重要インフラセキュリティセミナー

Telecom-ISAC Japanの最近の取組について
2007.2.14
Telecom-ISAC Japan
企画調整部 部長 有村 浩一

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

Telecom-ISAC Japanとはz Telecom-ISAC Japanは、2002年7月に7つの国内主要ISP事業者による会員制任意団体として発足
z T-ISAC-Jは、日本で最初のISAC
z T-ISAC-Jは、会員の情報通信サービス、重要インフラをインシデントから守り、またサービスの安定運用ために会員連携のもと速やかな対処活動を行う場を提供することを目指す。
【参考】ISAC (Information Sharing and Analysis Center)とは
z 発祥地はアメリカ（1998年)
z 米国クリントン政権の国家の重要な情報ネットワークを防護する政策によって、重要インフラを構成する民間の各業種において設置が促されたのが始まり。
z 13の民間業種にISACが発足（金融、電力、運輸、通信等）

1

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

組織構成(2007.1現在）（財）日本データ通信協会

会長： 日本電気
副会長： NTTコミュニケーションズ
構成会社：ニフティ、ソフトバンクテレコム、IIJ、KDDI、日立製作所、松下電器産業、沖電気工業、
ソフトバンクBB、横河電機、松下電工、
NTTナビスペース、東日本電信電話株式会社、西日本電信電話株式会社、エヌ・ティ・ティ・ビジュアル通信、
日本電信電話株式会社

17社

ステアリング・コミッティ
承認
企画調整部
管理

Working-Group
実行

4社

Working-Group

システム運用部
管理委員長： NTTコミュニケーションズ
副委員長：ＫＤＤＩ
構成会社：横河電機、日立製作所、ニフティ、IIJ
ソフトバンクBB、日本電気

アライアンスメンバー

Working-Group実行

ラック、インテック・ネットコア、
トレンドマイクロ
インターネットセキュリティシス
テムズ

Working-Group
オブザーバー

TT-ISAC-J会員に求められる活動参加姿勢-ISAC-J会員に求められる活動参加姿勢
 ”Our”Oursecurity
securitydepends
dependsononyouryoursecurity”を信じ、win-winの関係構築にsecurity”を信じ、win-winの関係構築に貢献する意図をもつこと。
貢献する意図をもつこと。
 １事業者では手に負えない大規模な脅威に一致団結して対処すること。
１事業者では手に負えない大規模な脅威に一致団結して対処すること。
 連携活動・情報共有はWorking
連携活動・情報共有はWorkinggroupを核におこなう。
groupを核におこなう。

総務省、独立行政法人情報通信研究機構（社）電気通信事業者協会、（社）テレコムサービス協会（社）日本インターネットプロバイダー協会

2

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

T-ISAC-Jの機能のイメージ
ISPユーザ（4）ポータルサイトなど

一般のイン
ターネット
利用者

基本情報
・組織紹介
・News
・セミナー情報
DDoS攻撃対応・ブラックホールIP共同設定
・攻撃状況調査、対策
トライアル（6）広報・セミナー（5）WG活動

BGP経路情報監視・経路情報・解析ツール
・障害情報
ボット・Antinny対策
・検体収集・感染傾向分析・駆除ツール・調査、対策結果
CCC運営
・Malware感染者への個別・オーダー
メード的な注意喚起

会員企業
オブザーバー

５つの機能で構成
５つの機能で構成
①情報収集
①情報収集
②分析
②分析
③共有
③共有
④対策連携
④対策連携
⑤（対外的な）告知・啓発⑤（対外的な）告知・啓発

