キャンパスネットワークに対する SMTP Flood による DDoS 攻撃への対策と効果
原口 直大 1)
1) 大阪大学情報推進部
odins-room@odins.osaka-u.ac.jp

Design, Implemenatation and Evaluation of Mitigation Method
against SMTP DDoS Attacks to the Campus Network
Naohiro Haraguchi1)1) Department of Information and Communications Technology Services, Osaka Univ.

概要
大阪大学総合情報通信システム（Osaka Daigaku Information Network System: ODINS）は，大阪大学におけるキャンパスネットワークであり，学内の教育研究活動を支える ICT 基盤である．2015 年 11 月から ODINS に対して SMTP Flood による DDoS 攻撃が頻繁に発生しており，大量のスパム受信や透過型メールゲートウェイのSMTP セッション占有に伴うメール遅延の被害が発生している．本稿では，SMTP Flood による DDoS 攻撃の詳細，運用上の対応，及び ODINS が抱える問題点について説明する．また，本サイバー攻撃への対策実施とその効果について報告すると共に，恒久的対策について議論する．

1 はじめに大阪大学総合情報通信システム（Osaka Daigaku

Information Network System: ODINS）は，大阪大した運用上の問題点を挙げると共に，今後の展望について議論する．

2 大阪大学における情報セキュリティに関する体制学のキャンパスネットワークであり，2016 年 5 月現在
で教職員 10,056 人，学生 23,371 人を抱える大学の教本節では，大阪大学における情報セキュリティに育研究活動を支えている [1]．ODINS ではネットワー

関する組織構成と，ODINS で整備しているセキュリクインフラに関する環境整備だけではなく，セキュリティ強化装置の構成と役割について説明する．

ティ強化装置の運用や大阪大学のサーバ管理者等を対

2.1

組織体制

象とした情報処理技術向上を目的とする講習会を開催

大阪大学では，情報セキュリティの維持及び向上にし，ネットワークを安全に保つための取り組みを行っ関し必要な事項について定められた大阪大学情報セている [2]．

キュリティ対策規程をはじめとする諸規程等に準じて大阪大学では，2015 年 11 月頃から SMTP Flood

組織体制を整えている [3]．特に，情報セキュリティイによる DDoS 攻撃によって全学的なメール遅延が発生ンシデントが発生した際に緊急対応としてネットワーしており，教育研究活動に支障をきたしている．本攻

ク回線の遮断等が必要となる場合は，本規程に定めら

撃は ODINS が現在保有しているセキュリティ強化装れた CERT（学内の情報セキュリティに関する専門知置では防ぎきれず，メール遅延の影響が長時間に及ぶ識及び経験を有する教職員のうち，情報を担当する理こともあった．

事が担当する最高情報セキュリティ責任者により任命

本稿では，前提条件となる大阪大学における情報セされた者により構成される）による判断を経た上で実キュリティに関する組織体制とシステム構成及び運用施している．ただし，一刻を争う状況であるが本稿に体制について説明し，SMTP Flood による DDoS 攻示す SMTP Flood による DDoS 攻撃対策のように判撃の影響と対策について述べる．加えて，本攻撃に対断基準が明確であり，対処内容を含めて問題ないと判する対策の内容とその効果を報告し，対策に伴い発生断された事象については CERT の判断を経たものとして取り扱い緊急対応を行っている．図 1 に，CERT学内通信であるイントラネットワーク環境の通信を監による緊急対応判断フローを示す．

視する役割を果たしている．

ODINS では，情報セキュリティ対策装置を含めて機器の保守運用業務を外部業者（以降，ODINS 保守運用担当と呼ぶ）へ委託している．ネットワーク障害や情報セキュリティインシデント等の問題が発生した場
合は，ODINS 保守運用担当，ODINS 外部監視担当，及び ODINS 事務担当と連携し対処する．

