昨日はしゃれにならないほどのやばい事態が発生して、とにかくまず影響範囲を必死に調べていたら、２２時くらいになってしまった。会社の先輩は、

「今日はどうしても定時に帰らないといけないから、とにかく調べておいて」

と言い残して去っていった。

こんなときに限ってネットワーク担当も他にいないし（そもそも３人しかいない）、他にサーバ担当が１人いるだけ。居室に２人ぼっちの状態。そのサーバ担当者も別件で忙しく、ところどころアドバイスをしてくれるものの、とにかく影響範囲を調べていた。

なんとか影響範囲は、最悪の事態は免れていた、ということだけ確認できたところで、その報告のメールを流して帰ってきた。

おっかしいなあ。この会社との面談のときに、

「基本的に残業はできないです」

と伝えているし、それはかまわない、と言われていたのだが。

「トラブルとかあったら、やはり遅くなったりしますかね」

と聞いたら、いや、別に全員残っている必要はないし、と言われたから安心していたのに。

そもそも自分しか残ってないではないか。しくしく。
なんか話が違う気がするのだが。これじゃ体がもたないよ。しくしく。
昨日は女子バレーを観戦しようと、早く帰りたかったのに。しくしく。

大事件勃発。４時間半残業。今帰る途中。大丈夫か、俺？

ああ、もうきりがない。

最近ほんとに増えたよ。昨日はIDSがやけに静かだな、と思ったらIDSのproccessであるsnortが検知したsingatureにひっかかったpacketの情報をforwardするbarnyardというproccessがhangしていた。それに気がついてkill -9してrestartすると、mountainのようにalertが。ああもう、とにかくTogetherしようぜ。

そしてその中に３つあったP2Pのalertを調べては対処した。居室まで乗り込んだのは１回だけで、残り１つは誤検知、もう１つは昨日のロシア人のPCだった。ネットワークから切り離してくださいって言ったのに！ぷんぷん。

通信ログを確認したり、昨日の情報なのでIPアドレスからMACアドレスを知るのにDHCPのログを見たり、そのMACアドレスからスイッチのarp情報と突き合わせて通信経路を追っていき、居室まで特定する。はあ、めんどうだわ。SEさんはなにがしスカヤが持ってきた怪しさ満載のPCの解析で忙しい。かなりいろんなものが入り込んでいたようだ。MACアドレスまで偽装されていたらしい。

そんなこんなで、他のタスクやユーザからの依頼も処理して、ようやく帰ろうとしたところで、またalertが…。見なかったことにしたい。いや、でも見てしまったものはしかたがない。とりあえずそのIPの通信履歴を見たら…、

なんだこれは？

う〜ん、最近P2Pというと、いわゆる「ファイル共有ソフト」のことを指し、ランダムなポートを使っていろんなIPアドレスと短時間の間にものすごい量の通信をする。しかし、このケースは、本当の意味でのPeerToPeerな通信ぽい。相手のアドレスは固定で、DNSでちゃんと名前が引ける。しかも某有名国立大学。うちは研究所なので、メッセンジャーか何かのファイル送信機能で、研究データか何かの大きなファイルを送ったのだろうか。しかし、有名どころのメッセンジャーでは別にalertは出ないのだが。何を使ったのかなあ。

まあいいや、今日はこれくらいにしてやろう。明日居室を特定して、何のソフトを使っていたか確認してみよう。というわけで、今日は２時間の残業だった也。明日は女バレなので早く帰るぞ！