NICTERプロジェクトの10年を振り返る
井上 大介
国立研究開発法人 情報通信研究機構
サイバーセキュリティ研究所
サイバーセキュリティ研究室
1

NICTER
Network Incident analysis Center for Tactical Emergency Response本講演のあらまし
NICTERプロジェクトの約10年の歴史を、プロジェクトを支え・育て・叱咤激励してくださった「7つの言葉」とともに振り返ります。
2

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクト 10年線表
第1期中期計画

第2期中期計画

第3期中期計画

第4期中長期計画

2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016
DM

NICTER
Darknet観測開始

CTF

LivenetDarknetインシデント対策グループ

3

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクト加入
2006年4月 インシデント対策グループ
松島 祐一 理事
現 早稲田大学教授中尾 康二 グループリーダー
現 KDDI顧問 / NICT主管研究員

井上 大介 研究員
現 NICT サイバーセキュリティ研究室室長

衛藤 将史 研究員

吉岡 克成 研究員

現 NICT セキュリティ人材育成研究センター
研究マネージャー現 横浜国立大学准教授

4NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクトを育てた言葉 ①

親はなくとも子は育つ。

5

NICTER
Network Incident analysis Center for Tactical Emergency Response2003年 Blasterショック
l 2003年8月 MSBlasterのパンデミック

l 大規模感染を把握する仕組みが必要！
üü
ü
ü
ü
ü
ü
ü

Network Telescope（米 CAIDA）
Internet Motion Sensor（米 ミシガン大）ISDAS、TSUBAME（JPCERT/CC）
インターネット定点観測（@Police）
TALOT2、MUSTAN（IPA）
WCLSCAN（鈴木裕信さん+MRI）
京大ハニーポット（高倉先生）
NICTER（NICT） etc...

Number of Packets toward TCP/135

ü Windowsのリモート・プロシージャ・コール（RPC）の脆弱性を攻撃ü 過去最大規模の感染（後のMicrosoftの発表では最低でも800万台）

50
40
30
20
10
008/01 08/04 08/07 08/10 08/13 08/16 08/19 08/22 08/25 08/28 08/31

Date

6NICTER
Network Incident analysis Center for Tactical Emergency Responseダークネットで見えるもの（2005年頃）
l インターネット上で何かを探す行為
ü ワーム型マルウェアによるスキャンü リフレクタ探索（DNS Open Resolver探索、NTP探索 etc.）
ü IoT機器からのスキャンü セキュリティ関連組織等による定期スキャン

l DoS攻撃の跳ね返りü DDoSバックスキャッタ※ 送信元IPアドレス偽装されたSYN Floodへの応答

Darknetü DNS水責め攻撃のバックスキャッタ※送信元IPアドレス偽装されたランダムサブドメイン攻撃l 設定ミス
7

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERのコンセプト[1] （2007）〜 マクロとミクロの融合 〜

Macro analysis
System (MacS)

Network and malware
enchaining System (NemeSys)

Micro analysis
System (MicS)

Black Hole Sensor

Internet

Low-interac4on Sensor

Scan
Analyzer

Scan
ProfilesScan
ProfilesExploitCodeExploit
CodeScanAnalyzer

Configurable
Sandbox withBlack HoleModeBlack Hole Sensor
Low-interac4on Sensor

Exploit CodeAnalyzer

Correlation
Analyzer

Exploit CodeAnalyzer

Configurable
Sandbox with
Low-interaction
ModeBlack Hole Sensor

High-interac4on Sensor

MalwareAnalyzer

MalwareReports

MalwareReports

MalwareAnalyzer

Configurable
Sandbox withHigh-interaction
ModeBlack Hole Sensor

Malware Executable

8NICTER[1] K. Nakao, K. Yoshioka, D. Inoue, M. Eto, “A Novel Concept of Network Incident Analysis based on Multi-layer
Observations of Malware Activities,” Proc. of the 2nd Joint Workshop on Information Security (JWIS2007), 2007. Network Incident analysis Center for Tactical Emergency Response

NICTERのコンセプト[1] （2007）〜 マクロとミクロの相関分析 〜

Macro analysis System (MacS)

Micro analysis System (MicS)