図 2 ODINS ネットワーク論理構成図
図 1 CERT 緊急対応判断フロー

3 SMTP Flood による DDoS 攻撃
2.2

システム構成及び運用体制

3.1

攻撃内容と被害状況

ODINS は，大阪大学全体のネットワーク環境を保2015 年 11 月から大阪大学に対して SMTP Flood護する情報セキュリティ対策機器群を有している．

による DDoS 攻撃が頻繁に発生しており，全学的な具体的には，ネットワーク侵入防止装置（Intrusion

メール遅延の影響を受けている．攻撃の傾向は把握出Prevention System: IPS），ネットワーク侵入検知装

来ている範囲で 5 種類あり，表 3.1 にその傾向と概要置（Intrusion Detection System: IDS），迷惑メールを示す．

対策装置，及び学内通信監視装置により構成される．
図 2 に，ODINS のネットワーク論理構成を示す．

IPS では，指定した IP アドレスを持つサーバに対SMTP を利用した DoS 攻撃は攻撃元が少なく，通常する送受信を制限する設定を行う．また，外部へ業務の運用で観測される挙動と異なることから，特定が容委託している ODINS 外部監視担当が IPS 及び IDS易である．よって，ODINS 保守運用担当及び ODINSを通過するデータを分析することで，より精度の高い担当が在室中であれば，問題なく対応可能である．た

監視と危険な通信を判断し，ODINS 事務担当と連携だし，DoS 攻撃に特化した監視体制を取っていないたして対応を行っている．迷惑メール対策装置として，

め攻撃発生直後に認知することは困難であるが，通常透過型メールゲートウェイを採用しており，ウイル1 時間以内に認知及び対処を行っている．

スチェックや IP アドレスの危険度判定を行い，結果

スローポスト型 DoS 攻撃は，少数からのアクセスでをメールヘッダに付与する役割を担っている．現在，あれば全学的なメール遅延は発生せず，影響は最小限

ODINS では統一されたイントラネットワーク環境のとなるため通常運用ではリスク受容している攻撃手法

構築と移行を計画しており，学内通信監視装置はインである．しかしながら，本攻撃手法は DDoS 攻撃とのトラネットワーク環境を保護するために導入してい複合で行われることが多く，DDoS 攻撃によるメールる．IPS 及び IDS による学内外通信の監視に加えて，遅延で SMTP セッション占有時間が長くなっている

表 1 SMTP Flood による攻撃の種類と概要

攻撃の種類

概要

SMTP を利用した DoS 攻撃

学内のサーバへ集中的にメールを送り続ける．

スローポスト型 DoS 攻撃

SMTP セッションを確立後，可能な限りセッションを占有しリソースを枯渇させる．

メールサーバに限定しない大量の 421 エラーコードのログ出力及びログを溢れさせ，セッションも占学内サーバに対する DoS 攻撃

有されリソースを枯渇させる．

SMTP を利用した DDoS 攻撃

多数の攻撃元サーバから学内のサーバへ集中的にメールを送り続ける．

各種攻撃の複合型

DoS/DDoS，スローポスト含め，様々な組み合わせで攻撃を行う．

場合と，攻撃の意図があり SMTP セッションを占有の同時接続数を，迷惑メール対策装置のリソース上限している場合の区別がつかず，攻撃元を特定することの 25% とした．全学的なメール遅延の発生頻度は緩が困難である．また，対処するためにはログを分析す和されたが，キャンパスメールサーバの被害は継続しる必要があり，アクセス遮断候補の選定に多くの時間ており，メールを利用した学内業務の妨げとなった．

を割くこととなり，分析時間中はメール遅延が継続し3.2

攻撃への対応経緯た．ログの分析は，攻撃を認知してから平均で 2 時間

ODINS 保守運用担当による攻撃への対処は業務時以上要しており，メール遅延は攻撃の対処成功，また間帯に限られており，土日祝日を含め，勤務時間外は攻撃の自然収束まで継続した．の時間帯は攻撃の認知を含め一切対処ができなかっ

