくるし

11: 警備員[Lv.12] 2024/06/26(水) 10:13:42.90 ID:p41JkhtR0

>>1
今どきパスワードはPassword1だろ

50: 警備員[Lv.1][新芽] 2024/06/26(水) 17:33:16.17 ID:IqPDgQ8N0

>>11
Password123にしてよりセキュリティを高めて行け

12: 名無しどんぶらこ 2024/06/26(水) 10:17:45.19 ID:48+3tp/50

sshよりメールサーバへの攻撃の方がうざいな
sshなんてポート変えて公開鍵認証のみに制限して、可能ならファイアウォールやMatchディレクティブでIPアドレス制限もしておけばほぼ問題ないし

18: 警備員[Lv.10][芽] 2024/06/26(水) 10:44:59.60 ID:0cFAOuWa0

グローバルIPからのSSHは普通止めるやろ

19: 名無しどんぶらこ 2024/06/26(水) 10:52:26.56 ID:mK0iKElF0

OpenSSH

20: 名無しどんぶらこ 2024/06/26(水) 10:58:14.81 ID:tw3Xe/Nh0

>>19
秘密鍵を知らない奴に送ってしまった

21: 名無しどんぶらこ 2024/06/26(水) 11:04:01.63 ID:rVVqVt5A0

まあね、おらみたいな田舎の端末でも常に侵入しようとしてきますからねえ
ネットには接続しないのが一番の対策やな

30: 警備員[Lv.6][新芽] 2024/06/26(水) 12:18:28.06 ID:kPwJUJTX0

>>21
ネットに都会も田舎もあるかいw

29: 名無しどんぶらこ 2024/06/26(水) 12:02:43.87 ID:2Fp9faLN0

適当に運用してるとこんな手口で乗っ取り攻撃されるからがんばれIT担当経営者にがんばって説明して経費獲得
して構築してね

35: 警備員[Lv.27] 2024/06/26(水) 12:32:44.96 ID:77p2hagP0

adomin
passward
これでok

36: 名無しどんぶらこ 2024/06/26(水) 12:50:27.90 ID:jwYalMWB0

肉を切らせて骨を断つ的な？

40: 名無しどんぶらこ 2024/06/26(水) 14:06:08.14 ID:W24KjZXY0

自分のマイクラサーバーも攻撃されてんのかな
ログインしようとしてくることも多いし

41: 名無しどんぶらこ 2024/06/26(水) 14:18:02.23 ID:WRl5ju170

ハニーポットってだいぶ昔からあるよな

42: 名無しどんぶらこ 2024/06/26(水) 14:20:35.64 ID:TQhP/I5P0

エンジニア「観測してやるぜ
ハッカー「観測していることを観測してやるぜ

43: 名無しどんぶらこ 2024/06/26(水) 15:31:02.07 ID:9Pf5HaXS0

ハニーポットって起源は「カッコウ」でしょ？
本来は偽装したサーバーを攻撃させて逆探知する時間を稼ぐ手法だったはず

44: 名無しどんぶらこ 2024/06/26(水) 15:32:34.85 ID:vS77DxXH0

鯖缶やってた人なら知ってると思うが、アタック元は中国＞韓国＞ロシアの順に多い。
ほとんどがクソみたいなアタックだから問題なしだが。

47: 名無しどんぶらこ 2024/06/26(水) 15:50:31.63 ID:oNL1wyxX0

パスワードは突破されちゃうんだなぁ
侵入後はSSHを潰しにくると
メモメモ

48: 名無しどんぶらこ 2024/06/26(水) 16:54:59.69 ID:OoMjZmAE0

ログインIDとして使われる文字列のパターンを知ると

そちらが複雑化の要件になってれば、ノーパスワードでも大丈夫じゃね？

と、パスワード無しのWindowsを大量に運用している。

ポート変えても試行はくるから（頻度は激減するが）、必要なのは複雑性の要件だけとなる

51: 名無しどんぶらこ 2024/06/26(水) 17:44:24.01 ID:KsND66VX0

攻性防壁まだー？

52: 名無しどんぶらこ 2024/06/26(水) 19:18:07.14 ID:QK7a5m9Q0

ID8文字、パスワード8文字だったらノーパスワード16文字IDでも同じじゃね？

55: 名無しどんぶらこ 2024/06/27(木) 00:28:10.47 ID:1a8JEFGP0

>>52
複雑要件満たしていたら！となるけど
16文字のIDで辞書や総当たりなんてされないからかなり安全

53: 名無しどんぶらこ 2024/06/26(水) 21:09:40.89 ID:wa0myFV30

>>1
標準パスワード使ったらトラップ発動する罠とかできないの？

49: 名無しどんぶらこ 2024/06/26(水) 17:04:39.35 ID:b0LqIhtT0

ハニーポッターと謎のスクリプト

引用元: https://asahi.5ch.net/test/read.cgi/newsplus/1719363707/

OpenSSH［実践］入門 Software Design plus

posted with AmaQuick at 2024.06.27

川本安武(著)
(2014-11-05T00:00:00.000Z)

