罪を憎んで人を憎まず

ことわざで「罪を憎んで人を憎まず」というものがあるが、自分はそれを信条としていたりする。
以下独善的な話になる。苦手な人は読まないほうがいいかもしれない。

私は韓国気質が嫌いだ。反吐がでるくらいに嫌いだ。でも韓国の友人がいる。この場合、韓国の教育方針が嫌いだし、その教育に洗脳されたものの考え方が嫌いだということだ。もちろん教育していなくとも国の人々の考え方の傾向が民意として受け継がれていく。韓国の人々は、本人が気づかぬところでその感情やら発想やらを固定化されているだけなのであって、その部分を嫌うことはアリであってもその人を否定する理由にはならない。

今回サーバへの攻撃を続けている人間がどの人かは判っていないが、会社に対しての恨みをぶつけてきているというのははっきりしている。私はその個人の行動は非常に腹立たしいし、しなくてもよい心配をし、対策を行うことによって多大な被害を受けているとも言え、正直恨みの感情を持っている。しかしながらその人にはそこまでするだけの理由があるのだろう。自分が同じ状況だったら、そこまで考えないだろうが、その人にはその人なりの感覚があり、また過去がある。だからこそ単純にその個人を恨むことはできない。

しかし一点思っているところがある。犯行の可能性のある人々はもう30代。すなわち自身の行動への責任を取るべき人間とも言える。問題の行動は破壊活動ではないことから、その恨むという感情については心情を察する部分もあるが、行動についてははっきり「ガキ」だと思っている。

大人は感情をコントロールできて然るべきだし、他人に迷惑をかける行動は慎むべきだ。そういう行為を繰り返し、もし「だって××したほうが悪い」なんて言おうものなら、張り倒したくなるし、大人としての扱いを二度としたくない。

「犯人探しという行動に強い嫌悪を感じる」と20代のしっかりした若者に言われてしまったが、正直勝手に何をと思っている。私の犯人探しは犯人を締め上げるのが目的ではない。最悪の事態への準備、そしてなにより「悪戯を諦めてもらう」ためのものなのだ。立場の違い、その行動がエスカレートした場合の想定される被害の見積もりの違いがそういう発言となったのだろうが、ちょっと思慮不足の発言だと感じられて、悲しかった。

その人も瞬間湯沸かし器のように、カッカカッカしてその怒りのパワーでやっているんだと思う。多分深く考えずの行動なのだと思う。だからこそお願いしたい、もう止めて欲しい。君の気持ちの一端は理解している。が、これ以上になるとほんと警察沙汰にしなくてはならなくなってしまう。

敵機襲来。これは訓練ではない。繰り返す、これは訓練ではない。

ネット上でのアタックやらクラックっていうのは、その場に居合わせるとものすごくワクワクするのは自分だけだろうか。

昔自分のところのサーバにrootkitを仕掛けられそうになったことがある。確かPHPのグループウェアの穴をつついたもので、/tmpにファイルを置いたまでは良かったが、それを実行する前にこちらで発見できたために未然に終わったんだったと思う。
そのときは真っ青になったが、敵がどこから来て、何をやっていて、で、最終手段としてLANケーブルを抜くことができると判ったから相手を観察することができた。

今回、正にまた自分のコントロールすべきサーバで発生した。悪意のあるコードを実行している輩を見つけたのだ。

サーバの応答が悪い。netstatで見ても特に異常なパケットが飛んでいるわけでもなし、topでみてもさほどCPUを食っている形跡もない。ただ、ddが複数稼働中という点が気になった。でも、夜になっていたし、cronでバックアッププロセスでも動いているのだろうと思っていた。そもそもそのサーバは何に使われているのかをよく知らなかったし、限られた権限しか持ち合わせていなかった。

それが翌日急変する。サーバが重くて仕方がない。vmstatを動かして原因が見えた。iowaitが100%に張り付こうという状況であった。CPUが遊んでいて、トラフィックも発生していない状況でのこの動き、ディスク障害をまず疑った。しかし異音もないので後回しとして他を調べることとした。
ddが怪しかった。昼も稼動している。もしかするとバックアップなりの夜間処理がうまく終了しきれずに、翌日のバックアップがまた起動され、そうすることでバックアップ速度が低下、そしてまた翌日のバックアップ、というように負荷をかけてしまっているのではないか、と予測した。
ddを起動しているのはbashのスクリプトであることがpstreeで判ったが、あいにくの別ユーザだった。が、幸いにも読み込み権限があり、開いたスクリプトには驚きのコードが。

ddを使って数十TByteのデータを/tmpに書き続け、同時に全ディレクトリのスキャン、数GByteのファイルのmd5sum計算、というものだった。

危害を及ぼすコードはないという事もわかり、あとはそのスクリプトを停止するだけだった。それも既にメールで頼んでおいたので、返信を待つのみであった。

が、そこで考えた。
「もしかすると、このような嫌がらせは続くのではないか。だとすると犯人を確定し、その者に納得して諦めてもらうほうがいいのではないか。」
もちろん外部アクセス禁止という簡単な方法もある。しかし業務引継ぎやら残務整理やらで、単純にアク禁を撃つと孤立してしまう可能性が高かった。

