ファイアウォールログを利用したマルウェア活動の検出手法について
加藤 淳也†

門田 剛†

NTTコミュニケーションズ株式会社†畑田 充弘‡セキュリティオペレーションセンタ

NTTコミュニケーションズ株式会社‡竹内 文孝†先端IPアーキテクチャセンタE-mail: {jyunya.kato, tsuyoshi.kadota, m.hatada, f.takeuchi}@ntt.com
あらまし 近年，マルウェアの感染拡大活動や DoS 攻撃などが，ネットワークシステムの可用性に重大な影響を及ぼしたり，重要なサーバやクライアントのシステムダウンを引き起こすなど，企業等の事業継続性を脅かしている．本稿にて，我々はセキュリティ運用業務の実務面に重点を置き，セキュリティ対策製品において普及率の高いファイアウォールのログを利用することで，DoS 攻撃・感染拡大活動などのマルウェア活動を検出させる方法を調査した．その結果，ファイアウォールのログにおける特定の条件に適合するパターンを監視することが，マルウェア活動を特定する上で有用であることが分かった．

Detection method of malware activity based on the Firewall log
Junya Kato† Tsuyoshi Kadota† Mitsuhiro Hatada‡ Fumitaka Takeuchi††Security Operation Center, NTT Communications Corporation

Innovative IP Architecture Center, NTT Communications Corporation‡

E-mail: {jyunya.kato, tsuyoshi.kadota, m.hatada, f.takeuchi}@ntt.com
Abstract
Today, the wide-scale malware spread and DoS attacks often affect theavailability of network systems and cause the system overflow, and threat thecontinuity of companies. In this research, we have investigated the method to detect
the malware activity like DoS attacks and infection spread, by focusing on thepractical aspects of the security operations and using the firewall log which has thehigh diffusion rate in the security products. As a result, we have found that it is
helpful to monitor the patterns which comply with the specific condition of thefirewall log to identify the malware activity.

1.

はじめにする．本稿では，まずFWのログとして分析可

マルウェア対策としてIDS（侵入検知システ

能な項目を挙げ，そこから得られる特徴を分析

ムやIPS（侵入防止システム），WAF（Webアするとともに，MWS2008[1)]で得られた成果プリケーションファイアウォール）等のセキュからマルウェアの検出に有効と考えられる特リティ製品の導入が進んでいるが，これらの高徴を挙げる．それぞれの特徴に対して，CCC価なセキュリティ製品を導入できる企業は限DATAset 2009 の攻撃通信データ[2)](以降，られている．我々はセキュリティ運用業務の実CCC2009 攻撃通信データ)を用いた評価実験

務面に重点を置き，一般的に世の中に普及してを行った結果を報告する．

いるファイアウォール(以降，FW)のログを利用してマルウェア活動を検出する方法に着目

2.

2.1.1. マルウェア活動の特徴

分析手法

2.1. FW ログ項目による分析

FW ログを解析した結果，マルウェア活動と一般的に，感染した端末は，感染拡大，マスして，感染拡大，マスメーリング活動，DoS

メーリング活動，DoS 攻撃のマルウェア活動

攻撃，大量の DNS Query が見受けられた．

を行うため，効率良くマルウェアを特定する上感染拡大は，135/TCP，139/TCP，445/TCP

でハニーポット発だけの通信を抽出した．の 3 種類の宛先ポート番号と ICMP Request

具体的には，CCC2009 攻撃通信データのパで多数の宛先 IP アドレスに対して行われていケットキャプチャデータに対して図 1に示す

た．DoS 攻撃は，80/TCP の宛先ポート番号で手順で処理を行い，ハニーポット発の通信だけ

3 つの宛先 IP アドレスに対して行われていた．

を記録したFWログを生成した．生成したFW

DoS 攻撃の種類としては，コネクションの確ログは，内訳としてWindows 2000 のハニーポ

立とコネクションの終了を繰り返し行う「TCPッ ト ( 以 降 ， honey004) で 1,495,050 行 ，Connection flood」型であった．マスメーリン

