(2017/07/29修正)

T-Potのautoinstall対応OSが変更されてたため修正しました

はじめに

サイバー攻撃を肌で感じてみたい！と思い立ち実際に攻撃を受けてみました。

今回は、T-PotというHoneypotのマルチプラットフォームをAWS上のEC2に構築して、サイバー攻撃の観測(Honeypot) ⇒ 可視化(ELK) を行うまでの手順を紹介したいと思います。

さまざまなプロトコルの攻撃を収集し、可視化することでどのような攻撃がどのような原理で動作し、どの程度の規模で発生しているか等、サイバー攻撃のトレンドを探ってみようと思います。

T-Potによる攻撃分析イメージ(構築後、実際の分析画面)

T-Potとは？

Honeypotとは"おとり"としてサイバー攻撃を観測するツールです。脆弱なシステムを模擬して攻撃を誘い込み、攻撃ログを収集することを目的としています。

今回紹介するT-Potとは..

異なる特徴を持つHoneypotを複数稼働させ、攻撃ログを収集

収集した攻撃ログを、Elastic社製 ELKスタックにより解析・可視化

これら機能を複数のDockerコンテナを連携させにて提供してくれるマルチプラットフォームです

開発はドイツテレコム社が行っています。

インストールと連携設定が複雑そうな、Honeypot及び、ELKのサービスは、Dockerコンテナ上にて提供してくれるためインストール作業は非常に簡単です。
誰でも簡単にHoneypot設置から攻撃の可視化・分析が可能なのはとても魅力的ですね。

GitHubはこちらにて公開されています。

提供方法としては、iso形式 or autoinstall形式での提供が行われており、今回は、autoinstall形式でEC2上にこちらのT-Potの導入を行っていきます。

T-Potのアーキテクチャ

公式サイトで公開されているアーキテクチャ図もありますが、ざっくりとした概要を表しました。

複数のHoneypotとELKのコンテナを連携することで、T-Potは実装されています
Honeypot,ELKの細かな設定は、T-PotプロジェクトのDockerfileリポジトリで管理されています

低対話型のHoneypotと言え、万が一マルウェアに感染したとしても、ホストOSの制御まで乗っ取られないかつ、コンテナごと破棄してしまえばよいので安全ですね。

攻撃観測の仕組み

各コンテナ上で稼働しているHoneypotで収集された各種攻撃ログデータは、全コンテナ共通でマウントしている/data配下にて解析用ELKコンテナに共有されます。
そして、logstach経由でElasticSerchに取り込まれ、Kibanaで可視化が行われます。

それぞれのHoneypotが対応する各種攻撃プロトコル

Honeypot	tcp/udp	port
Glastopf	tcp	80
Cowrie	tcp	22
elasticpot	tcp	9200
Dionaea	tcp	21,42,69,135,330,443,445,5060,8081
Dionaea	udp	69,5060
Honeytrap	tcp	0-65535
Honeytrap	udp	0-65535

※ T-Pot標準インストールのHoneypot構成
※ 今回、honeytrapはポート全開放を許可したくなかったため使用していません。(私Honeypot初心者のため、念のため)

今回構築したAWS構成

EC2はPublicに配置
EIPを割り当て
EC2へのsshアクセスは、鍵認証でインターネット経由で行う

構成は非常に簡単で、たったこれだけです。このEC2にT-Potをインストールして、サイバー攻撃の観測プラットフォームを構築します！わくわく。

構築手順

基本的に、T-PotのインストールはGitHubリポジトリで公開されているinstall.shを叩くだけです。
このinstall.shがシェルでゴリゴリdockerインストール～コンテナ起動設定までを行ってくれます。

T-Potには4種類のインストールタイプがありますが、今回はStandardタイプでインストールを実行していきます。

インストールタイプとシステム要件

Type	RAM [GB]	DISK [GB]	メモ
STANDARD	4	64	標準Honeypot + ELK
HONEYPOTS ONLY	3	64	標準Honeypotのみ
INDUSTRIAL EDITION	3	64	工業用に特化したHoneypot + ELK
FULL INSTALLATION	8	128	フルインストール

EC2作成

~~OS : Ubuntu14.04~~
~~今回、autoinstallに対応しているのは"Ubuntu14.04"のみなのでAWS Marketplaceからそちらを選択します。~~
OS : Ubuntu16.04
今回、autoinstallに対応しているのは"Ubuntu16.04"のみなのでAWS Marketplaceからそちらを選択します。

※ autoinstallの対応OSが変更されていました(2017/01/31) 2017/07/29 修正
そのアップデートに伴い、以下の実行ログも異なる場合があります。ご了承ください。

インスタンスタイプ : m1.medium
STANDARD Typeで必要なのは、最低でも4GB RAMなので"t2.medium"を選択しようと思いきやUbuntu14.04は旧世代インスタンスのみでしか稼働しないとのことなので、"m1.medium"を選択します。 Diskサイズは64GBを確保して、インスタンス作成してください。

