SSRC-IR-200908-1

S.S.R.C.インシデントレポート
Vol.1

株式会社 日立情報システムズ
セキュリティリサーチセンタ
初版

2009/08/01

S.S.R.C.インシデントレポート Vol.1
目次
1.

はじめに ...................................................................................................................... - 2 -2.

ご利用条件 .................................................................................................................. - 2 -3.

概要 ............................................................................................................................. - 3 -4.

一次分析 ...................................................................................................................... - 4 -

5.

4.1.

地域傾向分析........................................................................................................ - 4 -4.2.

攻撃元国別傾向分析............................................................................................. - 5 -4.3.

サービス別分析 .................................................................................................... - 8 -二次分析 .................................................................................................................... - 10 5.1.

HTTP サービスへの攻撃増加について ............................................................. - 10 -6.

おわりに .................................................................................................................... - 11 -7.

参考文献、参考資料、サイトなど ............................................................................ - 12 -8.

付録 ........................................................................................................................... - 13 --1© Hitachi Information Systems, Ltd. 2009. All rights reserved.

1.

はじめに

S.S.R.C. (SHIELD Security Research Center)は、株式会社日立情報システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信する予定です。
本文書は、株式会社日立情報システムズ SHIELD セキュリティセンタで日々収集を行っているセキュリティ情報にもとづき、セキュリティリサーチセンタのセキュリティアナリストが、不正アクセスなどのセキュリティインシデントの傾向調査したレポートです。
次に示すご利用条件を十分にお読み頂き、ご了承頂いた上でご利用下さいます様、よろしくお願い致します。

2. ご利用条件
本文書内の画像等すべての情報の著作権は、特別の断りがない限り、株式会社日立情報システムズ（以下、「当社」）に帰属します。本文書をご利用いただく際には、非営利目的かつ利用者個人（または組織内部）での利用に限り、当社の著作物を複製することができます。但し、当該複製物には、当社の著作権表示を付して戴くことを条件と致します。
上記を除き、営利目的による複製・公衆送信等著作物の利用や、商標権・著作権・特許権等知的所有権に基づくいかなる権利も許諾するものではありません。なお、個々の著作物に利用条件が付されている場合は当該条件が優先されます。
また、当社は情報掲載にあたって細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に掲載されている情報は、掲載した時点の情報です。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。

-2© Hitachi Information Systems, Ltd. 2009. All rights reserved.

3. 概要SHIELD セキュリティリサーチセンタでは、専属のセキュリティアナリストが全世界各地より各種セキュリティ情報の収集を行っております。本レポートでは、（株）日立情報システムズ SHIELD セキュリティセン
タにて収集を行っているセキュリティ情報のうち、不正アクセスなどのセキュリティインシデントの傾向調査を行いましたのでご報告致します。
本レポートの対象は以下の通りとなっています。

対象期間

：

2009 年 06 月 01 日 〜 2009 年 07 月 30 日

収集拠点

：

ＳＨＩＥＬＤ セキュリティセンタ

本レポートの対象装置：

IDS × 3 種-3© Hitachi Information Systems, Ltd. 2009. All rights reserved.

4. 一次分析
本章では、SHIELD セキュリティセンタにて収集している攻撃について様々な観点から一次分析（単視点からの）を行いましたので報告します。

4.1. 地域傾向分析
SHIELD セキュリティセンタにて収集している攻撃の攻撃元 IP アドレスから経緯度情報を調査し、地図上に表示したものを図 1 に示します。

図 1 地域傾向

図 1 では、1 時間分のデータを表示していますが、比較的広範囲からの攻撃があることがわかります。
但し、各地点における攻撃の量については考慮しておりませんので、ご注意ください。
ここで、対象期間中に観測されたユニーク IP 数、ユニーク地点数は以下の通りとなっています。

・ユニーク IP

：約 420,000（6 月）：約 390,000（7 月）・ユニーク地点：約 25,000（6 月）：約 24,000（7 月）-4© Hitachi Information Systems, Ltd. 2009. All rights reserved.

4.2. 攻撃元国別傾向分析
SHIELD セキュリティセンタにて収集している攻撃の、攻撃元国傾向についてご報告します。まず、攻撃元の国、上位 5 件について図 2、図 3 に示します。ここでの値は、下記式をもとに算出しています。
値 ＝ 1 時間毎に観測される値 ÷ 先月分の 1 時間毎平均数
このため、先月の平均観測数との検知数が同じであれば、値＝１となり、増加した場合は、値＞１、減少した場合は、値＜１となります。また、本グラフにおけるタイムゾーンは GMT＋0 となっています。

図 2 攻撃元国傾向（6 月）-5© Hitachi Information Systems, Ltd. 2009. All rights reserved.

図 3 攻撃元国傾向（7 月）

この結果、6 月 7 月の攻撃元国については、増減はあるもののほぼ安定していることがわかります。しかし、図 2 より 2009 年 6 月 10 日 16 時に中国からの攻撃が急激に増加していることがわかります。

また、攻撃全体に対する国毎の割合を表 1 に示します。

表 1 各月ごとの全体のインシデント中の国ごとの割合
ランキング

6 月 [%]

７月[%]

1

日本

38.9

日本

→ 52.7

2

アメリカ

9.4

アメリカ

→

6.4

3

ブラジル

7.5

ブラジル

→

5.2

4

中国

4.6

中国

→

4.8

5

ポーランド

3.2

韓国

↑

3.0

6

トルコ

3.2

インド

↑2.5

-6© Hitachi Information Systems, Ltd. 2009. All rights reserved.