Windows XPのハニーポット(以降，honey003)

グ活動は，25/TCP の宛先ポート番号で AOL

で 1,337,099 行であった．と Microsoft 社の商用メールサーバに接続を試みていた．大量の DNS Query は，53/UDP

PCAP
データ

IPアドレスの処理

送信元IPアドレスがハニーポット以外のパケットを削除

TCPのSYNフラグ以外の処理

SYN以外のフラグが立っている
TCPパケットを削除

TCPの同一コネクショ ンの処理連続する同一コネクション(Protocol/SrcIP/SrcPort/
DstIP/DstPort)のTCPパケットを削除

UDPの同一コネクショ ンの処理連続する同一コネクション(Protocol/SrcIP/SrcPort/DstIP/DstPort)のUDPパケットを削除

ICMPの同一コネクショ ンの処理連続する同一コネクション(Protocol/SrcIP/DstIP/ICMPType/ICMPCode)のICMPパケットを削除

ICMPのEcho R eplyの処理

カラムの処理FWログ

図 1

Echo Replyを削除
送信元IPアドレス，送信元ポート番号，宛先IPアドレス，宛先ポート番号，ICMPタイプ， ICMPコード，DNSのタイプ，DNSのネーム，日時のカラム だけを抽出

FW ログ作成ステップの流れ

厳密には，FW ログを生成する上でセッションタイムアウト内の同一コネクションを削除する必要があるが，検知方法として利用しない通信にしか影響を及ぼさなかったので，今回は処理を行っていない．の宛先ポート番号でローカル DNS サーバ(以降，正規の DNS サーバ)に対して行われていた．
感染拡大，大量のDNS Query，DoS攻撃のマ
ルウェア活動におけるFWログ数と時系列の関係を一例として図 2，図 3，図 4に示す．Y軸は条件に一致するFWログ数の累積を表し，X軸は二日間の時間を表している．また，データのプロットは，秒単位で行った．
大量のDNS Queryは，感染拡大と同時に送信されていることが分かる．またそれぞれの活動に応じて特徴的なFWログの出力をしていることが分かる．これらのマルウェア活動の特徴を，表 1にまとめた．ハニーポットのOSが異なると，同じ宛先ポート番号(135/TCP)における感染拡大のFWログ数／秒が大きく異なることが分かった．同じハッシュ値のマルウェアが異なるOSのハニーポットに感染した場合においても，同様に異なっていた．
また，感染拡大の宛先ポート番号が異なる(135/TCP と 139/TCP，135/TCP と 445/TCP)と，FW ログ数／秒が大きくことなることが分かった．これは，WORM_ALLAPLE.IK が139/TCP と 445/TCP の 感 染 拡 大 を ，WORM_SWTYMLAI.CD が 135/TCP の感染拡大を行っており，感染活動を行うマルウェアが異なっていたからである．

図 2

送信元 IP アドレスが honey003，宛先ポート番号が 135/TCP であるログ数(感染拡大)

図 3

送信元 IP アドレスが honey003，宛先ポート番号が 53/UDP であるログ数(大量の DNS Query)

図 4

送信元 IP アドレスが honey003，宛先 IP アドレスが xxx.xxx.38.3 であるログ数(DoS 攻撃)
表 1

ハニーポット

活動内容

2.1.2. FW ログ数による検知方法

マルウェア活動の特徴(FW ログ数/秒)
宛先ポート 活動
標準/ICMP タイプ 回数 最小 最大 平均 偏差

これらのマルウェア活動の特徴から最小のFW ログ数／秒の値と以下の特定の条件に適

135/TCP27

117.13 133.04 124.57 2.31

139/TCP

18.21

8.21

8.21

0.00

445/TCP18.188.18

8.180.00

116.58 16.58 16.58

0.00

41.33

2.00

1.50

0.29

-

0----

大量の DNS
53/UDP
Query

0---

-

135/TCP36

139/TCP0----

量の DNS Query に関しては，同一の送信元 IP

445/TCP0----

アドレスから特定の宛先ポート番号(53/UDP)

