多地点分散型ハニーポットによる攻撃発生および被害予報システムの検討
須藤 年章

畑田 充弘

NTT コミュニケーションズ株式会社

sudo@mfeed.ad.jp

m.hatada@ntt.com

あらまし 数年前までは，脆弱性探索や攻撃活動はインターネット全体に対して網羅的に行われることが多く，小規模な検出システムでもインターネット全体の状況をとらえることが可能であった．しかし，近年，検出の回避や攻撃の効率性の向上などのため攻撃対象となる IP アドレスは限定的なものとなり小規模な検出システムではインターネットで発生している問題の多くを検出することができない．本稿では，複数のハニーポットシステムで収集したデータを利用し，各検体の通信特性に着目した攻撃の識別，影響度の考察を行うとともに，AS，IP アドレス等の違いによる検体検出状況を組み合わせることにより，より効率的な感染予測システムの検討を行う．

Examination of attack generation and damage forecast system by multi point
decentralized honeypot
Toshiaki Sudoh

Mitsuhito Hatada

NTT Communications Corporation

sudo@mfeed.ad.jp

m.hatada@ntt.com

Abstract The vulnerability search and the attack activity were able to be often done to the entire Internet covering it,
and to catch the situation of the entire Internet even with a small-scale sensing system several years ago. However,Internet Protocol address to be attacked for the evasion of detection and the improvement of the efficiency of theattack, etc. becomes limited in recent years and many of problems that occur on the Internet cannot be detected with asmall-scale sensing system. In this text, a more efficient infection forecast system is examined by identifying theattack that pays attention to the communication property of each specimen material by using the data collected with
two or more honey pot systems, considering the influence level, and combining the specimen material detection
situations by differences between AS and Internet Protocol address, etc.

れる攻撃情報が自ネットワークとはまったく関係ない場
1． はじめに
古くはBlaster 等のワームの活動，近年ではボットによ合や，逆に一部のネットワークのみでしか観測されないる脆弱性スキャンなどはIPアドレスを網羅的に対象とす合があり被害を拡大させてしまう．

ることが多く，そのような攻撃特性のため小規模な検知事象に関しては，必要な対策情報などがまったくない場
本研究ではCCC DATAset 2009[3]の攻撃元データ（以システムでもインターネット全体で発生している事象を降，攻撃元データと呼ぶ）を利用し，マルウェアの種類検出することが可能だった．ところが最近では，ボットの違いによる捕捉特性およびマルウェアに感染することの隣接ネットワークのみに限定した攻撃から，CnC の命によって発生する影響トラフィックを解析し，さらに独令による無関係な特定ネットワークのみを攻撃対象とし自のハニーポットのデータを用い，AS ごとの捕捉特性をた攻撃などにより攻撃対象が限定されるようになり，小解析することで，各 AS への広がりやどのような影響を規模な検出システムでは，限定されたアドレス空間に対与えるのか予測する仕組みについて検討する．

する攻撃しか検出できなくなっている．このため公開さ2． 脆弱性スキャントラフィックの変化攻撃に利用するボットを作成するために端末をマルウのような攻撃手法の変化により小規模な検出システムや，ェアに感染させる手法は，近年では感染効率の向上や検くなっている．またそれ以外に送信元に着目した場合は，知を妨害することなどを目的とするようになり，OS やアボットだけではなく無料のウェブサービス，ホスティン

プリケーションの脆弱性を利用するものから，利用者のグサービスの利用の拡大により，送信元特定の意味を失多いその時々の流行のインターネットサービスを利用すわせるような攻撃が増えている．

darknet を利用したシステムなどでの捕捉効率は非常に悪るもの，ソーシャルエンジニアリングを利用するものなど古くから利用されている手法から新しいものまで様々な手法が次々と生み出されている．その手法を分類する

3．マルウェアごとの捕捉特性
表 1 に，同一のマルウェアが観測期間中に捕捉されたと次のようになる．

頻度について示す．
1 年間でも10 回以下のものが97.51%(1)

