2019 年第 2 四半期

DDoS 攻撃者の武器

A10 のセキュリティ調査による特別レポート

1
DDoS攻撃者の武器

A10 Networks | 1

要旨

DDoS 攻撃の頻度、強度、巧妙さは増大し続けています。しかし、クラッシュを起こすような大規模攻撃を実施するために、ボットネットや脆弱なサーバーを利用するという配信手法は変わっていません。
難読化によって攻撃の検知を逃れるような従来のセキュリティ対策とは異なりDDoS 攻撃は広範囲に分散される性質を持っているため、DDoS 攻撃者の武器の所在を重点的に把握することによって未然に被害を防ぐ可能性を生み出します。

反射型アンプ攻撃という武器

A10が追跡したDDoS攻撃用の武器：

20,356,822

攻撃者は UDP プロトコルの脆弱性を利用して標的の IP アドレスを偽装し、サーバーの脆弱性を悪用して反射的なレスポンスを送りつけます。この方法では、最初のリクエストよりはるかに大きいデータサイズのレスポンスを生成することで攻撃を増幅します。

DDoS ボットネットという武器

マルウェアに感染したコンピュータ、サーバー、およびIoTデバイスが、ボットハーダー（脆弱性のある多数のデバイスをボット化し、悪用するハッカー ) に制御されて（通常は DDoS 攻撃請負サービスから）攻撃に利用されていますが、特に IoT デバイスの利用が増えています。これらで形成されるボットネッ

トは、ネットワークレイヤーおよびアプリケーションレイヤーに対するステートフル / ステートレスな攻撃を仕掛けるために使用されます。

このレポートの主な見解• IoT デバイスを悪用した COAP 反射型アンプ攻撃は、新しい端末とモバイルホットスポットの利用とともに幅広く増加• UDP 1900 をソースポートとしない SSDP 反射型アンプ攻撃が増加• Satori ボットネットを示すスキャンアクティビティの増加。マルウェアの観測を通して確認• アップロードされた多くのマルウェアは前四半期とは異なったが、多くが Mirai とGafgyt をベースとしている

DDoS攻撃者の武器
DDOS
THREAT ADVISORY REPORT

A10 Networks
Networks || 22A10

DDoS 脅威インテリジェンス
DDoS 攻撃の攻撃元の特定と列挙

スレットリサーチャーは、ハニーポットを仕掛け、インターネットをスキャンし、コマンドアンドコントロール（C2）によって操作された攻撃エージェントを注意深く監視して DDoS 攻撃の武器に関する脅威インテリジェンスを収集します。A10 とパートナーのセキュリティリサー

チャーはこれまでに、DDoS 攻撃で常用されている侵害されたホストの IP アドレスを数百万件収集しています。このデータは、数千万ものエントリを含む大量のフィードを作成するために使用されます。このデータを単なる情報から実用的な情報に変えるために、A10 のソリューションでは数百万のエントリから成るクラスリストに基づいて精度の高いブラックリストとホワイトリストを作成しています。

DDoS 攻撃の動機やタイミングを完全に理解することは不可能です。しかし、武器や侵害されたネットワークのリストを作ることはできます。

A10 Networks の DDoS 脅 威インテリジェ

ンスは防御側が DDoS 攻撃の状況認識を向上させるのに役立つ重要情報を提供し、攻撃開始前のプロアクティブな防御を可能に追跡された DDoS 攻撃の武器（規模順トップ 5）します。

”

NTP：6,389,893— Rich Groves
A10 Networks

DNS リゾルバ：4,894,208

セキュリティリサーチディレクター

SSDP：3,321,269
TFTP：2,131,765
SNMP：1,897,221

DDoS攻撃者の武器

A10 Networks | 3

A10 Networks | 3

DDoS 攻撃用武器の主な供給源
DDoS攻撃は世界中に分布していますが、その攻撃元については興味深いデータが判明しました。

DDoS 攻撃用武器が集中している国

DDoS 攻撃用武器が集中している ASN

モバイルキャリアが DDoS 攻撃の武器をホスト

インターネット接続人口の密度が高い地域に集中してドレスの範囲です。これらの企業または政府機関のオレポート期間中に急増しています。

DDoS 攻撃用の武器は世界中に分散していますが、いることがわかっています。

ASN は、単一の管理オペレータの制御下にある IP ア
ペレータは、彼らのユーザーに属する多数の武器がDDoS 攻 撃の武 器をホストするモバイルキャリアが自ネットワークに接続したまま他のネットワークやコンピュータを攻撃できるようにします。
中国
4,598,689

米国
2,712,137

ロシア
1,541,762

イタリア
942,261

1,575,523

韓国
846,162

インド
517,365444,717

China Mobile Communications Corporation

375,434

Henan Mobile Communications Co.,Ltd

1,969,582

549,166

Guangdong Mobile Communication Co.Ltd
Shandong Mobile Communication
Company Limited
T-Mobile

