NICTER Dataset
2024
笠間 貴弘

国⽴研究開発法⼈情報通信研究機構
サイバーセキュリティ研究所
サイバーセキュリティ研究室 室⻑

NICTER Dataset は今年で提供開始から12年
MWS Datasets
CCC DATAset (CCC)
MARS for MWS (NICT)
D3M (NTT研)
IIJ MITF DATAset (IIJ)
PRACTICE Dataset (Ncom)
PRACTICE(AmpPot) Dataset (YNU)
FFRI Dataset (FFRI)NICTER Dataset (NICT)BOS (⽇⽴)
NCD in MWS Cup (MWS)MWS Cup Dataset (MWS)
Soliton Dataset (ソリトン)
Augma Dataset (nao_sec)

22008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021 2022 2023 2024

3

[参考] NICTER Dataset 利⽤者数
MWS Cup ⽤のアカウント含む

30
25
20
15
10
50
2013

2014

2015

2016

2017

2018

2019

2020

2021

20222023

4• マスタ テキストの書式設定– 第 2 レベル• 第 3 レベル– 第 4 レベル» 第 5 レベルNICTERl サイバー攻撃リアルタイム大規模観測・分析システム
l 国内外で30万の未使用IPアドレス“ダークネット”を観測
l 無差別型サイバー攻撃の大局的な傾向把握に有効
4

5

NICTER Dataset 2024
l未使⽤のIPアドレス宛に届いたトラフィックデータü /20(約4,000アドレス)の未使⽤アドレス(ダークネット)を観測
ü 観測は期間は2011年1⽉1⽇から現在(約546億パケット, 5TB)
ü 独⾃システムのVM内からアクセス可能(pcap+DB)l様々な悪性通信が含まれるデータセットü マルウェア感染機器によるスキャン
ü DDoS攻撃の跳ね返り
ü 最近は研究組織や企業による調査スキャンも多数
ü etc.

scanDarknet

ckabserttca

（2012年）

Internet Census 2012l Carna Botnet

ü Telnet経由で世界中のIoT機器に感染(匿名の開発者の報告では約42万台に感染)ü 開発者は感染機器を⽤いてインターネット全体に対してインターネットスキャンを⾏い、その結果をWebサイト上で公開

感染機器の分布66

（2016年）

IoTマルウェアMiraiによる⼤規模DDoS攻撃l Mirai: 2016年に登場した主に家庭⽤ルータやWebカメラ等のIoT機器に感染を拡げるマルウェア
ü Telnet(23/TCP, 2323/TCP)へのスキャン機能ü ID/Passの辞書攻撃による感染機能
ü 様々なDDoS攻撃機能を持ち約600Gbpsの攻撃を実⾏
ü 海外掲⽰板でソースコードが公開される
ü 2017年12⽉に容疑者3名が罪状を認めた(FBIへの各種捜査協⼒で実刑は免れた)

ハッカーフォーラムへの開発者の投稿

https://wired.jp/2016/10/24/internet-down-dyn-october-2016/7

NICTダークネット観測オペレーション (2022年頃)
データの⾃動集計
前⽇のデータを送信元ホスト毎に集計（深夜、毎時）
••
•

GRE
SYN-ACK
⼤量パケット送信元（Herder追跡）

毎朝
トリアージ

••

データエンリッチメント+

可視化

外部データ収集（Hagure、Cure、外部ソース）
バナー収集
機器判定、Bot判定
Hadoopプラットフォーム上で横断分析+

ダークネット観測データを元に国内の具体的な感染機器を特定し、速やかに機器を⼊⼿
ファームウェア解析、脆弱性検証からゼロデイ脆弱性を発⾒し、ベンダー調整の上公開 （2022年度 公開実績1件、公開予定2件）

ダウンロードサーバ監視
機器調査・Bot調査• ファームウェア解析• 脆弱性検証（w/AA-T、ローレイヤ-T）• 実機ハニーに繋いで inthe wildの攻撃を観測

プロトタイプシステムを開発し運⽤中••

検体の移り変わりを把握
VTにあがっていない検体を捕獲

Outputインシデントレスポンス（JPCERT/CC）

脆弱性報告（IPA）
ベンダー調整（機器の国内販売元等）
関連機関との情報共有•マルウェア解析
Joesandboxで動的解析
アーティファクト分析チーム

推移をグラフ化しSlackに投稿
Grafanaで可視化
GoogleDataPortalで可視化

SIGMON、DoS-WG、NISC、総務省

外部情報発信• Twitter、Blog、観測レポート

8

（2022年）

9

韓国OEM製DVR/NVR製品の脆弱性(1/2)