緊急情報交換(2)センター運用
オペレーションセンター（3） 外部機関連携

NiCT
モニタリング用

BGP経路情報
監視センターCyber Clean
Center

企画調整部

(1)
情報収集
・分析・共有
・対策連携

データ
JPNIC
BGP経路情報

会員
ISP
ネット
ワーク

JPCERT/CC
Malware系データ

JPCERT/CC

イベント情報インシデント情報（０）T０）T-ISACISAC-J 組織運営・基盤整備

会員

国内外関連情報サイト

3

政府関係機関Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

BGP経路情報共有WGの活動紹介【WG設置目的】
ISPが行う経路情報運用において発生する脅威（例、BGP経路情報ハイジャック）に、会員が連携して対処するための活動を行う。
【目的実現手段】
T-ISAC-Jの会員ISP(現状7会員）が経路情報を持ち寄り共有することで、複数拠点監視型の経路情報集約ポイント（looking glass）を構築し、運用する。
1. 集約情報を活用した問題点の早期分析を目指す。
2. 誤った経路情報を出すISPの早期特定手段を開発する。
3. 経路情報の早期復旧方法を確立する。
AS600
AS100

AS300
Looking glassシステム画面

AS500
ASXXXX

looking glass

AS200

AS400

4

【目標】 日本のBGP経路情報の集約ポイントとしたい！
Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

BGP経路情報ハイジャック

ハイジャックがもたらすリスク
 通信の不達 フィッシングサイトへの巧妙な誘導など

5【出典】総務省次世代ＩＰインフラ研究会、第２次報告書より
Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

経路奉行(T-ISAC-Jのlooking glass)の仕組み
そもそも、なぜ経路ハイジャックが起こるのか
z どこかで誰かが不正経路の広報を許してるz 将来的には不正経路が広報できない技術（soBGP, sBGP…)の普及（実装を変えるのには時間がかかるけれど…）
そこで、とりあえず目の前にある問題（現状）を見る。
z 不正経路ってどのぐらい流れてるのか？など
JPNIC

ASASASeBGPJPIRRCheck!

正しい経路リスト

BGP UPDATE BGP UPDATEと手元の設定リストを比較 異常を検知するとアラートをメールで投げる

6
正しい経路リストを手入力

Alert!
Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

経路奉行が検知したアラート状況
JPIRRを参照開始

2006年

7月

8月

9月

10月

11月

12月

bogon

6127

9121214

誤検出

1838

1065

76

その他 /17293

 誤検知
 bogon(駄目)経路
z ほとんどが特殊経路制御（マルチプライベートブロックやその他bogon経路プルオリジン、パンチングホール考えられる原因など）
z実験環境からの漏洩
z 確認後に設定追加
ztypo、設定ミス
z 設定を正しく維持すれば減らせる
z悪用のための一時的な広報か？
z JPIRR参照開始後、誤検出が減少

7

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

経路奉行が検知したアラート（その他編）
 その他 /（不正経路として検知して然るべき経路）
他のASが何か広報してる・・・
今のところ、設定ミスか原因不明
直したと連絡がある or 勝手に直ってる
PNIのpoint-to-pointアドレスの漏洩？typo?設定ミス？
事例１： 2006年11月 韓国方面から、細かい経路でorigin ASが異なる経路
z 生成元に連絡がとれず経由ASの協力を得て解決
z 経由ASでの経路フィルタを実施しつつ、生成元に連絡して経路広報を停止
z 影響時間は16時間ぐらい
事例２： 2006年11月 インドネシア方面から、prefix長は同じでorigin ASが異なる経路
z 該当経路は直ぐに削除された
z 影響時間は５分ぐらい
事例３： 2006年１２月 日本方面から細かい経路でorigin ASが異なる経路
z 広報元に連絡、対応してもらった
z 影響時間は２３分ぐらい
事例４：この2ヶ月で3件、経路奉行参加以外のJPIRR Maintainerから検知
z ハイジャックなのか誤検知なのかは不明

8

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

経路奉行、システム改善課題
1. 経路情報の収集量を増やす
 収集ASを増やす。
 大きなネットワークの場合には多くの拠点から経路情報を集める。
 検知システムへの経路情報の到達性を改善

2. 経路の判別方法の改善
 判別に使用する属性（パス属性、状態変化など）を増やす。

3. 通知方法の工夫など
9
Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

ボットネット実態調査
１．感染状況の調査（2005年3月～5月に調査）
z 日本のISPユーザの 2～2.5% がボットプログラムに感染していることが判明（およそ40万～60万台の感染PCが存在）
z おとりに一日約80種類のボット検体がひっかかる。そのうち70種類は未知な検体