SecurityGroup設定

まずは、自端末からのみssh接続できるよう設定します。攻撃観測用のためのInbound PolicyはT-Potのインストール後に設定します。

OS設定

T-Potインストール用ユーザ作成

インスタンスが立ち上がったら、インストール用ユーザを適当な名前で作成します。
※EC2デフォルトのubuntuユーザでもT-Potのインストールは可能です。私は念のためデフォルトユーザでのログインは不可に設定しました。

# adduser your-user
# gpasswd -a your-user sudo

新規に作成したユーザでも鍵認証(EC2作成時のもの)でsshログインできるようにします。

# cp /home/ubuntu/.ssh/authorized_keys /home/your-user/.ssh/
# cd /home/your-user/
# chown your-user:your-user .ssh/authorized_keys

gitのインストール

gitをインストールしておきます。

$ apt-get install git

OSの設定でやることはこれくらいです。

T-Potインストール

これからT-Potのインストールを行います。とは言っても、install.shを叩くだけ

gitでtpot-auto installをクローン

$ git clone https://github.com/dtag-dev-sec/t-pot-autoinstall.git
Cloning into 't-pot-autoinstall'...
remote: Counting objects: 97, done.
remote: Total 97 (delta 0), reused 0 (delta 0), pack-reused 97
Unpacking objects: 100% (97/97), done.
Checking connectivity... done.

インストール実行

install.sh実行

$ sudo su -
# cd ./t-pot-autoinstall
# ./intall.sh

T-Potで使用するユーザを聞かれます

Make sure the SSH login for your normal user is working!

Which user do you usually work with? This script is invoked by root, but what is your normal username?
Enter username: xxxxx

インストールタイプを選びます

##########################################################
#                                                        #
#     How do you want to proceed? Enter your choice.     #
#                                                        #
# 1 - T-Pot's STANDARD INSTALLATION (w/o INDUSTRIAL)     #
#     Requirements: >=4GB RAM, >=64GB disk               #
#     Services: Cowrie, Dionaea, ElasticPot, Glastopf,   #
#     Honeytrap, ELK, Suricata+P0f                       #
#                                                        #
# 2 - T-Pot's HONEYPOTS ONLY (w/o INDUSTRIAL)            #
#     Requirements: >=3GB RAM, >=64GB disk               #
#     Services:                                          #
#     Cowrie, Dionaea, ElasticPot, Glastopf, Honeytrap   #
#                                                        #
# 3 - T-Pot's INDUSTRIAL EDITION                         #
#     Requirements: >=3GB RAM, >=64GB disk               #
#     Services: ConPot, eMobility, ELK, Suricata+P0f     #
#                                                        #
# 4 - T-Pot's FULL INSTALLATION                          #
#     Requirements: >=8GB RAM, >=128GB disk              #
#     Services: Cowrie, Dionaea, ElasticPot, Glastopf,   #
#     Honeytrap, ELK, Suricata+P0f                       #
#                                                        #
##########################################################

Your choice: 1

しばらく待ちます
Dockerエンジンのインストールから、各コンテナイメージをPullしてくれています。
インストール完了後、OSが再起動します
(これでもう完了です！)

インストール後の動作確認

SecurityGroupの再設定 (制御ssh用)
sshのポートが下記のように変更されるので、そのポートでログインできるようにSecurity GroupのInbound Policyを変更します。
変更前 port ： 22
変更後 port ： 64295
sshでEC2にログイン

 ssh -i ec2-key.pem -p 64295 your-user@xx.xx.xx.xx

Dockerコンテナの起動確認
Dockerコンテナが複数生成されていることを確認します

# docker ps
CONTAINER ID        IMAGE                              COMMAND                  CREATED             STATUS              PORTS                                                                                                                                                                                                                                                          NAMES
xxxxxxxxxxxx        dtagdevsec/honeytrap:latest1603    "/usr/bin/supervisord"   x minutes ago       Up x minutes                                                                                                                                                                                                                                                                       honeytrap
xxxxxxxxxxxx        dtagdevsec/cowrie:latest1603       "/usr/bin/supervisord"   x minutes ago       Up x minutes        0.0.0.0:22->2222/tcp                                                                                                                                                                                                                                           cowrie
xxxxxxxxxxxx        dtagdevsec/dionaea:latest1603      "/usr/bin/supervisord"   x minutes ago       Up x minutes        0.0.0.0:21->21/tcp, 0.0.0.0:42->42/tcp, 0.0.0.0:135->135/tcp, 0.0.0.0:443->443/tcp, 0.0.0.0:445->445/tcp, 0.0.0.0:1433->1433/tcp, 0.0.0.0:3306->3306/tcp, 0.0.0.0:69->69/udp, 0.0.0.0:5060-5061->5060-5061/tcp, 0.0.0.0:5060->5060/udp, 0.0.0.0:8081->80/tcp   dionaea
xxxxxxxxxxxx        dtagdevsec/suricata:latest1603     "/usr/bin/supervisord"   x minutes ago       Up x minutes                                                                                                                                                                                                                                                                       suricata
xxxxxxxxxxxx        dtagdevsec/elk:latest1603          "/usr/bin/supervisord"   x minutes ago       Up x minutes        127.0.0.1:64296->8080/tcp                                                                                                                                                                                                                                      elk
xxxxxxxxxxxx        dtagdevsec/elasticpot:latest1603   "/usr/bin/supervisord"   x minutes ago       Up x minutes        0.0.0.0:9200->9200/tcp                                                                                                                                                                                                                                         elasticpot
xxxxxxxxxxxx        dtagdevsec/glastopf:latest1603     "/usr/bin/supervisord"   x minutes ago       Up x minutes        0.0.0.0:80->80/tcp                                                                                                                                                                                                                                             glastopf