Sensor and Analyzer

Obtainable Informa4on: Black Hole Sensor

Time+

Obtainable Informa4on
Malware Sample

+

SrcIP

Scan Analyzer

Scan ProfileSensor and Analyzer: Low-interac4on Sensor+

Obtainable Informa4on
TimeSensor and Analyzer

Scan Analyzer

Obtainable Informa4on

Sandbox and Analyzer

Malware Sample+

Shellcode Signature

Shellcode Signature

Obtainable Informa4on

Obtainable Informa4on+
Malware Analyzer

SrcIP
Malware Sample
Code Analysis Report

Malware Sample
Code Analysis Report
Behavior Analysis Report

Behavior Analysis Report: Conﬁgureable Sandbox(Low-interac4on Mode)

Shellcode Analyzer
Sandbox and Analyzer

Time: High-interac4on Sensor: Conﬁgureable Sandbox(Black Hole Mode)

Scan Profile

SrcIP

Shellcode Analyzer

Sandbox and Analyzer+: Conﬁgureable Sandbox(High-interac4on Mode)

Malware Analyzer

9K. Nakao, K. Yoshioka, D. Inoue, M. Eto, “A Novel Concept of Network Incident Analysis based on Multi-layer
Observations of Malware Activities,” Proc. of the 2nd Joint Workshop on Information Security (JWIS2007), 2007.

NICTER
Network Incident analysis Center for Tactical Emergency Response2005年当時のダークネット観測結果

10NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクトを育てた言葉 ②

Blasterのようなパンデミックはもう起こらない
11

NICTER
Network Incident analysis Center for Tactical Emergency ResponseポストBlaster：ボットネット
l 2004年頃〜 ボットネットの台頭
ü 2004年頃からマルウェアに感染しているPC群の同期した活動を観測
ü 感染後は特定のIRCサーバに接続して指令者からの制御命令を待ち受けü ボットネットを使ったマネタイズ（愉快犯→経済目的）

大規模感染はもう起こらないって！
（ ダークネット観測は無駄無駄無駄ァ）

12

NICTER
Network Incident analysis Center for Tactical Emergency Responseちょっと待って下さい…

その説根拠なくないですか？
↓観測は続けますね！
13

NICTER
Network Incident analysis Center for Tactical Emergency Response2007年当時のダークネット観測結果

14

NICTER
Network Incident analysis Center for Tactical Emergency Responseそして2008年… Conﬁcker出現〜 ユニークホスト数 on 445/tcp 〜
Conficker B(12/29)Conficker C(2/20)

Conficker D Conficker E
(3/4)
(4/7)

25000

40000020000

30000015000

200000

10000

1000005000

02008/11/01

2008/11/21

2008年11月21日
感染爆発

2008/12/11

2008/12/31

2009/01/20

2009/02/09

ユニークホスト数/日 (Sensor B)

ユニークホスト数/日 (Sensor A)

500000Conficker A(11/21)0
2009/03/01

Date (Nov 1st 2008 – Apr 30th 2009)2009/03/21

2009/04/10

2009/04/30

15NICTER
Network Incident analysis Center for Tactical Emergency Response

Conﬁckerの影響：ダークネットの周期性

16NICTER
Network Incident analysis Center for Tactical Emergency Response2011年 Mortoワーム出現〜 ユニークホスト数 on 3389/tcp 〜35000

S12 Host

SIGMONで報告

MS Security UpdateMS, F­Secure注意喚起

2000

S13 Host
30000

S29 Host

1800

S10 Host(RightAxis)
1600
JPCERT/CC注意喚起

25000

20000

1400

1200

1000
15000

10000

800

600

400
5000
200

0017NICTER
Network Incident analysis Center for Tactical Emergency Response

3389/tcp ダークネット観測結果（拡大）800
S12 Host

複数センサでホスト数が同期して増加

30

SIGMONで報告

S13 Host
700

S29 Host

25

S10 Host(RightAxis)
600

20500

400

15300
10200
5100

0018NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTER

19

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクト 10年線表
第1期中期計画

第2期中期計画

第3期中期計画

第4期中長期計画

2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016
DDM

NICTER
Darknet観測開始

DAEDALUS
アラート運用開始

CTF

LivenetDarknetインシデント対策グループ

20

NICTER
Network Incident analysis Center for Tactical Emergency Response

DAEDALUS[2]の出発点（2008）
l ダークネット観測でワーム系マルウェアの全体傾向は見えるようになってきた。
l センサ設置してもらっている組織から結構スキャン飛んでくるよね…

アラート送ってみよう！

[2] D. Inoue, M. Suzuki, M. Eto, K. Yoshioka, K. Nakao, “DAEDALUS: Novel Application of Large-scale
Darknet Monitoring for Practical Protection of Live Networks,” 12th International Symposium on Recent
Advances in Intrusion Detection (RAID 2009 ), pp. 381–382, 2009.