SMTP を利用した DDoS 攻撃の場合は，数が多いた．加えて，ODINS の情報セキュリティ対策装置軍が攻撃元の特定は容易であるため，順次アクセス遮断

は SMTP Flood を想定した構成ではなかったため，効を行った．メール遅延も SMTP を利用した DoS 攻撃

果的かつ適応的な対処を行うことが出来なかった．そと同様に，通常 1 時間以内に認知及び対処を行った．のため，状況を改善するための暫定策として，ODINSメールサーバに限定しない学内サーバに対する DoS事務担当によるログ分析及びプログラム開発により対攻撃は，迷惑メール対策装置のログに 421 エラーコー処を行なった．また，被害を最小限に抑えるため，攻ドとして大量に記録されていたため特定は容易であっ撃の予兆を観測した場合は，休日，夜間を含め ODINSた．本攻撃も SMTP を利用した DoS 攻撃と同様に，事務担当が臨時出勤し対処を行なっていた．対処が長認知から 1 時間以内に対処を行なっており，長時間に期化していたこともあり，ODINS 事務担当の業務負渡るメール遅延は発生していない．

担は膨大となり，通常業務を圧迫した．

各種攻撃の複合型は，確認されている攻撃手法を複数組み合わせたパターンの攻撃である．大量のログ及び攻撃元が存在しており，一切の特定ができなかった．
メール遅延は 6 時間以上継続していたこともあり，最も被害が大きい攻撃手法であった．
攻撃対象となる学内サーバの傾向として，取り扱うドメインが多いメールサーバが集中的に攻撃受けることが挙げられる．特に大阪大学におけるキャンパスクSMTP Flood による DDoS 攻撃に対応は，以下の3 段階で行った．
1. ODINS 運用保守担当の業務契約範囲で調査及び対応

2. ODINS 事務担当によるログ分析及び攻撃検知体制の確立

3. ODINS 事務担当によるプログラム開発

ラウドサービスで提供しているキャンパスメールサー

システムの稼働率の監視や過負荷の解消は ODINS

バが頻繁に攻撃対象となった．その結果，キャンパス保守運用業務の一環であるため，SMTP Flood によるメールサーバのリソース枯渇が発生し，キャンパスDDoS 攻撃を発見した場合は，ODINS 保守運用担当

メールサーバから迷惑メール対策装置に対して発信さから ODINS 事務担当への連絡と対処可能な範囲の改れるエラーメッセージによる SMTP セッション占有善策の提示を行う体制とした．しかしながら，ODINSが発生するため，迷惑メール対策装置のリソース枯渇保守運用担当で可能な提案は，SMTP Flood によるが連動し全学的なメール遅延の原因となった．全学的DDoS 攻撃発生の事実と被害状況の報告，及び明らかな影響を最小限に抑えるため，学内サーバ 1 台あたりに不審と判断可能な DoS 攻撃を行うメールサーバのIP アドレスを特定のみとなるため，全ての攻撃には対分析には 1 回あたり 2 時間以上を要するため，即効性処しきれなかった．そのため，暫定策として，毎時 0のある対策とはならなかった．

分の迷惑メール対策装置の SMTP セッション占有率

次に，ブロックする IP アドレスを持つメールサーを通知する仕組みを導入し，継続して不審な攻撃を行

バの候補を機械的に選定するために，SMTP Flood にうメールサーバの IP アドレスを特定することとした．

よる DDoS 攻撃対策用プログラムを開発した．この特定した IP アドレスについて CERT にブロック（接プログラムでは，ブロック対象となる IP アドレスを続拒否）の可否を伺い，IPS へブロック登録を行うこ持つメールサーバの抽出及び IP アドレスの名前解決ととした．また SMTP セッション占有率が 40% を超までを自動化している．プログラムへの入力となるロ

えた場合，ODINS 保守運用担当の業務対象外の時間グの取得，及びプログラムが出力した IP アドレスを帯（土日祝日及び 17:15 - 翌 8:30 である場合）には，IPS へブロック登録する作業は自動化することができ

ODINS 事務担当が大阪大学内の管理系ネットワークていない．そのため，大幅な運用負担軽減には至ってへアクセス可能な端末設置場所へ移動し，対処するこいない．また，プログラムによるログ分析には最短 10ととした．

分以上を要するため，攻撃を行うメールサーバの IP

次に，迷惑メール対策装置のログを分析し，攻撃をアドレスをブロックするまでには依然として多くの時行うメールサーバの IP アドレスの特定を試みた．ロ間を要している．しかし，プログラム開発を行う時間

グ分析は ODINS 保守運用業務には含まれていないたと通常業務のバランスを鑑みて，プログラムの実行速め，ODINS 事務担当が行った．全学のサーバ全てを度は向上させず運用することとなった．

