アンチ・ハニーポット技術

honeypot memo

最近のボットはVMwareなどの仮想環境を調べて(聞いたのはVMwareのみだが)、ハニーポットを検出するらしい。
てことで、ちとばかし調べてみた。

↑とか他いくつかをさっくり読んでみたけど、つぎのような感じかな？

    • アンチsebek：カーネルモジュールのチェック。LKMのrootkitのチェックと同じ要領か
    • アンチHoneywall：snort-inlineでアウトプットの制限を安全上かけるので、そこからフィンガープリントを得るそうな。(実際に取れると思う)
    • アンチHoneypot:通信時間の遅延、仮想マシン(VMware、UMLetc)の利用の有無、あとはシステムを使い込んでるかでも分かると思う。


メモ用・WEBリンク

まだまだ、色々出てきそうだ。調べたら面白いかも。