２．マイボット飼育・攻撃能力調査
z 試験環境下でボットネットを構築
z ノートPC１台でもインターネット上で200Mbps以上だせることが判明
z PCからの情報漏洩、巧妙なスパム他、多機能を満載

仮にこれら全てのPCをサイバー攻撃に同時に悪用すれば、世界中のインターネットを破壊することすら可能。

10

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

ボット対策プロジェクトスタート！

http://www.nikkei.co.jp/news/keizai/20061128AT3S2700M27112006.html

サイバークリーンセンター（CCC）の設置運営によるボット駆除に向けた地道な取り組みを行う

11

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

ボット感染者対策ワークフロー③ 啓発メール

プロバイダ･･ ･･② 感染 IPリスト

分析
ボット感染PC･･!!

おとりPC① 検体・攻撃情報収集② 駆除ツール作成④ アクセス
⑤ 対策情報対策サイト

CCC⑥ 検体・対策情報、感染ユーザからのアクセス状況等を管理する

z 実際の感染者に対し注意喚起するとともに、確実に対策情報を届け「オーダーメイド治療」を実施

12

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

サイバークリーンセンター運営体制
2006.12.12スタート
2006.12.12スタート

BIGLOBE・DION・Hi-ho・IIJ@nifty・OCN・ODN・Yahoo BB

トレンドマイクロ

シマンテック・ソースネクスト
トレンドマイクロ・マイクロソフト
マカフィー

13

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

サイバークリーンセンター専用ポータルサイト• 一般ユーザ向け啓発サイト• ボット感染者向け対策サイト

https://www.ccc.go.jp/
https://www.ccc.go.jp/
14
Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

対策完了連絡【ボット感染者向け対策サイト】

15
Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

注意喚起実施状況
ハニーポット取れ高注意喚起実施注意喚起対象者の反応

IPアドレス数

検体数（ユニーク数）2006.12.15
2007.1.25（Hashユニーク数）①
TOPページ②
ツールDL③
Win UP④結果報告
アンケート回答

約100

約300

30%

26%

12%

17%

約600

約350+α

24%

20%

8%

13%

39%

36%

23%

34%

?

?

?

?

テスト実施

【参考】Antinny対応

約12000

本格実施（2007.2～）

約1000/日

約600/日・アンケート結果比較（駆除結果）
駆除成功
駆除失敗
検出しない

第１回
第２回
57%
72%
0%
5%
43%
23%

考察① 駆除精度の向上

・アンケート結果比較（駆除ソフト）
AV導入済みAV導入なし
AV期限切

第１回
第２回
29%
50%71%50%
0%0%

考察② 対策完了報告データの信頼性

16

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.

整理学： T-ISAC-Jの取組事項
１．通信実態(問題)の可視化と対策の試行
対策情報等の試行結果を情報共有する
欲しい情報は自分で見つけないと手に入らない
z 「経路奉行（会員ISPから提供されるBGP経路情報を蓄積・共有する
Looking glassシステム）」によるBGP経路情報の監視z ハニーポット運用を通じたボット感染実態調査
２．T-ISAC-Jの名前による警鐘や啓発
z Antinny感染ユーザへの注意喚起
３．汚れたインターネットを浄化するための試行
z Antinny等のウィルス対策の試行
z サイバークリーンセンターによるMalware感染者へのオーダーメード
治療z 適法性を確保したトライアルの展開（例、DDoS攻撃対応）
TT-ISAC-J会員に求められる活動参加姿勢-ISAC-J会員に求められる活動参加姿勢
 ”Our”Oursecurity
securitydepends
dependsononyour
yoursecurity”を信じ、win-winの関係構築に貢献する意図をもつこと。
security”を信じ、win-winの関係構築に貢献する意図をもつこと。
 １事業者では手に負えない大規模な脅威に一致団結して対処すること。
１事業者では手に負えない大規模な脅威に一致団結して対処すること。
 連携活動・情報共有はWorking
連携活動・情報共有はWorkinggroupを核におこなう。
groupを核におこなう。

17

Copyright©2004-2007 Telecom-ISAC Japan. All Rights Reserved.