[connect24h:9824] Re: 教えて、ExcelとAccessの偉い人

[向 陽一朗 <mukou@xxxxxxxxxxxxxxx>]

よーいちです。
セキュリティもみじではお世話になりました。



普段GUIで、オペレーションが大変なときだけスクリプトやコマンドを検討する
へたれです。

他の方が書かないうちにAccessやSQLServerでの単純なデータベース案を(^^;

--

CSVをテーブルにインポートしまして、クエリやビューで

Attack Count, Attack, Source IP, Destination IP, Direction の列を選択。
グループ化して、Attack Countを"合計"にしまして、SourceIPで並び替え。

とでもしますと、こんな感じのSQLを作ってくれるので実行させます。

SELECT SUM([Attack Count]) AS [SUM Atack Count], Attack, [Source IP],[Destination IP], Direction
FROM dbo.sampleidslog
GROUP BY Attack, [Source IP], [Destination IP], Direction
ORDER BY [Source IP]

以上で、
「攻撃方法、Source、Destination別のAtackCountの合計(Direction付き)」
というのがシンプルなところでしょうか。

SUM Atack Count,Attack,Source IP,Destination IP,Direction
1,WORM: Possible Worm Detected in Attachment,aaa.1.193.107,yyy.19.5.26,Inbound
1,TCP: SYN Host Sweep,bbb.11.167.ddd,- - - -,Inbound
2,UDP: Host Sweep,sss.208.168.145,- - - -,Inbound
11,WORM: Possible Worm Detected in Attachment,xx.197.169.ddd,yyy.19.5.26,Inbound
11,WORM: W32/Netsky.c@MM Worm,xx.197.169.ddd,yyy.19.5.26,Inbound
4,UDP: Host Sweep,xx.ccc.158.123,- - - -,Inbound
2,UDP: Host Sweep,xx.ccc.158.ccc,- - - -,Inbound
15,IM: Yahoo Messenger Alive,yyy.19.208.155,fff.141.ll.jjj,Outbound
1,IM: MSN (.NET) Messenger Alive,yyy.19.210.eee,hhh.kk.2.44,Outbound
1,IM: MSN (.NET) Messenger Alive,yyy.19.210.eee,ii.54.239.80,Outbound
3,IM: Yahoo Messenger Alive,yyy.19.210.eee,fff.141.ll.74,Outbound
1,IM: MSN Messenger Server Lookup,yyy.19.5.24,hhh.kk.66.75,Outbound
1,UDP: Host Sweep,yyy.19.5.24,- - - -,Outbound
1,WORM: Possible Worm Detected in Attachment,yyy.19.5.26,gg.118.195.9,Outbound
1,WORM: Possible Worm Detected in Attachment,zzz.221.109.26,yyy.19.5.26,Inbound
2,WORM: W32/Netsky.d@MM Worm,zzz.221.109.26,yyy.19.5.26,Inbound
2,UDP: Host Sweep,zzz.66.104.140,- - - -,Inbound
2,UDP: Host Sweep,zzz.83.153.179,- - - -,Inbound

以上から、
・xx.197.169.ddd方面からウイルスメールがたくさん
・MSN MessengerよりYahoo Messengerのほうが優勢らしい
・xx.ccc.158.0/24からのHost Sweepが多め
といった感じで見ると良いのでしょうか。
#idsのログは見慣れていないもので・・・


あとは、お好みでSourceかDestinationだけにする、とか、必要な項目を増やし
てみる、とか。
マクロやデータ変換サービスを使って、(ワンクリック|スケジュール)でインポー
トするようにする、とか。


-------
よーいち : mukou@xxxxxxxxxxxxxxx


--[PR]------------------------------------------------------------------
┏━━━━━━━┓　スポーツオーソリティオンラインショップ！
┃ スポーツ用品 ┃　お持ち帰りに悩む大型商品も、メーカー直送で注文も楽々。
┃ 　買うなら　 ┃　有名ブランドの2005年モデルもいち早くお届け。
┗━━┳━┳━━┛　手に入りにくい人気商品も、ネット限定在庫でご注文受付中！
 http://ad.freeml.com/cgi-bin/ad.cgi?id=d59fk
------------------------------------------------------------------[PR]--
■GMO INTERNET GROUP■ GMO INTERNET www.gmo.jp