NICTER Darknet
2014

独⽴⾏政法⼈ 情報通信研究機構（NICT）
笠間貴弘
神薗雅紀

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTER Darknet 2014
• NICTER Darknet 2014
– ダークネット（未使⽤IPアドレス）宛てのトラフィックデータ– 観測対象はある/20の連続したダークネット– 2011年4⽉1⽇〜2014年3⽉31⽇の3年間分＋α– NONSTOPを利⽤して提供（pcap＋DB(予定)）

ライブネットダークネット2

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTER Darknet 2014
• データの注意点– ダークネットからは応答を返していないため、インターネット
からダークネットへの⽚⽅向の通信データしか含まれていない– センサ設置場所を秘匿する⽬的で、宛先IPアドレスの第１および第２オクテットは適当な値に置換している

ライブネットダークネット3

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTER Darknet 2013 利⽤実績
インターネット観測システムへの観測点検出攻撃を考慮した動的観測⼿法の⼀検討

通信源ホストの分類を利⽤したダークネット通信解析

ライブネットにおける不正通信の早期検知⼿法

ダークネットモニタリングによるDNSトラフィック分析

NONSTOPデータを⽤いたマルウェアの時系列分析

ダークネットトラフィックデータの解析によるサブネットの脆弱性判定に関する研究
4

NICTER
Network Incident analysis Center for Tactical Emergency ResponseQ：ダークネットで⾒える攻撃は減少している？

いいえ。
むしろ増加しています！
5

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERダークネット観測統計
年

年間
総観測パケット数

観測IPアドレス数

1 IPアドレス当たりの年間総観測パケット数

2005

約 3.1億

約1.6万

約1.9万

2006

約 8.1億

約10万

約1.7万

2007

約19.9億

約10万

約2.0万

2008

約22.9億

約12万

約2.5万

2009

約35.7億

約12万

約6.4万

2010

約56.5億

約12万

約7.5万

2011

約45.4億

約12万

約6.0万

2012

約77.9億

約19万

約6.6万

2013

約128.8億

約21万

約9.3万

100,000
90,00080,00070,00060,00050,00040,00030,00020,00010,000
0

2005

2006

2007

2008

2009

2010

2011

1 IPアドレスあたりの年間総観測パケット数

2012

2013

6

NICTER
Network Incident analysis Center for Tactical Emergency Responseダークネットで何が⾒えているのか？
• マルウェアによるスキャン ワーム型マルウェアの探索活動
 マルウェア感染の⼤局的傾向
 感染爆発の前兆• DDoS攻撃の跳ね返り

 送信元IPアドレス偽装されたSYN Flood 被攻撃サーバからの応答（SYN-ACK） DDoS攻撃の早期検知（1パケット⽬から）• 設定ミスDarknet 組織内ダークネット• リフレクション攻撃の準備活動

新 DNS Open Resolver探索
 NTP探索 etc.

7

NICTER
Network Incident analysis Center for Tactical Emergency Response

DNS amp攻撃の概要
キャッシュDNSサーバ（Open Resolver）

権威DNSサーバ

DNS要求パケット（アドレスを詐称）
攻撃者

DNS要求
（2度⽬）

DNS問い合わせDNS応答（キャッシュ）DNS応答
DNS応答パケット
被害者

【増幅例】
要求：26 byte（ripe.net, IN, ANY）
応答：821 byte（DNSSEC署名等含む）
増幅率：約32倍8

NICTER
Network Incident analysis Center for Tactical Emergency Response

DNS amp攻撃とダークネット
Open Resolverを攻撃に利⽤するためには、Open Resolverを探す必要があります。

Open Resolver探索のスキャンが来る！
（宛先53/UDP）
9

NICTER
Network Incident analysis Center for Tactical Emergency Responseパケット数（宛先53/UDP）- 2013年1⽉〜10⽉(/16センサ) -8000000

7000000

6000000

5000000

4000000

3000000

Spamhaus前後にパケット数増加

2000000

1000000

0

10

NICTER
Network Incident analysis Center for Tactical Emergency Responseユニークホスト数（宛先123/UDP）- 2013年10⽉〜2014年03⽉ -11