対象として分析を行うことは困難であったため，攻撃

また，ログを取得するためには ODINS の管理系プが集中し，かつ影響が大きいキャンパスメールサーバライベートネットワークへアクセスする必要があるを中心に対応を行い，キャンパスメールサーバ運用担が，遠隔地からネットワークを介して外部から管理系当と連携し，接続拒否の候補となる不審な IP アドレ

プライベートネットワークへアクセスする手段がな

スの特定を行った．不審な IP アドレス候補を抽出後く，管理系ネットワークへアクセス可能な端末が設置は，不審な挙動を行うメールサーバと共通する特徴をされている学内へ移動しなければならなかった．その分析した．分析の結果，迷惑メール対策装置が付与すため，ODINS 事務担当の業務負担は大きくは軽減さるメールサーバが持つ IP アドレスに対する危険度判れず，心身ともに大きな負担となっていた．

定結果でスパムと判定（90% 以上となった場合）され3.3

恒久的対策とその結果た IP アドレスのうち，95% 以上の値を示す IP アドレ

ログの分析とプログラムの構築により課題と自動化

スを持つメールサーバから DDoS 攻撃と思われる挙動のための条件が明らかになったため，恒久的対策を実が多く確認されたこと，接続時間が 300 秒以上となる施することとなった．解決すべき課題として，次の項場合が多いことがわかった．加えて，迷惑メール対策目として整理した．

装置の開発メーカによるログ分析結果によると，20 秒以上 SMTP セッションを保持している IP アドレスの危険度判定結果では 95% 以上の評価となる割合が高いとあった．また，開発メーカの基準では，危険度判
定結果で 95% 以上の評価が誤判定となる確率は 100万分の 1 とのことであった．よって，この条件に合致する IP アドレスを持つメールサーバは攻撃元と判断して良いことがわかった．

1. 学外環境から ODINS 管理系プライベートネットワークへのリモートアクセス環境構築

2. SMTP Flood による DDoS 攻撃対策用プログラ
ムの計算速度向上と定期稼働

3. IPS への自動登録
1 つ目の課題を解決するために，ODINS が所有する SSL-VPN 機能を使用することとした．この機能をこれらの条件を参考に，さらに正常な通信を行う IP

用いて ODINS 管理系プライベートネットワーク環境

アドレスを持つメールサーバを誤ってブロックする確へアクセスするため設定変更を行い対処した．2 つ目率を減らすため，攻撃元候補となったメールサーバが及び 3 つ目の課題を解決するために，プログラム開発

持つ IP アドレスの名前解決を行い，日本のドメイン費用を確保し外部機関へ発注することとした．発注し以外をブロックする IP アドレスとして取り扱うことたプログラムのアルゴリズムを図 3 に示す．また，プとした．しかし，このようなブロック条件に合致するログラムの動作条件となる閾値を表 2 に示す．

か否かを確認するために必要となる，ログの取得及び占有率を取得するように設計した．選定されたブロッ
クする IP アドレスを持つメールサーバは，IPS の機能により 1 時間に 1 回自動的に更新する設定とした．
なお，条件 1 の閾値は開発時点で 50 回以上のアクセスとしていたが，条件 1 に合致する攻撃が長期化する際に早期解決させるため，2016 年 4 月 5 日に閾値を40 に変更した．また，条件 2 に合致する攻撃も同様に，攻撃を早期解決させるため，2016 年 4 月 5 日に閾値を 300 秒から 200 秒へ変更した．条件 3 は，アクセス回数を 1,000 回以上かつ危険度判定結果が 95% 以上としていたが，攻撃に対応仕切れなかったため 2016
年 7 月 25 日にアクセス回数を 300 回，危険度判定結果を 0% 以上とした．危険度判定結果の閾値を大幅に下げた理由は，学内全体に不特定多数のアクセスを行う接続元は一律で不審な通信と判断したためである．
構築したプログラムは 2016 年 3 月 24 日から稼働させている．図 4 に稼働効果を示す．図の棒グラフは，毎時 0 分に通知される SMTP セッション占有率の値が 40% を超えた回数（ODINS 事務担当が緊急対応する必要がある条件）を月単位でまとめており，線グラ
フは月単位でブロックした IP アドレスを持つメールサーバ数を示す．なお，2015 年 11 月と 12 月のデータ
は，毎時 0 分の SMTP セッション占有率を計測できていなかったため，メール遅延が発生した回数（SMTP
図 3 SMTP Flood による DDoS 攻撃対策プログ
ラムのアルゴリズム

