ページの先頭です

ページ内移動用のリンクです
  1. ホーム
  2. IIJの技術
  3. セキュリティ・技術レポート
  4. Internet Infrastructure Review（IIR）
  5. Vol.28
  6. 1.インフラストラクチャセキュリティ

Internet Infrastructure Review（IIR）Vol.28
2015年8月31日RSS

目次

1.3 インシデントサーベイ

1.3.1 DDoS攻撃

現在、一般の企業のサーバに対するDDoS攻撃が、日常的に発生するようになっており、その内容は、多岐にわたります。しかし、攻撃の多くは、脆弱性などの高度な知識を利用したものではなく、多量の通信を発生させて通信回線を埋めたり、サーバの処理を過負荷にしたりすることでサービスの妨害を狙ったものになっています。

直接観測による状況

図-2に、2015年4月から6月の期間にIIJ DDoSプロテクションサービスで取り扱ったDDoS攻撃の状況を示します。

図-2 DDoS攻撃の発生件数

ここでは、IIJ DDoSプロテクションサービスの基準で攻撃と判定した通信異常の件数を示しています。IIJでは、ここに示す以外のDDoS攻撃にも対処していますが、攻撃の実態を正確に把握することが困難なため、この集計からは除外しています。

DDoS攻撃には多くの攻撃手法が存在し、攻撃対象となった環境の規模（回線容量やサーバの性能）によって、その影響度合が異なります。図-2では、DDoS攻撃全体を、回線容量に対する攻撃（※23）、サーバに対する攻撃（※24）、複合攻撃（1つの攻撃対象に対し、同時に数種類の攻撃を行うもの）の3種類に分類しています。

この3ヵ月間でIIJは、361件のDDoS攻撃に対処しました。1日あたりの対処件数は3.97件で、平均発生件数は前回のレポート期間と比べて減少しました。DDoS攻撃全体に占める割合は、サーバに対する攻撃が52.1%、複合攻撃が14.9%、回線容量に対する攻撃が33%でした。今回の対象期間で観測された中で最も大規模な攻撃は、複合攻撃に分類したもので、最大271万3千ppsのパケットによって8.25Gbpsの通信量を発生させる攻撃でした。

攻撃の継続時間は、全体の77.3%が攻撃開始から30分未満で終了し、22.7%が30分以上24時間未満の範囲に分布しており、24時間以上継続した攻撃はありませんでした。なお、今回もっとも長く継続した攻撃は、複合攻撃に分類されるもので12時間39分にわたりました。

攻撃元の分布としては、多くの場合、国内、国外を問わず非常に多くのIPアドレスが観測されました。これは、IPスプーフィング（※25）の利用や、DDoS攻撃を行うための手法としてのボットネット（※26）の利用によるものと考えられます。

backscatterによる観測

図-3 DDoS攻撃のbackscatter観測による攻撃先の国別分類

次に、IIJでのマルウェア活動観測プロジェクトMITFのハニーポット（※27）によるDDoS攻撃のbackscatter観測結果を示します（※28）。backscatterを観測することで、外部のネットワークで発生したDDoS攻撃の一部を、それに介在することなく第三者として検知できます。

2015年4月から6月の間に観測したbackscatterについて、発信元IPアドレスの国別分類を図-3に、ポート別のパケット数推移を図-4にそれぞれ示します。

観測されたDDoS攻撃の対象ポートのうち最も多かったものはDNSで利用される53/UDPで、全パケット数の34.5%を占めています。次いでWebサービスで利用される80/TCPが22.3%を占めており、上位2つで全体の56.8%に達しています。また、HTTPSで利用される443/TCP、DNSで利用される53/TCPへの攻撃、ゲームサーバで利用されることがある25565/TCP、通常は利用されない6147/TCPや2584/TCPなどへの攻撃が観測されています。

図-4 DDoS攻撃によるbackscatter観測（観測パケット数、ポート別推移）

2014年2月から多く観測されている53/UDPは、1日平均のパケット数を見ると、前回の約6,200から減少して約5,600になりましたが、高止まりの状態にあります。

図-3で、DDoS攻撃の対象となったIPアドレスと考えられるbackscatterの発信元の国別分類を見ると、中国の26.0%が最も大きな割合を占めています。その後に米国の20.5%、カナダの7.2%といった国が続いています。

