SSRC-IR-200910-1

S.S.R.C.定期
インシデントレポート
Vol.2

株式会社 日立情報システムズ
セキュリティリサーチセンタ
初版

2009/03/05

S.S.R.C.インシデントレポート Vol.2
目次
1.

はじめに ...................................................................................................................... - 2 -2.

ご利用条件 .................................................................................................................. - 2 -3.

概要 ............................................................................................................................. - 3 -4.

一次分析 ...................................................................................................................... - 4 -

4.1.

地域傾向分析 ........................................................................................................... - 4 -4.2.

攻撃元国別傾向分析 ................................................................................................ - 5 -4.3.

サービス別分析........................................................................................................ - 8 -5.

二次分析 .................................................................................................................... - 11 -5.1.

HTTP サービスへの攻撃増加について ................................................................. - 11 -5.2.

Conficker の現状 ................................................................................................... - 12 -6.

おわりに .................................................................................................................... - 13 -7.

参考文献、参考資料、サイトなど ............................................................................ - 13 -8.

付録 ........................................................................................................................... - 14 --1© Hitachi Information Systems, Ltd. 2009. All rights reserved.

1.

はじめに

S.S.R.C. (SHIELD Security Research Center)は、株式会社日立情報システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信する予定です。
本文書は、株式会社日立情報システムズ SHIELD セキュリティセンタで日々収集を行っているセキュリティ情報にもとづき、セキュリティリサーチセンタのセキュリティアナリストが、不正アクセスなどのセキュリティインシデントの傾向調査したレポートです。
次に示すご利用条件を十分にお読み頂き、ご了承頂いた上でご利用下さいます様、よろしくお願い致します。

2. ご利用条件
本文書内の画像等すべての情報の著作権は、特別の断りがない限り、株式会社日立情報システムズ（以下、「当社」）に帰属します。本文書をご利用いただく際には、非営利目的かつ利用者個人（または組織内部）での利用に限り、当社の著作物を複製することができます。但し、当該複製物には、当社の著作権表示を付して戴くことを条件と致します。
上記を除き、営利目的による複製・公衆送信等著作物の利用や、商標権・著作権・特許権等知的所有権に基づくいかなる権利も許諾するものではありません。なお、個々の著作物に利用条件が付されている場合は当該条件が優先されます。
また、当社は情報掲載にあたって細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に掲載されている情報は、掲載した時点の情報です。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。

-2© Hitachi Information Systems, Ltd. 2009. All rights reserved.

3. 概要SHIELD セキュリティリサーチセンタでは、専属のセキュリティアナリストが全世界各地より各種セキュリティ情報の収集を行っております。本レポートでは、（株）日立情報システムズ SHIELD セキュリティセン
タにて収集を行っているセキュリティ情報より、不正アクセスなどのセキュリティインシデントの傾向調査を行いましたのでご報告致します。
本レポートの対象は以下の通りとなっています。

対象期間

：

2009 年度第二四半期（0７月 01 日 〜 2009 年 09 月 30）

収集拠点

：

ＳＨＩＥＬＤ セキュリティセンタ

本レポートの対象装置：

IDS × 3 種

-3© Hitachi Information Systems, Ltd. 2009. All rights reserved.

4. 一次分析
本章では、SHIELD セキュリティセンタにて観測されたインシデントについて様々な観点から一次分析（単視点からの）を行いましたので報告します。

4.1. 地域傾向分析
SHIELD セキュリティセンタにて観測されたインシデントの内、対象期間中に観測されたユニーク IP 数、ユニーク地点数は以下の通りとなっています。

・ユニーク IP

：約 390,000（7 月）：約 320,000（8 月）：約 360,000（9 月）・ユニーク地点：約 24,000（7 月）：約 24,000（8 月）：約 25,000（9 月）ユニーク IP については多少の減少が見く得られますが、地点数は大きく変化はありません。

-4© Hitachi Information Systems, Ltd. 2009. All rights reserved.

4.2. 攻撃元国別傾向分析
SHIELD セキュリティセンタにて観測された攻撃の、攻撃元国傾向についてご報告します。まず、攻撃元の国、上位 5 件について図 1、図 2、図 3 に示します。ここでの値は、下記式をもとに算出しています。
値 ＝ 1 時間毎に観測される値 ÷ 先月分の 1 時間毎平均数
このため、先月の平均観測数との検知数が同じであれば、値＝１となり、増加した場合は、値＞１、減少した場合は、値＜１となります。また、本グラフにおけるタイムゾーンは GMT＋0 となっています。

図 1 攻撃元国傾向（7 月）-5© Hitachi Information Systems, Ltd. 2009. All rights reserved.

図 2 攻撃元国傾向（8 月）

図 3 攻撃元国傾向（9 月）-6© Hitachi Information Systems, Ltd. 2009. All rights reserved.

また、攻撃全体に対する国毎の割合を表 1 に示します。

表 1 各月ごとの全体のインシデント中の国ごとの割合
ランキング

7 月 [%]

8 月[%]

9 月[%]

1

日本→ 52.7

日本

→

56.7

日本

→

56.8

2

アメリカ

→

6.4

アメリカ

→

7.0

アメリカ

→

7.1

3

ブラジル

→

5.2

ブラジル

→

5.2

ブラジル

→

5.4

4

中国

→

4.8

中国

→

4.7

中国

→

3.9

5

韓国

↑

3.0

インド

↑2.1

インド

→

2.3

6

インド

↑

2.5

ポーランド

↑

2.0

ポーランド

→

2.1

7ポーランド

↓2.2

フィリピン

↑

2.0

フィリピン

→

1.58フィリピン

↑2.2

韓国

↓1.7

韓国

→

1.29

トルコ

↓1.8

トルコ

→

1.3

ベトナム

↑1.010

ベトナム

↑1.0

ベトナム

→

1.0

アルゼンチン

↑0.9

―

その他

17.6

その他

16.2

今回の調査結果は、上位国にも大きな変化はありません。

-7© Hitachi Information Systems, Ltd. 2009. All rights reserved.

