cute_otter’s blog

ハニーポットの観察日記を付けています

トップ > ハニーポット観察日記 > ハニーポット観察日記(2019/02/12)

ハニーポット観察日記(2019/02/12)

ハニーポット観察日記

WOWHoneypot

ハニーポット「WOWHoneypot」で2019/02/12 (火) 00:00~23:59 UTC(運用40日目)に取得したログの簡易分析です。

特徴

  • Nmapを用いたスキャンを初めて観測しました。
  • 3日連続でZGrabによるスキャンを観測しました。

概況

  • 集計期間 : 2019/02/12 (火) 00:00~23:59 UTC
  • 総アクセス件数 : 22 件(前日比 -74 件)
    • トップページへのアクセス : 12 件
    • Nmapを用いたスキャン(初観測) : 10 件
      • Nmapを用いたトップページのスキャン(初観測) : 4 件
      • Nmapを用いたスキャン(404が返ってくるか否かの確認)(参照)(初観測) : 3 件
      • Nmapを用いたVMwareサーバー(vCenter, ESX, ESXi)のバージョン情報の取得(参照)(初観測) : 1 件
      • Nmapを用いたHNAPプロトコルを利用するハードウェアの情報やコンフィグの取得(参照)(初観測) : 1 件
      • Nmapを用いたTrane Tracer SC製の製品の情報の取得(参照)(初観測) : 1 件
  • ユニークIPアドレス件数 : 13 件 (前日比 -10 件)
  • アクセス元の国数 : 10 カ国 (前日比 -5 カ国)

国別のアクセス件数

国別のアクセス件数は以下の通りです。

順位 国名 件数 前日の順位 前日の件数 件数差 備考
1. United States 11 1. 76 -65 -
2. Indonesia 2 4. 2 +-0 -
3. Taiwan 2 - 0 +2 -
4. Russia 1 5. 2 -1 -
5. Brazil 1 2. 3 -2 -
6. Poland 1 10. 1 +-0 -
7. Chile 1 - 0 +1 -
8. Turkey 1 - 0 +1 -
9. Argentina 1 8. 1 +-0 -
10. South Africa 1 15. 1 +-0 -

User-Agent

HTTPリクエストに含まれていたUser-Agentは以下の通りです。

順位 アクセス先 件数 前日の順位 前日の件数 件数差 備考
1. Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.125 Safari/537.36 7 - 0 +7 Nmapを用いたスキャンでのみ使用
2. 未設定 5 6. 2 +3 -
3. Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/52.0.2743.116 Safari/537.36 4 4. 3 +1 -
4. Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36 2 3. 4 -2 -
5. Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/52.0.2743.116 Safari/537.36 2 5. 3 -1 -
6. Mozilla/5.0 zgrab/0.x 1 11. 1 +-0 ZGrabによるスキャン
7. Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36 1 9. 1 +-0 -

アクセス先

  • Nmapを用いたスキャンを10件観測しました。
    • Nmapを用いたスキャンの観測は初めてです。
    • 1つの送信元IPアドレスからスキャンが行われていました。
    • スキャンの中でスキャンの目的や対象が明確だったものは以下の3件です。
      • VMwareサーバー(vCenter, ESX, ESXi)のバージョン情報の取得(参照)
      • HNAPプロトコルを利用するハードウェアの情報やコンフィグの取得(参照)
      • Trane Tracer SC製の製品の情報の取得(参照)
    • スキャンの中に、404が返ってくるか否かの確認が挟まれており、スキャン対象がハニーポットか否かをチェックしているように感じました。
  • 3日連続でZGrabによるスキャンを観測しました。
    • 件数は1件でした。
    • User-AgentはMozilla/5.0 zgrab/0.xでした。

アクセス先の一覧は以下の通りです。

順位 備考 アクセス先 件数 前日の順位 前日の件数 件数差
1. トップページへのアクセス GET / HTTP/1.1 12 1. 20 -7
2. Nmapを用いたトップページのスキャン GET / HTTP/1.0 2 3. 2 +-0
3. Nmapを用いたトップページのスキャン GET / HTTP/1.1 1 - 0 +1
4. Nmapを用いたトップページのスキャン HEAD / HTTP/1.1 1 - 0 +1
5. Nmapを用いたスキャン(404が返ってくるか否かの確認)(参照) GET /nmaplowercheck(アクセス時のUNIX時間) HTTP/1.1 1 - 0 +1
6. Nmapを用いたスキャン(404が返ってくるか否かの確認)(参照) GET /NmapUpperCheck(アクセス時のUNIX時間) HTTP/1.1 1 - 0 +1
7. Nmapを用いたスキャン(404が返ってくるか否かの確認)(参照) GET /Nmap/folder/check(アクセス時のUNIX時間) HTTP/1.1 1 - 0 +1
8. Nmapを用いたVMwareサーバー(vCenter, ESX, ESXi)のバージョン情報の取得(参照) POST /sdk HTTP/1.1 1 - 0 +1
9. Nmapを用いたHNAPプロトコルを利用するハードウェアの情報やコンフィグの取得(参照) GET /HNAP1 HTTP/1.1 1 - 0 +1
10. Nmapを用いたTrane Tracer SC製の製品の情報の取得(参照) GET /evox/about HTTP/1.1 1 - 0 +1

WOWHoneypotで取得したログの簡易分析は以上です。