ログ情報のチェックは、セキュリティ管理の基本として重要ですが、膨大な情報の中から問題を検出するのはなかなか大変なことであり、実際のところ見つかれば儲けものというのが現実です。このようなケースに活躍するのが、ここで紹介する Swatch というツールです。

Swatch は、Perlベースのスクリプトであり、それを動かすにはいくつかのPerlモジュールが必要です。但し、これらのモジュールはデストリには用意されていないものがあり、デストリによってインストール方法が異なるので以下を参考に実施してください。おやじが扱ったデストリに関しては、今回は全てRPMでインストールしました。なるべく、デストリに用意されているRPMを使用するほうが管理上よいと思いますが、RPMがない場合はソースから入れてください。ソースインストールについては、ググルってください。

なお、必要なモジュールは以下のとおりです。よく言われる4つのモジュール以外に芋ずるで必要になるモジュールがあり、下記が全てです。

RedHat系はDAGのリポリトジを使用すれば、一発でSwatch本体からSwatch関連のPerlモジュールまで全てインストールできます。以下を参考に実施してください。

CentOS4.0は、Swatchを含め標準ではサポートされていないモジュールがかなりありますが、CentOS4.0はRHEL4.0のクローンなので、DAGにあるSRPMをコンパイルしなおせば使用できます。従って、CentOSでサポートされているもの(上表のNo.2/3/6/8の4モジュール)はyumなりでインストールし、不足しているものはDAGからSRPMを持ってきて、以下のように再コンパイルしてインストールすれば大丈夫です。

SuSEの場合、Swatchを除き全てのモジュールが標準でサポートされているので、YaSTでインストールしてください。但し、3項のTime-HiResは見つかりませんが、SuSEの場合、このモジュールはperlのベースモジュールでインストールされているので改めてのインストールは不要です。

問題なのが本命のSwatchです。例によってRPMが見つかりません。ソースから入れようかとも思ったのですが、奮起してRPMを自分で作成しました。ダウンロードに置いておきますので、適当なところにダウンロードしてインストールしてください。但し、SuSE9.0と9.2用のみです。SuSEは癖があり、少なくとも9.0と9.2ではソース互換はないので、SuSE9.1ではどちらのソースをリビルドしてもうまくいかない可能性が大です。

続いて、Swatchを動作させるための設定ファイルを作成しますが、設定ファイルは監視対象とするログファイル毎に作成する必要があります。設定ファイルのデフォルトは、~/.swatchrc、即ち、Swatch起動ユーザのホームディレクトリ配下の「.swatchrc」という名前のファイルになっています。しかし、実際に監視するsyslog等のログファイルは通常rootしかアクセスできないので、/root/.swatchrcファイルを作成することになります。但し、Swatch起動時に設定ファイルのパスや名前は指定できるので実際は何でも良いし、複数のログファイルを監視するなら当然設定ファイルも複数になるので、自分の環境に合わせて作成すればよいということになります。おやじは、/etc/swatch/swatchrc_xxx として監視ファイル毎に作成しました。

以上で設定ファイルが作成できたので、想定した動作をするかテストします。まず、「-c」オプションで設定ファイルのパス、「-t」オプションで監視対象のログファイルのパスを絶対パスで指定してSwatchを以下のように起動します。起動が成功すると2行目のようなメッセージが出力されますので、このままコンソールを閉じないでおきます。続けて、他のクラインアトやもう一つのコンソールから、設定ファイルに記述したルールにマッチするであろう操作を行い、元のコンソールに検出結果として対象のログが出力されること(echo設定要)を確認します。beep音やメール通知を設定しているなら、それもあわせて確認します。下記の3行目は、ProFTPDで認証を失敗した時の例です。デストリによってログフォーマットが異なりますので、各自で調整が必要です。全ての設定が確認できたら、Swatchを起動したコンソールで[Ctrl]+[c]を入力しSwatchを停止しておきます。

# /usr/bin/swatch -c /etc/swatch/swatchrc -t /var/log/messages *** swatch version 3.1 (pid:4811) started at 2005年 5月 6日 金曜日 23:32:22 JST May 6 23:32:37 server proftpd[4815]: server.aconus.com (192.168.1.xx[192.168.1.xx]) - PAM(oyaji): Authentication failure. [Ctrl]+[c] Caught a SIGINT -- sending a TERM signal to 4812