0----の FW ログ数を監視する．なお，最小の値を

4

1.33

2.00

1.50

0.29

80/TCP

37.29

15.52 10.66

3.52

大量の DNS
53/UDP
Query

36

9.19

21.44 17.28

2.46

感染拡大

honey004
ICMP Echo
WindowsRequest
2000 マスメーリン
25/TCPグ活動
DoS 攻撃感染拡大

honey003
ICMP Echo
WindowsRequestXPマスメーリン
25/TCPグ活動
DoS 攻撃24.11 44.48 38.93

3.92

合するパターンを利用して，マルウェア活動を検知する．感染拡大に関しては，同一の送信元
IP ア ド レ ス か ら 特 定 の 宛 先 ポ ー ト 番 号(135/TCP，139/TCP，445/TCP)及び ICMP タ
イプの FW ログ数を監視する．DoS 攻撃に関しては，同一の送信元 IP アドレスから同一の宛先 IP アドレスの FW ログ数を監視する．大利用するのは，マルウェア活動にもかかわらず，その活動を見逃してしまう可能性をなくすためである．マスメーリング活動に関しては，FW ログ数／秒の値が小さいため正常なトラフィックと区別がつきにくく，FW ログ数による検知方法はあまり有効でないと考える．

2.2. MWS2008 成果からの分析

価システムを実装した．本システムは S 秒間

東角ら[3)]は，マルウェアがリゾルバの逸脱

隔で FW ログを読み込み，予め設定したプロや異常なDNS Queryを送信することを，竹森

トコル，IP アドレス，ポート番号，ICMP タら[4)]は，マルウェアがhostsファイルの一部をイプに一致した FW ログが N 行以上ある場合ローカル・ループバックアドレス(127.0.0.1)にアラートを上げるシステムである．運用面でに改竄することを，また畑田ら[5)]は，マルウのシステム負荷を考慮し，60 秒間隔で処理をェアの通信がブラックリストに引っかかるこ行うようにした．(S=60[秒]，N=FW ログ[数／とを報告している．これらの成果から，以下の秒]×60[秒])方法による検知方法が考えられる．

実験結果を，表 3に示す．

2.2.1. リゾルバの逸脱による検知方法
正 規 の DNS サ ー バ 以 外 に 対 す る DNSQuery があるかどうかでマルウェア活動を検知する．

2.2.2. DNS Query のリソースレコードのタイプとネームによる検知方法
DNS QueryのAレコードのネームに表 2のブラックリストのFQDN/IPアドレスの値が含表 3

FW ログ数による検知方法の実験結果

ハニー
ポット

活動内容

宛先ポート 活動
/ICMP タイプ 回数

honey004
Windows 感染拡大
2000

感染拡大
honey003
Windows DoS 攻撃XP
大量のDNS Query

正しい 検知誤検知
検知 見逃し回数
回数
回数

135/TCP

2726

10139/TCP

1100445/TCP

1

100

ICMP Echo
Request1

100135/TCP

36360080/TCP

330053/UDP

363600

まれているかどうかでマルウェア活動を検知

135/TCP の感染拡大において検知見逃しが 1

する．ブラックリストはすべて 2009/6/20 版を回生じたが，その他のマルウェア活動は誤検知利用した．

もなく正しく検知することができた．検知見逃表 2

ブラックリスト一覧

しが生じた理由としては，感染拡大の活動時間

ブラックリスト名

ユニークなFQDN

ユニークなIP アドレスが 25 秒と短かったため，一致した FW ログ数

config-hosts[3)]266,789

0

MalwareBlockList[5)]793573が生じるため，マルウェアの活動時間とシステ

PhishTank[5)]860561

ム負荷に応じた適切な処理間隔 S 値を決定すが少なく，N 行以上にならなかったためである．
処理間隔と正しい検知の間にはトレードオフる必要があるであろう．
DNS Query の A レコードのネームに ISP の動的 IP アドレスに割り当てられると思われる

