Tsusen (津波センサー) est un capteur réseau autonome conçu pour collecter des informations à partir du trafic régulier provenant de l'extérieur (c'est-à-dire Internet) sur une base quotidienne (par exemple, scanners de masse, scanners de services, etc.). Toute perturbation doit être étroitement surveillée car elle peut devenir une bonne base de prédiction d'événements à venir. Par exemple, l'exploitation d'une nouvelle vulnérabilité de service web (par exemple Heartbleed) devrait générer un "pic" visible du nombre total d'"intrus" sur le port réseau affecté.

L'ensemble de commandes suivant devrait permettre de mettre votre capteur Tsusen en marche (prêt à l'emploi avec les paramètres par défaut et l'interface de surveillance any et l'interface de rapport HTTP sur le port par défaut 8339) :

sudo apt-get install python-pcapy
sudo pip install python-geoip python-geoip-geolite2
cd /tmp/
git clone https://github.com/stamparm/tsusen.git
cd tsusen/
sudo python tsusen.py 

Les résultats du capteur sont stockés localement dans des fichiers CSV sur une base quotidienne (par exemple 2015-10-27.csv) avec une écriture périodique (flush) des données du jour en cours (par exemple toutes les 15 minutes). Des exemples de résultats sont les suivants :

proto dst_port dst_ip src_ip first_seen last_seen count
TCP 1080 192.165.63.181 222.186.56.107 1446188056 1446188056 1
TCP 1080 192.165.63.181 64.125.239.78 1446191096 1446191096 1
TCP 1081 192.165.63.181 111.248.100.185 1446175412 1446175412 1
TCP 1081 192.165.63.181 111.248.102.150 1446183374 1446183374 1
TCP 1081 192.165.63.181 36.225.254.129 1446170512 1446170512 1
TCP 1095 192.165.63.181 36.229.233.199 1446177047 1446177047 1
TCP 111 192.165.63.181 80.82.65.219 1446181028 1446181028 1
TCP 111 192.165.63.181 94.102.52.44 1446181035 1446181035 1
TCP 11122 192.165.63.181 222.186.56.39 1446198391 1446198391 1
TCP 11211 192.165.63.181 74.82.47.43 1446200598 1446200598 1
TCP 135 192.165.63.181 1.160.12.156 1446163293 1446163294 3
TCP 135 192.165.63.181 104.174.148.124 1446178211 1446178212 3
TCP 135 192.165.63.181 106.242.5.179 1446180063 1446180064 3
TCP 135 192.165.63.181 173.30.55.76 1446184279 1446195229 6
TCP 135 192.165.63.181 174.100.28.2 1446179470 1446202911 9
TCP 135 192.165.63.181 218.253.225.163 1446174945 1446195646 9
TCP 135 192.165.63.181 219.114.66.114 1446169303 1446183947 6
TCP 135 192.165.63.181 222.186.56.43 1446165515 1446202626 5
...

où proto (par exemple dans la première entrée c'est TCP) représente le protocole utilisé par l'initiateur provenant de src_ip (par exemple dans la première entrée c'est 222.186.56.107) vers notre service <dst_ip:dst_port> (par exemple dans la première entrée c'est 192.165.63.181:1080), first_seen représente l'heure de la première tentative de connexion (de ce jour) représentée au format timestamp Unix (par exemple dans la première entrée c'est 1446188056, ce qui correspond à Fri, 30 Oct 2015 06:54:16 GMT), last_seen représente la dernière tentative de connexion (de ce jour) (par exemple dans la première entrée c'est la même valeur que first_seen), tandis que count contient le nombre total de tentatives de connexion.

Les résultats sont accessibles via l'interface de rapport HTTP (Note : le port par défaut est 8339) :

Licence

Ce logiciel est fourni sous une licence MIT. Consultez le fichier LICENSE ci-joint pour plus d'informations.