Swatchの動作テストが終了したら、システム起動時にコマンドを叩くわけにはいきませんから、自動起動できるようにしなければなりません。一般的には、rc.localなりにコマンドイメージを書いておく例が多いのですが、今回は起動/停止/再起動できる起動スクリプトを作ってみました。CentOSを含むRedHat系用とSuSE用を作ってみましたので、使ってみてください。一応、二重起動防止等の対策をしてあります。なお、Swatchは子プロセスが複数起動しており、特に複数ファイル監視時にきれいにゴミを残さずに停止するのが難しいつくりになっています。また、デストリによって用意されているコマンドが異なるのと、同一コマンドでも細かいところで挙動が異なるため、最終的には、tailコマンドは他で使用していないことを前提にした作りになっており、やや怪しいつくりですが、特に問題はないはずです。これにより、どちらのデストリでも問題が出ずに起動・停止・再起動ができます。

Swatchで複数のログファイルを監視する場合は、それぞれのログファイルに対してSwatchを起動しなければなりません。ProFTPDのログを別途監視するという前提で修正したCentOSを含むRedHat系用とSuSE用の起動スクリプトです。見てもらえばすぐに分かる思いますが、赤字が追加したところで、追加監視するログファイルとルールファイルのパスを追加し、それらを監視する部分を追記しただけです。監視対象ログ毎に同じように追記していけば対応できます。

Swatchの使い方として、パターン検出時に一般的にメールを投げる例が多くありますが、今回はコマンド実行機能(exec)を使用して、もっと積極的な対応をしてみました。実際に導入したのは、FTPで指定回数以上ログインに失敗したら当該アドレスからのFTPアクセスをiptablesを使用してロックするようにしてみました。このような方法はいろいろな応用ができ、例えばシステムがパニックしたらシャットダウンしてしまうとか、ネットワークを停止する等のアクションも可能です。(このような設定を動かすには勇気がいりますが・・・。)

1. 設定ファイルに追加パターンの作成
   
   まずは、実際にFTPでログインして認証に失敗し、/var/log/messagesに出力されたエラーメッセージを調査する。そこからそのメッセージ固有のパターンと宛先アドレスを抽出できるよう、正規表現を考える。
   
   今回のパターンは以下のとおりで、ログイン失敗は後半の「Authentication failure」だけでがよいが、別途作成する管理スクリプトでアクセス元をベースにiptablesで遮断したいので、全般でアクセス元のIPアドレスを抽出している。(本来は、検出メッセージを引数としてコマンドに渡せるはずなので、後半の文字列だけでよいはずであるが、どうしてもうまく渡せないので予めSwatch側で検出してパラメータ指定で渡すことにした。)。元のメッセージは上記の「Swatchの動作テスト」のところにある3行目のメッセージで、[192.168.1.xx]のところでアドレス検出をする例である。「[ ] . 」は「\」で特殊記号処理し、(\d+\.\d+\.\d+\.\d+)の部分で、4個の複数桁「\d+」の「.」で区切られた数字を検出し、「.*」は改行を除く任意の連続した文字列を表し、「Authentication failure」はログイン失敗を識別する文字列そのままである。
   
   

   /\[(\d+\.\d+\.\d+\.\d+)\].*Authentication failure/

   
   
2. 実際の設定内容
   
   今回のアクションは、上記パターンを検出したらおやじ宛てにメールを送信し同時に(\d+.\d+.\d+.\d+)にマッチしたアクセス元アドレスを引数として、/usr/local/bin/hack/hacker.cgiが起動する。hacker.cgiでは、ip毎の起動カウンタを持ち一定回数以上エラーしたらiptablesでロックするようにした。
   
   

   watchfor /\{(\d+\.\d+\.\d+\.\d+)\].*Authentication failure/    echo    mail=oyaji\@mail.aconus.com,subject="FTP Login failure"    exec "/usr/local/bin/hack/hacker.cgi $1"

