MWS 2013 意見交換会（2013/06/12）

nicter darknet 2013
情報通信研究機構
ネットワークセキュリティ研究所
サイバーセキュリティ研究室
笠間貴弘

Network Incident analysis Center for Tactical Emergency Response

21万アドレスからなる
ダークネット観測網

7000検体／日のマルウェア解析能力

30秒～1分でマルウェアを特定

2

MWS 2013 Datasets• nicter Darknet 2013
– nicterで収集したダークネットトラフィックデータ– 観測対象はある1組織 (/16) のダークネット (/20)– 2011年4月1日～2013年3月31日の2年間分＋α– PCAP形式のファイルを NONSTOP(機能制限版)上で 提供

ライブネットダークネット3

ダークネットとは• 実ホストが存在しない未使用IPアドレス（ブロック）• ダークネットに届くパケットは– マルウェア（リモートエクスプロイト型）
によるスキャン
– マルウェア本体の感染行為（主にUDP）– DDoS攻撃の跳ね返り（バックスキャッタ）– 設定ミスなどが原因。

• インターネット上で広範囲に影響を与える攻撃の把握に役立つ。

Darknet4

NICTER Open Network Security Test-Out Platform• nicterで収集したサイバーセキュリティ情報（ダークネットトラフィック, マルウェア検体, etc.）を遠隔から安全に利用するための分析基盤• 利用に必要なもの– ICカード（nicter Darknet 2013の利用申請後に送付されます）– ICカードリーダ（各自でご用意ください）– SSHクライアント等のソフトウェア• できること– NONSTOP上のVM（Linux, Windows）の利用– nicterの各種データリソースへのアクセス– ローカルマシン－VM間でのファイル転送5

NICTER Open Network Security Test-Out Platform• 他にも・・・– データリソース•••••

リアルタイムのダークネットトラフィックデータ
マルウェア検体
ミクロ解析システムの解析結果
スパムメール（ダブルバウンスメール）
etc.

– 設備

• IDA Proなどの解析ツールをVM内に標準用意• WebサーバによるVM管理等のためのインターフェイス提供• 利用者間の知識共有やトラブルシューティングのために、NONSTOP内にWikiサーバを用意• 参考文献– 竹久, 井上, 衛藤, 吉岡, 笠間, 中里, 中尾, “サイバーセキュリティ情報遠隔分析基盤NONSTOP,” ICSS研究会@長岡, 2013年6月

6におけるダークネットトラフィック分析～可視化・分析エンジン～

: Geographical Traffic Visualization• 攻撃元の地理的分布を俯瞰（色: プロトコルやTCPフラグ, 高度: 宛先ポート番号）8

: 3D Traffic Visualization• 全体的なスキャン傾向を把握（画像はプロトコル毎に可視化）

9

: Host-based Behavioral Analysis Engine• 1ホストの30秒間の挙動を表現（自動的にクラスタリング）

10network and malware enchaining system• 目的

マクロ解析システムにおいて観測されたスキャンとミクロ解析システムにおけるマルウェアのスキャンの相関を調べることで、現象と原因を関連付ける相関分析システム

スキャンパターン

マルウェア

スキャンパターン

情報プール
ネットワーク観測（マクロ）マルウェア解析（ミクロ）相関分析エンジン

11他••（Change Point Detector）– 変化点検出エンジンを用いたインシデント検知エンジン– 長期的な統計表示による傾向把握• etc.

