Download as PDF, PPTX
![ダークネットのHTTPS通信
ssmjp 38
4月(HeartBleedが発表された月)の一時間ごとのホスト数
• 1日毎に周期的にア
クセスが増加
• ミシガン大学による
サーベイ目的のス
キャン通信[※]
• Zmapを使用
[※] Durumeric, Z., Bailey, M., and Halderman, J. A., “An Internet-Wide View of
Internet-Wide Scanning”, in 23rd USENIX Security Symposium. (2014)
2015/2/20](https://image.slidesharecdn.com/ssmjpsonickun-150220081251-conversion-gate02/75/ssmjp-38-2048.jpg)
ダークネットのはなし #ssmjp
- 1.
- 2. 自己紹介 HN: sonickun(@y_hag) 大学4年生 研究: ネットワーク＆セキュリティ CTF: チーム”m1z0r3” ブログ：sonickun.log http://sonickun.hatenablog.com/ 2ssmjp2015/2/20
- 3.
- 4.
- 5.
- 6.
- 7. ダークネットの特徴 外部からのアクセスに対して 一 切 のレ ス ポ ン ス を 返 さ な い ssmjp 7 IPアドレス空間 割り当て 済 未割り当て 双方向 片方向 ダークネット 2015/2/20
- 8. ダークネットのいま ssmjp 8 IPv4 アドレス空間マップ 引用：Dainotti,A., Benson, K., King, A., claffy, k. , Kallitsis, M., Glatz, E., and Dimitropoulos,X., “Estimating Internet address space usage through passive measurements” ライブネット ダークネット 経路なし 引用：Dainotti, A., Benson, K., King, A., claffy, k. , Kallitsis, M., Glatz, E., and Dimitropoulos,X., “Estimating Internet address space usage through passive measurements” In ACM SIGCOMM Computer Communication Review (CCR) (2014) 2015/2/20
- 9. ダークネットのいま ssmjp 9 IPv4 アドレス空間マップ 引用：Dainotti,A., Benson, K., King, A., claffy, k. , Kallitsis, M., Glatz, E., and Dimitropoulos,X., “Estimating Internet address space usage through passive measurements” In ACM SIGCOMM Computer Communication Review (CCR) (2014) ライブネット ダークネット 経路なし 全IPv4アドレスの53.7％が ダークネット or 経路なし 2015/2/20
- 10.
- 11.
- 12. ダークネットの通信 ダークネットには不正な行為・活動に起因するパケットが 多く到達する 攻撃者やマルウェアによるスキャン(脆弱ホストの探索) ワームやウイルスの自己拡散 ランダムに偽造した送信元からのDDoS攻撃の跳ね返り パケット 様々なボットネットの活動 コンピュータの設定ミスによる通信 などなど… ssmjp 122015/2/20
- 13.
- 14.
- 15.
- 16. ダークネット vs ハニーポット ssmjp16 レスポンスを返さない 広範囲に影響を与える 攻撃の把握に役立つ 攻撃者に気付かれるこ とはない 被攻撃のリスク低 運用が楽 レスポンスを返す 攻撃の振る舞いを分析 するのに役立つ 攻撃者に気付かれるこ とがある 被攻撃のリスク高 運用が大変 2015/2/20
- 17. センサとしてのダークネット ssmjp 17 ダークネット観測に基づく不正ホスト検知システム “DAEDALUS” 引用： 鈴木未央, 井上大介,大規模ダークネット観測に基づくアラートシステム DAEDALUS http://www.nict.go.jp/publication/shuppan/kihou-journal/kihou-vol57no3_4/kihou-vol57no3-4_0205.pdf 2015/2/20
- 18. 小休憩… ssmjp 18 Any Question…? 2015/2/20
- 19.
- 20. データについて ssmjp 20 NICTER DarknetDataset 2014 • 情報通信研究機構により提供された通信(pcap)データ • 4096個(/20)の連続したダークネット • 収集期間は2014/01/01/~2014/12/31 NICTER Darknet Dataset 2014 / NONSTOP: http://www.iwsec.org/mws/2014/files/NICTER_Darknet_Dataset_2014.pdf 2015/2/20
- 21.
- 22.
- 23. 宛先ポート ssmjp 23 ポート番号 サービスパケット数 23/TCP TELNET 56,649,873 22/TCP SSH 32,927,433 1433/TCP MSSQL 15,562,753 80/TCP HTTP 13,882,553 3389/TCP RDP 12,745,960 8080/TCP HTTP alt. 11,625,204 5000/TCP UPnP 10,259,346 443/TCP HTTPS 7,184,185 53/UDP DNS 6,053,237 445/TCP SMB 5,263,257 2015/2/20 ダークネットにおける主な宛先ポート
- 24.
