CCC Dataset 2010 によるマルウェア配布元 IP アドレス評価に関する一考察
須藤 年章
インターネットマルチフィード株式会社〒100-0004 東京都千代田区大手町 1-5-1 大手町ファーストスクウェアイーストタワー3F

sudo@mfeed.ad.jp
あらまし マルウェアに感染させられるユーザは、スパムメール内のリンクへのアクセスやインジェクションされたサイトの閲覧など、いろいろな手法により気づかないうちにマルウェア配布元へと誘導される。マルウェア配布元は、専用に構築されたサイトだけではなく、無料のホスティングサービスやオンラインストレージなど様々なインターネットサービスが利用されている。また、海外のプロバイダやホスティング事業社の中には、提供しているサービスがマルウェア配布元や詐欺行為、スパム送信などに利用されることを容認しているものが多数存在する。
本論文では，CCC DATAset 2010 の攻撃元データを用いて，攻撃元のIPアドレスについて解析し悪性度評価とその利用方法を検討する。

Consideration concerning malware distribution former Internet Protocol
address evaluation by C C C Dataset 2010
Toshiaki Sudoh
Internet Mulifeed Corporation
OTEMACHI 1 .SQUARE EAST TOWER ,3F 1-5-1,Otemachi,Chiyoda-ku,Tokyo 100-0004,Japanstsudo@mfeed.ad.jp
A bstract

A user infected of the malware is induced to the malware distribution origin before it notices by various

techniques to inspect the site where the access and the injection were done to the link in the spam mail. As for themalware distribution origin, various internet services like not only the site constructed for exclusive use but also a freehosting service and the online storage, etc. are used. Moreover, a lot of things to allow the provided service to be used
for the malware distribution origin, fraudulence, and the spam transmission, etc. exist in an overseas provider and thehosting business company. In this thesis, Internet Protocol address in the attack origin is analyzed by using attack
former data of CCC DATAset 2010 and the malignancy evaluation and the use are examined.

される手法などが利用される例が増えている。マルウェ
1. はじめに
マルウェア感染は、OS の脆弱性をネットワーク越しに利用して感染させる手法から、スパムメールに添付したファイルや、メール文中に書き込んだリンクによりマルウェア配布サイトへ誘導する手法や、改ざんされ不正コードを書き込まれた一般のホームページを閲覧することにより気づかないうちにマルウェア配布サイトへと誘導

ア感染のトリガとなる手法が様々に工夫されているとともに、これらの手法により誘導されるマルウェア配布サイトの構築にも工夫が凝らされている。マルウェア配布サイトは、専用に構築されたサイトだけではなく、無料のホスティングサービスやオンラインストレージなど様々なインターネットサービスが利用されており海外のプロバイダやホスティング事業社の中には、提供していドレスそのものだけではなく、攻撃元IP アドレスを含むるサービスがマルウェア配布元や詐欺行為、スパム送信大小のアドレスブロックや経路情報などの単位でのフィなどに利用されることを容認しているものが多数存在すルタリングやレピュテーションが行われる。これは隣接る。またマルウェア配布専用のネットサービスが構築さするアドレスブロックは、共通の攻撃に利用される可能れている例もある。本論文では，CCC DATAset 2010 の攻性が高いと考えられ、未検出の攻撃元をまとめて対処す撃元データを用いて，攻撃元のIP アドレスについて悪性ることや、将来的な攻撃を未然に防ぐことを目的とする度評価方法とその利用方法を検討する。

ためである。例えば下記のようならアドレスブロックを2.

定義が考えられる。

マルウェア配布元
マルウェア配布に利用されるサービスの例を表 1 に(1)

攻撃元IP アドレスそのものまとめる。
(2)

表 1 マルウェア配布に利用されるサービス
マルウェア配布に利用されるサービス
ホスティングサービス

x.x.x.0～x.x.x.255 の256 個のIP アドレス。

ネームベースバーチャルホスティング(3)

攻撃元IP アドレスを含む/16 のネットワーク。

画像/動画ホスティング

x.x.0.0～x.x.255.255 の65536 個のIP アドレス。
(4)