12,00010,000韓国Rifatron社とFocusH＆S社のDVR製品の感染が増加

8,000

6,000

•
•

⽇本国内の感染状況
1⽇あたり数百〜5千ホストが国内で感染複数の韓国製 DVR/NVR 機器がIoTマルウェアMiraiに感染

韓国CTRing 社とPinetron 社のDVR製品の感染が増加

4,000

2,000

0
2022/1/1

2022/2/1 2022/3/1

2022/4/1

2022/5/1

2022/6/1

2022/7/1

TCP-SYN
ホスト数 (JP)
⽇本全体の送信元

2022/8/1

2022/9/1 2022/10/1 2022/11/1 2022/12/1

Mirai感染ホスト数(JP)
IoTボットの数

国内の感染機器の観測統計(2022年〜2023年)

2023/1/1

2023/2/1

（2022年）

韓国OEM製DVR/NVR製品の脆弱性(2/2)

l 国内で販売されている5社8機種の韓国製機器をNICTで調査ü 7機種にメンテナンス⽤バックドア（未公開の脆弱性）を確認
ü そのうち4社の製品のバックドアが実際に攻撃者によって悪⽤されていた
ü 脆弱性[1,2,3]をベンダに報告し、ファームウェアの修正に協⼒[1] JVNDB-2022-002337 ユニモテクノロジー製デジタルビデ
オレコーダにおける重要な機能に対する認証の⽋如の脆弱性
https://jvndb.jvn.jp/ja/contents/2022/JVNDB-2022002337.html[2] JVNDB-2022-002768 ユニモテクノロジー製デジタルビデ
オレコーダにおける複数の脆弱性
https://jvndb.jvn.jp/ja/contents/2022/JVNDB-2022002768.html[3] JVNDB-2023-002055 ケービデバイス製デジタルビデオレ
コーダにおける複数の脆弱性
https://jvndb.jvn.jp/ja/contents/2023/JVNDB-2023002055.html

脆弱性を発⾒した韓国製DVR/NVR

10

NICTER DatasetはNONSTOP上で提供
l セキュリティ研究情報を遠隔から安全に利⽤してもらうための環境
ファイルの⼊出⼒(WebDAV)NONSTOP
データ保管
フィルタ
サーバ

TOTPトークン

利⽤者

データセット利⽤契約とは別にNONSTOP利⽤申請が必要ですのでnontop@ml.nict.go.jp までご連絡を

VM電源ON/OFF,リブート, 状況確認

Databaseサービス
ポータル
Web Server

VM操作(RDP)

MySQL
PCAP File
Server
VM(CentOS)
解析環境

FTP

11

[参考] 観測結果は NICTERWEB 等でも⼀般公開12宣伝(1) IEEE DSC 2024
l IEEE DSC 2024 が 11⽉6-8⽇に東京⽇本橋で開催されますü https://attend.ieee.org/dsc-2024/

l 論⽂投稿締切︓2024年7⽉18⽇
ü IEEEフォーマット 2カラムで8ページ
ü 学⽣の国際会議投稿に最適ü 採録論⽂はIEEEから出版

l その他

ü Experience and Practice Trackやポスターセッションなども予定
ü 例年のDSCよりも参加費は半額程度(予定)13宣伝(2) NICTの採⽤情報

14lサイバーセキュリティ研究室では⼈材を絶賛募集中
ü研究員︓6名、研究技術員︓9名、RA︓5名

l様々なキャリアパス
ü博⼠卒採⽤ü修⼠卒採⽤後に博⼠課程進学
üRAから研究員/技術員

l興味がある⼈はぜひ

https://csri.nict.go.jp/careers.html

まとめ
lNICTER Dataset は変わらず提供12年⽬に突⼊ü ご利⽤に興味のある⽅はMWS Dataset利⽤のための契約締結後に、NICT 笠間(nonstop@ml.nict.go.jp) までご連絡くださいü 2023年度に利⽤していた⽅も継続利⽤を希望される場合はご連絡ください(連絡が無い場合はどこかのタイミングでアカウントを停⽌します)lMWS Dataset 提供期間 ≒ NICTER Dataset提供期間
ü ⼤規模データ観測は途中で⽌めないことが重要
ü 独⾃のデータを持っていることは⼤きなアドバンテージ

15