1.インフラストラクチャセキュリティ | Internet Infrastructure Review（IIR）Vol.27 | IIJの技術

目次

1.3 インシデントサーベイ

1.3.1 DDoS攻撃

現在、一般の企業のサーバに対するDDoS攻撃が、日常的に発生するようになっており、その内容は多岐にわたります。しかし、攻撃の多くは、脆弱性などの高度な知識を利用したものではなく、多量の通信を発生させて通信回線を埋めたり、サーバの処理を過負荷にしたりすることでサービスの妨害を狙ったものになっています。

直接観測による状況

図-2に、2015年1月から3月の期間にIIJ DDoSプロテクションサービスで取り扱ったDDoS攻撃の状況を示します。

図-2 DDoS攻撃の発生件数

ここでは、IIJ DDoSプロテクションサービスの基準で攻撃と判定した通信異常の件数を示しています。IIJでは、ここに示す以外のDDoS攻撃にも対処していますが、攻撃の実態を正確に把握することが困難なため、この集計からは除外しています。

DDoS攻撃には多くの攻撃手法が存在し、攻撃対象となった環境の規模（回線容量やサーバの性能）によって、その影響度合が異なります。図-2では、DDoS攻撃全体を、回線容量に対する攻撃（※25）、サーバに対する攻撃（※26）、複合攻撃（1つの攻撃対象に対し、同時に数種類の攻撃を行うもの）の3種類に分類しています。

この3ヵ月間でIIJは、384件のDDoS攻撃に対処しました。1日あたりの対処件数は4.27件で、平均発生件数は前回のレポート期間と比べて増加しました。DDoS攻撃全体に占める割合は、サーバに対する攻撃が69.3％、複合攻撃が23.4％、回線容量に対する攻撃が7.3％でした。今回の対象期間で観測された中で最も大規模な攻撃は、複合攻撃に分類したもので、最大117万9千ppsのパケットによって2.83Gbpsの通信量を発生させる攻撃でした。

攻撃の継続時間は、全体の82.6％が攻撃開始から30分未満で終了し、17.4％が30分以上24時間未満の範囲に分布しており、24時間以上継続した攻撃はありませんでした。なお、今回最も長く継続した攻撃は、複合攻撃に分類されるもので10時間37分にわたりました。

攻撃元の分布としては、多くの場合、国内、国外を問わず非常に多くのIPアドレスが観測されました。これは、IPスプーフィング（※27）の利用や、DDoS攻撃を行うための手法としてのボットネット（※28）の利用によるものと考えられます。

backscatterによる観測

図-3 DDoS攻撃のbackscatter観測による攻撃先の国別分類

次に、IIJでのマルウェア活動観測プロジェクトMITFのハニーポット（※29）によるDDoS攻撃のbackscatter観測結果を示します（※30）。backscatterを観測することで、外部のネットワークで発生したDDoS攻撃の一部を、それに介在することなく第三者として検知できます。

2015年1月から3月の間に観測したbackscatterについて、発信元IPアドレスの国別分類を図-3に、ポート別のパケット数推移を図-4にそれぞれ示します。

図-4 DDoS攻撃によるbackscatter観測（観測パケット数、ポート別推移）

観測されたDDoS攻撃の対象ポートのうち最も多かったものはWebサービスで利用される80/TCPで、対象期間における全パケット数の38.2％を占めています。次いでDNSで利用される53/UDPが31.8％を占めており、上位2つで全体の70％に達しています。また、IRC（Internet Relay Chat）で利用される6667/TCP、SMTPで利用される25/TCP、HTTPSで利用される443/TCPへの攻撃、通常は利用されない2710/TCPや25565/TCP、27015/UDPなどへの攻撃が観測されています。

2014年2月から多く観測されている53/UDPは、1日平均のパケット数を見ると、前回の約3,900から増加して約6,200になっており、依然として増加傾向にあります。

図-3で、DDoS攻撃の対象となったIPアドレスと考えられるbackscatterの発信元の国別分類を見ると、カナダの20.3％が最も大きな割合を占めています。その後に米国の18.4％、中国の14.3％といった国が続いています。