コンテナ起動していますね。それぞれのコンテナでHoneypotが攻撃を受ける準備が整いました！

SecurityGroupの再設定 (Honeypot攻撃観測用)

次は、Honeypotの攻撃観測用のInbound PolicyをSecurityGroupに加えます。先ほどのsshポートを含め、下記のように設定します。
Sourceを0.0.0.0/0で開放して、攻撃観測スタートです！

SecurityGroup Inbound Policy

Type	Protocol	Port Range	Souce	Honeypot
TCP Custum	tcp	64295	myIP	N/A
TCP Custum	tcp	21	0.0.0.0/0	Dionaea
TCP Custum	tcp	42	0.0.0.0/0	Dionaea
TCP Custum	tcp	135	0.0.0.0/0	Dionaea
TCP Custum	tcp	443	0.0.0.0/0	Dionaea
TCP Custum	tcp	445	0.0.0.0/0	Dionaea
TCP Custum	tcp	143	0.0.0.0/0	Dionaea
TCP Custum	tcp	330	0.0.0.0/0	Dionaea
TCP Custum	udp	69	0.0.0.0/0	Dionaea
TCP Custum	tcp	5060	0.0.0.0/0	Dionaea
TCP Custum	udp	5060	0.0.0.0/0	Dionaea
TCP Custum	tcp	8081	0.0.0.0/0	Dionaea
TCP Custum	tcp	22	0.0.0.0/0	Cowrie
TCP Custum	tcp	80	0.0.0.0/0	Glastopf
TCP Custum	tcp	9200	0.0.0.0/0	Elasticpot

Kibana Web UIへのアクセス

最後に、Kibana Web UIへの接続を行うためにsshトンネルを張ります

ssh -i ec2-key.pem -p 64295 -N -L8080:127.0.0.1:64296 your-user@xx.xx.xx.xx

sshトンネルを張ったあとは下記URLへアクセス
http://localhost:8080/

アクセスするとKibanaのloadingが始まります。

攻撃観測開始！！

実は、本記事を書く1週間前からEC2上でT-Potを配置して攻撃を受けていたのですが、はたして記事のネタになるくらい攻撃が収集できるか非常に不安でした。
でも、大丈夫。たくさん攻撃受けてました。

条件

AWSリージョン : 東京リージョン
期間 : 2016/11/30 ~ 2016/12/07

攻撃集計結果

Honeypot	攻撃種類	count / 7days
Cowrie	ssh	256414
Glastopf	http	38
Dionaea	https	1031

その他のHoneypotへの攻撃は、数件か0件程度でした。
sshの攻撃回数は非常に多かったですね。1hあたり1500件ほど攻撃されていることになります。

Cowrieで収集したsshの攻撃に関して、少しグラフを見てみようと思います。

攻撃元IP Geolocation
ロシアからの攻撃が断トツで多いですね。

国別の攻撃回数の時系列データ
ロシアは執拗に攻撃してきます。

sshクラックに使用されたuser/password
こちらも文字として可視化できます。みなさんも使用しているものはありませんか？

このようにT-Pot標準で用意してくれるKibana Dashboardでも十分いろいろな分析ができます。
まだまだ紹介したいグラフ・分析結果はありますが、長くなってしまうので今回はこのくらいにします。

最後に

本記事ではT-Potの構築手順のみを取り上げました。今後は、別の記事にて収集した攻撃をさまざまな角度から分析していきたいと考えています。ElasticSearchにデータは取り込んであるので分析し放題です。
(直近はクリスマスの時期に攻撃は増えるのか、減るのか？を見れたらと考えています。クリスマスだし、ハッカーさんもお休みしているのでは？検証結果が楽しみです！)

参考ページ

T-Pot: A Multi-Honeypot Platform
T-PotによるDockerized Multi Honeypotなサイバー攻撃観測環境を構築する

EC2上にHoneypot(T-Pot)をインストールして、サイバー攻撃をELKで可視化してみた