概況JPCERT/CCでは、インターネット上に複数のセンサーを分散配置し、不特定多数に向けて発信されるパケットを継続的に収集し、宛先ポート番号や送信元地域ごとに分類しています。脆弱性情報、マルウエアや攻撃ツールの情報などを参考に分析することで、攻撃活動や準備活動の捕捉に努めています。図1は期間中もっとも多く観測された5位までの宛先ポート番号(以下トップ5と記す)をもった観測パケット数の変化を示したものです。今四半期は、22/TCPの宛先ポート番号をもつパケット数が増加し、23/TCPに替わり5番目になりました。注目された現象」で取り上げます。Server上で動作するプログラムが使用する445/TCPや1433/TCP、Windowsのリモート管理やアクセスに使用するリモートデスクトップ3389/TCP宛へのパケットが多く観測されています。Windowsを対象としたパケットが多く占めるトップ5に対し、続くトップ10には22/TCPや、23/TCP宛など主にLinuxを対象としたパケットが並んでいました。図2は期間中のパケット送信元地域トップ5の変化を示したものです。トップ5ではロシアの順位が下がり、ランク外となっています。これは445/TCPを宛先としたパケットが減少したためです。代わりに、23/TCP宛のパケットが増加したため、タイがトップ5にランクインしています。タイからはWindowsを対象としたパケットが多く観測されています。宛のパケットの増減22/TCP宛のパケットは、図1のグラフのように今期宛先ポート番号別で5番目に多くパケットを観測しました。図3は22/TCP宛パケットの送信元地域トップ5の変化を示したものです。米国や中国、インドなどの地域から観測しています。送信元地域のトップ5には含まれていませんが、国内の複数のIPアドレスを送信元としたパケットも観測されました。2012年10~12月の22/TCP宛のパケット観測数]クリックすると拡大されます22/TCP宛のパケットは、主に同ポート番号で待ち受けていることが多い、SSHサーバを探索するためのスキャンと思われます。弊センターでは、22/TCP宛のパケットを送信していたIPアドレスの管理者に対し連絡を行いました。宛のパケットを送信しSSHサーバの発見、およびIDとパスワードのアカウントを調査するためのツールが動作していました。攻撃者は、事前に作成した辞書ファイルを情報を使用し、該当するIDとパスワードを使用しているSSHサーバを探索し、ログイン可能なサーバを新たな攻撃活動に使用しているものと思われます。いいえその他、ご意見・ご感想などございましたら、ご記入ください。こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。※本フォームにいただいたコメントへの返信はできません。javascriptを有効にすると、ご回答いただけます。ありがとうございました。