2015年2月20日のssmjpで発表したスライドです．

1. ダークネットのはなし
2015/02/20 ssmjp
sonickun
1ssmjp2015/2/20

2. 自己紹介
 HN: sonickun (@y_hag)
 大学4年生
 研究: ネットワーク＆セキュリティ
 CTF: チーム”m1z0r3”
 ブログ：sonickun.log
http://sonickun.hatenablog.com/
2ssmjp2015/2/20

3. 目次
 ダークネットとは？
 ダークネットで振り返る2014年
3ssmjp2015/2/20

4. “ダークネット”とは？
http://www.canon-elec.co.jp/products/security/sitevisor/index.html
4ssmjp2015/2/20

5. ダークネットの定義
5ssmjp2015/2/20

6. ダークネットの定義
インターネット上で
到達可能かつ
未使用の
IPアドレス空間
6ssmjp2015/2/20

7. ダークネットの特徴
外部からのアクセスに対して
一 切 の レ ス ポ ン ス を 返 さ な い
ssmjp 7
IPアドレス空間
割り当て
済
未割り当て
双方向
片方向
ダークネット
2015/2/20

8. ダークネットのいま
ssmjp 8
IPv4 アドレス空間マップ
引用：Dainotti, A., Benson, K., King, A., claffy, k. , Kallitsis, M., Glatz, E., and Dimitropoulos,X.,
“Estimating Internet address space usage through passive measurements”
ライブネット
ダークネット
経路なし
引用：Dainotti, A., Benson, K., King, A., claffy, k. , Kallitsis, M., Glatz, E., and Dimitropoulos,X.,
“Estimating Internet address space usage through passive measurements”
In ACM SIGCOMM Computer Communication Review (CCR) (2014)
2015/2/20

9. ダークネットのいま
ssmjp 9
IPv4 アドレス空間マップ
引用：Dainotti, A., Benson, K., King, A., claffy, k. , Kallitsis, M., Glatz, E., and Dimitropoulos,X.,
“Estimating Internet address space usage through passive measurements”
In ACM SIGCOMM Computer Communication Review (CCR) (2014)
ライブネット
ダークネット
経路なし
全IPv4アドレスの53.7％が
ダークネット or 経路なし
2015/2/20

10. ダークネットの通信
ssmjp 10
Q.
未割り当てのIPアドレスだから外部からの
アクセスはほとんど来ない…？
2015/2/20

11. ダークネットの通信
Q.
未割り当てのIPアドレスだから外部からの
アクセスはほとんど来ない…？
ssmjp 11
答えは NO!!!
2015/2/20

12. ダークネットの通信
ダークネットには不正な行為・活動に起因するパケットが
多く到達する
 攻撃者やマルウェアによるスキャン(脆弱ホストの探索)
 ワームやウイルスの自己拡散
 ランダムに偽造した送信元からのDDoS攻撃の跳ね返り
パケット
 様々なボットネットの活動
 コンピュータの設定ミスによる通信
 などなど…
ssmjp 122015/2/20

13. ダークネットの通信
ssmjp 13
Scan
Darknet
2015/2/20

14. ダークネットとセキュリティ
ssmjp 14
ダークネットに届く通信のほとんどは悪性なもの…
ダークネットの通信を分析することで，
サイバー攻撃やマルウェア感染の俯瞰的な傾向を
リアルタイムに捉えることができる！
2015/2/20

15. 例えば
ssmjp 15
リフレクター攻撃のバックスキャッタ
＆
DNSのオープンリゾルバを探索するスキャン通信が増加
DNSのリフレクター攻撃が世界的に増加
ダークネットのDNS通信が増加
2015/2/20

16. ダークネット vs ハニーポット
ssmjp 16
レスポンスを返さない
 広範囲に影響を与える
攻撃の把握に役立つ
攻撃者に気付かれるこ
とはない
被攻撃のリスク低
運用が楽
レスポンスを返す
攻撃の振る舞いを分析
するのに役立つ
攻撃者に気付かれるこ
とがある
被攻撃のリスク高
運用が大変
2015/2/20