21NICTER
Network Incident analysis Center for Tactical Emergency Response膨大なアラートが・・・

ほとんど未読 orz ...

22NICTER
Network Incident analysis Center for Tactical Emergency Responseアラートの可視化エンジンを作ろう！

2012年2月13日 DAEDALUS-VIZ 1stスケッチ

23NICTER
Network Incident analysis Center for Tactical Emergency Response

DAEDALUS-VIZ[3][3] D. Inoue, K. Suzuki, M. Suzuki, M. Eto, and K. Nakao, “DAEDALUS-VIZ: novel real-time 3D Visualization for Darknet
Monitoring-based Alert System,” 9th International Symposium on Visualization for Cyber Security (VizSec 2012), pp.72-79 (2012).

24

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクトを育てた言葉 ③

俺たちの知ってる
日本が帰って来た！

25

NICTER
Network Incident analysis Center for Tactical Emergency Response

DAEDALUS現象

Youtube

JP: over 600,000 access
EN: over 200,000 access

Exhibition

TEDx

THE SEKAI-ICHI:
Unique Inspirations“Made in Japan”

TEDxKids@Chiyoda 2013

Web News

COMPUTERWORLD, etc.

MuseumTV

TBS “NEWS23X”, etc.

Ghost in the Shell
Interview by GITS ARISE

Miraikan
National Museum of Emerging
Science and Innovation
26

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクトを育てた言葉 ⑤

ハニーポットはもう死んでいる

27

NICTER
Network Incident analysis Center for Tactical Emergency Response2010年頃から…
l ハニーポットで捕獲されるマルウェアがAllapleやConﬁkerばかり…
l 「マルウェア等サイバー攻撃情報収集分析手法の技術評価に関する調査研究」（2014）
Honeypot A Honeypot B

Your Eyes Only

ハニーポットは無駄無駄無駄ァ
28

NICTER
Network Incident analysis Center for Tactical Emergency Responseちょっと待って下さい…
＊＊＊の脆弱性ハンドラって更新されてるんですか？
↓2008年で開発止めてますよ。
↓
お…おう…
29

NICTER
Network Incident analysis Center for Tactical Emergency Response新たなハニーポット技術
l ハニーポットという観測手法が死んだわけではない。
l ハニーポットが最新の攻撃に追いついていないだけ。

新たなハニーポット技術が必要
l AmpPot（横浜国大＋NICT）
l IoTPot（横浜国大）

30

NICTER
Network Incident analysis Center for Tactical Emergency Response

DRDoS攻撃l DRDoS攻撃（分散反射型サービス妨害攻撃）
ü Distributed Reﬂection Denial of Serviceü サーバを経由して攻撃対象の資源を圧迫
サーバ（リフレクタ）

送信元は攻撃者と無関係
攻撃者の特定困難

攻撃者
攻撃対象送信元を詐称した
要求パケット

増幅した応答パケット

通信の増幅
効率的な攻撃31

NICTER
Network Incident analysis Center for Tactical Emergency Response

DRDoSハニーポット[4]（AmpPot）
l DNS、NTP等を模擬したハニーポット
l リフレクタの視点でDRDoS攻撃を観測
リフレクタ
攻撃者

攻撃対象

攻撃通信は遮断
観測・分析※横浜国立大学とNICTの共同開発・共同運用[4] Lukas Kramer, Johannes Krupp, Daisuke Makita, Tomomi Nishizoe, Takashi Koide, Katsunari Yoshioka,
Christian Rossow, "AmpPot: Monitoring and Defending Amplification DDoS Attacks," Proceedings of the
18th International Symposium on Research in Attacks, Intrusions and Defenses (RAID’15).

32

NICTER
Network Incident analysis Center for Tactical Emergency Response

DNSハニーポット 受信パケット数­ 2012年10月〜2013年10月 ­7000000"

6000000"

5000000"

4000000"
YLAB1DNS"YLAB1CHG"

3000000"MKT1DNS"
2000000"

1000000"

2013/9/7"
2013/10/7"

2013/8/7"

2013/6/7"
2013/7/7"

2013/4/7"
2013/5/7"

2013/2/7"
2013/3/7"

2013/1/7"

2012/1
1/7"
2012/12/7"

2012/10/7"

