[port139ml:05100] Re: Forensic Analysis of a Live Linux System, Part One

[DANNA <danna@xxxxxxxxxxx>]

ども。ダンナ＠サポセンです。

いはらさん
> スニフィングで思い出したのですが、証拠となるシステム上で iplog
> なりのツールが動いていると、nc でデータ転送すると、その通信ログ
> が HDD へ大量に書き込まれることになるので注意が必要ですね。

これはもうBPFなりで適切なフィルタを書いて、不要な通信を記録
しないように実行する必要があります。

この手のキャプチャリング手法についても、もっと解説があって
も良いような気がするんですよね。特にBPFのフィルタリングなん
って、知ってる人だけ知ってるような感じがするし。

> Argus って↓ですか？
> http://www.qosient.com/argus/security.htm
> 
> ＃以前も URL 調べた記憶があるけど、どういったものなのか中身を
> ＃全然チェックしなかった気がする・・・

これも要はiplogと同じようなツールですが、よりインシデントレ
スポンスに使えるような実装になっていると思います。最近流行の
ネットワークフォレンジック製品とIPLOGの中間あたりのツールっ
てカンジです。

トラヒックのヘッダ情報だけを効率よく集めることで、何処から何
処に何パケット、何バイト、どういった通信が発生したかを記録す
ることができます。

IDSと組み合わせて運用することで、IDSが検知した不正アクセスの
発生を元に、その計算機が何処とどのような通信を行っていたか知
ることができるであろうと。

数年前からあちこちで話題にしているのですが、たとえ暗号化され
た通信であろうと、２点間または特定のポイントの間でデータが流
れるはずですよね。しかも何らかの特徴を持っているはずです。

そういうデータの流れだけきっちり記録しとけば十分なんじゃない
かなぁと。記憶装置を大量に消費することもないし。

ここ２〜３日ちょこちょこPPT作ってるんですよね。どっか機会が
あれば発表したいんですが。

ではでは。

>--------- みっきーのネットワーク研究所 ---------<
>  danna@xxxxxxxxxxx Security-Stadium staff      <
>  sec-sta : http://www.security-stadium.org     <
>  HP   : http://www.hawkeye.ac/micky            <
>  PGP  : http://www.hawkeye.ac/micky/micky.pub  <
>------------------------------------------------<