特に多くのbackscatterを観測した場合について、攻撃先のポート別にみると、Webサーバ（80/TCP）への攻撃としては、1月21日から26日にかけてカナダのホスティング事業者への攻撃を観測しています。この事業者では3月20日から再び、ある中国製ゲームに関連する複数のWebサイトに対象を絞った攻撃が継続して観測されています。また、3月4日から9日にかけて米国ホスティング事業者に対する攻撃を観測しています。他のポートへの攻撃としては、1月22日から25日にかけてフランスのゲーム関連サイトに対する25/TCPへの攻撃が観測されています。

また、今回の対象期間中に話題となったDDoS攻撃のうち、IIJのbackscatter観測で検知した攻撃としては、1月1日から4日にかけてフィンランドの金融機関グループへの攻撃、1月11日にAnonymousによるイスラム過激派サイトへの攻撃（OpCharlieHebdo）、3月27日から29日にかけてGitHubへの攻撃をそれぞれ検知しています。GitHubへの攻撃については、報告されている攻撃手法ではbackscatterが発生しないことから、他の手法によるDDoS攻撃も並行して行われていたことが分かります。

1.3.2 マルウェアの活動

ここでは、IIJが実施しているマルウェアの活動観測プロジェクトMITF（※31）による観測結果を示します。MITFでは、一般利用者と同様にインターネットに接続したハニーポット（※32）を利用して、インターネットから到着する通信を観測しています。そのほとんどがマルウェアによる無作為に宛先を選んだ通信か、攻撃先を見つけるための探索の試みであると考えられます。

無作為通信の状況

図-5 発信元の分布（国別分類、全期間）

2015年1月から3月の期間中に、ハニーポットに到着した通信の発信元IPアドレスの国別分類を図-5に、その総量（到着パケット数）の推移を図-6に、それぞれ示します。MITFでは、数多くのハニーポットを用いて観測を行っていますが、ここでは1台あたりの平均を取り、到着したパケットの種類（上位10種類）ごとに推移を示しています。また、この観測では、MSRPCへの攻撃のような特定のポートに複数回の接続を伴う攻撃は、複数のTCP接続を1回の攻撃と数えるように補正しています。

図-6 ハニーポットに到着した通信の推移（日別・宛先ポート別・1台あたり）

図-7 総取得検体数の分布

ハニーポットに到着した通信の多くは、Microsoft社のOSで利用されているTCPポートに対する探索行為でした。また、同社のSQL Serverで利用される1433/TCP、SSHで利用される22/TCP、Telnetで利用される23/TCP、HTTP Proxyで用いられる8080/TCP、ICMP EchoリクエストやHTTPで使われる80/TCPや443/TCP、RDPで使われる3389/TCPに対する探査行為も観測されています。前号の11月以降継続していたTelne（t 23/TCP）への通信の増加は2月まで続いていました。調査したところ、中国及び日本に割り当てられたIPアドレスから主に受信しています。2月17日から2月20日にかけて、中国、米国、香港、台湾、ロシアなどに割り当てられた多くのIPアドレスからの通信が増加しています。通信の多くはssh、Telnet、Proxyサーバなどを見つけるための探査行為でした。3月21日から3月23日には中国、米国などに割り当てられた多くのIPアドレスからの通信が増加しており、これについても同様の傾向になっていました。

ネットワーク上でのマルウェアの活動

同じ期間中でのマルウェアの検体取得元の分布を図-7に、マルウェアの総取得検体数の推移を図-8に、そのうちのユニーク検体数の推移を図-9にそれぞれ示します。このうち図-8と図-9では、1日あたりに取得した検体（※33）の総数を総取得検体数、検体の種類をハッシュ値（※34）で分類したものをユニーク検体数としています。また、検体をウイルス対策ソフトで判別し、上位10種類の内訳をマルウェア名称別に色分けして示しています。なお、図-8と図-9は前回同様に複数のウイルス対策ソフトウェアの検出名によりConficker判定を行いConfickerと認められたデータを除いて集計しています。