3.2. リゾルバの逸脱による検知方法

FQDN が含まれているか，あるいは IP アドレ

ハ ニ ー ポ ッ ト か ら DNS サ ー バ に 送 ら れ たスが含まれているかどうかでマルウェア活動

DNS QueryのFWログ数を宛先DNSサーバ別を検知する．に表 4に示す．

DNS Query の MX レコード，PTR レコード

表 4があるかどうかでマルウェア活動を検知する．

ハニーポット

宛先 DNS サーバ

honey004

正規の DNS サーバ

438

Windows2000

その他の DNS サーバ

0

マルウェア活動の特徴に基づいた FW ログ数

honey003

正規の DNS サーバによる検知方法の有効性を確認するために評WindowsXP

その他の DNS サーバ

3.

評価実験

3.1. FW ログ数による検知方法

宛先 DNS サーバ別の FW ログ数
FW ログ数401,2280

ハ ニ ー ポ ッ ト か ら DNS サ ー バ に 送 ら れ た

Queryを送るマルウェアを確認していること

DNS Queryは全て正規のDNSサーバに対してから，正規のメールサーバ以外の端末がMXレであった．CCC2009 攻撃通信データにおいてコードのDNS Queryを送信しているかを監視リゾルバの逸脱は見受けられなかった．しかし，することは同様に有用であろう．

CCC2008 攻撃通信データにおける東角ら[3)]次に，Aレコードのネームを種類別に表 6にの研究では，リゾルバを逸脱したマルウェアを示す．

確認していることから，リゾルバを逸脱した

表 6

DNS Queryを監視することはマルウェア活動

ハニーポットを特定する上で有用だと考える．

種類別の FW ログ数
種類FW ログ数

config-hosts

219

MalwareBlockList

30

PhishTank

0

ISP の FQDN28

DNS QueryのFWログ数をタイプ別に表 5にIP アドレス

0示す．

config-hosts

250

MalwareBlockList

35

PhishTank

96
37

3.3. DNS Query のリソースレコードのタ

honey004
Windows2000

イプとネームによる検知方法
ハ ニ ー ポ ッ ト か ら DNS サ ー バ に 送 ら れ た

表 5
ハニーポット

タイプ別の FW ログ数
DNS Query のタイプ

honey003

FW ログ数

WindowsXP

A レコード438

ISP の FQDN

honey004

PTR レコード0

IP アドレス

Windows2000

MX レコード0

その他のレコード0A レコード

401,225

400,922honey003 に着目すると，99％以上の A レコードのネームは IP アドレスであった．A レコードの利用方法としては異常な利用方法であhoney003

PTR レコード

3るため，DNS Query の A レコードのネームにWindowsXP

MX レコード0

IP アドレスが格納されているかを監視するこ

その他のレコード0とは同様に有用である．

大抵の DNS Query は A レコードであった．

DNSサーバ

ハニーポットhoney003 では，DNS Query の PTR レコードのネームに，ローカル・ループバック・アドレスのドメイン名(1.0.0.127.in-addr.arpa)を格2秒程度納して送信していた．この DNS Query は，

CUS &Cサ
ER/NI ーバ
CK 接続
メッセージライ 001
リプ ック：
N
リーメ FQD
ニュ SPのI

hosts ファイルの改竄による可能性が考えられる．PTR レコードの利用方法としては異常な1秒程度利用方法であるため，DNS Query の PTR レery
Qu ASNDN イプ： FQD
タ PのISム：ryネーue
S Q ：A . 1N
D イプ .0.0
タ 127
ム：
ーネ

コードのネームにローカル・ループバック・アドレスのドメイン名が格納されているかを監視することは，検知方法として有用だと考える．
CCC2009 攻 撃 通 信 デ ー タ に お い て DNSQueryのMXレコードは存在しなかった．しかし，武藏ら[6)]の研究では，MXレコードのDNSC&Cサーバ