物理サーバー貸(5)
一般ユーザの端末

アカウントハックによる専用に構築

AS
攻撃元IP アドレスの所属するAS 単位

ボットを利用したホスティングサービス
インジェクションによるRoute
攻撃元IP アドレスを含むroute 情報

クラウドサービス

専用サーバ

Net（/16）

ホームページ作成サービス

オンラインストレージ

一般サーバの乗っ取り

Net（/24）
攻撃元 IP アドレスを含む/24 のネットワーク。

例

IP ベースバーチャルホスティング

ボット

Host（/32）

この定義は一例であり、スパムへの対応、マルウェア配布をブロックするなど目的によって効果が異なるため最適なアドレスブロックを検討する必要がある。

このような配布元が利用される大きな理由は、追跡や3.2. IP アドレスの推移
図 1 に2007年11 月から2010年4 月の期間で一日毎に観フィルタリングなどのセキュリティ対策をうけにくくす測されたユニークな攻撃元IPの数を前述の5つのブロッるためであり大きく二通りのアプローチがある。

ク単位で集計した結果を示す。図 1 から得られる特性をまとめると次のようになる。

(1)
(2)

IP アドレス、ドメインを頻繁に変えることで、

Host(/32)を見ると2007 年末および2008 年初めをピ

追跡およびフィルタリング対策を妨害するークに減少しており、2010 年 4 月にはピーク時の一般サービスを利用することで、IP アドレス、20%にまで減少している。

ドメインを一般サービスと共通化し対策を困難

にする

ほぼ重なっており、一つの/24 のアドレスレンジに複数の攻撃元 IP アドレスが含まれる割合は低いこ

表 1 において(1)に当てはまるものはボットを利用する手法であり、その他の手法は(2)に当てはまる。これらのサービスを利用するとすべてのユーザのIPアドレスやとを示す。
ジに平均して 4 個の攻撃元 IP アドレスが含まれ。

ことによる一般ユーザへの影響が大きく、対策が困難に2009 年以降は一つの/16 のアドレスレンジでも2 個なる。一部のクラウド系サービスにおいては、IP アドレに満たす場合もある。
3. 分析
3.1. 攻撃元IP アドレスの分類
CCC DATAset 2010 の攻撃元データから攻撃元のIP アドレスを抽出し評価する。実際の対処には、攻撃元IP アNet(/16)までアドレスレンジを広げると、2007 年末～2008 年初めの期間では一つの/16 のアドレスレンドメインは共通になるため、単純にフィルタリングするスが動的に変化するものもあるため、(1)(2)の機能を同時Host(/32)と Net(24)の件数はすべての期間においての攻撃元IP アドレスしか含まなくなっている。
Net(/16)とrouteの二つのアドレスブロックも近い結果になっている。攻撃元 IP アドレスに該当する
route情報のprefix長別分布は図 2 のようになっており、/16 のroute 情報が最も多く、また/21 のroute 情報に該当する攻撃元 IP アドレスも突出して多くなっておりprefix 長が/16 よりも長いroute 情報が利用された割合が全体の66%を占めるためである。


図 4 に/24 のアドレスブロック内の攻撃元 IP アドレス数について分析した結果を示す。

AS 数は 200～300 個程度で全期間を通して大幅な変化はない。

図 4 アドレスブロック中の攻撃元IP 数の累積度布

最大は 118 個で一つの/24 のアドレスブロックの IP アドレス数256個の46%が攻撃元IPアドレスに該当するものであったことになる。ただし、これは接続の都度IP アドレスが動的にアサインされるアクセスラインサービス
図 1 利用された IP アドレス数を利用している単独もしくは少数の端末である可能性が高いため、単純にこの/24 のアドレスブロック中に大量の攻撃元が存在することはできないが、アドレスブロック的には悪性度が高いと判断することができる。/24 のアドレスブロックに 1 個しか攻撃元が含まれなかったものが55.8%を占め、10 個以下で 96.7%を占めている。したが

図 2 prefix 長って悪性 IP アドレスを検出した場合に、その IP アドレ3.3.

スを含む/24 のアドレスブロックをまとめてブラックリ

攻撃元IP アドレスの利用頻度を元にした評価
図 3 に攻撃元 IP アドレスが攻撃に利用された頻度を分析した結果を示す。

ストに登録するような運用を行った場合、/24 のアドレスブロックの96%が無関係なアドレスであり、実運用上は問題を生む可能性が高い。
3.3.2. /16 内の攻撃元IP アドレス数を元にした評価/16 にアドレスブロックを広げ同様の分析を行った結果を図 4 に示す。最大は2734 個で/16 の65536 個の4.1%が攻撃元 IP アドレスに該当するものである。/16 のアド