ドイツ
370,439

DDoS攻撃者の武器

A10 Networks | 4

DDoS 攻撃者による偵察

DDoS 攻撃は、動機のある攻撃者、DDoS 攻撃請負サービス、および武器を含む犯罪エコシステムから成り立っています。攻撃者は通常、利用可能な DDoS 攻撃用武器のプールを備えたオーケストレーションプラットフォームを持っているDDoS 攻撃請負サービスの力を借ります。DDoS 攻撃請負サービスのボットハーダーは、継続的に武器のストックを補充するために、インターネットをスキャンして、無防備な TCP サービスを通じて脆弱な IoT デバイスを見つけるとともに、反射型アンプ攻撃に利用できるUDP サービスを探っています。

検索件数が多い TCP ポート

TCPポート番号
TCP
Port #

検索件数が多いリフレクター

UDPポート番号
UDP
Port #

235060

37215

12322

19005555

5323231378088

161

2222

389
UDP ポート1434 を介した SQL 反射型攻撃のためのスキャン活動が増加

DDoS攻撃者の武器

A10 Networks | 5

DDoS ボットネットエージェント

マルウェアに感染した攻撃者の制御下にあるコンピュータ、サーバー、ルーター、カメラおよびその他の IoT デバイスなどのノードは DDoS 攻撃の重要な武器になります。これらは一般的にボットまたはボットネットと呼ばれ、DDoS 攻撃を柔軟に仕掛けることができます。

セキュリティリサーチャーは、DDoS 攻撃で繰り返し使用されるホストの情報を蓄積し、マルウェア感染の特徴を示したホストを調査します。DDoS 攻撃が発生したら、その IP アドレスをさらに精査して慎重に対処します。

DDoS ボットネットエージェントが集中している国

13%

ロシア

エジプトブラジル

その他8%

4%

DDoS攻撃者の武器

米国

中国

21%

DDoS ボットネットエージェントが集中している ASN

4%

50%

A10 Networks | 6

IoT は DDoS ボットネットの温床
5G により攻撃ネットワークが大幅に拡大

インターネットの誕生からたった 25 年で、全世界人口 76 億人の 55% がネットに接続するようになりました。その人数は、1 秒あたり4.6 人という増加率で直線的に増えました。1 秒あたり127 デバイスが新たに接続されているIoT の成長率はこれを上回っており、さらに加速しています。5G（第 5 世代モバイル通信システム）の出現により、帯域幅速度の大幅な向上、超低遅延、そして地理的なカバー範囲の劇的な拡大がもたらされ、IoT の新たな使用形態の爆発的な増加と、接続されるデバイスの指数関数的増加が予測されます。5G により、脅威のすばやい検知と軽減のためには、機械学習とAI を使ったインテリジェントオートメーションが不可欠となります。Linux で動作するIoT デバイスは、すでに新種のマルウェアの標的になっており、これらのマルウェアは主に DDoS 攻撃に使用されています（Eurecom）*1。IoT は、ボットネットにとって完璧なホストです。彼らが残していったマルウェアを見てみましょう。

ドロップされた代表的な IoT マルウェア

ファミリー名

バイナリ名

Mirai

loligang.x86

Mirai

UnHAnaAW.x86

GafgytNakuma.x86

多くのマルウェアドロッパーがホストされている国

1位
オランダ

2位
英国

3位
米国

4位
ドイツ

多くのマルウェアドロッパーがホストされているASN

5位
ロシア

*1

http://www.s3.eurecom.fr/docs/oakland18_cozzi.pdf (フランスに本拠を置くEURECOM)

DDoS攻撃者の武器

A10 Networks | 7

最新の IoT 脅威：COAP

IoT を悪用した新しい DDoS 攻撃では、Mirai やマルウェアは使用されません。IoT デバイスのテクノロジはセキュリティが脆弱なため、何百万ものデバイスを武器に反射型アンプ攻撃を実行できます。新しい攻撃手法は、UDP で実装された CoAP（Constrained Application Protocol）がベースです。この M2M（マシンツーマシン）の管理プロトコルは、スマートエネルギーやビルオートメーションなどのアプリケーションをサポートするIoT デバイスに導入されています。

CoAP は TCP とUDP の両方で実装され、認証を必要せず、DDoS 攻撃者にとって小さなリクエストに対して大きなデータサイズのレスポンスを返すのに適したプロトコルです。

A10が特定した脆弱な
IoTデバイスは50万以上（正確な台数：541,462）

98%が中国とロシアに存在している

DDoS攻撃者の武器

96%のレスポンスが350バイト以上

UDPポート5683から任意の宛先ポートへの攻撃

レスポンスの62パーセントが1KB以上

4Kバイト

レスポンスの最大サイズ

749バイト
レスポンスの平均サイズ

平均増幅率：35倍

A10 Networks | 8

最大規模の DDoS 攻撃の共通点- アンプ（増幅）攻撃

反射型アンプ攻撃は、規模について言えば最大クラスに入ります。反射型アンプ攻撃とは、インターネット上の適切な設定がされていない無防備なサーバーに対して偽装したリクエストを送りつける、UDPプロトコルのコネクションレスな性質を悪用した DDoS 攻撃の一種です。

