DNSデータを使用したサイバー脅威やボットの検出

1

DNS Summer Day 2019

The Spamhaus Project
調査員、フォレンジックスペシャリスト、ネットワークエンジニアの専任スタッフ

スパム、フィッシング、マルウェア、ボットネットなどのサイバー脅
威を追跡する非営利団体。 20年以上にわたり、世界中の法執行機関、政府機関、セキュリティベンダ、およびコンピュータセキュリティインシデント対応チームとデータを共有しています。

ASIA PACIFIC | MIDDLE EAST | AFRICA

4

東陽テクニカ セキュリティ＆ラボカンパニー

DNS Summer Day 2019

IOCIndicators of Compromise

データベース

保護されている30億人以上のユーザー

1000億
ルックアップ

リアルタイムの脅威データを利用のお客様
56a

ユーズケース

60秒ごとデータ更新

1日に2万件
マルウェア
サンドボックス
DNS Summer Day 2019

Great Asean

トップ10の悪意のある国のうち8がアジア
最も急成長している分野の脅威
2020年までに世界中で接続されている200億を超えるデバイス
2019年1月の間に1300万を超えるアクティブボットが記録されました。
ほとんどの活動はASEAN地域内の国々から来ています。

6

DNS Summer Day 2019

どのようなリスクありますでしょうか？

7

DNS Summer Day 2019

Phishing

2019年06月21日 ドコモをかたるフィッシング (2019/06/21)



2019年06月14日 セブン銀行をかたるフィッシング (2019/06/14)



2019年06月12日 楽天をかたるフィッシング (2019/06/12)



2019年06月05日 [更新] ゆうちょ銀行をかたるフィッシング (2019/06/05)



2019年06月04日 [更新] MUFG カードをかたるフィッシング (2019/06/04)



2019年06月03日 MyJCB をかたるフィッシング (2019/06/03)



2019年05月29日 NTT グループカードをかたるフィッシング (2019/05/29)



2019年05月22日 MyEtherWallet をかたるフィッシング (2019/05/22)



2019年04月03日 メルカリをかたるフィッシング (2019/04/03)



2019年03月06日 LINE をかたるフィッシング (2019/03/06)
Council of Anti-Phishing Japan
https://www.antiphishing.jp/news/alert/

8

DNS Summer Day 2019

マルウエアランサムウエア

9マルウエアDNS Summer Day 2019

DGA Domain Generating Algorithm

1

1093b375dd6cd9f2704d613d1016dbe0f2.info
93b375dd6cd9f2704d613d1016dbe0f2.tk
afcc0c1f4b9fd590a61ba1c24b49b525.ga
afcc0c1f4b9fd590a61ba1c24b49b525.info
afcc0c1f4b9fd590a61ba1c24b49b525.ml
afcc0c1f4b9fd590a61ba1c24b49b525.online
bbc16e2659b9b9b5128c2f7e5877d29b.cf
bbc16e2659b9b9b5128c2f7e5877d29b.ga
bbc16e2659b9b9b5128c2f7e5877d29b.gq
f62b550a0e5e4f234fdd30c927665c91.xyz

