概況JPCERT/CCでは、インターネット上に複数の観測用センサーを分散配置し、不特定多数に向けて発信されるパケットを継続的に収集し、宛先ポート番号や送信元地域ごとに分類して、これを脆弱性情報、マルウエアや攻撃ツールの情報などと対比して分析することで、攻撃活動や準備活動の捕捉に努めています。本レポートでは、本四半期に観測された日本宛のパケットを中心に分析した結果について述べます。5※ポート番号とサービスの対応の詳細は、IANAの文書(*1)を参照してください。サービス名はIANAの情報をもとに記載していますが、必ずしも各サービスプロトコルに則ったパケットが受信されているとは限りません。図1は、期間中のトップ5の宛先ポート番号ごとのパケット観測数の推移を示しています。6図2に期間中のトップ5のパケット送信元地域からのパケット観測数の推移を示します。[図2:2015年1~3月の送信元地域別トップ5ごとのパケット観測数]クリックすると拡大されます本四半期は、23/TCP宛のパケットが1月以降減少しました。23/TCPの現象については、「2.2」で詳しく述べます。3月中旬から445/TCP宛のパケットが増加しています。使用している場合は、適切なセキュリティ対策(セキュリティ更新プログラムの適用や、ログオン認証に安易なパスワードを使用しないなど)の実施をお勧めします。その他については、多少の増減はありましたが、特筆すべき状況の変化は見られませんでした。国外のドメインが対象となったDDoS攻撃において、オープンリゾルバを使用し、存在しない多数のFQDNを問い合わせることによって攻撃対象の権威DNSサーバに過剰な負荷を加えようとする攻撃(以下「DNS水責め攻撃」といいます。)の手法が使用された事例を紹介しましたが、2月上旬にトップレベルドメインが「JP」である国内のドメイン(以下「国内ドメイン」といいます。)を攻撃対象とした、送信元ポート番号が53/UDPのパケット(以下「DNS応答パケット」といいます。トップレベルドメインがJPであるドメインを対象とするDDoS攻撃で、DNS水責め攻撃の手法が使用された初の事例だとJPCERT/CCは考えています。[図3:2015年2月の送信元ポート番号53/UDPのパケット(Wiresharkによる表示)]今回のDNS水責め攻撃の対象となった国内ドメインは、国内のドメイン登録代行事業者が運用する権威DNSサーバに登録されていました。この権威DNSサーバは、国内でも利用者数の多い複数のサイトのドメインを管理していました(以下、複数ドメインを管理する権威DNSサーバを「共有DNSサーバ」という。このため攻撃により国内の共有DNSサーバに過剰な負荷が上がることで、対象となった国内ドメインだけではなく、同一の共有DNSサーバで管理されていた複数のドメイン(クラウドを使用したサービスを提供している事業者やオンラインゲームなど)も名前の解決ができなくなり、Webサイトが閲覧できない、メールが受け取れないなどの問題が発生していたと推測されます。この国内の共有DNSサーバが応答しない状態に陥ったことで、攻撃に加担したオープンリゾルバも、国内の共有DNSサーバ間にある複数のISPなどのキャッシュDNSサーバも、共有DNSサーバからの応答を待つ問合せ処理が多数積み上がり、異常に負荷が上がります。これによりキャッシュDNSサーバの利用者にも同様にWebサイトの閲覧ができない、メールの送受信ができないなどの問題が発生していたと推測されます。情報を確認したところ、国内ドメインは、攻撃発生当初は、国内の共有DNSサーバに登録されていましたが、その後、海外の事業者が運用する共有DNSサーバに変更されていました。これは、本攻撃への対策として行われた変更と推測されます。3月上旬には、米国の大手レジストラが運用する共有DNSサーバで管理されていたドメインが対象となるDNS応答パケットおよびDNSサービスのポート不達を示すICMPエラーパケットを観測しました。この米国のレジストラの共有DNSサーバは、国内サイトのドメインの登録先としても利用されるケースがあり、この共有DNSサーバを利用していたドメインは、本攻撃により、Webサイトが閲覧できないなどの障害が発生していた可能性があります。図4は、本四半期の送信元ポート番号が53/UDPとするパケット観測数のグラフです。グラフのパケット全てがDDoS攻撃パケットではありませんが、DDoS攻撃を目的としたと思われるパケットを多く観測しています。Amp攻撃などに関連しても多数のオープンリゾルバが国内に存在しており、意図的ではないにせよDDoS攻撃に加担する結果となっていることは我が国として由々しき問題です。攻撃の踏み台となっているオープンリゾルバを減らすために、特に次の点について確認してください。DNSサーバを運用している場合は、再帰的な問合せを受け付ける範囲など、設定を再確認し、必要最小限になるようアクセス制限を施してください。インターネット接続用ルータなどでDNSサーバやDNSフォワーダ機能を持つネットワーク機器を使用している場合は、不特定のホストからのDNS問合せに応答しない設定になっていることを確認してください。各製品ベンダから公開されている情報を参考に、設定の確認をお勧めします。Webサーバなどの公開サーバを運用している場合は、管理するサーバで不要なDNSサーバが稼働していないか念のため確認してください。応答パケットおよびDNSサービスのポート不達を示すICMPエラーパケットを調査し、その送信元となっている国内のIPアドレスの管理者に対して調査を依頼しています。図5が示すように、本四半期は、23/TCP宛のパケットが1月以降減少しました。23/TCP宛のパケットの送信元地域は、中国が約54%を占めていますが、1月以降、中国を送信元とするパケットが大きく減少したのに伴い総数でも減少傾向となりました。中国からのパケットの減少の原因は不明です。送信元地域が国内のパケットも本四半期の2月上旬から減少しています。)のマルウエア感染に起因すると思われるものでした。NASの稼働を確認できた場合に、IPアドレスの管理者などに対して調査を依頼しました(動的IPアドレスが割り当てられているノードについては重複して連絡した可能性があります)。調査を依頼した管理者などからは、「対策を実施する」「NASに不審なユーザが作成されていることを確認したので対応した」「当該機器を撤去した」などの返答をいただきました。図5が示すように、国内を送信元とする23/TCP宛のパケット数は2月上旬以降に減少しました。NASの利用者によるマルウエア駆除と対策が進んだ結果と考えています。して実施したものです。広報(office@jpcert.or.jp)まで確認のご連絡をお願いします。最新情報についてはJPCERT/CCのWebサイトをご参照ください。いいえその他、ご意見・ご感想などございましたら、ご記入ください。こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。※本フォームにいただいたコメントへの返信はできません。javascriptを有効にすると、ご回答いただけます。ありがとうございました。