期間中の1日あたりの平均値は、総取得検体数が87、ユニーク検体数が19でした。未検出の検体をより詳しく調査した結果、中国、米国、インド、台湾などに割り当てられたIPアドレスでWormなどが観測されました。また、未検出の検体の約49％がテキスト形式でした。これらテキスト形式の多くはHTMLであり、Webサーバからの404や403によるエラー応答であるため、古いワームなどのマルウェアが感染活動を続けているものの、新たに感染させたPCが、マルウェアをダウンロードしに行くダウンロード先のWebサイトが既に閉鎖させられていると考えられます。

MITF独自の解析では、今回の調査期間中に取得した検体は、ワーム型94.3％、ボット型2.3％、ダウンローダ型3.4％でした。また解析により、105個のボットネットC＆Cサーバ（※35）と14個のマルウェア配布サイトの存在を確認しました。ボットネットのC＆Cサーバが前号に続き大幅に増加していますが、これはDGA（ドメイン生成アルゴリズム）を持つ検体が期間中に出現したためです。

図-8 総取得検体数の推移（Confickerを除く）

図-9 ユニーク検体数の推移（Confickerを除く）

Confickerの活動

本レポート期間中、Confickerを含む1日あたりの平均値は、総取得検体数が19,434、ユニーク検体数は608でした。短期間での増減を繰り返しながらも、総取得検体数で99.5％、ユニーク検体数で97.0％を占めています。このように、今回の対象期間でも支配的な状況が変わらないことから、Confickerを含む図は省略しています。本レポート期間中の総取得検体数は前回の対象期間との比較で約19％増加し、ユニーク検体数は前号から約9％増加しました。Conficker Working Groupの観測記録（※36）によると、2015年4月3日現在で、ユニークIPアドレスの総数は707,844とされています（※37）。2011年11月の約320万台と比較すると、約22％に減少したことになりますが、依然として大規模に感染し続けていることが分かります。

1.3.3 SQLインジェクション攻撃

IIJでは、Webサーバに対する攻撃のうち、SQLインジェクション攻撃（※38）について継続して調査を行っています。SQLインジェクション攻撃は、過去にも度々流行し話題となった攻撃です。SQLインジェクション攻撃には、データを盗むための試み、データベースサーバに過負荷を起こすための試み、コンテンツ書き換えの試みの3つがあることが分かっています。

図-10 SQLインジェクション攻撃の発信元の分布

キャプションキャプションキャプション

2015年1月から3月までに検知した、Webサーバに対するSQLインジェクション攻撃の発信元の分布を図-10に、攻撃の推移を図-11に、それぞれ示します。これらは、IIJマネージドIPSサービスのシグネチャによる攻撃の検出結果をまとめたものです。

発信元の分布では、中国90.8％、米国2.5％、日本2.3％となり、以下、その他の国々が続いています。Webサーバに対するSQLインジェクション攻撃の発生件数は前回に比べて大幅に増加しました。これは主に中国からの攻撃が大幅に増加したためで、複数回にわたって大規模な攻撃が発生しています。

この期間中、2月13日には中国の複数の攻撃元から特定の攻撃先に対する攻撃が発生していました。2月16日にも別の複数の攻撃元より複数の攻撃先に対する攻撃が発生しています。2月20日から23日にかけ、中国の複数の攻撃元より、複数の攻撃先に対する大規模な攻撃が発生しました。このうち1つの攻撃先については、3月27日から3月30日にかけても別の中国の攻撃元からの攻撃が発生しています。この攻撃先に対する攻撃は、この期間中に発生した攻撃全体の66.3％を占めています。攻撃は複数の攻撃元から行われており、1つの攻撃元から40万回以上の攻撃を行っている場合が複数見られました。また、攻撃先に金融関連の企業が多いことから、これらの企業を対象とした大規模なWebサーバの脆弱性を探る試みであったと考えられます。

