観測状況を継続的に報告していました。それから3年近くになります。本記事では、この間の長期的な傾向の変化を紹介しようと思います。送信元を偽ったパケットを受け取ったホストが、その偽装された送信元に対して返答するパケットのことです。パケットを受け取ることになります。詳しく解説していますので、ご参照ください。観測パケット数は増加傾向2015年1月から2020年1月までの全体的な観測状況の推移を見てみましょう。次のグラフは月毎に集計したポート別[2]パケット数の推移を示したものです(図1)。観測パケット数推移(月別、ポート別)のグラフまず気がつくのは全体的な増加傾向です。実際に1日平均の観測パケット数を計算すると、2016年には1万(パケット/日)程度でしたが、2017年には2万、2018年には9万、2019年には16万となり、大幅に増加していることがわかります。攻撃事案の件数も同じように増えたのか、という疑問が浮かびます。観測データから直接に事案の件数を示すことは非常に困難なので、代用として、観測データのユニークIPアドレスを数えることで攻撃対象となったホストの数を見ることにしましょう。次のグラフは月毎のユニークIPアドレス数の推移を示したものです(図2)。アドレス数(月別)のグラフこれによればユニークIPアドレス数は、減少傾向か横ばいか議論の余地がありますが、少なくとも増加傾向はないと判断できます。攻撃事案一件あたりのトラフィック規模が大きくなっている様子が伺えます。最初のグラフ(図1)から、観測の全体像としてパケット数が大幅に増加していることはわかりました。その内訳はどうなっているでしょうか。観測件数の大半を占めるように変化してきています。実際のデータで見てみましょう。その上で、大まかな様子を見るために、ここでは0〜65535のポート番号範囲を32768以上と32768未満の半分ずつに分割して集計、月別のグラフにしました(図3)。ポート、また、ゲームのサーバが使うポートなども含まれています。スタックが送信元として自動で割り当てる範囲として使われているものです。攻撃件数が突出していたためです。全体を俯瞰すれば、かつては低いポート番号(32768未満)へのパケット数の方が多かったのに、現在では高いポート番号(32768以上)へのパケット数がずっと大きくなっています。同じデータを割合グラフで見れば、全体に占める高いポート番号(32768以上)の割合が大きくなっていっていることがよくわかります(図4)。高いポート番号への観測パケット割合(月別)のグラフこのように、特定のサービスへの攻撃ではなく単純に回線を埋めることだけを狙ったと思われるパケットが多くを占めるようになりました。あると考えられる旨を報告しました。この攻撃は継続的に、長期間観測されていました。過去に紹介したのは、2016年5月25日から一時的に収まっていたものの同年9月20日頃から再び観測されはじめ、1日あたりの観測件数はもとの水準にまで戻っていた、ということでした。なったか、推移を見てみましょう。観測件数のグラフです。2017年5月中旬を境にほとんど観測されなくなりました。それ以降現在に至るまで、1日数件程度に収まっています。水責め攻撃が観測されるようになる2014年2月より前と同じ水準です。水責め攻撃は2017年5月に収束したと表現して良いでしょう。インフラ構造の変化(防御側の変化)などで思い当たるものもなく、理由はわかっていません。パケットを観測することが少なくなったように感じています。攻撃するならば送信元アドレスをランダムに詐称する必要はない」と考えるかもしれません。攻撃対象のアドレスを送信元として詐称することでインターネット上にある多数の踏み台機器から大量の応答パケット(backscatter)を攻撃対象に集中させる手法ですから、観測用センサーにパケットが届くことはありません。私たちのチームでは、このような攻撃手法の変化が前述したような印象をもたらす大きな要因になっているのではないかと推測しています。観測件数そのものは大きく増加し続けています。ゲームの通信用ポートやゲームサーバのサービスポート、ゲーム関連のユーザ・フォーラムのサイトが多く見られます。攻撃がカジュアルに、より多く行われるようになってきているのかもしれません。防御する側としては、ホストあたりの観測件数が大きく増加した事実を無視するわけにはいきません。対策の検討や攻撃に対する対応の用意、定期的な確認など、普段から備える必要性が増してきていると考えるべきでしょう。パケットに含まれる送信元ポート。攻撃対象の受信ポート。