   
   ・echo: Swatchのログファイルに書き出すための設定。
   ・mail=oyaji\@mail.aconus.com,subject="FTP Login failure":
      おやじ宛に、FTP Login failure というタイトルでメール送信。
   ・exec "/usr/local/bin/hack/hacker.cgi $1":
      $1はパターンマッチでマッチした最初の変数(\d+\.\d+\.\d+\.\d+)で、これを引数として/usr/local/bin/hack/hacker.cgiを起動。
   
   
3. 管理スクリプト(hacker.cgi)
   
   今回作成したものはかなり手抜きで、こちらのような簡単なもの。上記で指定したパスにhacker.cgiという名前(/usr/local/bin/hack/hacker.cgi)で設置する。
   
   

   パラメータ	概　要
   $dir = '/usr/local/bin/hack/'	スクリプトを置いたディレクトリ。この配下に不正アクセスIPアドレスのログ(IPアドレス.cnt)が置かれる。
   $limit = 2;	同一アドレスからのエラー許容回数。
   $iptables="/usr/sbin/iptables"	iptablesのパス。デストリで異なる。
   $chain="HACKER"	iptablesでダイナミックに制御するチェーンの名称。

   
   ・一旦ロックすると、ログを捨ててiptablesを初期化するか個別解除するまでアクセスできないので動的IPで被害者が出るかもしれない。
     解除は、設定と全く同じでパラメータが「-A」から「-D」になるだけ。
       /usr/sbin/iptables -D HACKER -p tcp --dport 21 -s (IPアドレス) -j DROP
   ・システムを再起動するとiptablesの設定は消えてしまうが、ログカウンタがあるため次回アクセスで失敗すれば再度ロックされる。
   
   
4. iptables用スクリプトの修正
   
   おやじは、こちらにあるようなスクリプトでiptablesを動かしているので、これに上記のhacker.cgiで制御するダイナミックなHACKERとういチェーンを追加し、管理を容易にした。追加したのは下記の2行だけで、HACKERというチェーンを新規に定義し、入力されるTCPパケットに関して、まずはこのチェーンで評価するようにしただけです。従って、このチェーンに特定のソースアドレスからのFTPポート(21番)へのアクセスを遮断するようにhacker.cgiで書いてあげれば、二度とFTPサーバにはアクセスできなくなる。もっと強行にするなら、プロトコルやポート指定なしでソースアドレスだけで遮断するようにすれば、全くアクセスできなくすることもできる。
   
   