セッション占有率 100%）としている．プログラムを投入したのは 3 月末であったため 3 月はあまり効果を得られなかったが，4 月からは SMTP セッション占有率が 40% を超える回数が減少していることが確認

表2

ブロック対象とする IP アドレスを持つメールサーバの抽出条件
ブロック条件
条件 1
条件 2
条件 3

セッション占有時間20 秒
200 秒
0秒

アクセス回数
40 回
1回
300 回

危険度判定結果
95% 以上95% 以上
0% 以上

出来る．6 月はキャンパスメールサーバが集中的に攻撃対象となったため，SMTP セッション占有率は高くなっているが，メール遅延はほとんど発生していない．
ブロックした IP アドレスの IPS への登録間隔は，開発時に 1 時間に 1 回のブロックする IP アドレスリストの更新頻度としていたが，定期的な登録によるシス

閾値は ODINS の迷惑メール対策装置固有の値となテム負荷も許容範囲であったことから 7 月 15 日からるため，本稿では汎用化するため危険度判定結果を割30 分に 1 回に変更した．その結果，SMTP セッショ合で示している．迷惑メール対策装置において攻撃をン占有率が高くなる前に攻撃をブロックすることがで受けていない状況下での SMTP セッション占有率はきており，非常に安定した運用となった．9 月はキャ13% 程度であるため，20% 以上の占有率となった場合ンパスメールサーバに加えて，複数の学内サーバを対に攻撃が発生したと判断しプログラムを動作させるこ象にした攻撃が多く発生していたため，SMTP セッととした．具体的には，30 分に 1 回 SMTP セッショション占有率が高くなっているが，攻撃ブロックサイン数の占有率を確認し，20% を超える場合にブロッククルが早まったこともあり，SMTP セッション占有する IP アドレスを持つメールサーバを選定する．加率は 7 月より低く，ブロックする IP アドレスを持つ

えて，学内の主要メールサーバの被害状況を把握するメールサーバ数も多くなっている．また，ODINS 事ため，指定した主要メールサーバの SMTP セッション務担当が ODINS 保守運用担当の業務対象外の時間帯に対応することがなくなったことからも，プログラムや出版社等の教育研究活動に必要と思われる IP アドは効果的であると考える．

レスを持つメールサーバを個別に確認しホワイトリス

本プログラム稼働と並行して，新たな攻撃手法にトへ登録している．しかしながら，誤検知対策を施し備え継続的にログ分析も継続して行っている．本分析てもホワイトリスト登録から漏れた IP アドレスの使では，新たな攻撃手法対策だけでなく，本学のメール用者等から大阪大学へ問い合わせがあることから，運サーバから発信される異常な数のメールやエラーメッ用負担の高さと対処精度が伴わない状況である．現状

セージ等も発見することもあり，情報セキュリティイより，ODINS のセキュリティ対策装置で防御しきれンシデントに繋がる挙動もより早く認知することがでないサイバー攻撃に対する継続的な対策体制が整備さきるようになった．よって，本学全体のメールに関すれていないことが明確になった．

る情報セキュリティ対策水準は大幅に向上したと考え

4.2ている．

技術的な問題点

現在，ODINS 事務担当の一人のみがプログラムの改修を行う能力を有しており，また，改修するための着眼点といったノウハウも共有できていない状況である．対策として，ODINS 事務担当全体の技術力向上，SMTP Flood 対策業務を外注するための予算確保，新たな攻撃に対応するためのプログラム改修，及び改修するための判断基準の明文化等が必要となる．加えて，開発に使用しているプログラミング言語の理解と記述方法の習得も必要であるため，どのようにして技術継承を行うべきか課題が残る．
迷惑メール対策装置は全学的なセキュリティ対策装置の一つであるが，キャンパスメールや一部のメール
図 4 SMTP Flood による DDoS 攻撃回数とブロッ
クした IP アドレスを持つメールサーバ数の推移サーバへの攻撃が集中していることに伴い，迷惑メール対策装置の SMTP セッション占有率が高くな流ことによって，大学全体のメール遅延が引き起こされている．そのため，ODINS だけでなく，学内のメール

