セキュリティの解析のためにはログを分析するということはよく言われるのですが、何をみてどうするのかの具体的な話は、それぞれのノウハウがあるせいか、あまり知られていませんでしたが、ついにといいますか、やっとちゃんとした書籍が出版されました。
オープンなツールの紹介とそれを用いた、Apache httpdログ、プロキシサーバのログ、システムコール等内部のログをどう見るのかを解説しているので、勉強したい人にはとてもいいのではないかと思っています。
まさかと思っていたのですが、ハニーポットのテストをしようと、防備が張られていない一般WiFiにRaspberry Piを接続していたところ、１時間もしないうちに挙動がおかしくなりました。
CPU負荷が100%になって、画面右上の方に温度計表示が出現し、熱々状態。
おかしいと思ってpsコマンドをみたら、sshpassというプロセスが大量にできていて、何やら猛烈に動いています。
WiFiを切って確認しようとしていたら、画面が慌ただしくなって、いきなりリブートが開始。
立ち上がると、コマンドプロンプトの色もだとかもおかしく、すぐにCPUが100%になり、sshpassが大量に生成されて何か猛烈にやっています。
さすがにこれはダメと思い、ラズパイの電源を抜いて調べると、Raspberry Pi を狙い撃ちにするウィルスに感染したようです。
Linux.MulDrop.14 というやつです。確かにSSHをONにしたままだったし、sshpassが猛烈に動いてました。
microSDカードにOSを入れ直し、今度はちゃんとセキュリティ対策をしなくては。