この攻撃手法は、偽装した被害者の IP アドレスを使用して、大量の小さなリクエストが無防備なサーバーに送信されます。リクエストを受信した各サーバーは、増幅された大量のレスポンスを標的のサービスへ送信されます。このような UDP サーバは攻撃を増幅させることができるため標的にされてしまいます。

この種の最も一般的な攻撃では、無防備な DNS、NTP、SSDP、SNMP、CLDAP の UDP ベースのサービスを何百万回も利用できます。このような攻撃は、1.3 Tbps の Memcached ベースのGitHub 攻撃など、記録的な巨大な量の攻撃となり、DDoS 攻撃の大部分を占めています。

反射型アンプ攻撃の武器の主要な地理的分布
NTP
米国

1,318,982

イタリア

635,071

中国

ロシア

ドイツ

SSDP

860,444435,364
285,726ロシア

296,374

米国

スペイン
台湾

SNMP

164,586

180,244

93,536

中国

113,962

米国

イタリア

266,637
106,900
99,991

中国

308,540

米国

256,517

ロシア
韓国

インド

A10 Networks | 9226,252

インド

289,011TFTP

DDoS攻撃者の武器

773,555

115,220

台湾

イタリア

1,202,306

293,916

1,905,981

米国

中国

韓国

中国

ロシア

DNS リゾルバ

260,354244,219
82,877

5G でさらに大規模化する DDoS 攻撃

DDoS 攻撃の規模と巧妙さの進化は加速し続けています。新たな 5G ネットワークが稼働し始めるにつれて、攻撃の規模がこれまでの記録をはるかに超えて大きくなっていくと推測されます。5G によって、新たなスマートワールドの多種多様な IoT アプリケーションと使用形態が利用できるようになりますが、それに伴って攻撃者が利用できるDDoS 攻撃用武器も増えていきます。

エリクソン社 は 最 近、携 帯 接 続される IoT デバイスの数 が 2024 年までに 41 億を超えるという予 測を発表しました。これらのデバイスは、数が増えるだけでなくその通信速度も増大します。データ通信の高速化、低遅延を実現する 5G が、この急速な拡大を推進する要因となっています。サービスプロバイダーは、これらの増大する脅威に備えて急速に進化して、セキュリティの異常を瞬時に検知して軽減できるようにインテリジェントオートメーションを導入する必要があるでしょう。

DDoS攻撃者の武器

プロアクティブなインテリジェンスの収集と適用には、攻撃者が使用するインフラストラクチャを攻撃者と同時に特定できるユニークな能力があります。

”— John Bambenek 氏

ThreatSTOP 社セキュリティリサーチ
およびインテリジェンス担当 VP

A10 Networks | 10

DDoS 脅威インテリジェンス

高度な DDoS 脅威インテリジェンスと、リアルタイムの脅威検知、攻撃に対抗するシグネチャの自動生成を組み合わせることで、攻撃の発生元がどこであるかにかかわらず、最も大規模なマルチベクトル型 DDoS 攻撃に対しても防御を固めることができます。実用的な DDoS 脅威インテリジェンスは、DDoS ボットネットとDDoS 攻撃に利用されやすい脆弱なサーバーの IP アドレスの最新かつ正確なフィードに基づいてブラックリストを作成することで、プロアクティブな DDoS 防衛アプローチを可能にします。A10 Networks とパートナーのセキュリティリサーチャーが、この DDoS 脅威インテリジェンスの最前線に立っています。A10 は、サービスプロバイダーが全範囲における DDoS 攻撃対策を実現できる包括的で集約されたシステムを提供しています。

A10 Networks の DDoS 脅威インテリジェンスの詳細については、弊社の DDoS 脅威マップ https://threats.a10networks.com をご覧ください。

DDoS攻撃者の武器A10 Networks | 11

A10 Networks / A10 ネットワークス株式会社について

A10 Networks（NYSE: ATEN）はセキュアアプリケーションサービスにおけるリーディングカンパニーとして、高性能なアプリケーションネットワーキングソリューション群を提供しています。
お客様のデータセンターにおいて、アプリケーションとネットワークを高速化し可用性と安全性を確保しています。A10 Networks は 2004 年に設立されました。米国カリフォルニア州サンノゼに本拠地を置き、世界各国の拠点からお客様をサポートしています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。 詳しくはホームページをご覧ください。
URL：http://www.a10networks.co.jp/

Facebook：http://www.facebook.com/A10networksjapan

LEARN MORE

A10ネットワークス株式会社

C O NTACT US©2019 A10 Networks, Inc. All rights reserved. A10 Networks、A10 Networks ロゴ、ACOS、A10 Harmony は米国およびその他各国における A10 Networks, Inc. の商標または登録商

ABOUT A10 NETWORKS
a10networks.co.jp/contact

www.a10networks.co.jp

標です。その他の商標はそれぞれの所有者の資産です。 A10 Networks は本書の誤りに関して責任を負いません。A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。商標について詳しくはホームページをご覧ください。www.a10networks.com/a10-trademarks
Part Number: A10-EB-14115-JA-04 SEP 2019