4 その他課題と今後の展望
4.1

運用上の問題点サーバに適用すべき対策についての検討が必要である．また，学内のサーバ管理者も能力差があり，部署

SMTP Flood による DDoS 攻撃対策プログラムはによっては ODINS が提示する対処方法を実現できな開発発注時点で把握している条件を基に作成しておいことも考えられる．一方で，ODINS でどの水準まり，想定外の多様な攻撃には対応仕切れない．また，での対応を行うべきかという判断基準もないため，対本プログラムの開発予算は臨時で確保したものであ応要求に際限がないことも問題である．

るため，今後の継続的な開発発注は，予算確保の観点また，技術や知識についても得られるサポートに限から困難である．加えて，プログラムの閾値変更をす界があるため，適宜学んだことをフィードバックするる必要がある場合，変更内容を適切と判断するための以上の向上が望めず，ブレイクスルーとなる改善には基準がないため本番環境で実験的に判断することしか至っていない．

できない．そのほか，本学内で SMTP Flood による

4.3

今後の展望

DDoS 攻撃及びログ分析に関するサポートや助言を有効な対策であると考えられる迷惑メール送信得ることに限界があるため，ログ分析品質は ODINS規制（Outbound Port 25 Blocking）や送信ドメイ事務担当者個人の能力に依存している．そのほか，ブン認証技術（Sender ID，Sender Policy Framework:

ロックした IP アドレスを持つメールサーバが誤検知

SPF，Domainkeys Identified Mail: DKIM，Domainである可能性があるが，明確な誤検知判定方法が定Message Authentication Reporting & Conformance:まっていない．現在は ODINS 事務担当が whois 情報DMARC）については検討が不足しており，また大阪の参照や FQDN の取得を行いブロックした IP アドレ

大学全体で導入した際の影響も想定仕切れていない．

スを持つメールサーバを管理する機関を調査し，大学将来的に，現在の対策方法で不十分になることを想定し，プログラムの改修だけでなく，大阪大学全体のメールサーバ運用体制も見直す必要があると考える．
また，今後の ODINS で導入する機器は，本稿で対象としたような攻撃に動的に対処可能であることを要件としたい．そのほか，情報セキュリティに関する技術や知識をどのように学び，業務へ還元していくべきかについてのノウハウがないため，今後も継続して情報収集を行い，知識と技術を担当者を中心に還元していきたい．

5 おわりに本稿で取り扱った SMTP Flood による DDoS 攻撃対策は，大阪大学固有の環境に特化したものである．
ただし，全てのメール通信を観測するポイントに透過型アンチスパムアプライアンスを設置している場合は，対策指針の一つになりうると考える．また，同様の攻撃の被害にあった機関であれば，情報連携することでより精度の高いサイバー攻撃対策基盤構築に繋がると期待している．
今回の取り組みは経験則を機械処理へ落とし込むアプローチであったが，本対応方法は担当者の能力と抱える業務量により，品質に大きな差が生じてしまう．
よって，品質の担保のためにも専属のセキュリティ担当を用意し教育するか，外注による一定品質以上のセキュリティ対策環境を確保する必要がある．

参考文献[1] 大 阪 大 学 ，大 阪 大 学 プ ロ フ ィ ー ル（http://www.osaka-u.ac.jp/ja/guide/about/profile/files/profile2016.pdf），pp.4-4，2016．
[2] 原口直大，南吉英，大阪大学におけるネットワー
ク環境の構築とその運用，大学 ICT 推進協議会

2013 年度年次大会論文集 W1E-5，pp.1-1，2013．
[3] 大 阪 大 学 ，大 阪 大 学 情 報 セ キ ュ リ テ ィ 対 策 規程（http://www.osaka-u.ac.jp/jp/about/kitei/

reiki honbun/u035RG00000784.html），2016．