ネットワーク経由での脆弱性スキャン存在するのは，大量の亜種が，限定期間にのみ活動して(2)悪意のあるソフトウェアを実行させるいたものと推定される．

(3)

ブラウザの脆弱性を利用した Web 経由での
表1 マルウェア捕捉頻度

感染
近年は，その効率の高さからブラウザおよび関連するアマルウェア捕捉頻度割合[%]

プリケーションの脆弱性を利用した感染手法が広く用い10 以下

97.51

られているが，攻撃の基本機能としてネットワーク経由10～1002.00

での脆弱性スキャン活動は手法を変えつつ継続的に行わ

100～1000

0.44

れている．脆弱性スキャン活動には以下のような機能パ

1000～2000

0.02

ターンがある．

2000 以上

0.03(1)

IP アドレス網羅的攻撃（シーケンシャル）(2)

IP アドレス網羅的攻撃（ランダム）(3)

感染端末の IP アドレスを元にした隣接攻撃

きいため本研究では，捕捉頻度 10 以下，100 から 1000，(4)

対象を特定した攻撃（CnC からの命令）

1000 以上の3 つの捕捉頻度カテゴリに分け，その中から(1)は始点 IP アドレスからアドレスをインクリメントしながら攻撃をしていくもの，(2)はランダムにアドレスを決めながら攻撃するもので，そのアルゴリズムに差異はあるもののインターネットに対して網羅的に攻撃トラ

表 1 のとおり各マルウェアの捕捉頻度の差は非常に大任意に選択したマルウェアについて，ハニーポット毎の捕捉特性およびそのマルウェアに感染することによって発生する攻撃の影響を考察する．表 2 に解析に利用したマルウェアとそのハッシュ数を示す．

フィックが送出されるため検出しやすい．(3)はボットの基本機能として多く観測されるものであり，そのボットの近接ネットワークには，そのボットが感染に利用され

表2 解析に利用したマルウェア
マルウェア名

ハッシュ数た脆弱性と同じ脆弱性をもつ端末が多く存在するであろ

PE_VIRUT.AV

9863

うという想定のもと感染効率を高めるためにおこなわれ

BKDR_VANBOT231

るものである．

TROJ_AGENT

192

WORM_SDBOT177

TSPY_KOLABC.CH

11

3．1 CCC ハニーポットの捕捉特性
CCC DATAset2009[3]攻撃元データにはハニーポットの識別子は含まれているが，IP アドレスや AS に関する情報はないため，単純に別NW に接続されたハニーポッ
図1 スキャントラフィックの変化

トのマルウェア捕捉特性の違いとして解析する．ここでは表 2 の中から二種類のマルウェアの解析結果を例とし

図 1 の右側のグラフが隣接ネットワークへの攻撃で左側のグラフが特定ネットワークへの攻撃の例である．こてあげる．

グラフはX 軸が時間を，Y 軸がハニーポットの番号を表つ．ただし後者のハッシュはそれ以後も離散的に観測さし，プロットの色の違いがハッシュ値の違いを表す．

れつづけているが，その意味,，影響については不明である．

3. 1. 1

PE_VIRUT.AV

TROJ_AGENT の捕捉特性を図 2 に示す．すべてのマルウェアに共通的にX軸に平行に表れる長期間捕捉特性とY軸に平行して表れる短期蔓延特性が見られる．
2008 年 5 月以降継続観測されており特に 30～40 番のハニーポットが集中的に捕捉していることがわかる．また一ヶ月から二ヶ月周期でほぼすべてのハニーポットで数日間のみ同時捕捉される新規ハッシュが存在することがわかる．定期的なバージョンアップが行われている典型的な例と想定される．またこのマルウェアも同一のハッシュが時期をあけて再度