図 3 攻撃元 IP アドレスの利用頻度

レスブロックに 1 個の攻撃元しか含まなかったものがIP アドレス毎に攻撃元としての利用頻度に差異が34.8%、100 個以下で 95.7%を占める。したがって/16 の見られるが、単純にブロードバンドユーザに割り当アドレスブロック単位でも評価は可能だが、96%以上のてられているアドレスブロックほど頻度が高くなっ無関係な IP アドレスまで含めてしまうため、/24 よりもていたり、58～62、105～112、175～185 近辺のアド影響範囲が広がり実運用上問題がある。

レスブロックは2008 年にはインターネット上では全く、もしくは部分的にしか利用されていなかった

3.3.3. アドレスブロックの考え今回のデータを対象にした場合、悪性な IP アドレスアドレスブロックであるため 2009 年以降、2010 年を含む/24 のアドレスブロックをそのまま悪性と判断し以降しか観測されていなかったり2010 年以降の利ても効果は非常に低く、逆に無関係なIP アドレスをファ用頻度が高くなるなどの特性に影響を与えている。

イルタリングするなどの悪影響が想定される。ただし、ただし実際に対策を行うための評価としては、その隣接のIP アドレスは、同じホスティングサービスの提供時期において実際に攻撃が多い
IP アドレス、IP アが行われていたり、ラウンドロビンされるIP アドレスのドレスブロックという単純な判断で利用することに一つであったり、また隣接への感染なども考えられるたなるので問題ないと考えられる。

め検出漏れへの対応や今後の可能性として悪性度のポイントを加算することは検討の余地がある。例えば/24 の3.3.1. /24 内の攻撃元IP アドレス数を元にした評価

256 個のアドレスがすべて悪性と確証を得られた場合に

悪性度 100%になるようなポイントの割り振りが考えら

年 1 月のデータでは44%、2010 年 1 月のデーれる。アドレスブロックを/16 に広げる、あるいは経路情タでは 52%ある。

報までひろげてポイントを加算する場合も同様である。



攻撃が観測された期間が1時間以下であった攻

3.4. 攻撃元IP アドレスが利用された期間の評価
次に IP アドレスが攻撃に利用される時期および期間

撃元 IP アドレスは全体では76%、サンプルでの違いに着目して分析する。

った。短時間の攻撃は攻撃元IP アドレスを変抽出した3つに期間のデータでは70～73%であ

図 5 は2009 年1 月に利用された攻撃元IP アドレスにえながら行われる連続攻撃などその観測時期ついてそのアドレスがそれ以前及びそれ以後どの期間で毎の攻撃の流行の影響うけていると想定され観測されたかを表している。

る。そのためサンプル期間毎に量にばらつきが出ている。


攻撃が観測された時間が24 時間以下であった
攻撃元 IP アドレスは全体の92%を占めた。サンプルで抽出した3 つの期間の攻撃元IP アドレスでは 86%となっており、90%程度の IP アドレスが 24 時間以内で利用が終了している。

図 5 2009 年 1 月の攻撃元 IP の攻撃利用期間

X 軸が時期を表し、Y 軸が IP アドレスの違いを表している。したがってX 軸に平行な線が現れる場合、同一のIPアドレスが長期にわたり利用されていたことを表す。
一年以上継続して利用されているIPアドレスや一度観測されていたアドレスが長期間あけて再度観測されるようなものもある。2009 年1 月に集中してプロットが現れているが、分析対象とした攻撃元 IP アドレスが 2009 年 1

図 6 攻撃元 IP アドレスの利用期間の累積度分布

月に観測されたものであることから、短期間にしか利用されていないアドレスが大量にあることを表している。

3.4.1. 攻撃期間の考え方
したがってこれらの情報から悪性度評価に利用できこれらのIPアドレスは短期間にしか攻撃利用されないたる要素としては次のようなものが考えられる。

め、悪性と判断し対策を実施したとしても、直後には改善され攻撃とは無関係になってしまう。このような無実



攻撃継続時間のIPアドレスをフィルタリングしつづけてしまうような

過去に攻撃利用された履歴問題を避けるためには、改善度評価に関しても必要な条

最後に攻撃が観測されてからの経過時間件を定義し実施する必要がある。
図 6 はそれぞれの攻撃元IP アドレスからの攻撃が観測され続けた時間の累積度分布を表す。
X 軸は攻撃元 IP アドレスが観測されつづけた時間を秒で表しており、観測期間の違いによる特性の違いを見るために全期間と2008 年 1 月、2009 年 1 月、2010
年 1 月の攻撃元IP アドレスについて解析を行った。
ここで見られる特性をまとめると次のようになる。