特に多くのbackscatterを観測した場合について、攻撃先のポート別にみると、Webサーバ（80/TCP）への攻撃としては、4月26日から5月1日にかけて米国ホスティング事業者への攻撃、5月2日にはカナダのホスティング事業者のサーバ群に対する攻撃を観測しています。他のポートへの攻撃としては、4月19日から20日にかけて6147/TCPへの攻撃が観測されましたが、backscatterの発信元IPアドレスがプライベートアドレスであるため、攻撃対象は不明です。6月17日には米国ISPのサーバに対する2584/TCPへの攻撃を観測しています。

また、今回の対象期間中に話題となったDDoS攻撃のうち、IIJのbackscatter観測で検知した攻撃としては、4月13日から15日にかけてイギリスのオンラインカジノへの攻撃、5月5日にフランスの原子力関連企業への攻撃、6月18日と28日に複数のカナダ政府機関サイトへの攻撃をそれぞれ検知しています。

1.3.2 マルウェアの活動

ここでは、IIJが実施しているマルウェアの活動観測プロジェクトMITF（※29）による観測結果を示します。MITFでは、一般利用者と同様にインターネットに接続したハニーポット（※30）を利用して、インターネットから到着する通信を観測しています。そのほとんどがマルウェアによる無作為に宛先を選んだ通信か、攻撃先を見つけるための探索の試みであると考えられます。

無作為通信の状況

図-5 発信元の分布（国別分類、全期間）

2015年4月から6月の期間中に、ハニーポットに到着した通信の発信元IPアドレスの国別分類を図-5に、その総量（到着パケット数）の推移を図-6に、それぞれ示します。MITFでは、数多くのハニーポットを用いて観測を行っていますが、ここでは1台あたりの平均を取り、到着したパケットの種類（上位10種類）ごとに推移を示しています。また、この観測では、MSRPCへの攻撃のような特定のポートに複数回の接続を伴う攻撃は、複数のTCP接続を1回の攻撃と数えるように補正しています。

本レポートの期間中にハニーポットに到着した通信の多くは、多くがDNSの水責め攻撃を試みるものや、パケットの応答を増幅してDoS攻撃を行う機器を探査する通信、Proxyサーバの探査を行う通信、Microsoft社のOSで利用されているTCPポートに対する探索行為でした。6月7日から6月30日にかけて、ハニーポットの１つに対してDNSサーバで使用される53/UDPへの大量の通信が発生しています。これらの通信の発信元のIPアドレス分布は米国、中国が中心であるものの、ほとんどが重複しておらず広範囲だったことから、botが使われたか発信元が詐称された可能性があります。この通信内容を調査したところ、ランダム文字列.www.example.comのような存在しないAレコードの問い合わせが繰り返し行われていました。このことから、DNS水責め攻撃（DNS Water Torture）（※31）であると考えられます。攻撃対象となったドメインのいくつかは中国のサーバ（.comドメイン）でした。

また、いくつかのIPアドレスからはDNSのTXTレコードの問い合わせと共に、multicast DNSで使用される5353/UDPや、NTPで使用される123/UDP、NAT-PMPで使われる5351/UDPなどを探査する行為も行われていました。これらは攻撃したいサイトを送信元に詐称してパケットを送信し、応答パケットを増幅するタイプのリフレクション攻撃を行うことが可能な機器を探査していたと考えられます。また、5351/UDPに関しては、一部の機器が外部からNAT-PMPを操作可能であったとする報告（※32）がなされており、脆弱な機器を探査する行為であった可能性もあります。

4月中、及び5月初旬にかけて、8888/TCPの通信が増加しています。この通信は中国に割り当てられた2つのIPアドレスから広範囲のIPアドレスに対して繰り返し行われており、8888/TCP以外にもオンラインゲーム用ユーティリティツール KanColleViewerで使われる37564/TCP（※33）、Privoxyと呼ばれるProxyサーバで使用される8118/TCP（※34）、Squidなど、いくつかのProxyサーバの初期設定である3128/TCP、Polipoと呼ばれるProxyサーバで使用される8123/TCP、8080/TCPの代替として使われる8090/TCPなどのポートに対する探査行為も同時に行われていたため、Open Proxyサーバを探査する行為であったと考えています。