図3 TSPY_KOLABC.CH観測されている．また，一度捕捉されたハッシュが数カ月以上のちに同一ハニーポットもしくは別ハニ

3．2 マルウェア毎の発生トラフィック特性ーポットで捕捉される特性を持つマルウェアもある．

次にそれぞれのマルウェア毎に感染の発生によるネッ

図 2 では 2008 年 6 が上旬に一週間程度の期間すべてトワークリソースへの影響度を予報するためのトラフィのハニーポットで網羅的に検出されたハッシュが三ック特性について述べる．トラフィック特性として，各カ月に一部のハニーポットで約二ヵ月間再度捕捉さハッシュに対応する検体を 3 分間の動的解析にかけた動れている．この原因としては攻撃者がそのマルウェア作記録データの一部である通信記録を用いる．疑似環境の再利用を行った，攻撃ツール，ボットの再利用時に操における通信記録であるため実際のトラフィック量はわ作を失敗したなどさまざまな要因が考えられる．この特からないため，ここではセッション数によりトラフィッ性を詳細に解析するためには，期間を空けた観測された

ク特性を表し，DNS，IRC，HTTP，SMTP を対象とする．

ハッシュの実際の効果，影響，被害の調査が必要と考え

図 4 はPE_VIRUT.AV の解析データである．検体収集られるが，ここでは，実際の観測状況として短期間で攻数のグラフは，
X 軸は時間を，Y 軸は検体収集数を表す．

撃が終了したと思われたマルウェアが数ヶ月から数年後

その他のグラフはX 軸が時間を，Y 軸はハッシュ毎のセの再利用される危険性があることを示す．つまり最初にッション数を表す．なお，全てのハッシュに対応する動検出した時に影響度が小さなものでも数カ月以上たって作記録データは得られていない．

影響度を増すということも懸念される．

図2 TROJ_AGENT
3. 1. 2

TSPY_KOLABC.CH

TSPY_KOLABC.CH の捕捉特性を図3 に示す．このマルウェアは網羅的に二ヶ月間捕捉され続けたハッシュと同時発生したが一ヶ月間のみ捕捉されたハッシュが目立

図4 PE_VIRUT.AV の発生トラフィック特性

PE_VIRUT.AV はハッシュ数も多くハッシュによっては感染後の動作が異なるための時期によってトラフィック

4．1 マルウェア毎のAS 別捕捉特性特性に差が表れている．DNS，IRC はこのマルウェアにこの解析ではハッシュごとに各AS のハニーポットの感染した際の動作として必ず発生するもので，あるが，捕捉特性を一つのグラフに表している．これによりその攻撃その他に利用されるHTTP やSMTP には特徴的なパマルウェアが各 AS でどのようなタイミングでどのようルスが表れている．

な規模で観測されるかを可視化する．ここでは二つのマ

これらの結果から PE_VIRUT.AV は感染時に必ず発生ルウェアを例として解析する．

する DNS，IRC，HTTP 通信によって発生するセッション数の影響が非常に大きく，その後の攻撃に利用された
SMTP のセッション数影響がわずかに発生すると想定できる．したがって感染が広がった場合は，DNS サーバー

4．1．1

BKDR_VANBOTBKDR_VANBOT の中から一つのハッシュについてその特性を図5 に示す．

への影響が最も大きく，次に IRC，HTTP などのセッション増によるネットワーク設備への影響が予測することができる．
その他のマルウェアについても同様な解析を行い，発生セッション数と発生頻度を利用した単純に影響度を数値化したものを表 3 にまとめる．それぞれの数字は大きいほど影響度が大きいことを表す．
表3 各マルウェアの影響度評価
マルウェア

DNS

IRC

HTTP

SMTP

PE_VIRUT.AV

10056262

BKDR_VANBOT

37370.70

TROJ_AGENT

1111150

AS9 で最初に検出した後，11 時間後にAS10，さらにWORM_SDBOT

31317.50

10 時間後にAS1，さらに3 時間後に AS3，AS7，AS9 でTSPY_KOLABC.CH

5050

8.80.6

捕捉している．AS10 で長期に捕捉され続けているがそれ

図5 BKDR_VANBOT以外の AS については初期捕捉から一年後に再度活発に実際のネットワークへの影響に関しては定量的な評捕捉されている．

価が必要であるが，ここでは単純にこの解析で算出された数字をもとに発生予測されるトラフィック規模として

4．1．2

TSPY_KOLABC.CH

TSPY_KOLABC.CH の中から一つのハッシュについ5 段階評価を行いまとめたものが表4 である．てその特性を図6 に示す．
表4 各マルウェアの影響度指標
マルウェア

