wormのprobe GET をログから除外

IISに感染するある種の worm が次のようなログを残す。IISでないと判るとそれでおしまい。

192.168.1.1 - - [27/Mar/2004:00:17:23 +0900] "GET / HTTP/1.1" 200 1168
 "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"

普通のクライアントからならばこれに続いて画像やCSSをリクエストするがそれがない。IPアドレスは不特定ので2004-03-27の一日で80件ほど。ここみたいな寂れたサイトだと普通のアクセスとまぎれてうざい。これをログから削除しよう。

UAは本当に存在するものを偽装しているのでUAでは除外できないとするとIPアドレスを元に除外するしかないだろう。プログラムの方針にはいくつか考えられる。

1. ログを読んで1件しか無いIPアドレスを除外する。

2. あるアクセスについて前後に同じIPアドレスからのアクセスが無い場合はworm と見倣して除外する。

1.の方法にはログ全体を2回読むか、一度読んだものを記憶しておかないといけないので富豪的。プログラムは2.に比べれば簡単。ISPから同じアドレスを割りあてられた複数のマシンからアクセスがあったときにワームを除外できない。

2.の場合は前後の何件かを記憶しておけばよいし、ログが大きくなっても処理したところから吐きだせるので使うメモリも少なくてすむ。大きい組織では複数の proxyを通してアクセスが来ることがある。この場合最初の"GET /"と他の画像要求が別のアドレスからになって無実なのに除外されてしまう可能性がある。

2.の方がプログラム的に面白そうなので2.でやってみる。

#! /usr/local/bin/perl
use strict;

my( @buf );
my( $ip );
my( %count );
my( $dummy_ip )=("0.0.0.0");

foreach( 1..25 ){ 
    push( @buf, $dummy_ip );
}

while(<>){
    &in;
    &out;

}

foreach( 1..25 ){
    $_ = $dummy_ip;
    &in;
    &out;

}


sub in
{
   push( @buf, $_ );
    $ip = &ip( $_ );
    ++$count{ "" . $ip};
}


sub out
{
    if( @buf > 50 ){
        $ip = &ip($buf[ 25 ]);
        if( $count{ "" . $ip } > 1 ){
            print $buf[ 25 ];
        }
        else{
#            print ">> $buf[ 25 ]";
        }

        $a = shift( @buf );
        $ip = &ip( $a );
        --$count{"" . $ip};


    }
}

sub ip
{
    local($a) = @_;

    $a =~ /^([-A-Za-z0-9.]+)/;
    return $1;
}

かっこいいプログラムとはいえない。もっと短くできないだろうか。

wormのprobe GET をログから除外

最新の20件