概況JPCERT/CCでは、インターネット上に複数のセンサーを分散配置し、不特定多数に向けて発信されるパケットを継続的に収集し、宛先ポート番号や送信元地域ごとに分類しています。これを脆弱性情報、マルウエアや攻撃ツールの情報などを参考に分析することで、攻撃活動や準備活動の捕捉に努めています。本レポートは日本宛のパケットの傾向を中心に分析しています。本四半期(2013年4月1日から6月30日)に観測した宛先ポート番号別パケット観測数のトップ5を、[表1]に示します。22/TCP※各ポートで使用するサービス等については、参考文書の(1)を参照してください。図1は、期間中のトップ5の宛先ポート番号ごとのパケット観測数の時間的な変化を示しています。2013年4~6月の宛先ポート番号別パケット観測数トップ5]クリックすると拡大されます本四半期に観測した送信元地域トップ5を[表2]に示します。フランス図2に期間中のパケット送信元地域トップ5の変化を示します。2013年4~6月の送信元地域別トップ5]クリックすると拡大されます5月10日から11日の間と、6月1日に中国からのパケット数に大きなピークが見られます。これは、特定のセンサーが短時間に5146/TCP、2078/UDP宛へのパケットを多数受信した影響です。JPCERT/CCでは、これらのポートを使用する製品や脆弱性などの情報を調査しましたが、該当する情報が無く、また、特定のセンサー以外では顕著な変化が見られなかったことから、広域的な脅威を示すデータではないと判断しています。5月19~20日にかけては、米国およびフランスからのパケット数に大きなピークが見られます。これは、米国およびフランスのホスティング事業者に割り当てられたIPアドレスを送信元とする、特定のセンサーの53/UDP宛に発信されたパケットが増加した影響です。本現象については、「2」で詳しく述べます。【53/UDP宛のパケットの観測】53/UDP宛のパケット数の増加を、前四半期の「インターネット観測レポート(2013年1~3月)」の「2.注目された現象」で紹介しましたが、本四半期も、この傾向が続きました。※「インターネット観測レポート(2013年1~3月)」については、参考文書の(2)を参照してください。図3は、2013年3月から2013年6月までの53/UDP宛のパケット数の時間的な変化を示しています。ProjectとCloudflare社のサーバに対するサイバー攻撃(DDoS攻撃)に関連すると思われるパケット数のピークが観測されています。これと、本四半期におけるピークを見比べてください。図4は、500パケット以下の小さなピークが見えるように拡大したグラフです。2013年3月~2013年6月の53/UDP宛のパケット観測数(拡大)]クリックすると拡大されます5月19~20日の間には、米国およびフランスのホスティング事業者に割り当てられたIPアドレスを送信元とした53/UDP宛のパケットを多数受信しました。この2日間で、最も多いのは米国のホスティング事業者を送信元とするIPアドレスで、日本時間の5月19日22時頃から20日の7時頃にかけて約2900パケットが送られていました。多いのは、フランスのホスティング事業者を送信元とするIPアドレスで、日本時間の5月19日20時頃から21時頃にかけて約1500パケットが送られていました。図5は、センサーが5月19日に大量に受信したパケットの一つです。ProjectとCloudflare社のサーバに対するサイバー攻撃(DDoS攻撃)で観測したパケットは、ripe.netのドメインに登録されているすべてのレコードを検索して応答するように求めた問合せでしたが、今回確認したパケットは、オープンリゾルバに対して、isc.orgのドメインに登録されているすべてのレコードを検索して応答するよう求めた問合せをしています。ProjectとCloudflare社のサーバに対するサイバー攻撃(DDoS攻撃)の時と比較して、10倍を超えるパケットの数を観測しました。DDoS攻撃におけるピーク時トラフィックが四半期間の間に急増したことが注目されます。上述の事案に関連したパケットを除いても、3月以降、53/UDP宛のパケットが増加傾向にあります。攻撃の踏み台となるオープンリゾルバをあらかじめ探索してデータベース化するような攻撃の準備がなされていると思われます。したデータベースが使われるようになれば、DDoS攻撃におけるピーク時トラフィックが一層高まります。した事態の悪化を避けるため、オープンリゾルバの対策が急がれます。いいえその他、ご意見・ご感想などございましたら、ご記入ください。こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。※本フォームにいただいたコメントへの返信はできません。javascriptを有効にすると、ご回答いただけます。ありがとうございました。