SSRC-IR-201001-1

S.S.R.C.定期
インシデントレポート
Vol.3

株式会社 日立情報システムズ
セキュリティリサーチセンタ
初版

2009/03/23

S.S.R.C.インシデントレポート Vol.3
目次
1.

はじめに ...................................................................................................................... - 2 -2.

ご利用条件 .................................................................................................................. - 2 -3.

概要 ............................................................................................................................. - 3 -4.

サマリレポート ........................................................................................................... - 4 -

4.1.

地域傾向................................................................................................................... - 4 -4.2.

攻撃元国別傾向........................................................................................................ - 5 -4.3.

サービス別 ............................................................................................................... - 8 -5.

注目インシデントの現状........................................................................................... - 11 -5.1.

Conficker の現状 ................................................................................................... - 11 -6.

おわりに .................................................................................................................... - 12 -7.

参考文献、参考資料、サイトなど ............................................................................ - 12 -8.

付録 ........................................................................................................................... - 13 --1© Hitachi Information Systems, Ltd. 2009. All rights reserved.

1.

はじめに

S.S.R.C. (SHIELD Security Research Center)は、株式会社日立情報システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信する予定です。
本文書は、株式会社日立情報システムズ SHIELD セキュリティセンタで日々収集を行っているセキュリティ情報にもとづき、セキュリティリサーチセンタのセキュリティアナリストが、不正アクセスなどのセキュリティインシデントの傾向調査したレポートです。
次に示すご利用条件を十分にお読み頂き、ご了承頂いた上でご利用下さいます様、よろしくお願い致します。

2. ご利用条件
本文書内の画像等すべての情報の著作権は、特別の断りがない限り、株式会社日立情報システムズ（以下、「当社」）に帰属します。本文書をご利用いただく際には、非営利目的かつ利用者個人（または組織内部）での利用に限り、当社の著作物を複製することができます。但し、当該複製物には、当社の著作権表示を付して戴くことを条件と致します。
上記を除き、営利目的による複製・公衆送信等著作物の利用や、商標権・著作権・特許権等知的所有権に基づくいかなる権利も許諾するものではありません。なお、個々の著作物に利用条件が付されている場合は当該条件が優先されます。
また、当社は情報掲載にあたって細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に掲載されている情報は、掲載した時点の情報です。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。

-2© Hitachi Information Systems, Ltd. 2009. All rights reserved.

3. 概要SHIELD セキュリティリサーチセンタでは、専属のセキュリティアナリストが全世界各地より各種セキュリティ情報の収集を行っております。本レポートでは、（株）日立情報システムズ SHIELD セキュリティセン
タにて収集を行っているセキュリティ情報より、不正アクセスなどのセキュリティインシデントの傾向調査を行いましたのでご報告致します。
本レポートの対象は以下の通りとなっています。

対象期間

：

2009 年度第三四半期（10 月 01 日 〜 2009 年 12 月 31） 1

収集拠点

：

ＳＨＩＥＬＤ セキュリティセンタ

本レポートの対象装置：

IDS × 3 種

1 2009 年 11 月 13 日 16 時〜11 月 16 日 12 時まではメンテナンスのため対象外です。

-3© Hitachi Information Systems, Ltd. 2009. All rights reserved.

4. サマリレポート
本章では、SHIELD セキュリティセンタにて観測されたインシデントについて様々な観点から一次分析（単視点からの）を行いましたので報告します。

4.1. 地域傾向
SHIELD セキュリティセンタにて観測されたインシデントの内、対象期間中に観測されたユニーク IP 数、ユニーク地点数は以下の通りとなっています。

・ユニーク IP

：約 340,000（10 月）：約 230,000（11 月）：約 320,000（12 月）

・

ユニーク地点：約 23,000（10 月）：約 20,000（11 月）：約 25,000（12 月）

前レポート期間と比較しますと、IP アドレスの範囲および地点は減少傾向にあります。また、11 月は通常時に比べる比較的狭い IP アドレスの範囲となっているように見受けられますが、メンテナンスの影響をうけているためです。

-4© Hitachi Information Systems, Ltd. 2009. All rights reserved.

4.2. 攻撃元国別傾向
SHIELD セキュリティセンタにて観測された攻撃の、攻撃元国傾向についてご報告します。まず、攻撃元の国、上位 5 件について図 1、図 2、図 3 に示します。ここでの値は、下記式をもとに算出しています。
値 ＝ 1 時間毎に観測される値 ÷ 先月分の 1 時間毎平均数
このため、先月の平均観測数との検知数が同じであれば、値＝１となり、増加した場合は、値＞１、減
少した場合は、値＜１となります。また、本グラフにおけるタイムゾーンは GMT＋0 となっています。

図 1 攻撃元国傾向（10 月）-5© Hitachi Information Systems, Ltd. 2009. All rights reserved.

図 2 攻撃元国傾向（11 月）

図 3 攻撃元国傾向（12 月）-6© Hitachi Information Systems, Ltd. 2009. All rights reserved.