12

におけるダークネットトラフィック分析～大規模感染マルウェア出現の予兆～

観測事例：Conficker【時系列】• 2008/10/24– MS08-067• Server サービスの脆弱性により、リモートでコードが実行される• 2008/11/21: Conficker.A• 2008/12/29: Conficker.B• 2009/02/20: Conficker.C• 2009/03/04: Conficker.D• 2009/04/07: Conficker.E
14

ダークネット観測結果（パケット数）
Conficker B(12/29)Conficker C(2/20)

Conficker D(3/4)

Conficker E(4/7)

12000000

12000010000000

1000008000000

80000

6000000

60000

4000000

40000

2000000

20000

02008/11/01

ケット数／日(Sensor B)

パケット数／日 (Sensor A)

Conficker A(11/21)0
2008/11/21

2008/12/11

2008/12/31

2009/01/20

2009/02/09

2009/03/01

2009/03/21

2009/04/10

2009/04/30

Date (Nov 1st 2008 – Apr 30th 2009)15

ダークネット観測結果（ユニークホスト数）
Conficker B(12/29)Conficker C(2/20)

Conficker D Conficker E
(3/4)
(4/7)

1200000

60000

1000000

50000

80000040000

60000030000

40000020000

20000010000

02008/11/01

ユニークホスト数／日(Sensor B)

ユニークホスト数／日(Sensor A)

Conficker A(11/21)0
2008/11/21

2008/12/11

2008/12/31

2009/01/20

2009/02/09

2009/03/01

2009/03/212009/04/10

2009/04/30

Date (Nov 1st 2008 – Apr 30th 2009)16

ダークネット観測結果（ユニークホスト数 on 445/tcp）
Conficker A(11/21)

Conficker B 500(12/29)Conficker C(2/20)

Conficker D Conficker E
(3/4)
(4/7)

400

6000

300
400000

4000

200

2000

100

3000000

ユニークホスト数/日（Sensor B）

25000

8000

ユニークホスト数／日(Sensor A)

ユニークホスト数/日(Sensor A)

500000

20000

15000

0
9/1

9.16

10.7 10/21
10.24

200000

10000

1000005000

02008/11/01

ユニークホスト数／日(Sensor B)

10000

0
2008/11/21

2008/12/11

2008/12/31

2009/01/20

2009/02/09

2009/03/01

2009/03/21

2009/04/10

2009/04/30

Date (Nov 1st 2008 – Apr 30th 2009)17

観測事例：Morto【時系列】• 2011/08/10– MS11-061• リモート デスクトップ Web アクセスの脆弱性により、特権が昇格される– MS11-065• リモート デスクトップ プロトコルの脆弱性によりサービス拒否が発生する• 2011/08/28– Microsoft（Mortoワーム）• Mortoの注意喚起、及びウイルス定義作成– F-Secure• Mortoの注意喚起• 2011/09/07– JPCERT/CCからの注意喚起• http://www.jpcert.or.jp/at/2011/at110024.html
18

ダークネット観測結果（ユニークホスト数 on 3389/tcp）

19

ダークネット観測結果（ユニークホスト数 on 3389/tcp）20

予兆検出（オペレータ視点）の流れ• 一例– ユニークホスト数の増加（全体、プロトコル別、宛先ポート別）• Stats（統計グラフ）• Cube– 現象が継続するか観察• ボットの活動由来だと急増して急降下するケースが多い– スキャンパターンの確認• Tiles• Chronos（Tilesの長期間版）• ミクロ解析システムとの比較– 関連情報の収集• 脆弱性情報• 他組織の観測傾向– 情報共有（連携組織など）
21

におけるダークネットトラフィック分析～他～サイバーセキュリティ研究室の取り組み• 可視化・分析ツール– 攻撃元の地理的分布（Atlas）– 全体の攻撃傾向（Cube）– 個々の攻撃元の攻撃パターン（Tiles、Chronos）– 統計情報（Stats）– 変化点検出（CPD）– マルウェア動的解析結果との突合（Nemesys）– ダークネット観測ベースのアラートシステム（DAEDALUS）• 研究課題（一例）– 機械学習を応用したインシデント予測– バックスキャッタ分析・対策応用– 他のサイバー攻撃観測情報との突合（マルチモーダル分析）• スパムメール、ドライブ・バイ・ダウンロード攻撃、ハニーポット、etc.

– 新たな能動的ダークネット観測網– ダークネット観測網災害応用技術（ACTIVATE）

23

nicter Darknet 2013 を利用した論文投稿をよろしくお願いします！！

24