その他

17.5

4.3. サービス別分析
SHIELD セキュリティセンタにて観測された、主要サービス（smtp,pop3,domain,http,https）に対する攻撃をグラフ化したものを図 4、図 5、図 6、に示します。ここでの値は、下記式をもとに算出しています。
値 ＝ 1 時間毎に観測される値 ÷ 先月分の 1 時間毎平均数
このため、先月の平均観測数との検知数が同じであれば、値＝1 となり、増加した場合は、値＞1、減
少した場合は、値＜1 となります。また、本グラフにおけるタイムゾーンは GMT＋0 となっています。

図 4 攻撃サービス傾向（7 月）-8© Hitachi Information Systems, Ltd. 2009. All rights reserved.

図 5 攻撃サービス傾向（8 月）

図 6 攻撃サービス傾向（9 月）-9© Hitachi Information Systems, Ltd. 2009. All rights reserved.

上図より、2009 年 9 月 26 日 3 時、2009 年 9 月 29 日 9 時にＨＴＴＰに関するインシデントが多数発生していることが分かります。

- 10 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

5. 二次分析
本章では一次分析を行った結果をもとにして、二次分析（複数視点からの分析）を行いましたので報告します。今回報告する内容は以下となります。

・HTTP サービスへの攻撃増加について

・Conficker ワームの現状

5.1. HTTP サービスへの攻撃増加について
4.3 節にて 2009 年 9 月 26 日 3 時、2009 年 9 月 29 日 9 時の HTTP サービスへのインシデントの攻撃増加について報告しました。そこで、本節では、前レポート期間に引き続き、本件についての二次分析結果をご報告します。
はじめに、対象期間中の HTTP サービスへの攻撃元ユニークＩＰについて調査を行いました。その結果、各時間ともに多くはある単一のＩＰアドレスからのインシデントであることがわかりました。

表 2 HTTP サービスへのインシデントのＩＰごとの割合
国名

ＩＰ（Ａ）

ＩＰ（Ｂ）

ＩＰ（Ｃ）

その他

2009 年 09 月 26 日 03 時

99％0％0％1％

2009 年 09 月 29 日 09 時

0％

98％0％

2％

この結果より、今回の HTTP サービスへの攻撃は、前回のご報告同様に 1 組織ないしは、1 個人からの、ツール利用によるスキャニングと推測できます。また、それぞれのインシデントは日本国内からです
が、ＩＰアドレスが異なり、アドレス帯、ISP もそれぞれ異なるため関連性はないと考えられます。

- 11 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

5.2. CONFICKER の現状
Conficker の現状について調査を行いましたのでご報告します。Conficker とは、Microsoft 社から提供されている更新プログラム「MS08-067」を適用していない Windows の USB ドライブやネットワーク共有などを使用して感染するワームです。
この、Conficker による攻撃の現状を図 7 に示します。

図 7

Conficker による攻撃の傾向

図 7 から Conficker は減少傾向にはなく、むしろ増加傾向に見受けられます。このことから、Confickerへの対策が進んでおらず、いまだ猛威をふるっていることがわかります。

- 12 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

6. おわりに
8 月 〜 10 月の期間中、SHIELD セキュリティセンタで観測された情報では大規模攻撃は発生しておらず、一時的に確認された HTTP サービスへの攻撃増加につきましても、三次分析（詳細分析）以降を経て、緊急性のない攻撃であることを確認しております。
本レポートでは、新たに Conficker について観測数が減少傾向になく、対策が進んでいない現状をご報告しました。今後も、Conficker については引き続き観測を続けて参ります。

7. 参考文献、参考資料、サイトなど[i]

MS08-067 : Windows の重要な更新, Microsoft Corporation
http://www.microsoft.com/japan/security/bulletins/MS08-067e.mspx
2009/02/01 確認[ii] S.S.R.C.セキュリティインシデントレポート Vol.1,日立情報システムズ,
http://www.shield.ne.jp/ssrc/20090801-IR.pdf
2009/02/01 確認- 13 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

8. 付録・

セキュリティインシデント緊急対応サービス「SHIELD110 番」のご案内
セキュリティインシデント（サービスに影響を与えるトラブルなど）が発生した際、その解決のためにお客様がとるべき対応を適切にアドバイスする、新しいタイプの緊急支援サー
ビスです。セキュリティソリューション「SHIELD」で蓄積したノウハウを活かし、最新のセキュリティインシデントにも対応いたします。

詳細につきましては、下記、日立情報システムズＨＰからご確認ください。
http://www.hitachijoho.com/solution/shield/consulting/110.html- 14 © Hitachi Information Systems, Ltd. 2009. All rights reserved.

株式会社 日立情報システムズ〒141-8672 東京都品川区大崎 1-2-1
http://www.hitachijoho.com
http://www.shield.ne.jp- 15 © Hitachi Information Systems, Ltd. 2009. All rights reserved.