ハニーポット（T-Pot：Cowrie）Honeypot

Cowrieとは

　Cowrieとは、SSHとTelnetによるブルートフォース攻撃とそのやり取りをログに記録するハニーポットです。SSHとTelnetのプロキシとして機能し、攻撃者の行動を観察できます。そして、「wget」や「curl」でダウンローダされたファイルや「sftp」や「scp」によってアップロードされたファイルを保持します。

telnet	23/tcp	Telnetとは、ネットワークを通じて、他のコンピュータ等を遠隔操作ができる通信プロトコル。ログインを試みると、アカウントとパスワードを求められ、有効であればログインができる。ただし通信の暗号化がない。
ssh	22/tcp	ssh(Secure shell)とは、Linuxなどで使用される、ネットワークを通じて、他のコンピュータ等を遠隔操作ができる通信プロトコル。パスワード認証及び公開鍵認証が使用でき、通信の暗号化が可能。

dataの中身（/data/cowrie）

cowrie/downloads

攻撃者からハニーポットに転送されたファイルやwgetなどでダウンロードされたファイルがハッシュ値で保存されます。

そのうちの一番上をVirusTotalで検索してみると、

このような感じでマルウェアと検出されました。検出されたのは「Hajime」で、攻撃の機能は持たないようですが、果たして善なのか？

cowrie/keys

ここには、ssh用の鍵が保管されています。

cowrie/misc

ここには何もありません。？？？？さて何なんでしょう？

cowrie/log/cowrie.json

json形式のトランザクション出力が保存されています。

ログイン試行の「ID」「Password」が見られます。

cowrie/log/tty

再生可能なセッションログ。攻撃者（マルウェア）のコマンド実行記録。