EP 05 / EPISODE BRIEF
共有アカウントの深夜ログイン
認証とセッションの記録を結び付ける
Northstar Labの予約環境で、共有アカウントnorthstar-sharedに深夜の認証記録が残りました。認証失敗・成功、送信元、時刻、ユーザーをauth/sessionログで照合します。記録だけで侵害とは断定せず、追加確認へつなげます。
このエピソードで学ぶこと
ログは1行が1件の記録です。grepは行を絞り、awkやcutは必要な項目を取り出します。sortとuniqは重複の比較に使います。
行数と、利用者数・成功回数は別です。何を1件として数えているか確認しましょう。
ミッション
- 送信元の失敗を拾う指定した予約IPの認証失敗から時刻と共有アカウントを確認する
- 成功記録を切り出す成功したセッションの時刻・ユーザー・送信元を抽出する
- セッションの主体を照合するsession.logからユーザー値を抽出し、認証ログとの一致を確認する
- 主体別の回数を数えるセッション主体ごとの件数を数え、成功後の動きを整理する
- 追加確認へ引き継ぐ成功セッションの周辺証拠を読み、侵害を断定せず確認事項を整理する