2018 年第 4 四半期

DDoS 攻撃者の武器

A10 のセキュリティ調査による特別レポート

1
DDoS攻撃者の武器

A10 Networks | 1

要旨

DDoS 攻撃の頻度、強度、巧妙さは増大し続けています。しかし、クラッシュを起こすような大規模攻撃を実施するために、ボットネットや脆弱なサーバーを利用するという配信手法は変わっていません。
難読化によって攻撃の検知を逃れるような従来のセキュリティ対策とは異なり、広範囲に分散される

A10が追跡したDDoS攻撃用の武器：性質を持つ DDoS 攻撃に対しては、攻撃者の武器がどこであるかに焦点を当てることで未然に被害を防ぐチャンスが生まれます。

反射型アンプ攻撃という武器

攻撃者は UDP プロトコルの脆弱性を利用して標的の IP アドレスを偽装し、サーバーの脆弱性を悪用して反射的な応答を引き起こします。この方法では、最初のリクエストよりはるかに大きなサーバー応答を生成することで攻撃を増幅します。

DDoS ボットネットという武器

マルウェアに感染したコンピュータ、サーバー、および IoT デバイスが、ボットハーダーに制御されて（通常は DDoS 攻撃請負サービスから）攻撃に利用されていますが、特に IoT デバイスの利用が増えています。これらで形成されるボットネットは、ネットワークレイヤーおよびアプリケーションレイヤーに対するステートフル / ステートレスな攻撃を仕掛けるために使用されます。

DDoS攻撃者の武器
DDOS THREAT ADVISORY REPORT

A10 Networks | 2

DDoS 脅威インテリジェンス
DDoS 攻撃の攻撃元の特定と列挙

脅威の研究者は、DDoS 攻撃請負（DDoS-for-hire）サービスによって指揮された攻撃エー

ジェントを注意深く監視してハニーポットを仕掛け、見つかった反射ソースのエージェントをスキャンして、DDoS 脅威インテリジェンスを収集します。A10 とパートナーのセキュリ

ティ研究者はこれまでに、DDoS 攻撃で常用されている侵害されたホストの IP アドレスを数百万件収集しています。このデータは、数千万ものエントリを含む大量のフィードを作成するために使用されます。このデータを単なる情報から実用的な情報に変えるために、
A10 のソリューションでは数百万のエントリから成るクラスリストに基づいて精度の高いブラックリストとホワイトリストを作成しています。

DDoS 攻撃の動機やタイミングを完全に理解することは不可能です。しかし、武器や侵害されたネットワークのリストを作ることはできます。

A10 Networks の DDoS 脅 威インテリジェ

ンスは、防衛側が DDoS 攻撃の状況認識を向上させるのに役立つ重要情報を提供し、攻撃開始前のプロアクティブな自衛を可能に追跡された DDoS 攻撃の武器（規模順トップ 5）します。

NTP：6,658,199”— Rich Groves
A10 Networks

DNS リゾルバ：5,116,043

セキュリティリサーチディレクター

SSDP：3,377,929
CLDAP：2,953,282
SNMP：2,408,692

DDoS攻撃者の武器

A10 Networks | 3

A10 Networks | 3

DDoS 攻撃用武器の主な供給源

DDoS攻撃は本質的に分散化されていますが、その攻撃元については興味深いデータが見つかっています。

DDoS 攻撃用武器が集中している国

DDoS 攻撃用武器が集中している ASNクラウドにホストされた DDoS 攻撃用武器

インターネット接続人口の密度が高い地域に集中してレス範囲の集合です。これらの企業または政府機関のワークやアプリケーションの配信方法が変化しています。

DDoS 攻 撃 用の武 器 は 世 界 中に分 散していますが、いることがわかっています。

米国
3,010,039

イタリア
900,584

ロシア
864,414韓国
729,842

ドイツ
507,162

DDoS攻撃者の武器

オペレータは、彼らのユーザーに属する多数の武器が自ネットワークに接続したまま他のネットワークやコン

中国
4,374,660

インド
506,373

ASN は、単一の管理オペレータの制御下にあるIP アドピュータを攻撃できるようにします。

クラウドの普及とモバイルデバイスの出現により、ネット残念ながら、武器も他の業界と一緒に進化しています。

クラウドサービスがホストしている

1,727,301
1,546,804

DDｏS攻撃用武器の数

467,040

523,600
266,413250,344244,672
168,650A10 Networks | 4

DDoS 攻撃者による偵察

DDoS 攻撃は、動機のある攻撃者、DDoS 攻撃請負サービス、および武器を含む犯罪エコシステムによって行われています。攻撃者は通常、利用可能な DDoS 攻撃用武器のプールを備えたオーケストレーションプラットフォームを持っているDDoS 攻撃請負サービスの力を借ります。DDoS 攻撃請負サービスのボットハーダーは、継続的に武器のストックを補充するために、インターネットをスキャンして、無防備な TCP サービスを通じて脆弱な IoT コンピュータノードを見つけるとともに、アンプ攻撃に利用できるUDP サービスを探っています。

検索件数が多い IoT ポート

TCPポート番号
TCPポート番号

DDoS攻撃者の武器

検索件数が多いリフレクター

UDPポート番号

445

5060

23

123

80

137

8080

1900

5555

532323161

81389

A10 Networks | 5

IoT は DDoS ボットネットの温床
5G により攻撃ネットワークが大幅に拡大

インターネットの誕生からたった 25 年で、全世界人口 76 億人の 55% がネットに接続するようになりました。その人数は、1 秒あたり4.6 人という増加率で直線的に増えました。1 秒あたり127 デバイスが新たに接続されているIoT の成長率はこれを上回っており、さらに加速しています。5G（第 5 世代モバイル通信システム）の出現により、帯域幅速度の大幅な向上、超低遅延、そして地理的なカバー範囲の劇的な拡大がもたらされ、IoT の新たな使用形態の爆発的な増加と、接続されるデバイスの指数関数的増加が予測されます。5G により、脅威のすばやい検知と軽減のためには、機械学習とAI を使ったインテリジェントオートメーションが不可欠となります。Linux で動作するIoT デバイスは、すでに新種のマルウェアの標的になっており、これらのマルウェアは主に DDoS 攻撃に使用されています（Eurecom）*1。IoT は、ボットネットにとって完璧なホストです。彼らが残していったマルウェアを見てみましょう。