0"33

NICTER
Network Incident analysis Center for Tactical Emergency Response

DNS amp攻撃観測事例（bitstress.com）
DNSハニーポットへの攻撃クエリのピーク
70000

YLAB-DNS
Darknet

60000

約3日間

約3日間

約3日間

50000

40000

30000

20000

NICTERダークネットでオープンリゾルバの探索（スキャン）を観測
横浜国大DNSハニーポット（囮オープンリゾルバ）で攻撃クエリを観測

国内ISPでDNS
amp攻撃を観測

10000

0Date

34

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERダークネット観測統計
年

年間
総観測パケット数

観測IPアドレス数

1 IPアドレス当たりの年間総観測パケット数

2005

約3.1億

約1.6万

19,066

2006

約8.1億

約10万

17,231

2007

約19.9億約10万

19,1182008

約22.9億約12万

22,7102009

約35.7億約12万

36,1902010

約56.5億約12万

50,1282011

約45.4億約12万

40,6542012

約77.8億約19万

53,0852013

約128.8億

約21万

63,6552014

約256.6億

約24万

115,3232015

約545.1億

約28万

213,523

250,000
200,000
150,000
100,000
50,000
02005

2006

2007

2008

2009

2010

2011

2012

1 IPアドレス当たりの年間総観測パケット数

2013

2014

2015

35

NICTER
Network Incident analysis Center for Tactical Emergency Responseダークネットトラフィック急増の原因

www.nicter.jp

36

NICTER
Network Incident analysis Center for Tactical Emergency Response宛先ポート番号別パケット数（2015年）

24%

23/tcp48%

Other Ports
445/tcp

8%

22/tcp
5%

p
9/tc
338
dp
53413/u443/tcp
53/udp

2%

2%

2%

2%

80/tcp
3%
2%
2%

37

NICTER
Network Incident analysis Center for Tactical Emergency Response※横浜国大による調査

IoT
38

NICTER
Network Incident analysis Center for Tactical Emergency Response

攻撃元IoTデバイス- 横浜国立大学 吉岡研究室による調査結果 •監視カメラ等‒‒•

電話関連機器‒‒‒‒•

ルータ・ゲートウェイ
モデム
ブリッジ
無線ルータ
セキュリティアプライアンス

‒‒

•

•

駐車管理システム
LEDディスプレイ制御システム

Webカメラ
ビデオレコーダ– ホームオートメーションGW
放送関連機器––––•

ソリッドステートレコーダ
インターネット接続モジュール
センサ監視装置
ビル制御システム

家庭・個人向け––

VoIPゲートウェイ
IP電話
GSMルータアナログ電話アダプタ

インフラ

制御システム––––IP カメラデジタルビデオレコーダ

ネットワーク機器
‒‒
‒
‒
‒

•

•

映像配信システム
デジタル音声レコーダ
ビデオエンコーダ/デコーダ
セットトップボックス・アンテナ

その他
–
–
–
–

ヒートポンプ
火災報知システム
ディスク型記憶装置
指紋スキャナ
39NICTER※ デバイスはWebおよびTelnetの応答から判断
Network Incident analysis Center for Tactical Emergency Response

IoTPot[5]で捕獲したマルウェア
横浜国大による実験結果
During 122 days of operations [ April 01 to July 31 - 2015]

Unique Host Count

250,000

200,000

150,000

100,000

50,0000Visit

Login

Download Malware

l 900,394 Malware Download Attemptsl Malware of 11 diﬀerent CPU architectures
l 93% of downloaded binaries are new to Virus Total (2015/09)[5] Pa, Y.M.P., Suzuki, S., Yoshioka, K., Matsumoto, T., Kasama, T., and Rossow, C.: IoTPOT: Analysing theRise of IoT Compromises, Proc. The 9th USENIX Workshop on Offensive Technologies (WOOT’15) (2015).

40NICTER
Network Incident analysis Center for Tactical Emergency Responseダークネットで見えるもの（2016年版）
l インターネット上で何かを探す行為
ü ワーム型マルウェアによるスキャンü リフレクタ探索（DNS Open Resolver探索、NTP探索 etc.）
ü IoT機器からのスキャンü セキュリティ関連組織等による定期スキャン

l DoS攻撃の跳ね返りü DDoSバックスキャッタ※ 送信元IPアドレス偽装されたSYN Floodへの応答

Darknetü DNS水責め攻撃のバックスキャッタ※送信元IPアドレス偽装されたランダムサブドメイン攻撃l 設定ミス
41

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERの成果展開：国内展開

ダークネット観測結果等の共有
l SIGMON（定点観測友の会）
ü 参画組織：JPCERT/CC、IPA、@Police、NICT、国内大学等
ü ダークネット観測結果を情報共有（2004年〜）

l DoS攻撃即応-WG（Telecom-ISAC Japan）
ü 国内ISPによるDoS攻撃への迅速な対応と協調対処ü Backscatter＋DRDoS攻撃情報を共有（2011年〜）

l ACTIVE（総務省）
ü 『国民のマルウェア対策支援プロジェクト』
ü 感染ユーザのIPアドレスを提供（2014年〜）

l オリパラCSIRT（NISC 他）

ACTIVE (www.active.go.jp)

