suricata は、Linux/MacOS/FreeBSD/OpenBSDで動作する I[DP]S 実装である。

同様の実装にsnortやIronBeeがあるが、IronBeeは2018/11段階で3年ほど更新が途絶えている。

suricataは、基本的に、ある種のパターン(Signature)にMatchするパケットを検出し、Logに記録したり、OS側のFirewall機構を利用してパケットをDropしたりすることができる。

FreeBSDでsuricataを利用する場合、System側のFirewall実装として pf と ipfw が利用でき、suricataはipfwに関するInstallationの情報を公開しているが、個人的な慣れと気分でpf+suricataでIPSを実装したいので、いろいろ調べてみた。

結論：suricata+pfでIPSを作成する場合、pfのruleに

pass quick on egress inet proto tcp to port 80 divert-packet port 700

のように dirvert-to を利用すること

しかし、まだ、divert-toの使い方はよくわかっていない…

溜めすぎてしまった…

• HoneyPot
  • Honeytrap簡易分析(81-83日目:10/28-10/30)
  • あの脆弱性は今 ~ハニーポットで追ってみた~
• Security関係
  • Tools
    • Decoding Hancitor Malware with Suricata and Lua
    • Suricata 4.1 released!
    • ModSecurity v3.0.3: What To Expect
    • XSStrike
  • X.Orgに特権昇格の脆弱性、LinuxやOpenBSDに影響
  • iOS 12.1のリリースからわずか1時間後にパスコードを回避するFaceTimeのバグが発見される
  • New iPhone Passcode Bypass Found Hours After Apple Releases iOS 12.1
  • Apple、CSSエフェクト「Backdrop-filter」だけでiPhoneやiPadを再起動させることができるSafariの脆弱性を「iOS 12.1」で修正。
  • |Node.jsにおけるprototype汚染攻撃への対策
  • トレンドマイクロ、「Appleとの見解の相違」によりアプリ再公開に遅れ
  • IntelのCPUで新たな脆弱性「Portsmash」が発見される、ハイパースレッディングに関する2つ目の脆弱性
  • Malicious Powershell Script Dissection
  • 米セキュリティ研究者、Webブラウザの履歴を不正に収集する手法を発見
  • IoT向け組込OS「AWS FreeRTOS」に複数脆弱性 - コード実行のおそれ
  • VirtualBox Zero-Day Vulnerability Details and Exploit Are Publicly Available
  • OWASP Top 10 (2017) Interpretation for Serverless
  • 解答：間違ったCSRF対策～初級編～
  • 問題：間違ったCSRF対策～中級編～
• 技術関係
  • QUICの話 (QUICプロトコルの簡単なまとめ)
  • GitHubが障害を総括、43秒間のネットワーク断が1日のサービス障害につながった
  • Xen Orchestra 5.28
  • MariaDB 10.0.37 now available
  • MariaDB 10.1.37 now available
  • MariaDB 10.4.0 Release Notes
  • MariaDB Galera Cluster 10.0.37 now available
  • 色：ヘキサコードから眼球まで – Part 3.
  • 「PostgreSQL 11.1」リリース、過去3か月分のセキュリティ修正を導入
  • Google+の著者情報なきあと、コンテンツ著者をGoogleに伝えるにはプロフィールページの構造化データが役立つかも
  • 詳解 Reliable UDP
  • HTTP-over-QUICの名称は「HTTP/3」に。IETFのQUICワーキンググループとHTTPワーキンググループで合意
  • 「Splatoon 2」をディープラーニングで攻略してみなイカ？　2018（前編） (1/3)
  • iSH
  • WD、メインメモリのように使えるNVMe SSD
• 読み物
  • 「コミュ障」の本質が、ようやくわかった。

WordPressやDokuwikiでサイトを作成すると、ある条件ではcacheしてほしくないとかある条件ではupstreamを固定したい(冗長化している場合)という要望に出くわすことがある。

この場合、本質的には、条件によって upstream を切り替えるという作業が必要になる。

→ 続き...

