2003年10月のログを見ていると、ほぼ終息していように見られる。
米陸軍のIISサーバーが3月10日に攻撃を受けたという報告があり、また、「Windows2000」にセキュリティーホールがあったということですね。
そのせいなのか、2003.3.11から急にNimda系のログが急に増える。今までは、月に３０回前後であったのが、１日に100回ものアタックログが
見られた。また、従来のアタック元のＩＰは、ばらつきがあったが、61.xxx.xxx.xxxとCodeRedと似た形となっている。ＭＳは、なんとかならないのか！ログ例
61.xxx.xxx.xxx - - [21/Mar/2003:17:47:53 +0900] "GET /default.ida?XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6 858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u53 1b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 279 "-" "-"
サーバーを立ち上げて、ほぼ１年経過しましたが、相変わらず攻撃はやまないようです。２００３年度１月からは、新しいグラフにてアタック数の推移を 記録することにしました。２００２年度１年間のアタック数の推移を見ると、６月以降は、１日平均１００回前後に減りましたが、相変わらずアタックはなくなりません。
2002.1.25に、Slammerワームと呼ばれ、SQL Server 2000のセキュリティーホールをつき、UDP/1434ポートへの大量のトラフィックを発生させる新しいワームに より、韓国を中心としてインターネットが一時麻痺しました。上のグラフを見ていただくとわかりますが、1.25は、極端にCoderedのアタック数が減っています。 新しいワームにより、古い方が減るのも変な話しです。いずれにしろ、しっかりセキュリティパッチをあててほしいものです。特にＭＳ関係については！！！
CodeRedと思われるアタックは、 ３月からグローバルＩＰを８個取得したことにより、攻撃元のＩＰアドレスが変化しました。数日間は、 202.xxx.xxx.xxxからのアタックが残りましたが、最近は、61.xxx.xxx.xxx のＩＰからのアタックに変わりました。CodeRedが、ＩＰの近いサーバーをアタックすることが、証明されたということでしょうか。
CodeRedのログが多く、本来のログの分析が見にくいので、worm.logとして分けてログを取るようにしました。下に方法を掲載していますので、 参考にしてください。また、１ヶ月のデータを詳細に分析した結果も下に掲載しています。
Nimda系に関しては、攻撃してくるサーバーのＩＰは、ばらばらで、特定のＩＰからの傾向はありません。
ただ、毎月１５日前後にアタックが集中しているのが特徴です。2003.1も３１回のアタックのうち、１５日前後が２９回と なっています。
下が具体的なアタックの様子です。
212.xxx.xx.xx [16/Dec/2001:04:32:19 +0900] GET/default.ida?NNNNNNNNNNNNNN%u9090%u6858%%u00=a HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:18 +0900] GET /scripts/root.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:18 +0900] GET /MSADC/root.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:19 +0900] GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:19 +0900] GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:20 +0900] GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:21 +0900] GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:25 +0900] GET/_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:25 +0900] GET/msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:26 +0900] GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:27 +0900] GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:27 +0900] GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:28 +0900] GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:29 +0900] GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:29 +0900] GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:30 +0900] GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0
202.xxx.xxx.xxx [16/Dec/2001:06:34:30 +0900] GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0
Code Red と思われるdefault.idaのログは、数的にはほとんどありません。Nimda Worm と思われるcmd.exe roo.exeのログがほとんどです。
2001年１２月１６日〜2002１月１５日までのアタックの回数をグラフにしました。総数は、8000件近くです。徐々に減ってきてはいるようですが、まだまだ多いですね。1/9が異常に多くなっているのは、同一ＩＰから144回、347回と異常なアタックあっために非常に多くなっています。
アタックしたＩＰがどれだけあったかを、日ごとにグラフにしました。1/9は、アタックをかけたＩＰの数は、総数から比べると少ないことがわかります。
同一ＩＰから連続して何回アタックがあったか、グラフにしました。圧倒的に１６回連続してのアタックが多いようです。なかには、数回連続したアタックを、数十回繰り返していたところもあります。
同一ＩＰから２回以上アタックをかけたところが、どのくらいの間をおいてアタックをかけたかをグラフにしました。６０以上のＩＰから連続してアタックしています。２，３日以内に 繰り返すパターンが多いようです。
アクセスログのアタックログが膨大になるので、Wormのログと通常のログをわけてみました。
vi /etc/httpd/conf/httpd.conf
<IfModule mod_setenvif.c> (95１行目あたり)
SetEnvIf Requets_URI"default\.ida"worm
SetEnvIf Requets_URI"cmd\.exe"worm
SetEnvIf Requets_URI"root\.exe"worm (この三行を追加する)
</IfModule>
CustomLog /var/log/httpd/access_log common env=!worm （583行目あたりにあるので修正）
CustomLog /var/log/httpd/worm_log common env=worm （この一行を追加）
修正後に再スタートさせると、ログを分けることができます。
ディレクトリーについては、TurboLinux仕様ですから、Apacheの標準とは多少異なります。