ü オリパラ関連組織との情報共有体制構築（2015年〜）
42

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクト 10年線表
第1期中期計画

第2期中期計画

第3期中期計画

第4期中長期計画

2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016
D

D

M

CTF

LivenetDarknetインシデント対策グループ
NICTER
Darknet観測開始

M

L

D

DL

サイバーセキュリティ研究室 1st

DAEDALUS
アラート運用開始
NICTER WEB
DAEDALUS-VIZNIRVANANIRVANA改43

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクトを育てた言葉 ④

標的型攻撃は出口対策

44

NICTER
Network Incident analysis Center for Tactical Emergency Response入口対策/出口対策 = 境界防御l FW（ファイアウォール）üü

Network層/Transport層/Application層でパケット通過の可否を判定
インライン

l IDS（侵入検知システム）üü

シグネチャで攻撃を検知(アラート）
ポートミラーリング or TAP

l IPS（侵入防止システム）üü

シグネチャで攻撃を防止（遮断）
インライン

FW

入口対策
IPS
出口対策
IDS

標的型攻撃の主戦場

組織内ネットワーク
45

NICTER
Network Incident analysis Center for Tactical Emergency Response標的型攻撃研究の難しさ（2011年当時）
l 対策研究に必要なデータ取得が困難
ü 大規模観測の網にかからないü 攻撃を受けた組織からデータが出てこない• 侵入の痕跡は消されている• トラフィックログを長期間保存している組織は稀• 組織の秘密情報が含まれるため組織外提供が不可

l 対策検証環境の未整備ü 攻撃を再現できる検証環境がない
ü 攻撃に対抗するための多層防御の検証環境がない

作るしかない！

46

NICTER
Network Incident analysis Center for Tactical Emergency Responseライブネット観測・分析機構 構築
Tapping Network Traffic
on Each Buildings

Aggregation +Deduplication

Optical TAPVPNFilter +Distribution

Capture +Analysis

AggregatedTraffic
Traffic

VPN RouterAggregation
TAP

Aggregation
TAP

Database

SAN Storage

20PB

Analysis Engines

47

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICT-CSIRT 構築
l NICT内ネットワークを研究開発成果の実践の場に
l 情報システム室と連携しインシデントレスポンス
NICT
機構ネットワーク

情報システム室

サイバーセキュリティ研究室

l ネットワーク構築・運用

l 研究開発成果の導入・運用

l 機構ネットワーク監視
l インシデントレスポンス

l 機構ネットワーク監視
l インシデントレスポンス

NICT-CSIRT48

NICTER
Network Incident analysis Center for Tactical Emergency Response入口対策/出口対策 ＋ 内部対策
入口
諜報

侵攻

出口
潜伏

橋頭堡
確保

索敵

浸透

占領

収奪

撤収

ネットワークの内側でも対策を！
（組織内ネットワークのリアルタイム観測・分析）

改NIRVANA= NIRVANA + セキュリティ分析機能

49

NICTER
Network Incident analysis Center for Tactical Emergency Response

NIRVANA改 1st スケッチ
23:31:08 (JST)
April 26, 201314 Hours Later...