NICTER
Network Incident analysis Center for Tactical Emergency Responseダークネット関連研究• A. Dainotti, K. Benson, A. King, K. Claffy, M, Kallitsis, E. Glatz, and X.
Dimitropoulos, “Estimating internet address space usage through passive
measurements,” ACM SIGCOMM 2014
– IPアドレス空間の利⽤推定⼿法• A. Dainotti, R. Amman, E. Aben, K. Claffy, “Extracting Benefit from Harm: Using
Malware Pollution to Analyze the Impact of Political and Geophysical Eventson the Internet,” ACM SIGCOMM 2012
– 震災等によるネットワーク障害を検知– Awarded as one of top‐three papers in ACM SIGCOMM Computer Communication
Review in 2012

• Christian Rossow, “Amplification Hell: Revisiting Network Protocols for DDoS
Abuse,” NDSS 2014
– DRDoS (Distributed Reflective Denial of Service)に利⽤されるプロトコルの洗い出しと実際の攻撃の観測• 牧⽥⼤佑, 吉岡克成, 松本勉, 中⾥純⼆, 島村隼平, 井上⼤介, “DNSアンプ
攻撃の早期対策を⽬的としたDBSハニーポットとダークネットの突合分
析,” SCIS2014（SCIS論⽂賞受賞）– DNSハニーポットとダークネットデータの突合分析

12

NICTER
Network Incident analysis Center for Tactical Emergency Response

MWS2014 意⾒交換会(2014-05-19)

NONSTOP
NICTER Open Networ k Security Test-Out Platfor m

MWS Editionについて
独⽴⾏政法⼈ 情報通信研究機構
サイバー攻撃対策総合研究センター
サイバー防御戦術研究室
招へい専⾨員

⽵久 達也

Introduction• 背景
NICTERは，多数の開発者，分析者，研究協⼒者により，開発・運営されており，開発者，分析者，研究協⼒者らユーザの研究開発をさらに促進するために，外部から安全にイン
シデント分析が⾏えるシステムへのニーズが⾼まっている．
NICT（⼩⾦井）に⾏かないと
NICTERのサイバーセキュリティ情報を活⽤した研究開発が出来ない．

外部からのアクセスを適切に制御しながらユーザの利便性も考慮した
遠隔インシデント分析環境が欲しい！

14

Introduction

NONSTOPって？
nicter open network security test-out platform

NICTER内で保有する
サイバーセキュリティ情報(NICTERリソース)を外部から扱うことが出来るようにした、

Virtual Private Server(VPS) サービス
VPSサービス

NICTERリソース

15

Resources

NICTERリソースって？
•ダークネットトラフィックデータ（PCAPファイル）•

リアルタイムダークネットトラフィックデータ•

マルウエア検体•

マルウエア検体のミクロ解析結果•

ミクロ・マクロ相関分析結果•

SPAMメール．．．

16

Resources

NONSTOP(MWS Edition)では，•

ダークネットトラフィックデータ（PCAPファイル）•

リアルタイムダークネットトラフィックデータ•

マルウエア検体•

マルウエア検体のミクロ解析結果•

ミクロ・マクロ相関分析結果•

SPAMメール．．．

17

Functions• リモートログイン（OpenSSH改造）– ICカードによる認証– ターミナルログイン禁⽌– 転送速度制限(<10Mbps)– ポートフォワード制限
80(HTTP),3389(RDP)18

Functions• NONSTOPポータル(web)– ユーザ管理，VM管理• NONSTOP Wiki

– オンラインマニュアル、FAQなど• ファイル転送– WebDAV経由のファイル転送（Read/Write）– ファイルフィルタリング（Hash⽐較，種別，圧縮・暗号，サイズなど）– ファイル⼊出⼒監視，複製
19

Functions• 分析VM– OS

CentOS5.x, 6.x– NIC• NIC A:VM間通信のマスク• NIC B:ダークネットパケット受信⽤NIC（着信IPは匿名化）

20

Operation
ファイルの⼊出⼒(WebDAV)

データ保管
サーバ

VM電源ON/OFF,
リブート,状況確認(HTTP)
サービス
ポータル
Web Server

NICTERリソース
VM操作(RDP)
VM(Win/Linux)
解析環境

NONSTOP

PCAP File
Server

NICTER

FTP

21

File Transfer

VMから解析結果の取得，ユーザ側からのデータ転送

exportimportOK/copy

Hash値比較
フィルタ

データ保管
サーバ
(Filtering)

ファイルタイプ
チェックフィルタ

100MBまで

暗号化・圧縮ファイル
チェックフィルタ

NG/
deletecopy

importLinux/Windows
VM
解析環境

exportSecuritylog

OK and NG/copy
ExportトレースDB

22

Access Count(2013/06 〜 2014/05)

23