図 5

ほぼ同時刻

DNS Query(ISP FQDN) 発生メカニズム

また，AレコードのネームにISPのFQDNがクが流れていない．よって，業務等の正常なト含まれていた．この発生メカニズムを図 5に示

ラフィックが流れる実環境においてこれらのす．これはハニーポットがC&CサーバにIRC検知手法を適用し誤検知が発生しないか評価

接続した際に，C&Cサーバがボットのグローする必要がある．

バルIPアドレスの逆引き結果(ISPのFQDN)をボットに返していた．その後にボットがDNS

5.

Query の A レ コ ー ド の ネ ー ム に そ の ISP のFW ログからマルウェア活動を検出する方法

FQDNを格納して送信していた．このDNSを調査した．マルウェア活動の特徴と特定の条Queryと同時刻(1 秒以内)に，ハニーポットが件に適合するパターンを利用して，FW ログかDNS QueryのAレコードのネームにローカら感染拡大，DoS 攻撃，大量の DNS Query

ル・ループバック・アドレス(127.0.0.1)を格納を行うマルウェアを検知できることが分かっして送信していた(WindowsXPのみ)．

た．また，リゾルバの逸脱や DNS Query のリ

よって，DNS Query の A レコードのネーム

ソースレコードのタイプとネームによる検知に自身のグローバル IP アドレスの FQDN がもマルウェア活動を検知する上で有効である格納されているか，ローカル・ループバック・ことが分かった．今後は，本手法の検知精度をアドレスが格納されているかを監視すること向上させるための課題に取り組む予定である．

おわりには同様に有用であろう．ブラックリストにおいては，config-hosts が最も検知率が高いが，他謝辞のブラックリストと比較してリストに登録し本研究の遂行にあたって，有益な研究用デーている数が多いため，実環境におけるシステムタセットを提供して頂いたサイバークリーン負荷は高いであろう．

センターに感謝する．

4.

参考文献

今後の課題

本手法の検知精度を向上させるためには，以下の課題がある．
OS・マルウェアの種類の網羅性
実環境では様々なOSのクライアント・サーバがFW配下に存在するため，今回利用したハニーポットのOSとは別のOSやサービスパックでの調査が必要である．特に，WindowsXP
SP2 以降ではセキュリティ機能の強化によりTCPハーフコネクション数に制限がかけられている．よって，表 1に示したマルウェア活動の特徴が異なることが予測される．また，ハニーポットに感染したマルウェアの種類が少なかったことから，様々なマルウェアに感染させて同様に調査する必要がある．
誤検知の評価
CCC2009 攻撃通信データにはユーザが端末を操作して業務を行う等の正常なトラフィッ

1) マルウェア対策研究人材育成ワークショップ,

http://www.iwsec.org/mws/2008/2) 畑田充弘, 中津留勇, 寺田真敏,篠田陽一：マルウェア対策のための研究用データセットとワー
クショップを通じた研究成果の共有, MWS20093) 東角芳樹, 鳥居悟：DNS 通信の挙動からみたボット感染検知方式の検討, 情報処理学会・CCC運営委員会, MWS2008, pp.13-18, 2008
4) 竹森敬祐, 磯原隆将, 三宅優, 西垣正勝：ボットネットおよびボットコードセットの耐性解析,
情報処理学会・CCC 運営委員会, MWS2008,
pp.49-54, 20085) 畑田充弘, 寺田真敏：複数観測データを用いたボットネットの活動分析に関する一考察, 情報処理学会・CCC 運営委員会, MWS2008, pp.87-92,
20086) 武藏泰雄, 松葉龍一, 杉谷賢一：プロトコル異常検知による A レコード型 DNS パケット分散サービス妨害攻撃の阻止, 情報処理学会研究報告,
IPSJ SIG Notes 2005-DSM-38-(5)