12:54:03 (JST)
April 27, 201350

NICTER
Network Incident analysis Center for Tactical Emergency Response

NIRVANA改 システム詳細
観測対象ネットワーク
センサ

ゲート

データバス

ミラー
トラフィックNIRVANA改
トラフィックのリアルタイム可視化

アクチュエーション対象

アクチュエーション
候補DB + UI

NICT製 検知エンジン
n DarkNet• DAEDALUS
n LiveNet• 低速スキャン検出• セグメント侵害検出• ブラックリスト

防御エンジンn Juniperスイッチ
n Ciscoルータ
n OpenFlowスイッチ
n FFR yarai

オペレータ

アクチュエーション
DB

自動防御効果可視化

NIRVANA改
可視化ユーザインタフェース

イベントDB

アラート情報収集システム
KOMUSUBI

DBアクセスインタフェース

分析エンジン

syslog

分析エンジン

分析エンジン

セキュリティアプライアンス

イベント強調表示

アラートのリアルタイム可視化
エンドポイントセキュリティ

ホスト情報DB51

NICTER

ホスト情報のリアルタイム可視化

Network Incident analysis Center for Tactical Emergency Response

NIRVANA改52

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクト 10年線表
第1期中期計画

第2期中期計画

第3期中期計画

第4期中長期計画

2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016
DDM

LivenetDarknetインシデント対策グループ
NICTER
Darknet観測開始

MLDL

DCC D

L CC

サイバーセキュリティ研究室 1st

DAEDALUS
アラート運用開始
NICTER WEB
DAEDALUS-VIZDAEDALUS-VIZ 2nd Evolution
NIRVANANIRVANA改NIRVANA改
End Host Monitoring / Auto ActuationCTF

NIRVANA改 SECCON Custom
NIRVANA改 SECCON Custom Mk-II
AMATERAS零53

NICTER

AMATERAS零SECCON
Network
Incident analysis Custom
Center for Tactical Emergency Response

NICTERプロジェクトを育てた言葉 ⑥

オレ、CTFをもっと格好良くしたいんですよ！

54NICTER
Network Incident analysis Center for Tactical Emergency Response月刊I/O 2014年5月号から抜粋

愛甲健二さんtessyさん

園田道夫先生55

NICTER
Network Incident analysis Center for Tactical Emergency Response

CTFの様子（可視化なし）

56

NICTER
Network Incident analysis Center for Tactical Emergency Response

NIRVANA改SECCONカスタム Mk-II

57

NICTER
Network Incident analysis Center for Tactical Emergency Response攻殻機動隊 REALIZE PROJECTSECCON CTF for GIRLS
AMATERAS零58

NICTER
Network Incident analysis Center for Tactical Emergency Response

AMATERAS零SECCONカスタム

59

NICTER
Network Incident analysis Center for Tactical Emergency ResponseNICTERプロジェクトを育てた言葉 ⑦

日本の政府機関こそ日本の最新技術で守る

60

NICTER
Network Incident analysis Center for Tactical Emergency Responseまとめl セキュリティ業界に流れるそれらしい説は、結構外れることも多い
l 研究者はデータを見て検証すること！
l 日本の優位性・特異性を活かした研究開発
l サイバーセキュリティはデータが命

61

NICTER
Network Incident analysis Center for Tactical Emergency Response

NICTERプロジェクト 10年線表
第1期中期計画

第2期中期計画

第3期中期計画

第4期中長期計画

2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016
DDM

LivenetDarknetインシデント対策グループ
NICTER
Darknet観測開始

ML

DL

D

サイバーセキュリティ研究室 1stCC D

L C CM

サイバーセキュリティ研究室 2nd

DAEDALUS
アラート運用開始
NICTER WEB
DAEDALUS-VIZDAEDALUS-VIZ 2nd Evolution
NIRVANANIRVANA改NIRVANA改
End Host Monitoring / Auto ActuationCTF

NIRVANA改 SECCON Custom
NIRVANA改 SECCON Custom Mk-II
AMATERAS零62

NICTER

AMATERAS零SECCON
Network
Incident analysis Custom
Center for Tactical Emergency Response

データを核としたセミ・オープン研究基盤
l セキュリティ関連情報を大規模集約üüüüü

各種観測情報マルウェア検体/解析結果
セキュリティ機器のアラート情報
脆弱性情報、資産情報
セキュリティNews/Blog etc...

LivenetSecurityNews

Asset Infol マッシュアップと自動対策
ü 複数情報源の紐付け
ü 攻撃キャンペーンの解明
ü 組織やユーザへの自動対策展開

DarknetSecurityBlogs

DNS DB

From Security Big Data

Proxy Log

Vulnerability

Honeypot(high/low)

CURE

AlertsAmpPotl セミ・オープン研究基盤
ü CURE格納情報の外部研究利用
ü 機微情報への階層的アクセス制御
ü CUREを核にしたAll Japan体制のサイバーセキュリティ研究基盤創立

EventsIoTPoT

To Security Intelligence
Malware(result)

SPAM

Malware(exe)

WebCrawlerC&C URL

DBD(browser)63

NICTER
Network Incident analysis Center for Tactical Emergency Response