攻撃継続時間の長短は、実運用上は長くても短くてもたとえばフィルタリング対象とすべき悪性ポイントを割り振る必要があるが、前述のアドレスブロックなどの要素への悪性ポイントの加算などの検討要素としても利用することができる。過去の履歴は、過去に攻撃利用されたことがある場合は加点を大きくするなどの要素として使う。また最後に攻撃が観測されてからの経過時間は逆に悪性度を下げるための要素であり、一度悪性判断された一回しか観測されなかった攻撃元IP アドレス

IP アドレスからの攻撃が観測されなくなってからの時間が、全体では 49%、2008 年 1 月では 42%、2009

経過にあわせてポイントを減算していく。ただし、過去の攻撃履歴の要素による再発の可能性としてのポイントかな差しかない。また/24 にアドレスブロックを広を残すために 0 になる期間はそれぞれの運用状況にあわげても 1 個のハッシュにしか関連しなかったアドレせて長期間に設定するなどの検討が必要である。

スブロックが全体の51.4%あり、また 30 個以下のハッシュにするアドレスブロックで 99.2%を占める。

3.5.

攻撃元 IP アドレスとハッシュの関係を利用した評価
図 7 に攻撃元 IP アドレスと、その IP アドレスが関連したユニークハッシュ数の関係を示す。

図 7 攻撃元 IP アドレス (/32)とハッシュ数の関係

アドレス毎、時期毎に関連するユニークハッシュ数に差異があることがわかる。さらに図 8 にそれぞれの攻撃元 IP が関連したユニークハッシュ数の累積

したがって/24 単位で対策を行ったとしても大量のマルウェアに対する対策の効率が向上するわけではない。

図 9 Net(/24)とハッシュ数の関係

3.5.2. ハッシュ数に関する考え方
単純に関連するハッシュ数に比例して悪性度評価を行うことができるが、今回のデータでは 1 個のハッシュ度分布を示す。
最大では1118 種類のハッシュに関連にしか関連性を持たないIPアドレスが圧倒的に多く大きした IP アドレスが存在したが、1 個のハッシュにしな差を出しにくい結果になった。さらにアドレスブロッ

か関連しなかったIP アドレスが全体の81.6%を、3クを広げることで対策の効率を向上させることが考えら個以下のハッシュにしか関連しない
IP アドレスがれるが、/24 のアドレスブロックに広げた場合でも関連す98.9%を占める。関連するユニークハッシュ数に応るハッシュが一つしかないものの割合が非常に大きく、じてそのIP アドレスの悪性度を評価することがでこれも大きな違いを出すことはできなかった。しかし一きるが、1 個のハッシュにしか関連しない
攻撃元 IP

般的な悪性度評価としては、関連するハッシュ数の大小アドレスがほとんどを占めるため、一つの IP アドレスへの対策を行ったとしても僅かなマルウェアへの対策にしかならず対策の効率性の向上は期待できない。すべてのマルウェアに対応するには、大量の IPアドレスに対して網羅的に対策を行う必要がある。

による評価は有効であると考えられる。
3.6. AS に関する評価
各 AS に含まれる攻撃元 IP アドレスの数の大小は各AS のもつ IP アドレスの全体数に比例すると想定されるため、単純にその AS の悪性度を表すものではない。ただし前述の通り悪性サイトを積極的に取り込んでいるプロバイダや、問題があったとしても特に何の対処もしないプロバイダや事業者が存在する。そのため対策を行わなければならない側の立場では、その AS に所属する攻図 8 ユニークハッシュ数の累積度分布

3.5.1. /24 のアドレスブロックとハッシュ数の関係を元にした評価
図 9 に攻撃元IP アドレスが含まれる/24 のアドレスブ
ロックと、そのIP アドレスが関連したユニークハッシュ数の関係を示す。前述の攻撃頻度と同様に/24 にまとめて撃元IP アドレスの数の大小や攻撃頻度を元にAS 単位で悪性度評価を行うことも必要にある。図 10、図 11 は、AS 単位での攻撃頻度とユニークハッシュ数を分析した結果示す。図 10 は 2007 年 11 月から 2010 年 4 月までの全期間のデータを分析し、位 20AS をまとめたものであるも大き差異は見られない。さらに詳細に分析するため図8 にそれぞれの攻撃元 IP が関連したユニークハッシュ数の累積度分布を示す。
最大で 1132 種類のハッシュに関連したIP アドレスが存在したが、/32 で解析した結果とくらべても僅

