ハニーポット観察日記(2019/02/07)

はじめに

こんにちは。cute_otterです。
今日はCowrieのログを一部取得出来なかったため、ログの簡易分析はお休みします。すみません。

WOWHoneypot

ハニーポット「WOWHoneypot」で2019/02/07 (木) 00:00~23:59 UTC(運用35日目)に取得したログの簡易分析です。

特徴

• DrupalやJenkinsなどの探査を観測しました。
• 3日連続でZGrabによるスキャンを観測しました。

概況

• 集計期間 : 2019/02/07 (木) 00:00~23:59 UTC
• 総アクセス件数 : 43 件(前日比 -180 件)
  • トップページへのアクセス : 27 件
  • Tomcatの管理ページに対するログイン試行 : 9 件
  • Drupalの探査 : 1 件
  • JBoss Application Serverの探査又はJBoss Application Serverの脆弱性を利用した攻撃 : 1 件
  • Jenkinsの探査 : 1 件
  • JMXコンソールの探査 : 1 件
  • 不明 : 3 件
• ユニークIPアドレス件数 : 20 件 (前日比 -7 件)
• アクセス元の国数 : 11 カ国 (前日比 -2 カ国)

国別のアクセス件数

国別のアクセス件数は以下の通りです。

順位	国名	件数	前日の順位	前日の件数	件数差	備考
1.	France	22	-	0	+22	-
2.	Brazil	5	2.	10	-5	-
3.	India	4	3.	3	+1	-
4.	Russia	3	12.	1	+2	-
5.	Indonesia	2	11.	1	+1	-
6.	United States	2	4.	2	+-0	-
7.	Turkey	1	5.	2	-1	-
8.	Serbia	1	-	0	+1	-
9.	Bulgaria	1	-	0	+1	-
10.	Singapore	1	-	0	+1	-
11.	Italy	1	-	0	+1	-

アクセス先

• 2019/02/02に初めて観測したパターンの探査を再び観測しました。
  • 今回の探査の対象は、Drupal、JBoss Application Server、Jenkins、JMXコンソール、Tomcatのみでした。
  • 前回の探査では、これらに加えて、Joomla!、phpMyAdmin、SQLiteManager、MySQLDumper、CGI版PHP、WordPressが探査の対象でした。
  • 今回と前回の共通点は、User-AgentがPython-urllib/2.7だったことです。
  • 今回の探査を行ったIPアドレスは、フランスのOrange Business Services(AS3215)に登録されていました。
• 3日連続でZGrabによるスキャンを観測しました。
  • 件数は1件でした。
  • User-AgentはMozilla/5.0 zgrab/0.xでした。

アクセス先の一覧は以下の通りです。

順位	備考	アクセス先	件数	前日の順位	前日の件数	件数差
1.	トップページへのアクセス	GET / HTTP/1.1	27	1.	27	+-0
2.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1	9	2.	9	+-0
3.	Drupalの探査	GET /drupal/ HTTP/1.1	1	-	0	+1
4.	不明	GET /cms/ HTTP/1.1	1	-	0	+1
5.	JBoss Application Serverの探査又はJBoss Application Serverの脆弱性を利用した攻撃(参照)	GET /status?full=true HTTP/1.1	1	-	0	+1
6.	不明	GET /script HTTP/1.1	1	-	0	+1
7.	Jenkinsの探査	GET /jenkins/script HTTP/1.1	1	-	0	+1
8.	不明	GET /login HTTP/1.1	1	-	0	+1
9.	JMXコンソールの探査	GET /jmx-console HTTP/1.1	1	-	0	+1

探査で用いられたリクエストライン

今回の探査で用いられたリクエストラインの一覧は以下の通りです。

順番	備考	リクエストライン
1.	トップページへのアクセス	GET / HTTP/1.1
2.	Drupalの探査	GET /drupal/ HTTP/1.1
3.	不明	GET /cms/ HTTP/1.1
4.	JBoss Application Serverの探査又はJBoss Application Serverの脆弱性を利用した攻撃(参照)	GET /status?full=true HTTP/1.1
5.	トップページへのアクセス	GET / HTTP/1.1
6.	不明	GET /script HTTP/1.1
7.	Jenkinsの探査	GET /jenkins/script HTTP/1.1
8.	不明	GET /login HTTP/1.1
9.	JMXコンソールの探査	GET /jmx-console HTTP/1.1
10.	トップページへのアクセス	GET / HTTP/1.1
11.	トップページへのアクセス	GET / HTTP/1.1
12.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
13.	トップページへのアクセス	GET / HTTP/1.1
14.	トップページへのアクセス	GET / HTTP/1.1
15.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
16.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
17.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
18.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
19.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
20.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
21.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1
22.	Tomcatの管理ページに対するログイン試行	GET /manager/html HTTP/1.1

WOWHoneypotで取得したログの簡易分析は以上です。