概況JPCERT/CCでは、インターネット上に複数の観測用センサーを分散配置し、不特定多数に向けて発信されるパケットを継続的に収集し、宛先ポート番号や送信元地域ごとに分類しています。これを脆弱性情報、マルウエアや攻撃ツールの情報などと対比して分析することで、攻撃活動や準備活動の捕捉に努めています。本レポートでは、日本宛のパケットを中心に分析した結果について述べます。本四半期(2013年10月1日から12月31日)に観測した宛先ポート番号別パケット観測数のトップ5を[表1]に示します。3389/TCP※各ポートで使用するサービス等は、3.参考文書の(*1)を参照してください。図1は、期間中のトップ5の宛先ポート番号ごとのパケット観測数の時間的な変化を示しています。2013年10~12月の宛先ポート番号別パケット観測数トップ5]クリックすると拡大されます本四半期に観測した送信元地域のトップ5を[表2]に示します。ロシア図2に期間中のパケット送信元地域トップ5の変化を示します。2013年10~12月の送信元地域別トップ5]クリックすると拡大されます11月中旬以降において22/TCP宛のパケットが徐々に増加しました。本現象については、「2.1」で詳しく述べます。前四半期4位だった53/UDP宛のパケットが10月以降減少して本四半期では7位となっています。本現象については、「2.3」で詳しく述べます。135/TCP宛のパケット数が前四半期と比較して、それぞれ倍近くまで増加しています。これらの増加については推測される原因が見当たりません。(SSH用)宛のパケット数が増加しています。図3からわかるように、中国に割り当てられたIPアドレスを送信元するパケットが特に増えています。本四半期に受信した22/TCP宛のパケットのうち、送信元ポート番号が6000/TCPのパケットが約2割を占めました。前四半期と比較してもパケット数が約6割増加しています。これは特定のツールによって送信されたパケットであると推測しています。2013年7~12月の22/TCP宛のパケット観測数]クリックすると拡大されますSSHサーバの探索や不正利用を試みる活動の活発化と見られますので、サーバ管理やインターネット経由の遠隔ログインなどでSSHを利用している場合には、パスワード認証ではなく公開鍵認証を利用するなどの対策をお勧めします。アドレスによるアクセス制限を実施してください。11月上旬以降増加しています。リクエストが含まれていました(*2)。これは、DDoS攻撃に使用できるNTPサーバを探索するための活動と推測されます。前四半期の定点観測レポートで増加を報告した53/UDP宛のパケット数が10月中旬以降減少しました。中国の通信事業者に割り当てられた特定の2つのIPアドレスを送信元としたパケットが観測されなくなりました。Amp攻撃が終息したためと思われます。中国の通信事業者に割り当てられたIPアドレス以外を送信元とするパケットが、少数ながら受信され続けています。オープンリゾルバの状態のDNSサーバを探索する活動が継続しているものと推測されます。実施されることをお勧めします。いいえその他、ご意見・ご感想などございましたら、ご記入ください。こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。※本フォームにいただいたコメントへの返信はできません。javascriptを有効にすると、ご回答いただけます。ありがとうございました。