[conficker.sh] Ajout commentaires pour diffusion

A Chatenay-Malabry, au pays des windowsiens, ils sont infectes ...

darcs-hash:20090324215700-ddb99-4d0e76f549c97c8d81b5add9c627c6dbebf009b7.gz

surveillance/conficker.sh

@@ -18,6 +18,31 @@
 # Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA  02111, USA.
 
 
+#####
+# Ce script est fait pour détecter les machines infectées par Conficker.
+# Il fonctionne un peu à la "devinette", il est donc conseillé de vérifier
+# sa sortie (il enregistre chaque étape dans un fichier indiqué par
+# [> fichier]).
+#####
+# Fonctionnement :
+# -Il analyse les logs de Squid à la recherche des requêtes du type :
+#   GET http://[une ip quelconque]/search?
+#  qui sont du format de requête typique de Conficker.
+# -Il récupère les couples [IP ayant émis la requête] [IP dans la requête]
+# -Il retrie ces couples et compte le nombre d'occurences
+# -Il regarde le reverse DNS de chaque IP se trouvant dans des requêtes
+#   suspectes
+# -Il ne garde que les IPs n'ayant pas de reverse DNS (ce qui peut être
+#   trop restrictif, mais il s'agit d'éviter de compter les vraies
+#   requêtes (émises par exemple vers Google), puis regarde quelles
+#   IPs source ont émis des requêtes vers ces IP
+# -Il finit par afficher ces IPs sources (machines très probablement
+#   infectées), et les statistiques de communication entre ces IPs sources
+#   et les IPs destination suspectes
+#####
+
+
+# A changer bien sûr selon les cas  ...
 if [ "`hostname`" != "sable" ]
 then
   echo "Vous devez exécuter ce script sur sable !"
@@ -34,6 +59,7 @@ touch $FILES
 chmod go-rwx $FILES
 
 # On regarde les lignes de la forme "...GET http://[une ip]/search?..."
+# (requêtes typiques de Conficker)
 echo -n " * Recherche des lignes de logs correspondantes ... [> base] Lignes : "
 sudo egrep "GET http://([[:digit:]]{1,3}\.){3}[[:digit:]]{1,3}/search\?" /var/log/squid/access.log | tee base | wc -l