[サーバ] お行儀の悪いアタック国ランキング

前回の続きです。
狙われやすいアカウント名ランキングに続きまして、どこの国からアタックを受けているかも調査してみました。…まぁなんとなく結果はわかっていましたが、数値化するのが大事ですよね！（虚空を見つめがら）

結果発表

IPアドレス単位

国単位

結論

中国からのアクセスをブロックすれば80%以上のアタックを防げる結果になりました＼(^o^)／

ちなみに日本からのアタックは494件、0.1223%でした。

集計方法

IPアドレスの割当国を見つける

geoip-countryというNode.jsのモジュールを利用しました。こちらはMaxMindから提供されているフリーのデータを利用しているようです。

インストール

$ mkdir geoip; cd geoip
$ npm install geoip-country
$ node node_modules/geoip-country/scripts/updatedb.js

最後の行はMaxMindの国データをネットワーク越しに取得するスクリプトです。便利ですねー。

集計元データの準備

$ sudo grep Failed /var/log/secure* | gawk 'match($0,/from (.*) port/,a){print a[1]}' | sed 's/invalid user //' | sort | uniq -c | sort -nr > ip.txt

ip.txtをEXCELで開いてタブ区切りテキストで保存し直しました。若干の敗北感がありますが気にしない方向でお願いしますｗ このip.txtを先ほど作成したgeoipフォルダに放り込みます。

この時点では以下のようなデータとなっています。

$ head ip.txt
43148   218.92.1.163
43147   58.242.83.7
43147   218.92.1.174

集計スクリプト

雑なコードで恐縮ですｗ

/**
 * ipsearch.js
 */
const geoip = require('geoip-country');
const fs = require('fs');

let buff = fs.readFileSync("./ip.txt", {encoding: "utf-8"}).split(/\r\n/);
for(let i=0; i<buff.length; i++){
  let [count,ip] = buff[i].split(/\t/);
  let geo = geoip.lookup(ip);
  let country = ( (geo!== null) && ("country" in geo) )?  geo.country:null

  console.log([count, ip, country].join("\t"));
}

あとは実行するだけです。

$ node ipsearch.js
43148   218.92.1.163    CN
43147   58.242.83.7     CN
43147   218.92.1.174    CN

全件データ

IPアドレス単位

国単位

補足

あくまでアクセス元のIPアドレスですので、他国を踏み台にしてリクエストしてきている可能性がありますのでご注意を。
また、中国からのアクセスが膨大で霞んで見ているだけで、アメリカやウクライナなど上位の国のリクエスト数も尋常じゃないですｗ

セキュリティのためのログ分析入門 サイバー攻撃の痕跡を見つける技術 (Software Design plusシリーズ)

posted with amazlet at 19.02.03

折原 慎吾 鐘本 楊 神谷 和憲 松橋 亜希子 阿部 慎司 永井 信弘 羽田 大樹 朝倉 浩志 田辺 英昭
技術評論社
売り上げランキング: 15,209

Amazon.co.jpで詳細を見る

このブログを応援する

お寄せいただいたお気持ちは全額サーバ代や次の記事を執筆するための原資として活用させていただいております。この記事が参考になった場合などぜひご検討ください。

PayPalで300円支払う
※金額は任意で変更できます。
※100円でも泣いて喜びますw
※住所の入力欄が現れた場合は「no needed」を選択ください
これまでのご協力者さま

- Sponsored Link -