XCP-ng上で、FreeBSD 11.2のVMを作って、Disk追加して、追加したDiskをzfs の vdev=diskで作成しようとした。

# zpool create -O atime=off -O normalization=formD zdata disk /dev/ada1
cannot open 'disk': no such GEOM provider
must be a full path or shorthand device name

なぜ？どうして？ ちっともわからなかったのだが、ふと

# zpool create -O atime=off -O normalization=formD zdata /dev/ada1

で成功する。

なんでこんなところのI/Fがman pageと違うんだ？

     zpool create [-fnd] [-o property=value] ...
           [-O file-system-property=value] ... [-m mountpoint] [-R root]
           [-t tempname] pool vdev ...
....
   Virtual Devices (vdevs)
     A "virtual device" (vdev) describes a single device or a collection of
     devices organized according to certain performance and fault
     characteristics. The following virtual devices are supported:

     disk    A block device, typically located under /dev.  ZFS can use
             individual slices or partitions, though the recommended mode of
             operation is to use whole disks. A disk can be specified by a
             full path to the device or the geom(4) provider name. When given
             a whole disk, ZFS automatically labels the disk, if necessary.

どこにも vdev を省略可能なんて書いてねーぞ!

• Security
  • HoneyPot
    • ハニーポット月次分析 9月度〜EthereumとRedis〜
    • ハニーポット簡易分析(64-70日目:10/14-10/17)
    • 【ハニーポット】Honeytrap簡易分析(73-77日目:10/20-10/24)
    • 【ハニーポット】Honeytrap簡易分析(78-80日目:10/25-10/27)
    • 【ハニーポット】WoWHoneypot簡易分析（9/14-9/20)
    • 【ハニーポット】Honeytrap簡易分析(65-72日目:10/17-10/19)
    • 【ハニーポット事件簿】ハニーポットがDDoS攻撃を受けたので調査してみた
    • 【ハニーポットの検証】検証！愛知と仙台との攻撃の変化
    • 継続する 5555/TCP ポート宛攻撃通信と ADB が有効化された脆弱な Android エミュレータについて
  • Node.jsにおけるプロトタイプ汚染攻撃とは何か
  • Windows 10にゼロデイ脆弱性、“GitHub”でデモコードが公開される
  • 知らないうちに、スマホで撮った「ヤバイ写真」をクラウドに上げていませんか
  • 更新プログラムが正しくインストールされたかを確認する方法 – Windows 8.1 の場合
  • 更新プログラムが正しくインストールされたかを確認する方法 – Windows 10 の場合
  • コンピュータウイルス・不正アクセスの届出状況および相談状況［2018年第3四半期（7月～9月）］
  • |「制御システムのセキュリティリスク分析ガイド 第2版 ～セキュリティ対策におけるリスクアセスメントの実施と活用～」を公開
  • DOH! DNS Over HTTPS Poses Possible Risks to Enterprises
  • 本当に安全？　「二段階認証」のハナシ
  • 包括的にSame-Origin Policy（同一生成元ポリシー）を理解する＜2018年夏＞

• 技術
  • 「Ubuntu 18.10」リリース
  • 「OpenSSH 7.9」リリース、バグ修正が中心
  • 「Firefox 63」リリース、トラッキング保護を強化
  • 「Apache HTTP Server v2.4.37」リリース、TLS 1.3をサポート
  • MariaDB 5.5.62 now available
  • 色：ヘキサコードから眼球まで – Part 1.
  • 色：ヘキサコードから眼球まで – Part 2.
  • Vaping Smokeping が　VAPingか(笑)
  • 有名サービスのステータスページをまとめてみた
  • FANCI : Feature-based Automated NXDomain Classification and Intelligence
  • FANCI : Feature-based Automated NXDomain Classification and Intelligence
  • fanci-dga-detection/fanci
  • システムログ書式の構造に着目した システム異常検出手法の検討 /css2018-mizutani
  • Mac OSXでwebページをまるごと保存する

• その他
  • 海賊版サイト「捜査を渋る」日本の警察こそ弊害である
  • 「漫画村」は違法なのか　日本の裁判所が初めて違法性を判断する注目訴訟が26日に判決
  • 「AI開発ミステリー　～そして誰も作らなかった～」　とある大手製造業の怖いハナシ
  • 米語の発音の基礎
  • 大漢和辞典」ついに！デジタル化 ほ、欲しい。高いけど、欲しい
  • 岡口基一裁判官、独占インタビュー「言論の自由を封殺した最高裁へ」 読む価値はある。