- 25.
- 26. NTP NTP (NetworkTime Protocol) NTP amp 攻撃 が世界的に増加 2014年2月11日、Evernoteを標的とした攻撃がDDoS攻撃の世 界記録(400Gbps)を樹立 http://www.pcmag.com/article2/0,2817,2453157,00.asp 2014年9月18日、16歳高校生がゲーム会社のサーバを攻撃し、 電子計算機損壊等業務妨害の疑いで書類送検 http://www.asahi.com/articles/ASG9L365YG9LUTIL007.html ssmjp 262015/2/20
- 27.
- 28. ダークネットのNTP通信 ssmjp 28 2014年2013年 パケット数 ホスト数 • 2014年からアクセスが増加 •増幅率が大きな”mode7”コ ントロールメッセージが ターゲット 2015/2/20
- 29.
- 30. DNS DNS amp攻撃 2014年8月2日 読売新聞一面 「ルーター攻撃ネット障害」 バッファロー製ルーターがオープ ンリゾルバになっていた OCN(約815万世帯)で40分に渡り ネットワーク障害 ssmjp 30 参考： http://internet.watch.impress.co.jp/ docs/news/20140804_660902.html 2015/2/20
- 31.
- 32.
- 33.
- 34. ダークネットのDNS通信 ssmjp 34 ドメイン パケット数備考 dnsscan.shadowserver.org 774,248 Shadowserver www.jrdga.info 521,542 www.google.com 447,000 Google VERSION.BIND 433,005 BINDのバージョン問合わせ www.google.it 378,381 Google wwww.jrdga.info 374,297 com 296,744 isc.org 188,528 ISC (Internet Systems Consortium) webpanel.sk 106,165 wradish.com 99,178 主な問い合わせドメイン 2015/2/20
- 35.
- 36. HTTPS HeartBleed OpenSSLの重大な脆弱性 2014年4月7日 発表 CVE-2014-0160 http://jvndb.jvn.jp/ja/contents /2014/JVNDB-2014-001920.html ssmjp 362015/2/20
- 37.
- 38. ダークネットのHTTPS通信 ssmjp 38 4月(HeartBleedが発表された月)の一時間ごとのホスト数 • 1日毎に周期的にア クセスが増加 •ミシガン大学による サーベイ目的のス キャン通信[※] • Zmapを使用 [※] Durumeric, Z., Bailey, M., and Halderman, J. A., “An Internet-Wide View of Internet-Wide Scanning”, in 23rd USENIX Security Symposium. (2014) 2015/2/20
- 39.
- 40. TELNET ルータやWebカメラ等の組み込みシステムが攻撃の標的 となる 2014年7月下旬頃から宛先ポート23/TCPに対するアク セスが増加 • ネットワーク接続機器を踏み台にしたスキャン行為が行われて いる可能性 • 警察庁の報告(http://scan.netsecurity.ne.jp/article/2014/08/29/34745.html) ssmjp 402015/2/20
- 41.
- 42. p0f ssmjp 42 p0f (PassiveOS Fingerprint) ―パケットのヘッダ情報を元に送信元のOSを推定する OSの判別に用いるシグネチャの例 •Window Size •IPパケットサイズ •初期TTL •ack flag •DF flag •MSS •Window Scaling •Time Stamp値 •Selective ACK の可否 •NOP (No Operation)の数と並び •EOL (End of Option List)の利用 •その他のTCPオプション •0であるべきフィールドのチェック p0f v3 (version 3.08b)：http://lcamtuf.coredump.cx/p0f3/ 2015/2/20
- 43.
- 44. ダークネットのTELNET通信 ssmjp 44 送信元ホストのOSの内訳 • Linux2.4系がほとんど • 組み込みシステムの多 くはLinuxで動作する Packets 2015/2/20
- 45. まとめ ダークネットとは到達可能かつ未使用のIPアドレス空間 のこと ダークネットのトラフィックを分析することでサイバー 攻撃の大局的な傾向を把握することができる 2014年に起こった世界的なセキュリティインシデント の多くはダークネットにおいても観測されている ssmjp 452015/2/20
- 46.
- 47. 参考 ダークネットの基礎知識 –sonickun.log http://sonickun.hatenablog.com/entry/2014/06/11/233859 ssmjp 472015/2/20
- 48.