また、攻撃全体に対する国毎の割合を表 1 に示します。

表 1 各月ごとの全体のインシデント中の国ごとの割合
ランキング

10 月 [%]

11 月[%]

12 月[%]

1

日本

→

60.1

日本

→

64.9

日本

→

62.9

2

ブラジル

↑

6.4

ブラジル

→

5.9

アメリカ

↑

10.2

3

アメリカ

↓

5.4

アメリカ

→

5.0

中国

↑4.7

4

中国

→

3.4

中国

→

3.3

ブラジル

↓

3.1

5ポーランド

↑

2.0

ポーランド

→

1.8

インド

↑

1.16

インド

↓

1.9

フィリピン

↑

1.5

フィリピン

→

1.0

7

フィリピン

→

1.4

インド

↓

1.3

ルーマニア

↑

1.08

アルゼンチン↓

1.0

アルゼンチン

→0.9

韓国

↑

1.09

チェコ

↑

0.9

コロンビア

↑0.9

ポーランド

↓

0.9

10

イギリス

↑

0.8

チェコ

↓

0.8

ウクライナ

↑

0.8

―

その他

15.9

その他

12.7

その他

今回の調査結果は、前回のご報告（７月〜９月）[i]から比較しても上位国に大きな変化はありません
が、図 3 からもわかりますように、12 月は一時的にアメリカからのインシデントの増加がわかります。

-7© Hitachi Information Systems, Ltd. 2009. All rights reserved.

11.4

4.3. サービス別SHIELD セキュリティセンタにて観測された、主要サービス（smtp,pop3,domain,http,https）に対する攻撃をグラフ化したものを図 4、図 5、図 6 に示します。ここでの値は、下記式をもとに算出しています。
値 ＝ 1 時間毎に観測される値 ÷ 先月分の 1 時間毎平均数
このため、先月の平均観測数との検知数が同じであれば、値＝1 となり、増加した場合は、値＞1、減少した場合は、値＜1 となります。また、本グラフにおけるタイムゾーンは GMT＋0 となっています。

図 4 攻撃サービス傾向（10 月）-8© Hitachi Information Systems, Ltd. 2009. All rights reserved.

図 5 攻撃サービス傾向（11 月）

図 6 攻撃サービス傾向（12 月）-9© Hitachi Information Systems, Ltd. 2009. All rights reserved.

図 6 にて観測されている HTTP へのインシデントの増加は、前回のレポートで報告した内容と同様でツールによる攻撃と考えられます。また、ICMP のインシデントは、利用可能サービスのスキャニングだと推測されます。

- 10 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

5. 注目インシデントの現状
本章では現在注目する必要があるインシデントの現状についてご報告します。本レポートでは下記についてご報告します。
・Conficker ワームの現状

5.1. CONFICKER の現状
全号に続き、Confricker の現状について調査を行いましたのでご報告します。Confricker とは、
Microsoft 社から提供されている更新プログラム「MS08-067」[ii]を適用していない Windows の USB ドラ
イブやネットワーク共有などを使用して感染するワームです。
この、Confricker による攻撃の現状を図 7 に示します。

図 7

Confricker による攻撃の傾向

図 7 から 2009 年度第三四半期の Confricker は、大きな振れ幅もなく比較的安定しています。しかし、継続的に観測されていることから注意が必要です。

- 11 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

6. おわりに
１0 月 〜 12 月の期間中、SHIELD セキュリティセンタで観測された情報では大規模攻撃は発生していません。一方、全レポートから報告を続けております「Confricker」については相変わらず減少傾向にありません。今後も、引き続き観測を続けて参ります。
一方で、「Gumblar」につきましては現在、幸運にもＳＨＩＥＬＤ セキュリティセンタでは観測されていません。しかし、トレンドレポート[iii]でご報告しております通り、「Gumblar」による被害は拡大を続けておりますので、引き続き注意が必要です。

7. 参考文献、参考資料、サイトなど[i]

S.S.R.C.セキュリティインシデントレポート Vol.2,日立情報システムズ,
http://www.shield.ne.jp/ssrc/SSRC-IR-20091001.pdf
2009/03/01 確認[ii] MS08-067 : Windows の重要な更新, Microsoft Corporation
http://www.microsoft.com/japan/security/bulletins/MS08-067e.mspx
2009/03/01 確認[iii] S.S.R.C.セキュリティインシデントレポート Vol.2,日立情報システムズ,
http://www.shield.ne.jp/ssrc/SSRC-TR-201001.pdf
2009/03/14 確認- 12 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

8. 付録・

セキュリティインシデント緊急対応サービス「SHIELD110 番」のご案内
セキュリティ対策が万全と思われていた大企業の Web サイトも Gumblar ウイルスに感染し、その Web サイトの閲覧者が次々と Gumblar ウイルスに感染する事例が報告されています。Gumblar ウイルスに自身が感染した場合、被害者となるだけでなく加害者となる可能性もあり、早急に対策を実施する必要があります。

日立情報システムズの Gumblar 対策ソリューションでは、「なにから対応していいかわからない」「対策が十分かどうか心配」というお悩みやご相談を専用窓口でお受けし、セキュリティのプロフェッショナルによりご回答いたします。また、Gumblar ウイルス対策だけでなく、お客様のご利用環境に沿って 長期的な観点によるセキュリティ環境の構築をご提案させていただきます。
詳細につきましては、下記、日立情報システムズＨＰからご確認ください。
http://www.hitachijoho.com/solution/shield/gumblar.html- 13 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

株式会社 日立情報システムズ〒141-8672 東京都品川区大崎 1-2-1
http://www.hitachijoho.com
http://www.shield.ne.jp- 14 © Hitachi Information Systems, Ltd. 2009. All rights reserved.