図 10 AS とハッシュ数の関係（全期間）。

ュ数は488 個で全体の0.2%しか利用しておらず、攻撃頻その他の評価要素
近年、一つの攻撃が継続する期間が非常に短くなって度は非常に高いが、少数の攻撃にのみにしか関連していおり、検出後対策を検討する時点では、攻撃元からマルない状況を表している。二位の AS は攻撃の 15%を占めウェアがダウンロードできなくなっていることが増えてているとともにユニークハッシュ数は、26359 個で全体いる。ただし一度攻撃に利用されたIP アドレスは時間をの15%を占めるということで攻撃頻度も大きくたくさんおいて再度別の攻撃に利用される可能性があるため、その攻撃に関連している。図 11 は同様の解析を2010 年のれを踏まえた悪性度評価を行っておく必要がある。したデータに限定して解析したものである。関連する AS ががってマルウェア配布が確認されない攻撃元IPアドレス大きく変わっているが、一位の AS はやはり攻撃頻度はや下記のような攻撃元IPアドレスも悪性度評価に加える

高いがユニークハッシュ数が少なく全体の 0.2%しかなことで対象の拡大と精度の向上を図る必要がある。

一位の AS は攻撃の 33%を占めているが関連するハッシいなど、AS 毎に特徴があらわれている。

4.



スキャン攻撃元

改竄などの不正アクセスの疑いのあるIP アドレス

4.1. 再評価周期
様々な指標を元に悪性と判断するだけでは、改善され問題のなくなったIPアドレスを悪性と評価しつづけ誤った対策に利用されることになるため、再評価を繰り返し、
図 11

AS とハッシュ数の関係（2010）

悪性度の加点、減点を繰り返し行う必要がある。本デー
タでは、利用期間が 24 時間以内の IP アドレスが 90%,、一般的には攻撃頻度の大きさとユニークハッシュ数1時間以内のものが76%を占めるため最低でも24時間以の大小は比例するが、攻撃頻度が大きいが、関連するハ下の周期で再評価を行う必要がある。

ッシュ数が少ないAS が存在する。
このようなAS は専門

5.

的にマルウェア配布用のサイトを設置しているサーバやおわりにマルウェアを検出して、それを解析して対策するといホスティング事業社、またはそれらの事業社を抱えたAS

う手法は確実であり効果も高いが、大量のマルウェアやである場合が多いため、このような特性をもつ AS に関攻撃に対してより迅速にあるいは未然に対策を実施する

しては悪性度評価を高めるような対策を行うことも可能

手法として、IP アドレスやサービスなどの評価を継続的だと想定される。に行いその情報を元にしてインフラそのものがもつアー3.6.1. AS に関する考え方
AS 単位での分析することにより下記のような評価対キテクチャとしてフィルタリングなどを実施する対策も象を利用できる。

CCC で観測された情報のみを元にしているデータであ有効な手法だと考えられる。本研究の結果はあくまでもるため、インターネット上で発生しているすべての攻撃

評価アドレスブロックの拡大を網羅しているものではなく、また、実運用上は誤検出



運営主体自体の評価の要素も多分に含むため、複数のレピューテーションデ

経路情報と組み合わせた対策

ータベースの並行利用と丁寧な運用により精度を高める

主に運営主体自体の評価を要素として加えることができ、これはフィルタリングなどの実施だけではなく、運営主必要がある。
謝辞体そのものへの直接的な改善依頼や、インターネットコ

本研究の一部は Telecom-ISAC Japan の支援を受け実ネクティビや AS 単位でのトラフィック流通の抑止など施している．本研究を進めるにあたり，有益な助言と協より強硬な対処へと発展するものに利用できる。実運用力を頂いたTelecom-ISAC Japan の関係者各位に深く感謝

上のフィル
タリングとしては、小規模な事業社を対象と致します．

する場合はいいが、ISP を象にする場合は、無関係な IP
アドレスが圧倒的に多いため一般的には利用が難しいが、6.

参考文献

企業やセキュリティサービスなどでは不必要な AS との1) 畑田充弘，他：マルウェア対策のための研究用デー通信としてフィルタリングする運用も可能である

タセット ～MWS 2010 Datasets～，MWS2010（2010年10 月）