深夜のログインを見つけるには
ログとは、コンピュータが自分で書きとめる、出来事の記録です。だれがいつ、どこからログインしたかも残ります。
何百行もの記録から、侵入のあとを探せるようになりましょう。ラボでは、攻撃を受けたサーバの記録の「コピー」を読むだけです。実在のサーバには、何もしません。
このレッスンのゴール
メモ
ログと時系列から、攻撃のあとを見つけることができる。
キーワード
| ことば | いみ |
|---|---|
| ログ | コンピュータが自動で書く、出来事の記録 |
| 時系列 | 出来事を、起きた順に並べたもの |
| 送信元 | 接続してきた側の、IPアドレス |
| 痕跡 | 攻撃者が残した、あとの記録やファイル |
| 証拠 | 何が起きたかを示す、変えてはいけない記録 |
学生が入力するセルは、このプレビューでは空白です。
守るべき約束はひとつ
注意
ラボの記録は、読むための作りものの事件で、実在のサーバではありません。実在のサーバのログや機器を、許可なく調べたり、攻撃したりしてはいけません。上のバーの Start the lab を押します。
ログの1行は何を教えてくれるか
ログの1行には、時刻、出来事の種類、関わった人、接続元が書かれます。1行ずつ読むと、何が起きたかが分かります。
失敗の行が続き、そのあとに成功の行が出る形は、パスワードを当てられたかもしれない、という合図です。
例: ログの行の読み方
| 時刻 | 行の内容 | 読み取れること |
|---|---|---|
| 02:41:07 | Failed password for admin from 192.0.2.50 | 192.0.2.50 が admin で失敗 |
| 02:41:09 | Failed password for admin from 192.0.2.50 | 2秒後にまた失敗 |
| 02:41:12 | Failed password for mina from 192.0.2.50 | 別のアカウントも試している |
| 02:44:30 | Accepted password for mina from 192.0.2.50 | 同じ住所から mina で成功 |
学生が入力するセルは、このプレビューでは空白です。
ラボの記録の大きさを知る
ラボの調査用フォルダには、ウェブサーバのアクセスログと、ファイルの更新時刻の一覧があります。まず、どれほどの量かを数えます。
wc -l は、行の数を数えます。行が多いときは、人が目で追う前に、道具で絞ることが大切です。
アクセスログの行数を数える
wc -l < case/var/log/nginx/access.logここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
更新時刻の一覧の表題を見る
head -1 case/mtimes.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
アカウントの数を数える
wc -l < case/etc/passwdここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
時系列で並べると見えてくる
記録が複数あるときは、起きた順に1本の表にならべます。時系列にすると、前後の関係がわかります。
「失敗が続いた」「成功した」「その数分後にファイルが作られた」という順なら、成功のあとの行動が、侵入者のものだと推測できます。
例: 作りものの時系列
| 時刻 | 出来事 | 意味 |
|---|---|---|
| 02:41 | 同じ住所から失敗が続く | 総当たりの試み |
| 02:44 | 同じ住所で成功 | パスワードを当てられた |
| 02:47 | 新しいプログラムのファイルができる | 侵入後の行動 |
| 02:48 | 5分ごとの定期実行が登録される | 居座るための仕掛け |
学生が入力するセルは、このプレビューでは空白です。
よくある間違い
注意
「失敗がいちばん多い住所が、侵入者だ」と考える人がいます。失敗が多くても、一度も入れていない住所もあります。侵入者は、失敗のあとに成功が出る住所です。
証拠は変えずに、コピーで調べる
調べるときは、元の記録を書きかえません。ファイルを直接開いて消したり、直したりすると、証拠が壊れます。
必要なら、コピーを作って、そのコピーに印を付けます。何をいつ調べたかも、メモに残します。
さらに挑戦: 自分の時系列
ラボの調査用フォルダの記録を読んで、気づいた出来事を、時刻の順に5行書いてください。まだ答えは決めず、見つけた事実だけを並べます。
そのあとで、事実から言えることと、推測にすぎないことを、分けて書きます。