WannaCryは、LANの中ではsmb(445/TCP)で感染するということなので、簡易な監視のツールを作ってみました。
ミラーしたセグメントのパケットをtcpdumpでキャプチャし、PHPのスクリプトで観測したパケットの数を可視化します。
使い方は、次のような感じ、、、
#tcpdump -ntttti eth0 port 445 | visualize.php
visualize.php は、定期的にhtmlファイルを生成ます
利用者はブラウザでhtmlファイルを閲覧します。
htmlファイルは (例えば10秒毎に)自身をrefreshします。
表示される、画像の１マスは、ノード（PCやサーバ）間のパケット数を色で表現しています。
通信がまったく観測されない場合は濃い青色で観測されたパケット数が多いと黄色～赤に変化します。
また、マスの中の１文字は、観測したパケットの数に応じて、0-9,A-Z…..と表示しています。
#!/usr/bin/php
<?php
/*
Usage:
tcpdump -nttttr xxxxx.pcap port 445 | ./p445.php
*/
$MIN_TH = 5;
$fp=fopen("php://stdin","r");
for($i=1;$i<255;$i++){
for($j=1;$j<255;$j++){
$buf[$i][$j]=0;
}
}
$n=0;$prev_min=0;
while($in=fgets($fp)){
$t=explode(" ",$in);
$date=$t[0]." ".$t[1];
$tmp =explode(":",$t[1]); // hh:mm:ss.xxxxx
$min =$tmp[1]; // min
if(isset($t[3])){
$s=explode(".",$t[3]);
if(isset($s[3])) {
$ip1=$s[3];
$d=explode(".",$t[5]);
$ip2=$d[3];
// echo "$ip1,$ip2\n";
$buf[$ip1][$ip2]++;
}
}
$n++;
if(($n % 2000)==0 || ($min - $prev_min) > $MIN_TH) {
MkHTML($buf,$date);
$prev_min = $min;
}
}
fclose($fp);
MkHTML($buf,$date);
echo "Finished!!!\n";
function MkHTML($buf,$date){
$date="<H3>$date</H3>";
$header="<!DOCTYPE HTML><HTML><HEAD><meta http-equiv=\"refresh\" content=\"10\"></HEAD><BODY>";
$msg="<H3>$date</H3>\n<TABLE>\n";
for($i=1;$i<255;$i++){
$sum=0;
for($j=1;$j<255;$j++){
$sum+=$buf[$j][$i];
}
$iSum[$i]=$sum;
// echo "$i,$iSum[$i]\n";
}
for($i=1;$i<255;$i++){
$tmp="<TR><TD>$i</TD>";$sum=0;
for($j=1;$j<255;$j++){
$var=$buf[$i][$j];
$pt=".";
if($var<63) {
if($var<10) {
$pt=$var;
} else {
$pt=chr(ord('A')+$var-10);
}
}
$sum+=$var;
$var=20*log($var+1);
$color=set_color($var);
if($iSum[$j]!=0) $tmp.= "<TD BGCOLOR=$color>10.8.0.$j\">$pt</TD>";
}
if($sum !=0 ) {
$msg.=$tmp;
$msg.="</TR>\n";
}
}
$msg.="</TABLE>\n<H3>$date</H3></BODY></HTML>\n";
$fw=fopen("/var/www/html/cross.html","w");
fputs($fw,$header);
fputs($fw,$msg);
fclose($fw);
}
function set_color($x){
if ($x<64) {
$r=0; $g= $x*4 ; $b=255;
} else {
if ($x<128){
$r=4*( $x -64 );$g=255;$b=255-$r;
} else {
if ($x<192){
$b=4*( $x - 128 );$r=255;$g=255-$b;
} else {
$r=255;$g=0;$b=255-4*( $x -192);
}
}
}
return "#".sprintf("%02x%02x%02x",$r,$g,$b);
}
?>