ここまでに示したとおり、各種の攻撃はそれぞれ適切に検出され、サービス上の対応が行われています。しかし、攻撃の試みは継続しているため、引き続き注意が必要な状況です。

図-11 SQLインジェクション攻撃の推移（日別、攻撃種類別）

1.3.4 Webサイト改ざん

MITFのWebクローラ（クライアントハニーポット）によって調査したWebサイト改ざん状況を示します（※39）。

このWebクローラは国内の著名サイトや人気サイトなどを中心に数万のWebサイトを日次で巡回しており、更に巡回対象を順次追加しています。また、一時的にアクセス数が増加したWebサイトなどを対象に、一時的な観測も行っています。一般的な国内ユーザによる閲覧頻度が高いと考えられるWebサイトを巡回調査することで、改ざんサイトの増減や悪用される脆弱性、配布されるマルウェアなどの傾向が推測しやすくなります。

2015年1月から3月の期間に観測されたドライブバイダウンロードは、既に減少傾向にあった2014年10月から12月の期間より更に10パーセント程度、減少しました（図-12）。特に1月中はほとんど活動がみられませんでした。また、攻撃数の増加してきた2月後半以降は、週末には検知数が急減する傾向が見られました。攻撃の内訳は、本Webクローラ稼働開始時から継続して検知しているNuclear及び、2014年2月以降検知されていなかった（※40）Neutrinoの2種類が大部分を占めました。どちらのExploit Kitも、昨今流行した他の多くのExploit Kitと同様に、Flashの脆弱性（CVE-2014-0515、CVE-2014-0569、CVE-2015-0313、CVE-2015-0336 など）を悪用する機能を備え、更に新規の脆弱性を悪用する機能を速いペースで追加しています（※41）。改ざんされ誘導元となっているWebサイトは、長期（3ヵ月以上）にわたって断続的に誘導元として観測されるケースがほとんどでした。また、コンテンツの傾向としては、成人向け動画コンテンツの紹介サイトや、中小規模のコンテンツ事業者のWebサイトなどが見られました。いずれも変わらない傾向です。

図-12 Webサイト閲覧時のドライブバイダウンロード発生率（％）（Exploit Kit別）

全体として、ドライブバイダウンロードの発生率はかなり低い状態にあったものが、仄かに増加しつつあると言える状況です。特に今回多数観測されたNuclearやNeutrinoはOperation Windigo（※42）との関連も指摘されている（※43）ため、攻撃者グループは、比較的大きな潜在力を保持している可能性があります。Webサイト運営者はWebコンテンツの改ざん対策、閲覧者側はブラウザや関連プラグインなど（特にFlash Player）の脆弱性対策を徹底し、注意を継続することを推奨します。