DNS Summer Day 2019

BOTクリプトジャッキング

Websites

11Mobile Applications

Servers

DNS Summer Day 2019

C2 コマンド＆コントロール
ボットネット : C2 コマンド＆コントロールサーバー

ボット：感染している機器

C&C SERVER

BO
T

12

DNS Summer Day 2019

A.K.A Light Leafon
14歳です〜

13

DNS Summer Day 2019

BOTS

14

BOT

DNS Summer Day 2019

14000000

12,927,176

グルーバルのボット

12000000

10000000

8,051,914
80000002019

6000000

GLOBAL TOP 10
CHINA
INDIA
VIETNAMIRAN
THAILANDBRAZILUSDINDONESIAPAKISTAN
EGYPT

2017

4000000

BOT

2000000

BOT

BOT

BOT02017 World152019 WorldDNS Summer Day 2019

140000

日本のボット118,889

12000092,994

100000180000

2019

60000

2017
40000

BOT

20000

BOTBO
T

BOT

016

DNS Summer Day 2019

９月２０１７年日本のボットネット

17

DNS Summer Day 2019

６月２０１９年日本のボットネット

18

DNS Summer Day 2019

日本#1のボットの数

19

DNS Summer Day 2019

日本のボットの種類

20

DNS Summer Day 2019

DNSで多くの悪意のある活動を検出することができます21

DNS Summer Day 2019

脅威のあるDNS活動のしくみ
Many things connect to the internet

MALICIOUS ACTIVITY
ISPBO
T1.COM

Query: www.goog1e.co.jp

Query: www.goog1e.co.jp.CO.JP

Cname: www.goog1e.co.jp.NET

ログデータは？
www.nttdocono.com
www.badguys.com
Dgaefcaseiwoweijvkajl.com
Where is www.goog1e.co.jp?

22

DNS Resolver

Other DNS Servers

Where is www.goog1e.co.jp?

Do you know www.goog1e.co.jp?

DNS Summer Day 2019

DNS RPZとデータの分類
MALICIOUS ACTIVITY
ISP

BOT

1.COM

Query: www.goog1e.co.jp

Query: www.goog1e.co.jp.CO.JP

Cname: www.goog1e.co.jp
NXDomainCname
Sinkhole.NET

このドメイン大丈夫？
RPZデータリダイレクト
アラート
ブロック
ログ収集

www.nttdocono.com
www.badguys.comDgaefcaseiwoweijvkajl.com

Where is www.goog1e.co.jp?

23

DNS Resolver

Other DNS Servers

Where is www.goog1e.co.jp?

Do you know www.goog1e.co.jp?

DNS Summer Day 2019

DNSログの監視機能
脅威のある動作ISPBOT

1

Query: www.goog1e.co.jp

Cname: www.goog1e.co.jp
NXDomainCname
Sinkhole

Level

SourceThreat Type

Critical10.24.31.13

C2 Comm

Critical131.31.23.13

Malware Domain

HighHigh

34.123.22.41
51.1.31.44

Ransomware
DGA Domain

RPZ データ

Where is www.goog1e.co.jp?

24

DNS Resolver

Log Report

Where is www.goog1e.co.jp?

Who accessed goog1e.co.jp?

DNS Summer Day 2019

IoT機器のDNSログを監視
感染しているIoTデバイス
ISP

1

Query: CCdomains.co.jp

Cname: CCdomains.co.jp

Level

SourceThreat Type

Critical10.24.31.13

C2 Comm

Critical131.31.23.13

Malware Domain

HighHigh

34.123.22.41
51.1.31.44

Ransomware
DGA Domain

RPZデータ

Where is Ccdomains.co.jp?

25

DNS Resolver

Log Report

Where is Ccdomains.co.jp ?

Who accessed
CCdomains.co.jp?

DNS Summer Day 2019

社内インフラのDNSログを監視
ハッカー・社内の脅威
DNS

Query: Corporate AD

ActiveDirectory

Level

SourceThreat Type

Critical10.13.22.31

Active Directory

Critical10.13.22.31

Active DirectoryHigh10.13.22.31

MS Exchange

Low

51.1.31.44

Other AD

Mail
Server

Where is company AD server?

DNS Resolver
Scan for AD or other Internal Servers

26

Log Report
Who accessed AD Server?

DNS Summer Day 2019

DNSログの監視機能

27

DNS Summer Day 2019

DNSログの監視機能

28

DNS Summer Day 2019

DNSログの監視機能

29

DNS Summer Day 2019

DNSログの監視機能

30

DNS Summer Day 2019

DNSログの監視の結果

31

https://www.joesandbox.com/analysis/37219/0/executive
DNS Summer Day 2019

DNSのセキュリティー、プライバシー、と重要度
DNSSECDNS over TLS
DNS over HTTPSDNS Tunnel（CNAME) ウエブサイト・ブラウザー（MX) メールサーバー（API) ウエブアップ、モバイルアプリ(TXT) New Attack Vectors
ISP・通信会社
データマインイング
フィルタリング
ユーザーのデータコントロール
アドレスブックだけでは無い 、DNSで情報を交換
32

DNS Summer Day 2019