Amazon.co.jpで詳細を見る

タグ：: #セキュリティ; #ハニーポット; #ハッカー; #サイバー攻撃; #SSH

コメント一覧 (17)

- 1. 774の自作er
- 2024年06月27日 09:16
- ハニーポットってフォームのボット対策を指すと思ってたけどSSH関連でも使われる言葉なのか
- 0
  
  wavefanc
  
  がしました
- - 14. 774の自作er
  - 2024年06月27日 17:49
  - >>1
    もう20年以上前からセキュリティ全般で広く使われるよ
    ハニーポットの意味を知ってれば特定の要件でのみ使うことで無いのは直ぐ分かると思うがな
    今となっては一般人の中高年やJKでも使い始めている
  - 0
    
    wavefanc
    
    がしました
- 2. 774の自作er
- 2024年06月27日 09:21
- 股割れポッター
- 0
  
  wavefanc
  
  がしました
- 3. 774の自作er
- 2024年06月27日 09:24
- ハニーフラッシュ
- 0
  
  wavefanc
  
  がしました
- 4. 774の自作er
- 2024年06月27日 09:25
- SSHがセキュリティホールを見つける為に自動的に探し当てるみたいな生き物のような表現をしてるのが間違い。
- 0
  
  wavefanc
  
  がしました
- - 5. 774の自作er
  - 2024年06月27日 09:26
  - >>4
    SSHが無関係なんだよな。
  - 0
    
    wavefanc
    
    がしました
- 6. 774の自作er
- 2024年06月27日 09:26
- 単純な単語の組み合わせでも、16文字にするだけでセキュリティはグッと上がるとかだったな。
  文字数が一つ増えるごとに組み合わせは数十倍増えていくからねぇ…
- 0
  
  wavefanc
  
  がしました
- 7. 774の自作er
- 2024年06月27日 09:29
- SSHで誰かアクセスして来るかなんて下らないデータ集めるぐらいならWindows10,11を素でインストールして書き換えの為に誰がアクセスしに来るのか突き止めるぐらいの方が良いかも。何秒も掛からないよね。
- 0
  
  wavefanc
  
  がしました
- 8. 774の自作er
- 2024年06月27日 10:02
- パスワードに平仮名・カタカナも使用できるようにしてくれよ。
  大文字・小文字と英数字を駆使しろと言うが、これに加えて日本語独自の文字を使えば外国人ハッカーからすれば更に難易度が上がるだろ。
  日本語で解読されるような物を入力する奴らは論外だが。
- 0
  
  wavefanc
  
  がしました
- - 9. 774の自作er
  - 2024年06月27日 10:32
  - >>8
    シェル起動前にIMEをどうやって起動するかだね…
  - 0
    
    wavefanc
    
    がしました
- - 10. 774の自作er
  - 2024年06月27日 10:59
  - >>9
    UEFIで日本語入力できるけどそういうことじゃないの？
    それ以前の問題？
  - 0
    
    wavefanc
    
    がしました
- - 12. 774の自作er
  - 2024年06月27日 12:45
  - >>8
    例えば「美味しいレシピ」を変換する「%E7%BE%8E%E5%91%B3%E3%81%97%E3%81%84%E3%83%AC%E3%82%B7%E3%83%94」になる
    
    漢字/カタカナ/平仮名の対応コード表データなどを、WiFiルーターのSoCに付いているファームウェア格納ROMチップ(128kB~512kB)に収められるかどうかっていう話じゃね
  - 0
    
    wavefanc
    
    がしました
- - 13. 774の自作er
  - 2024年06月27日 13:09
  - >>8
    入力文字マスクされてるのに日本語入力させるのは厳しいだろ
  - 0
    
    wavefanc
    
    がしました
- - 15. 774の自作er
  - 2024年06月27日 18:36
  - >>13
    マスクされてても入力する奴はやる
    20年くらい前のサポセンの話でパスワードに2バイト文字使ってたってのあったわ
  - 0
    
    wavefanc
    
    がしました
- 11. 774の自作er
- 2024年06月27日 12:07
- pasuwaadoやろ
- 0
  
  wavefanc
  
  がしました
- 16. 774の自作er
- 2024年06月28日 03:19
- >Polycom CX600
  ピンポイントだなw
  パッチ当ててないトコ確かにありそうだw
- 0
  
  wavefanc
  
  がしました
- 17. 774の自作er
- 2024年06月28日 17:43
- ubuntuでfail2ban入れて3回パスワード間違えたら1日パケット遮断で仕掛けておくと面白いようの沢山のIPアドレスがBANされる
  秘密鍵認証のみにしてても試みるBOTが多い
- 0
  
  wavefanc
  
  がしました