   #!/bin/sh ### IPアドレス、ネットワークアドレスの定義 ### # サーバ機のアドレス # MYHOST='192.168.1.100' # 家庭内のアドレス(192.168.0.0/24と1.0/24を合わせて指定）# HOME='192.168.0.0/23' # NTPサーバのアドレス # # NTP1: xxx.xxx.xxx.xxx -- プロバイダ # NTP2: 210.173.160.57  -- MFEED(ntp2.jst.mfeed.ad.jp) NTP1='xxx.xxx.xxx.xxx' NTP2='210.173.160.57' # ip_conntrack_ftpのロード # modprobe ip_conntrack_ftp ### iptablesのコマンドパスの定義 ### IPTABLES='/sbin/iptables' ### IPフォワードの停止 ### echo 0 > /proc/sys/net/ipv4/ip_forward ### iptablesのチェーンの初期化 ### $IPTABLES -F ### 暗黙のdeny(デフォルトで拒否)とするルールの設定 ### $IPTABLES -P INPUT DROP $IPTABLES -P FORWARD DROP $IPTABLES -P OUTPUT DROP ### 新規にHACKERというチェーンを追加 $IPTABLES -N HACKER ### ループバックアドレスに関するアクセスを全て許可 ### $IPTABLES -A INPUT  -i lo -j ACCEPT $IPTABLES -A OUTPUT -o lo -j ACCEPT ### 入ってくるTCPパケットは全てに先立ちHACKERチェーンで評価 $IPTABLES -A INPUT -p tcp -j HACKER ### 家庭内からのDNS問い合わせを許可 ### $IPTABLES -A INPUT  -p udp -s $HOME --dport 53 -j ACCEPT $IPTABLES -A OUTPUT -p udp -d $HOME --sport 53 -j ACCEPT $IPTABLES -A INPUT  -p tcp -m state --state NEW -s $HOME --dport 53 -j ACCEPT ### DNSサーバからの外部DNS問い合わせを許可 ### $IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT $IPTABLES -A INPUT  -p udp --sport 53 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 53 -j ACCEPT ### 家庭内からのNTP問い合わせを許可 ### $IPTABLES -A INPUT  -p udp -s $HOME --dport 123 -j ACCEPT $IPTABLES -A OUTPUT -p udp -o $HOME --sport 123 -j ACCEPT ### NTPサーバからの外部NTP問い合わせを許可 ### $IPTABLES -A OUTPUT -d $NTP1 -p udp --dport 123 -j ACCEPT $IPTABLES -A INPUT  -s $NTP1 -p udp --sport 123 -j ACCEPT $IPTABLES -A OUTPUT -d $NTP2 -p udp --dport 123 --sport 123 -j ACCEPT $IPTABLES -A INPUT  -s $NTP2 -p udp --dport 123 --sport 123 -j ACCEPT ### 家庭内でのファイル共有(NetBIOS)を許可 ### $IPTABLES -A INPUT  -p udp -s $HOME --dport 137:138 -j ACCEPT $IPTABLES -A OUTPUT -p udp -d $HOME --sport 137:138 -j ACCEPT $IPTABLES -A INPUT  -p tcp -m state --state NEW -s $HOME --dport 139 -j ACCEPT ### 家庭内からのSWAT(SWAT:901)アクセスを許可 ### $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 901 -j ACCEPT ### 家庭内からのProxyアクセス(PROXY:8080)を許可 ### $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 8080 -j ACCEPT ### 家庭内でのSSH(22)の使用を許可 ### $IPTABLES -A INPUT  -p tcp -m state --state NEW -s $HOME --dport 22 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -m state --state NEW -d $HOME --dport 22 -j ACCEPT ### WWWサーバへのアクセス(HTTP:80,HTTPS:443)を許可 ### $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 443 -j ACCEPT ### 外部WWWサーバへのアクセス(HTTP:80,HTTPS:443)を許可 ### $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 443 -j ACCEPT ### FTPサーバへのアクセス(Active/Passive)を許可 ### $IPTABLES -A INPUT  -p tcp -m state --state NEW --dport 21 -j ACCEPT $IPTABLES -A INPUT  -p tcp -m state --state NEW --dport 4000:4029 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -m state --state NEW --sport 20 -j ACCEPT ### 外部FTPサーバへのアクセス(Active/Passive)を許可 ### $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 21 -j ACCEPT $IPTABLES -A INPUT  -p tcp -m state --state NEW --sport 20 -j ACCEPT ### メールサーバへのアクセス(SMTP:25/465)を許可 ### $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 25 -j ACCEPT $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 465 -j ACCEPT ### 外部メールサーバへのアクセス(SMTP:25,POP3:110)を許可 ### $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 25 -j ACCEPT $IPTABLES -A OUTPUT -p tcp -m state --state NEW --dport 110 -j ACCEPT ### メールサーバへのアクセス(POP3:110/995,IMAP:143/993)を許可 ### ### 非SSL系は家庭内のみ許可 ### $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 110 -j ACCEPT $IPTABLES -A INPUT -p tcp -m state --state NEW -s $HOME --dport 143 -j ACCEPT $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 993 -j ACCEPT $IPTABLES -A INPUT -p tcp -m state --state NEW --dport 995 -j ACCEPT ### Ident(113)を拒否(DROPするとレスポンスが遅くなるのでReject) ### $IPTABLES -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset ### PINGに対する処理 ### $IPTABLES -A INPUT  -p icmp --icmp-type 8 -j ACCEPT $IPTABLES -A OUTPUT -p icmp --icmp-type 0 -j ACCEPT $IPTABLES -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT $IPTABLES -A INPUT  -p icmp --icmp-type 0 -j ACCEPT ### セッション確立後のパケット疎通は許可 ### $IPTABLES -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT $IPTABLES -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ### 設定内容の保存 ### /etc/rc.d/init.d/iptables save ### IPフォワードの開始 ### echo 1 > /proc/sys/net/ipv4/ip_forward