서블릿 어노테이션을 박아서 자동 인식하려고 하다가 

아무래도 만들고 있을 것 같아서 찾다보니 여기까지 -_-;

근데 이런 것까지 신경쓰다 보면 정작 중요한 것 만들 시간이 없을테니

야매 소리 들어도 별 수 없이 대충 해야겠다.. 쩝..

운 좋으면 나중에 백마 탄 초인이 나타나서 표준에 맞게 다 고쳐주겠지..

오늘 중에 스톰 센터 복구할 수 있을지 없을지 모르겠다.

일반 감기약하고 타미플루 섞어서 처방 받았지만 음

주사 맞고 일반 감기약 먹고 나서도 여전히 으슬으슬하고 비리비리하던 것이 -_-

저녁 때 타미플루 먹고 멀쩡해지는 것으로 봐서는

역시 신종플루에 걸린 것 같은 느낌?

낮에는 거의 걸어다니기도 힘든 상태였다는..

고렙이 제일 먼저 맛이 가고 홈형도 맛이 가고..

나머지 인원들도 상태를 장담할 수 없을듯 (..)

결론은 플루 때문에 토요일 모임 쉽니다..

POC 못 가니까 이거라도 가야지 (..);;

낼 저녁 때 봐요~~

[2009-11-02 17:55:50.918+0900] (/10.10.0.10:514) => <33>last message repeated 7 times

[2009-11-02 18:08:59.228+0900] (/10.10.0.10:514) => <129>snort[24858]: [122:17:0] (portscan) UDP Portscan[Priority: 3]: {PROTO:255} 220.45.142.139 -> 10.10.0.10

[2009-11-02 18:13:28.419+0900] (/10.10.0.10:514) => <129>snort[24858]: [1:486:4] ICMP Destination Unreachable Communication with Destination Host is Administratively Prohibited [Classification: Misc activity] [Priority: 3]: {ICMP} 220.45.142.139 -> 10.10.0.2

감자가 alert_syslog 관련해서 내용 좀 추가할 예정

[A:B:C]에서 A는 GENERATOR ID, B는 SID, C는 REV

앞에 [2009-11-02 17:55:46.953+0900] (/10.10.0.10:514) =>  부분은 

크라켄 시스로그에서 찍은 부분이고 뒷부분이 실제 로그 데이터

파싱하기 귀찮게 생겼네..

마감 기한이 한 달 남은 상황에서 발등에 불 떨어진 것처럼 만들고 있습니다. 초기 예상과 달리 크라켄 필터는 별로 안 쓰게 되었다는.. 필터 연동 포인트는 있지만 그대로 쓰면 너무 배포나 사용 방식이 복잡해질 듯 해서 단순화 중입니다. 

kraken-rrd (stania)

보통 ESM 만들면 DB에 통계 테이블 다 따로 만들고 그래프도 다 따로 만들어 붙이고 노가다인데.. RRD를 자바 API로 구축해서 일반화된 시계열 통계/그래프 생성이 가능하게 할 겁니다. 디스크도 덜 먹고 보여주는 것도 빠를테고 쓰기도 편하고..

kraken-pcap + L3/L4/L7 decoders (mindori)

이제 PCAP 파일 열 수 있고.. TCP/IP 재조립도 되고.. 지금은 프로토콜별로 디코더 만드는 중입니다. 자바로 만들어서 그거 어따 쓰냐고 할 수도 있는데 딱히 고성능이 안 필요한 응용에는 다양하게 활용될 수 있습니다. 물론 굳이 만드려면 자바 기반으로 IDS도 만들 수 있겠으나 ㅡㅡ;; 일단은 PCAP 덤프 해석용입니다. pcapr 사이트처럼 패킷 덤프를 웹에서 보여주는 것도 이걸로 쉽게 될거라는..

kraken-dns (mindori)

unix 계열에서 dig 유틸리티 쓰는 것처럼 DNS 패킷을 마음대로 보내고 받아서 해석 가능합니다. fast flux 모니터링이라든가 여러가지 활용할 수 있겠죠. 그런데 다 만들어 놓고 finalizing을 못 해서 여지껏 방치 중 -_-;; kraken-http 등도 비슷한 상황 (..)

입에 풀칠해가면서 만드려니 시간이 참.. 많이 필요하네요. ㅎㅎ

visualization 같은 호사는 언제 부려보나..

POC는 안 됐고 파도콘 때나 보일 수 있을지 딴걸 발표할지..