図-6 ハニーポットに到着した通信の推移（日別・宛先ポート別・1台あたり）

ネットワーク上のマルウェアの活動

図-7 検体取得元の分布（国別分類、全期間、Confickerを除く）

同じ期間中でのマルウェアの検体取得元の分布を図-7に、マルウェアの総取得検体数の推移を図-8に、そのうちのユニーク検体数の推移を図-9にそれぞれ示します。このうち図-8と図-9では、1日あたりに取得した検体（※35）の総数を総取得検体数、検体の種類をハッシュ値（※36）で分類したものをユニーク検体数としています。また、検体をウイルス対策ソフトで判別し、上位10種類の内訳をマルウェア名称別に色分けして示しています。なお、図-8と図-9は前回同様に複数のウイルス対策ソフトウェアの検出名によりConficker判定を行いConfickerと認められたデータを除いて集計しています。

期間中の1日あたりの平均値は、総取得検体数が91、ユニーク検体数が17でした。未検出の検体をより詳しく調査した結果、中国、米国、インド、台湾、オーストリアなどに割り当てられたIPアドレスでWormなどが観測されました。また、未検出の検体の約55%がテキスト形式でした。これらテキスト形式の多くは、HTMLであり、Webサーバからの404や403によるエラー応答であるため、古いワームなどのマルウェアが感染活動を続けているものの、新たに感染させたPCが、マルウェアをダウンロードしに行くダウンロード先のサイトが既に閉鎖させられていると考えられます。

MITF独自の解析では、今回の調査期間中に取得した検体は、ワーム型90.0%、ボット型1.8%、ダウンローダ型8.2%でした。また解析により、106個のボットネットC&Cサーバ（※37）と9個のマルウェア配布サイトの存在を確認しました。ボットネットのC&Cサーバの数が以前よりも高くなっていますが、これはDGA（ドメイン生成アルゴリズム）を持つ検体が期間中に出現したためです。

図-8 総取得検体数の推移（Confickerを除く）

図-9 ユニーク検体数の推移（Confickerを除く）

Confickerの活動

本レポート期間中、Confickerを含む1日あたりの平均値は、総取得検体数が27,999、ユニーク検体数は549でした。短期間での増減を繰り返しながらも、総取得検体数で99.7%、ユニーク検体数で97.0%を占めています。このように、今回の対象期間でも支配的な状況が変わらないことから、Confickerを含む図は省略しています。本レポート期間中の総取得検体数は前回の対象期間と比較し、約44%増加し、ユニーク検体数は前号から約10%減少しました。総取得検体数の増加は、本レポートの期間中、米国に割り当てられたIPアドレスからの感染活動が増加したためです。Conficker Working Groupの観測記録（※38）によると、2015年7月1日現在で、ユニークIPアドレスの総数は775,060とされています。2011年11月の約320万台と比較すると、約24%に減少したことになりますが、依然として大規模に感染し続けていることが分かります。

1.3.3 SQLインジェクション攻撃

IIJでは、Webサーバに対する攻撃のうち、SQLインジェクション攻撃（※39）について継続して調査を行っています。SQLインジェクション攻撃は、過去にもたびたび流行し話題となった攻撃です。SQLインジェクション攻撃には、データを盗むための試み、データベースサーバに過負荷を起こすための試み、コンテンツ書き換えの試みの3つがあることが分かっています。

図-10 SQLインジェクション攻撃の発信元の分布

2015年4月から6月までに検知した、Webサーバに対するSQLインジェクション攻撃の発信元の分布を図-10に、攻撃の推移を図-11にそれぞれ示します。これらは、IIJマネージドIPSサービスのシグネチャによる攻撃の検出結果をまとめたものです。発信元の分布では、中国63.3%、日本20.7%、米国7.6%となり、以下その他の国々が続いています。Webサーバに対するSQLインジェクション攻撃の発生件数は前回に比べて大幅に減少しました。これは中国からの大規模な攻撃が減少したためですが、中国からの攻撃は依然として継続して発生しており、多くの割合を占めています。

この期間中、4月22日から4月23日にかけて中国の特定の攻撃元から特定の攻撃先に対する攻撃が発生していました。5月14日には中国の別の特定の攻撃元より特定の攻撃先に対する攻撃が発生しています。6月21日には米国やヨーロッパ各国の複数の攻撃元より特定の攻撃先に対する攻撃が発生しています。これらの攻撃はWebサーバの脆弱性を探る試みであったと考えられます。