（※25）攻撃対象に対し、本来不必要な大きなサイズのIPパケットやその断片を大量に送りつけることで、攻撃対象の接続回線の容量を圧迫する攻撃。UDPパケットを利用した場合にはUDP floodと呼ばれ、ICMPパケットを利用した場合にはICMP floodと呼ばれる。
（※26）TCP SYN floodやTCP connection flood、HTTP GET flood攻撃など。TCP SYN flood攻撃は、TCP接続の開始の呼を示すSYNパケットを大量に送付することで、攻撃対象に大量の接続の準備をさせ、対象の処理能力やメモリなどを無駄に利用させる。TCP Connection flood攻撃は、実際に大量のTCP接続を確立させる。HTTP GET flood攻撃は、Webサーバに対しTCP接続を確立した後、HTTPのプロトコルコマンドGETを大量に送付することで、同様に攻撃対象の処理能力やメモリを無駄に消費させる。
（※27）発信元IPアドレスの詐称。他人からの攻撃に見せかけたり、多人数からの攻撃に見せかけたりするために、攻撃パケットの送出時に、攻撃者が実際に利用しているIPアドレス以外のアドレスを付与した攻撃パケットを作成、送出すること。
（※28）ボットとは、感染後に外部のC&Cサーバからの命令を受けて攻撃を実行するマルウェアの一種。ボットが多数集まって構成されたネットワークをボットネットと呼ぶ。
（※29）IIJのマルウェア活動観測プロジェクトMITFが設置しているハニーポット。「1.3.2 マルウェアの活動」も参照。
（※30）この観測手法については、本レポートのVol.8（http://www.iij.ad.jp/dev/report/iir/pdf/iir_vol08.pdf）の「1.4.2 DDoS攻撃によるbackscatterの観測」で仕組みとその限界、IIJによる観測結果の一部について紹介している。
（※31）Malware Investigation Task Forceの略。MITFは2007年5月から開始した活動で、ハニーポットを用いてネットワーク上でマルウェアの活動の観測を行い、マルウェアの流行状況を把握し、対策のための技術情報を集め、対策につなげる試み。
（※32）脆弱性のエミュレーションなどの手法で、攻撃を受けつけて被害に遭ったふりをし、攻撃者の行為やマルウェアの活動目的を記録する装置。
（※33）ここでは、ハニーポットなどで取得したマルウェアを指す。
（※34）様々な入力に対して一定長の出力をする一方向性関数（ハッシュ関数）を用いて得られた値。ハッシュ関数は異なる入力に対しては可能な限り異なる出力を得られるよう設計されている。難読化やパディングなどにより、同じマルウェアでも異なるハッシュ値を持つ検体を簡単に作成できてしまうため、ハッシュ値で検体の一意性を保証することはできないが、MITFではこの事実を考慮した上で指標として採用している。
（※35）Command & Controlサーバの略。多数のボットで構成されたボットネットに指令を与えるサーバ。
（※36）Conficker Working Groupの観測記録（http://www.confickerworkinggroup.org/wiki/pmwiki.php/ANY/InfectionTracking/）。
（※37）Conficker Working Groupのデータは何らかの理由により、2015年3月28日から4月2日までの間、データが欠損しているように見えるため、影響を受けていないと思われる2015年4月3日のデータを採用している。
（※38）Webサーバに対するアクセスを通じて、SQLコマンドを発行し、その背後にいるデータベースを操作する攻撃。データベースの内容を権限なく閲覧、改ざんすることにより、機密情報の入手やWebコンテンツの書き換えを行う。
（※39）Webクローラによる観測手法については本レポートのVol.22（http://www.iij.ad.jp/dev/report/iir/pdf/iir_vol22.pdf）の「1.4.3 WebクローラによるWebサイト改ざん調査」で仕組みを紹介している。
（※40）Neutrino Exploit Kitは、2013年10月ごろから国内外で猛威を振るっていたものが徐々に勢力を失い、2014年2月以降は本Webクローラで検知されなくなっていた。一方で、2014年11月には「Neutrino : The come back !（or Job314 the Alter EK）」（http://malware.dontneedcoffee.com/2014/11/neutrino-come-back.html）にて新バージョンのリリースが報告されている。
（※41）例えば「CVE-2015-0336（Flash up to 16.0.0.305）and Exploit Kits」（http://malware.dontneedcoffee.com/2015/03/cve-2015-0336-flash-up-to-1600305-and.html）では、2015年3月12日に公開された脆弱性について、Nuclearでは3月19日、Neutrinoでは4月2日に悪用が確認されたと報告している。
（※42）ESET社のホワイトペーパー「OPERATION WINDIGO」（http://www.welivesecurity.com/wp-content/uploads/2014/03/operation_windigo.pdf）で公開された大規模な攻撃活動。2011年以降、25,000台以上のサーバが侵害され、スパム送信やクライアントのリダイレクションに悪用されたと報告している。
（※43）Nuclearについては「HAPPY NUCL(Y)EAR - EVOLUTION OF AN EXPLOIT KIT」（http://community.websense.com/blogs/securitylabs/archive/2015/01/15/evolution-of-an-exploit-kit-nuclear-pack.aspx）、Neutrinoについては「Exploit Kit Evolution - Neutrino」（https://isc.sans.edu/diary/Exploit+Kit+Evolution+-+Neutrino/19283）でそれぞれOperation Windigoとの関連が指摘されている。