17. センサとしてのダークネット
ssmjp 17
ダークネット観測に基づく不正ホスト検知システム
“DAEDALUS”
引用：
鈴木未央, 井上大介, 大規模ダークネット観測に基づくアラートシステム DAEDALUS
http://www.nict.go.jp/publication/shuppan/kihou-journal/kihou-vol57no3_4/kihou-vol57no3-4_0205.pdf
2015/2/20

18. 小休憩…
ssmjp 18
Any Question… ?
2015/2/20

19. ssmjp 19
ダークネットで振り返る2014年
2015/2/20

20. データについて
ssmjp 20
NICTER Darknet Dataset 2014
• 情報通信研究機構により提供された通信(pcap)データ
• 4096個(/20)の連続したダークネット
• 収集期間は2014/01/01/~2014/12/31
NICTER Darknet Dataset 2014 / NONSTOP:
http://www.iwsec.org/mws/2014/files/NICTER_Darknet_Dataset_2014.pdf
2015/2/20

21. 2014年
ssmjp 21
＜総パケット数＞
＜総IPアドレス数＞
442,643,010
8,596,864
2015/2/20

22. 2014年
ssmjp 22
＜総パケット数＞
＜総IPアドレス数＞
442,643,010
8,596,864
1日につき1IP
に対して
約296パケット
1日につき1IP
に対して
約6ホスト
2015/2/20

23. 宛先ポート
ssmjp 23
ポート番号 サービス パケット数
23/TCP TELNET 56,649,873
22/TCP SSH 32,927,433
1433/TCP MSSQL 15,562,753
80/TCP HTTP 13,882,553
3389/TCP RDP 12,745,960
8080/TCP HTTP alt. 11,625,204
5000/TCP UPnP 10,259,346
443/TCP HTTPS 7,184,185
53/UDP DNS 6,053,237
445/TCP SMB 5,263,257
2015/2/20
ダークネットにおける主な宛先ポート

24. ダークネットで振り返る2014年
ssmjp 24
NTP
123/UDP
HTTPS
443/TCP
TELNET
23/TCP
DNS
53/UDP
2015/2/20

25. ダークネットで振り返る2014年
ssmjp 25
NTP
123/UDP
HTTPS
443/TCP
TELNET
23/TCP
DNS
53/UDP
2015/2/20

26. NTP
 NTP (Network Time Protocol)
 NTP amp 攻撃 が世界的に増加
 2014年2月11日、Evernoteを標的とした攻撃がDDoS攻撃の世
界記録(400Gbps)を樹立
http://www.pcmag.com/article2/0,2817,2453157,00.asp
 2014年9月18日、16歳高校生がゲーム会社のサーバを攻撃し、
電子計算機損壊等業務妨害の疑いで書類送検
http://www.asahi.com/articles/ASG9L365YG9LUTIL007.html
ssmjp 262015/2/20

27. ダークネットのNTP通信
ssmjp 27
2014年2013年
パケット数
ホスト数
2015/2/20

28. ダークネットのNTP通信
ssmjp 28
2014年2013年
パケット数
ホスト数
• 2014年からアクセスが増加
• 増幅率が大きな”mode7”コ
ントロールメッセージが
ターゲット
2015/2/20

29. ダークネットで振り返る2014年
ssmjp 29
NTP
123/UDP
HTTPS
443/TCP
TELNET
23/TCP
DNS
53/UDP
2015/2/20

30. DNS
 DNS amp 攻撃
 2014年8月2日 読売新聞一面
 「ルーター攻撃ネット障害」
 バッファロー製ルーターがオープ
ンリゾルバになっていた
 OCN(約815万世帯)で40分に渡り
ネットワーク障害
ssmjp 30
参考：
http://internet.watch.impress.co.jp/
docs/news/20140804_660902.html
2015/2/20

31. ダークネットのDNS通信
ssmjp 31
53/UDPポートに通信を行った一日ごとのホスト数(1月～8月)
2015/2/20

32. ダークネットのDNS通信
ssmjp 32
送信元ホストの国の内訳
2015/2/20

33. ダークネットのDNS通信
ssmjp 33
送信元ホストの国の内訳
中国
・Baiduからの
スキャン通信
・送信先IPアド
レスを分担
アメリカ
・ISPのホスト
からのスキャン
2015/2/20