7インド

3.2

ポーランド

↓

2.2

8

韓国

3.0

フィリピン

↑

2.2

9

フィリピン

2.1

トルコ

↓

1.8

10

ルーマニア

2.0

ベトナム

↑

1.0

―

その他

22.9

その他

17.6

この結果、上位国にも大きな変化はありません。
一方、攻撃元の多くは日本国内であることがわかります。これは、Hitachi Incident Response Team が公開している情報[i]からもわかる通り、ワームの多くは、近くの IP アドレス帯をスキャンするものなどが多い為と考えられます。

-7© Hitachi Information Systems, Ltd. 2009. All rights reserved.

4.3. サービス別分析
SHIELD セキュリティセンタにて収集している攻撃の内、主要サービス（smtp,pop3,domain,http,https）
に対する攻撃をグラフ化したものを図 4、図 5 に示します。ここでの値は、下記式をもとに算出しています。
値 ＝ 1 時間毎に観測される値 ÷ 先月分の 1 時間毎平均数
このため、先月の平均観測数との検知数が同じであれば、値＝1 となり、増加した場合は、値＞1、減少した場合は、値＜1 となります。また、本グラフにおけるタイムゾーンは GMT＋0 となっています。

図 4 攻撃サービス傾向（6 月）-8© Hitachi Information Systems, Ltd. 2009. All rights reserved.

図 5 攻撃サービス傾向（7 月）

上図より、6 月 7 月ともに多くのサービスへの攻撃は、同程度の値で推移していることがわかります。しかし、HTTP サービスへのインシデントは、2009 年 6 月 10 日 16 時に爆発的に増加していることがわかります。

-9© Hitachi Information Systems, Ltd. 2009. All rights reserved.

5. 二次分析
本章では一次分析を行った結果をもとにして、二次分析（複数視点からの分析）を行いましたので報告します。今回報告する内容は以下となります。

・HTTP サービスへの攻撃増加について

5.1. HTTP サービスへの攻撃増加について
4.3 節にて 2009 年 6 月 10 日 16 時の HTTP サービスへのインシデントの攻撃増加について報告しました。また、4.2 節にて、同時刻に中国からの攻撃増加を報告しました。これらの情報より、この時間帯に中国からの HTTP サービスへの攻撃があった事が推測できます。
そこで、本節では、本件についての二次分析結果をご報告します。

はじめに、対象期間中の HTTP サービスへの攻撃元国について調査を行いました。

表 2 HTTP サービスへのインシデント中の国ごとの割合
国名HTTP[%]

中国97

日本

3

その他0

この結果より、対象期間に増加した HTTP サービスへの攻撃の多くは、中国からの攻撃であることがわかります。
次に、対象サービスへの IP アドレスのユニーク性についても調査を行いました。この結果、対象期間中の、ユニーク IP アドレス数は、86 件であり、そのうち中国の IP アドレスは 1 件でした。
この結果より、今回の HTTP サービスへの攻撃は、中国の 1 組織ないしは、1 個人からの、ツール利用によるスキャニングと推測できます。

- 10 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

6. おわりに
6 月 〜 7 月の期間中、SHIELD セキュリティセンタで収集している情報では大規模攻撃は発生しておらず、一時的に確認された HTTP サービスへの攻撃増加につきましても、三次分析（詳細分析）以降を経て、緊急性のない攻撃であることを確認しております。
しかし、S.S.R.C.セキュリティトレンドレポート Vol.1[ii]にてご報告させて頂きました通り、昨今多くの新種ウイルスが発見され、大規模攻撃が発生している状況です。これらのウイルスに関連する攻撃は、規模は小さいものの、SHIELD セキュリティセンタでも観測されており、今後も注意していく必要があると考えます。

- 11 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

7. 参考文献、参考資料、サイトなど[i]

ワームが送信するパケットの動きをみてみよう,Hitachi Incident Response Team,
http://www.hitachi.co.jp/hirt/publications/hirt-pub07004/07004-03.html
2009/08/01 確認[ii] S.S.R.C.セキュリティトレンドレポート Vol.1,日立情報システムズ,
http://www.shield.ne.jp/ssrc/doc/SSRC-TR-200908.pdf
2009/08/01 確認- 12 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

8. 付録・ＳＨＩＥＬＤセキュリティセンタサービスのご案内
インターネットは、ネットワークを利用して世界中の情報が集められるという便利な機能である一方、世界中から自分の情報をのぞき見される、改ざんされる、情報を盗まれる、などの危険をはらんでいます。株式会社 日立情報システムズは、相次ぐ情報漏えい事件やウイルスの発生に対する迅速な対応が難しいとお悩みのお客様に、24 時間 365 日、セキュリティの専門家によるサーバ運用をご提供します。本サービスは、株式会社 IDC フロンティアと Check Point Software Technologies Ltd.の協力により提供されています。

詳細につきましては、下記、日立情報システムズ ホームページからご確認ください。
http://www.hitachijoho.com/solution/shield/shield/- 13 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

株式会社 日立情報システムズ〒141-8672 東京都品川区大崎 1-2-1
http://www.hitachijoho.com
http://www.shield.ne.jp- 14 © Hitachi Information Systems, Ltd. 2009. All rights reserved.