メールの返信があったが、該当サーバのrootアカウントについては触れられていなかった。もしかしたらその人が犯人という可能性も考えなければならなかった。

まず犯行時刻を調べることにした。psにstart欄も出力するように指定すると朝9時前、そして16時前少なくともその2回問題のスクリプトを起動していた。lastで確認すると確かにそのユーザがログインしている。アクセス元はVPNだったため真のアクセス元は確認できなかった。

ふとwコマンドを打つと、何日も前からtty1にユーザがログインしていた。と、見逃しそうになったがログインユーザは例のスクリプトを実行したユーザだった。
サーバの場所はわかっていたので、それを確認すると、繋がれた線は2本。電源とLANケーブルのみだった。ディスプレイとUSBキーボードを接続するとまさに必要な画面が現れた。

まずはそのユーザが何を叩いたか、つまりは.bash_historyを確認した。コマンドを入力した日時はわからなかったが、なるほど、仕込みをしようとしていた様子が浮き彫りになった。
ざっと状況を確認する。そのユーザでのcronは空。crontabを編集した形跡はあるがかなり前のものである可能性がある。他にはtopとpsを使った形跡が最近あるだけだ。だれがログインしているかは確認していないようだ。

他に悪意が残されていないかをざっと確認したが特に見当たらず、あと心配するとしたらファイルを消されてしまうという逃げようもない「業務威力妨害罪」くらいだ。今回のこのいたずらも30を過ぎた野郎の仕業であって、正式に訴えたら「ごめんなさい」では済まず、やはり業務威力妨害罪が適用できる範疇ではある。だが目的はそこではない。意地悪を諦めてもらうことだ。

こうなると時間の問題という可能性もあり、直接電話で「一番信頼できるであろう」筋にrootアカウントについて教えを請う。
多少のすったもんだがあったがrootアカウントは入手。rootの.bashrc等に爆弾がある可能性もあったがここは大丈夫だろうとrootでログイン。真っ先に/var/logの確保、VPNのログを確認する。あまり読みやすいログではなかったので、後回しとして、爆弾がばら撒かれていないかを確認していく。

rootの.bash_history、rootおよび他のcrontab、at、init.d、/、/tmp、/var/tmp、ひとまず大丈夫そうだ。

終電2本前に帰り着いてVPNログを確認する。問題の2つの時間帯にアクティブだったVPNコネクションは4つ。それ以上の絞込みは難しいようだ。

少し思案して、会社に泊まりこまなかった事を後悔した。
あれだけディスクをぶん回されていたらディスクの寿命が来てしまうかもしれない。それが目的だったのか。
そして、cronで自動実行しているわけでもなく、2回に分けてアクセスしており、psでプロセスを確認していることを考えると、問題のスクリプトを書き換えるなどして、早期に終了するようにしておけばよかったのではないか。そうすることでまたスクリプトを実行する愚行を検出できたのではないか。

まぁともかく、自宅では何もできない。その4本の接続先を確認し、絞込みを続けるしかない。

多分続編を書くと思う。

神の試練

自分はこう見えてもクリスチャンだったりする。いわゆる、やさぐれクリスチャン？

別のblogにも書いてるが、正直今が一番苦しい。お金になる仕事ができない状況が続いていて、経済的にはほとんど破綻していたりする。にも関わらず納税の時期到来ということで、思うこと。

神は、まさに苦しいときにこそ試練を与える。

たしかそんな言葉だったと思うけれども、本当にその時が今だという感じだ。
ただ著書を持つ人々の話を思い出すと、そういう辛い時期を乗り越えたときにこそ道が開けて、苦しくなる前以上に上へのステージに向かうことができたというエピソードが多かったように思う。

ぎりぎりと歯を食いしばって、バネを縮め、これでもかというほどに我慢をした後、チャンスと共にそのバネの力を解き放つことによって、普段では無理だったところまで到達できる、そんなイメージだ。

前厄という話は書いたが、厄というのは変化を意味するらしい。悪い変化も厄だが良い変化も厄というわけだ。この変革のチャンスをしっかり握って離さず辛くても乗り切ってみせる、今はそう考えている。半年後、笑っていられる事を切に願う。

最初の1段目に足をかける

そんなこんな(といっても今は何も書けないから意味不明だろうが)で今日からとりあえず出勤。今日の作業がお金になるという確証もないから出勤と言う言葉が妥当かどうか不明だが。

TODOの把握、そして現状の把握。まぁ引継ぎ案件の常だけど、聞く側は必死。大量の未知の概念やら言葉やらの津波にもまれ続ける。しかも彼はもう直接のヘルプはできないかも、なんて後で知る。なるほど苦難の道だ。

とにかく判ったこと。(いつものことだが)現状をきっちり記した資料というものは不在。断片的な資料はあちこちに散逸していて、「何がどこにあるのか」を知ることが現状の最大のタスクということを把握。

訳もわからぬままメモし、イメージを明確化しようともがいているところに明日の予定が決まる。本陣に乗り込むことが決定したらしい。身の振り方を最終決断するときがもう来た。こっちは既に「最低限生活を支えられる収入」だけを条件に残してあとは捨ててる。逆風もないことはないが、心強い味方もいる。当たって砕けてこよう。