34. ダークネットのDNS通信
ssmjp 34
ドメイン パケット数 備考
dnsscan.shadowserver.org 774,248 Shadowserver
www.jrdga.info 521,542
www.google.com 447,000 Google
VERSION.BIND 433,005 BINDのバージョン問合わせ
www.google.it 378,381 Google
wwww.jrdga.info 374,297
com 296,744
isc.org 188,528 ISC (Internet Systems Consortium)
webpanel.sk 106,165
wradish.com 99,178
主な問い合わせドメイン
2015/2/20

35. ダークネットで振り返る2014年
ssmjp 35
NTP
123/UDP
HTTPS
443/TCP
TELNET
23/TCP
DNS
53/UDP
2015/2/20

36. HTTPS
 HeartBleed
 OpenSSLの重大な脆弱性
 2014年4月7日 発表
 CVE-2014-0160
http://jvndb.jvn.jp/ja/contents
/2014/JVNDB-2014-001920.html
ssmjp 362015/2/20

37. ダークネットのHTTPS通信
ssmjp 37
4月(HeartBleedが発表された月)の一時間ごとのホスト数
2015/2/20

38. ダークネットのHTTPS通信
ssmjp 38
4月(HeartBleedが発表された月)の一時間ごとのホスト数
• 1日毎に周期的にア
クセスが増加
• ミシガン大学による
サーベイ目的のス
キャン通信[※]
• Zmapを使用
[※] Durumeric, Z., Bailey, M., and Halderman, J. A., “An Internet-Wide View of
Internet-Wide Scanning”, in 23rd USENIX Security Symposium. (2014)
2015/2/20

39. ダークネットで振り返る2014年
ssmjp 39
NTP
123/UDP
HTTPS
443/TCP
TELNET
23/TCP
DNS
53/UDP
2015/2/20

40. TELNET
 ルータやWebカメラ等の組み込みシステムが攻撃の標的
となる
 2014年7月下旬頃から宛先ポート23/TCP に対するアク
セスが増加
• ネットワーク接続機器を踏み台にしたスキャン行為が行われて
いる可能性
• 警察庁の報告(http://scan.netsecurity.ne.jp/article/2014/08/29/34745.html)
ssmjp 402015/2/20

41. ダークネットのTELNET通信
ssmjp 41
23/TCPに通信を行った一日ごとのパケット数(4月～8月)
Packets
2015/2/20

42. p0f
ssmjp 42
p0f (Passive OS Fingerprint)
―パケットのヘッダ情報を元に送信元のOSを推定する
OSの判別に用いるシグネチャの例
•Window Size
•IPパケットサイズ
•初期TTL
•ack flag
•DF flag
•MSS
•Window Scaling
•Time Stamp値
•Selective ACK の可否
•NOP (No Operation)の数と並び
•EOL (End of Option List)の利用
•その他のTCPオプション
•0であるべきフィールドのチェック
p0f v3 (version 3.08b)：http://lcamtuf.coredump.cx/p0f3/
2015/2/20

43. ダークネットのTELNET通信
ssmjp 43
送信元ホストのOSの内訳
Packets
2015/2/20

44. ダークネットのTELNET通信
ssmjp 44
送信元ホストのOSの内訳
• Linux 2.4系がほとんど
• 組み込みシステムの多
くはLinuxで動作する
Packets
2015/2/20

45. まとめ
 ダークネットとは到達可能かつ未使用のIPアドレス空間
のこと
 ダークネットのトラフィックを分析することでサイバー
攻撃の大局的な傾向を把握することができる
 2014年に起こった世界的なセキュリティインシデント
の多くはダークネットにおいても観測されている
ssmjp 452015/2/20

46. 謝辞
 発表の場を与えてくださったssmjpの皆様に感謝いたし
ます
 ダークネットのデータセットを提供していただいた情報
通信研究機構ネットワークセキュリティ研究所サイバー
セキュリティ研究室の皆様に感謝いたします
ssmjp 462015/2/20

47. 参考
 ダークネットの基礎知識 – sonickun.log
http://sonickun.hatenablog.com/entry/2014/06/11/233859
ssmjp 472015/2/20

48. Thank you.
ssmjp 482015/2/20