DNS

IRC

HTTP

SMTP

PE_VIRUT.AV

A

B

C

D

BKDR_VANBOT

C

C

E

-

TROJ_AGENT

D

D

D-

WORM_SDBOT

C

C

D-

TSPY_KOLABC.CH

B

B

D

E

4． AS 別捕捉特性
次に，ISP15 社に設置した別のハニーポットを利用し，AS の違いによる捕捉特性についてのべる．
本稿ではAS1

図6

TSPY_KOLABC.CH～AS15 という識別子で個々のAS を表現する．
AS1，AS3，AS7 で最初に検出し一日後に AS5，AS8，AS12 で検出しさらに一日後にAS10 に広がっている．このマルウェアもまったく検出できない AS がある．また

ハニーポットの捕捉効率の観点からは，上位3AS でも最初の検出から2 ヵ月後にAS1 で活発に捕捉し，さらに70％程度をしめるためこれらを有効に利用することで効

3 ヵ月以上あけて AS1 で再度，さらにその後 AS10 で再率の向上が考えられるが，残りの 30%が網羅されない状捕捉されている．

況はマルウェア対策には大きな問題であるため，その他のAS もカバーする必要がある．

4．2

AS 毎のマルウェア捕捉タイミングに関する解析

このように，AS の違いによりマルウェアの捕捉性，捕4．2．2

AS 毎のマルウェア早期捕捉度捉タイミングなどに違いがある．これらの特性をさらに次に図 9 に各 AS がマルウェアを最も早く捕捉したか解析することでハニーポットの捕捉性の向上や AS の関について示す．ここでも同様にマルウェアの全体での捕係から次にどの AS に感染が広がるかなどについての予捉頻度を 3 カテゴリに分類し，それぞれについて解析し測を立てることができないか検討する．

た．
いすれのカテゴリでもAS10が早期捕捉できている．
AS4，AS9 は大規模なものほど早期捕捉でき AS5，AS10

4．2．1

単独AS での捕捉性

前述のとおり同じマルウェアにより全体の捕捉頻度は大きく異なり表1に示す通り全体の97%が10回以下しか補足されていない．図 7 にマルウェアの全体捕捉頻度と捕捉できたAS の数の関係を示す．

は小規模なものの早期捕捉できている．また，数は少ないがその他ASについても他のASよりも早期捕捉できるマルウェアが存在することを示している．
これらの特性を利用して各 AS に設置する捕捉システ
ムの規模を検討することで捕捉効率を上げることができると想定される．
たとえば全体的に捕捉効率の高いAS10，AS1，AS5，AS9 により多くの捕捉システムを設置することによって捕捉効率を上げることができるのではないかと想定される．

図 7 マルウェア捕捉頻度と捕捉可能 AS 数の関係
捕捉頻度カテゴリ別にみると，1000 回以上捕捉されたマルウェアのうち1ASのみでしか検出できなかったものは6.25%，9AS 以上で捕捉できたのは62.51%となる．逆に10 回以下のものについては62.66%が1AS でしか捕捉

図9 マルウェア初期検出 AS の割合できない．全マルウェアでみると 92.95%は 1AS でしか検出されていない．このように大規模感染型のマルウェ

4．2．3

AS 毎のマルウェア捕捉時差

アの93.75%は複数のAS で検出され，小規模なものほど次にマルウェアが，ある AS で初期捕捉された後別の一部のAS でのみ検出されるということを表している．