ここまでに示したとおり、各種の攻撃はそれぞれ適切に検出され、サービス上の対応が行われています。しかし、攻撃の試みは継続しているため、引き続き注意が必要な状況です。

図-11 SQLインジェクション攻撃の推移（日別、攻撃種類別）

1.3.4 Webサイト改ざん

MITFのWebクローラ（クライアントハニーポット）によって調査したWebサイト改ざん状況を示します（※40）。

このWebクローラは国内の著名サイトや人気サイトなどを中心とした数十万のWebサイトを日次で巡回しており、更に巡回対象を順次追加しています。また、一時的にアクセス数が増加したWebサイトなどを対象に、一時的な観測も行っています。一般的な国内ユーザによる閲覧頻度が高いと考えられるWebサイトを巡回調査することで、改ざんサイトの増減や悪用される脆弱性、配布されるマルウェアなどの傾向が推測しやすくなります。

2015年4月から6月の期間に検知されたドライブバイダウンロードは、2015年1月から3月の期間の2倍以上に増加しています。前半はNeutrinoが多く観測されましたが、後半はほとんどNuclearへとシフトしています（図-12）。また、6月中旬の一時期、Sundownという新たなExploit Kitを検知しました。Sundownは特に日本国内のユーザを対象とした攻撃に用いられており（※41）、MITFにおける観測時には、CVE-2015-0311やCVE-2015-0313などのFlashの脆弱性を悪用して最終的にKasidetなどのマルウェアのダウンロードが発生したことを確認しました。

2015年7月1日にWebクローラシステムの更新を行い、機能の追加や構成の変更を実施したところ、MITFでは2015年1月以降検知していなかったAnglerによる攻撃が観測されるようになりました。Anglerの攻撃は他の攻撃の合計よりも多く、7月1日以降は攻撃検知の総数が3倍近くに増加しています。このことから、6月30日以前の期間においても、Anglerが日本国内のユーザを対象とした攻撃に用いられていた可能性が極めて高いものと考えられます。Anglerによる攻撃の観測状況や、その内容については「1.4.2 猛威を振るうAngler Exploit Kit」も併せて参照ください。

図-12 Webサイト閲覧時のドライブバイダウンロード発生率（％）（Exploit Kit別）

全体として、ドライブバイダウンロードによる攻撃が比較的多く発生している状況です。2015年7月初旬にはExploit Kitで悪用可能な複数の0day脆弱性（CVE-2015-5119、CVE-2015-5122など）が公開され、前述のAnglerやNuclear、NeutrinoなどのExploit Kitが極めて短期間でそれらを悪用する機能を取り込んでいます。ブラウザ利用環境では、OSやブラウザ関連プラグインの脆弱性をよく把握し、更新の適用やEMETの有効化などの対策を徹底することを推奨します。また、Webサイト運営者はWebコンテンツの改ざん対策に加え、外部の第三者から提供されるマッシュアップコンテンツの健全性についても確認することが重要です。

