概況JPCERT/CCでは、インターネット上に複数のセンサーを分散配置し、不特定多数に向けて発信されるパケットを継続的に収集し、宛先ポート番号や送信元地域ごとに分類しています。脆弱性情報、マルウエアや攻撃ツールの情報などを参考に分析することで、攻撃活動や準備活動の捕捉に努めています。図1は期間中の宛先ポート番号トップ5の変化を示したグラフです。Server上で動作するプログラムが使用する445/TCPや1433/TCP、エラー通知や通信状態の診断を行なうためのICMP(Ping)、Telnetサーバが使用する23/TCP、Windowsのリモート管理やアクセスに使用するリモートデスクトップ3389/TCP宛へのパケットを多く観測しています。トップ5に続くものでは、22/TCPや、MySQLが使用する3306/TCP、Webサーバで使用する80/TCP宛へのパケットなどを観測しています。2013年1~3月の宛先ポート番号別パケット観測数トップ5]クリックすると拡大されます図2は期間中のパケット送信元地域トップ5の変化を示したグラフです。タイ、インドネシアとなっています。トップ5の中では、日本国内から特定センサーの21318/TCP宛へのスキャンが急増したことにより前四半期3位だった日本が2位へ、2位だった米国が3位へと順位が入れ替わっています。期間中の宛先ポート番号のトップ5には含まれていませんが、本四半期に、53/UDP宛のパケットの一時的な増加が観測されました。図3は53/UDP宛のパケットの変化を示したグラフです。2013年1~3月の53/UDP宛のパケット観測数]クリックすると拡大されます3月15日から3月19日までの間、53/UDP宛のパケットが急増しました。関連していると思われます。DNSサーバへの問合せパケットは、通常は正規のDNSサーバに1パケットが送られるだけですが、今回の事例では、同じ送信元IPアドレスをもつ53/UDP宛のパケットを短時間に多数のセンサーが受信しています。詳細は以下のURLを参照してください。一端が観測されたものだと推測しています。Ampの脅威と対策~http://jprs.jp/related-info/guide/003.pdf3月15日から3月19日までの間にセンサーで確認したパケットの送信元地域は、カナダが最も多く、続いてオランダ、米国の順となっています。2013年3月18日の53/UDP宛のパケット送信イメージ]クリックすると拡大されます図4はアジア・太平洋地域に設置されているTSUBAMEプロジェクトのセンサーが観測した53/UDP宛のパケットの流れを可視化した図です。図4では、カナダとオランダの2つの地域から、日本を初めとするアジア・太平洋地域の各センサーに対して53/UDP宛のパケットが送られている様子が見てとれます。実際には、送信元IPアドレスが詐称された53/UDP宛のパケットがもっと広範囲に送られていると考えられます。仮にセンサーが置かれたIPアドレスに応答するDNSサーバがあれば、大きなサイズの応答パケットが詐称された送信元IPアドレスに送られて通信負荷を押し上げます。詐称された送信元のIPアドレスをもつノードが、攻撃対象として狙われているのです。いいえその他、ご意見・ご感想などございましたら、ご記入ください。こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。※本フォームにいただいたコメントへの返信はできません。javascriptを有効にすると、ご回答いただけます。ありがとうございました。