AS（第二捕捉 AS）で捕捉されるまでの時差について解

この結果からさらに単独で捕捉することの多かった析する．まず，検出頻度の高い上位50 件のマルウェアにAS を図8 に示す．

関して初期捕捉ASと第二捕捉ASの関係をまとめると図10 のようになる．

図8 単独のAS での検出率
図10 AS 間の捕捉タイミングの関係

矢印の向きが伝染方向を表し，AS 間の距離は時差をみ，AS13 は第二捕捉AS としてのみ機能しており，その5. 予報システムに関する考察
ここまで解析した結果から，あるマルウェアが特定の他の AS に関しては相互に依存しあっている．AS13 はAS で捕捉された後，どのAS に広がり，どのような影響

AS1 からのみ伝染するがかかる時間は非常に長いというが発生するかの予報についての一例として，表 5 にことを表す。

BKDR_VANBOT を用いた被害予報の例を示す．AS9 で表している．AS6，AS12，AS14 は初期捕捉AS としてのこれらの関係をわかりやすくするために第二捕捉 AS

捕捉された場合，12時間以内にAS10，24時間以内にAS1，に着目して解析する．
表4は第二捕捉ASとしてのAS10，AS3，AS7 に広がり，DNS への影響度が大きく，IRC，AS1 とその初期捕捉AS との関係を示す．

SMTP 等により発生するセッション増に注意の必要があAS10 について見ると全15AS 中7AS で捕捉されたのると予測される．

ちAS10 で捕捉されている．したがってこの7AS で捕捉
表5 BKDR_VANBOT の予報されたことが次に AS10 で捕捉される可能性があることの指標として利用することができるのではないかと考えられる．
さらに AS10 に対する初期捕捉 AS として認識された

初期捕捉

第二捕捉第三捕捉

初期捕捉かASASASらの時間（h）

AS9AS10

度数の高いAS については，単純に，そのAS で，あるマ

11AS1

被害予測

DNS B

21IRC B

ルウェアが捕捉された場合は AS10 に伝染する可能性を

AS324

HTTP D

高い考えることができる．
表4の例ではAS4 が最も高い．

AS724

SMTP C

また初期捕捉 AS と第二捕捉 AS のマルウェア捕捉のほど関係性が強いと考えることができるが，AS1 とAS96. まとめ
本研究ではAS に分散配置したハニーポットを利用すの関係のように 634.5 時間のような極端な場合もあり，ることで，AS 毎に捕捉できるマルウェアの違いや，捕捉前述のとおり，数か月以上の時差がある例も多々あるたタイミング，AS 間の関係などのAS に依存したマルウェ

め，その要素の有効性の判断は難しい．

ア捕捉特性を示し，その差異を利用したマルウェア感染

平均時差も要素の一つと考えられる．平均時差が小さい

これらの検討から，この例では，7AS 中，度数の一番の拡大の予測についての検討を行い一例を示した．今後多いAS4 が捕捉したあと平均12.6 時間でAS10 でも捕捉は，マルウェアのバリエーションを増やすなどサンプルする可能性が最も高いと考えることができる．その他のを増やし予測指標のより詳細な解析や，自動システム化

7AS での捕捉についても確率は下がるが AS10 での捕捉についての検討を行っていく．

可能性があると考える．
謝辞
本研究の一部は総務省の「スパムメールやフィッシン

表4 初期補足AS と捕捉時差の例
AS10グ等サイバー攻撃の停止に向けた試行」の一環で行った

AS1

初期捕捉時差（h） 度数

初期捕捉AS時差（h） 度数

調査・研究結果をまとめたものである．また，本研究を進めるにあたり，有益な助言と協力を頂いた

AS
AS1

11AS2

41AS2201AS45.23AS311AS9634.5

2AS412.65AS10112AS513.52AS1120

1AS826

1AS911.52

同様にAS1 とその初期捕捉AS との関係については度数の一番高いAS4 が捕捉したあと5.2 時間でAS1 でも捕捉する可能性が高いと考えることができる．

Telecom-ISAC Japan の関係者各位に深く感謝致します．
参考文献[1] http://project.honeynet.org[2] http://www.ccc.go.jp[3] 畑田充弘，中津留勇，寺田真敏，篠田陽一：”マルウェア対策のための研究用データセットとワークショップを通じた研究成果の共有”，MWS2009