  1. （※23）攻撃対象に対し、本来不必要な大きなサイズのIPパケットやその断片を大量に送りつけることで、攻撃対象の接続回線の容量を圧迫する攻撃。UDPパケットを利用した場合にはUDP floodと呼ばれ、ICMPパケットを利用した場合にはICMP floodと呼ばれる。
  2. （※24）TCP SYN floodやTCP connection flood、HTTP GET flood攻撃など。TCP SYN flood攻撃は、TCP接続の開始の呼を示すSYNパケットを大量に送付することで、攻撃対象に大量の接続の準備をさせ、対象の処理能力やメモリなどを無駄に利用させる。TCP Connection flood攻撃は、実際に大量のTCP接続を確立させる。HTTP GET flood攻撃は、Webサーバに対しTCP接続を確立した後、HTTPのプロトコルコマンドGETを大量に送付することで、同様に攻撃対象の処理能力やメモリを無駄に消費させる。
  3. （※25）発信元IPアドレスの詐称。他人からの攻撃に見せかけたり、多人数からの攻撃に見せかけたりするために、攻撃パケットの送出時に、攻撃者が実際に利用しているIPアドレス以外のアドレスを付与した攻撃パケットを作成、送出すること。
  4. （※26）ボットとは、感染後に外部のC&Cサーバからの命令を受けて攻撃を実行するマルウェアの一種。ボットが多数集まって構成されたネットワークをボットネットと呼ぶ。
  5. （※27）IIJのマルウェア活動観測プロジェクトMITFが設置しているハニーポット。「1.3.2 マルウェアの活動」も参照。
  6. （※28）この観測手法については、本レポートのVol.8（http://www.iij.ad.jp/dev/report/iir/pdf/iir_vol08.pdfPDF）の「1.4.2 DDoS攻撃によるbackscatterの観測」で仕組みとその限界、IIJによる観測結果の一部について紹介している。
  7. （※29）Malware Investigation Task Forceの略。MITFは2007年5月から開始した活動で、ハニーポットを用いてネットワーク上でマルウェアの活動の観測を行い、マルウェアの流行状況を把握し、対策のための技術情報を集め、対策につなげる試み。
  8. （※30）脆弱性のエミュレーションなどの手法で、攻撃を受けつけて被害に遭ったふりをし、攻撃者の行為やマルウェアの活動目的を記録する装置。
  9. （※31）Secure64 Software Corporation、"Water Torture: A Slow Drip DNS DDoS Attack"（https://blog.secure64.com/?p=377blank）。日本語での解説としては、株式会社日本レジストリサービス 森下氏による次の資料が詳しい。「DNS水責め（Water Torture）攻撃について」（http://2014.seccon.jp/dns/dns_water_torture.pdfPDF）。MITFハニーポットはDNSの問い合わせパケットを受信しても、権威サーバやキャッシュサーバに問い合わせに行かないため、攻撃には加担していない。
  10. （※32）「JVNVU#99291862複数のNAT-PMPデバイスがWAN側から操作可能な問題」（https://jvn.jp/vu/JVNVU99291862/blank）。また、過去にはこのポートに対する探査行為についても報告されている。「外部からNAT-PMPの操作が可能である機器の探索行為について」（http://www.npa.go.jp/cyberpolice/detect/pdf/20141030.pdfPDF）。
  11. （※33）KanColleViewerに関しては、初期設定がOpen Proxyになっていたとして、JVNなどが注意喚起をしている。「VNVU#98282440「提督業も忙しい！」（KanColleViewer）がオープンプロキシとして動作する問題」（https://jvn.jp/vu/JVNVU98282440/blank）。また、警察庁がこのポートに対する探査の増加を報告している。「特定のポートを対象としたプロキシ探索の増加について」（http://www.npa.go.jp/cyberpolice/detect/pdf/20150525.pdfPDF）。
  12. （※34）過去にはこのポートのアクセス増加が報告されている。「インターネット観測結果等（ 平成27年1月期）」（https://www.npa.go.jp/cyberpolice/detect/pdf/20150304.pdfPDF）。
  13. （※35）ここでは、ハニーポットなどで取得したマルウェアを指す。
  14. （※36）様々な入力に対して一定長の出力をする一方向性関数（ハッシュ関数）を用いて得られた値。ハッシュ関数は異なる入力に対しては可能な限り異なる出力を得られるように設計されている。難読化やパディングなどにより、同じマルウェアでも異なるハッシュ値を持つ検体を簡単に作成できてしまうため、ハッシュ値で検体の一意性を保証することはできないが、MITFではこの事実を考慮した上で指標として採用している。
  15. （※37）Command & Controlサーバの略。多数のボットで構成されたボットネットに指令を与えるサーバ。
  16. （※38）Conficker Working Groupの観測記録（http://www.confickerworkinggroup.org/wiki/pmwiki.php/ANY/InfectionTracking/blank）。
  17. （※39）Webサーバに対するアクセスを通じて、SQLコマンドを発行し、その背後にいるデータベースを操作する攻撃。データベースの内容を権限なく閲覧、改ざんすることにより、機密情報の入手やWebコンテンツの書き換えを行う。
  18. （※40）Webクローラによる観測手法については本レポートのVol.22（http://www.iij.ad.jp/dev/report/iir/pdf/iir_vol22.pdfPDF）の「1.4.3 WebクローラによるWebサイト改ざん調査」で仕組みを紹介している。
  19. （※41）Sundownについては「Fast look at Sundown EK」（http://malware.dontneedcoffee.com/2015/06/fast-look-at-sundown-ek.htmlblank）にてコントロールパネルなどから得られた情報を踏まえてその機能や攻撃先について言及されている。
1.インフラストラクチャセキュリティ

ページの終わりです

ページの先頭へ戻る