ドロップされた代表的な IoT マルウェア
バイナリ名

ファミリー名sora.x86

Mirai.AT

mirai.x86

miori.x86
hoho.x86

DEMONS.x86*1

Mirai.A

Mirai.F

Mirai.D

Gafgyt/Bashlite

多くのマルウェアドロッパーがホストされている国
1 位 . 米国

多くのマルウェアドロッパーがホストされているASN

2 位 . イタリア

FPO Company Logos
3 位 . 英国

4 位 . ドイツ

5 位 . オランダ

http://www.s3.eurecom.fr/docs/oakland18_cozzi.pdf (フランスに本拠を置くEURECOM)

DDoS攻撃者の武器

A10 Networks | 6

最大規模の DDoS 攻撃の共通点- アンプ（増幅）攻撃

反射型アンプ攻撃は、規模について言えば最大クラスに入ります。反射型アンプ攻撃とは、誤って構成されているインターネット上の無防備なサーバーに対して偽装したリクエストを送りつける、UDP プロトコルのコネクションレスな性質を悪用した DDoS 攻撃の一種です。
この攻撃戦略では、偽装した被害者の IP アドレスを使用して、大量の小さなリクエストが無防備なサーバーに送信されます。リクエストを受信した各サーバーは、増幅された大量の応答を何も知らない被害者に返します。これらのサーバーが標的となる理由は、攻撃を増幅できるサービスを使用できる構成になっていることにあります。

この種の最も一般的 な攻撃では、無防備 な DNS、NTP、SSDP、SNMP、CLDAP の UDPベースのサービスを何百万回も利用できます。このような攻撃は、1.3 Tbps の Memcached

ベースの GitHub 攻撃など、記録的な巨大な量の攻撃となり、DDoS 攻撃の大部分を占めています。

反射型アンプ攻撃の武器の主要な地理的分布
DNS リゾルバ
米国

1,401,407

ロシア

中国

ドイツ

フランス

CLDAP

233,535

イタリア

630,826

177,629

ドイツ

885,625
207,390

日本

159,868

ドイツ

SNMP

ロシア

1,202,017
403,180
283,82197,503

293,702インド

277,696

イタリア

中国

265,816韓国

中国

A10 Networks | 7

1,302,440

1,233,398

米国

DDoS攻撃者の武器

米国

米国
中国

NTP

SSDP
中国

2,167,058

台湾

115,913283,264

ロシア

182,414

米国

138,710

韓国

194,892
97,36392,531

5G でさらに大規模化する DDoS 攻撃

DDoS 攻撃の規模と巧妙さの進化は加速し続けています。新たな 5G ネットワークが稼働し始めるにつれて、攻撃の規模がこれまでの記録をはるかに超えて大きくなっていくと推測されます。5G によって、新たなスマートワールドの多種多様な IoT アプリケーションと使用形態が利用できるようになりますが、それに伴って攻撃者が利用できるDDoS 攻撃用武器も増えていきます。エリクソン社は最近、携帯接続される IoT デバイスの数が 2024 年までに41 億を超えるという予測を発表しました。これらのデバイスは、数が増えるだけでなくその通信速度も増大します。

この急速な拡大の背後にある主な推進要因は、データ通信をはるかに高速化して遅延を大幅に減少させる5G です。
サービスプロバイダーは、これらの増大する脅威に備えて急速に進化して、セキュリティの異常を瞬時に検知して軽減できるようにインテリジェントオートメーションを導入する必要があるでしょう。

高度な DDoS 脅威インテリジェンスと、リアルタイムの脅威検知、攻撃に対抗するシグネチャの自動生成を組み合

プロアクティブなインテリジェンスの収集と適用には、攻撃者が使用するインフラストラクチャを攻撃者と同時に特定できるユニークな能力があります。

”— John Bambenek 氏

ThreatSTOP 社セキュリティリサーチ
およびインテリジェンス担当 VP

わせることで、攻撃の発生元がどこであるかにかかわらず、最も大規模なマルチベクトル型 DDoS 攻撃に対しても防御を固めることができます。実用的な DDoS 脅威インテリジェンスは、DDoS ボットネットとDDoS攻撃に利用されやすい脆弱なサーバーの IP アドレスの最新かつ正確なフィードに基づいてブラックリストを作成することで、プロアクティブな DDoS 防衛アプローチを可能にします。A10 Networksとパートナーのセキュリティ研究者が、この DDoS 脅威インテリジェンスの最前線に立っています。
A10 は、サービスプロバイダーが全範囲における DDoS 攻撃対策を実現できる包括的で集約されたシステムを提供しています。

A10 Networks の DDoS 脅威インテリジェンスの詳細については、弊社の DDoS 脅威マップ https://threats.a10networks.com をご覧ください。

DDoS攻撃者の武器

A10 Networks | 8

A10 Networks / A10 ネットワークス株式会社について

A10 Networks（NYSE: ATEN）はセキュアアプリケーションサービスにおけるリーディングカンパニーとして、高性能なアプリケーションネットワーキングソリューション群を提供しています。お客様のデータセンターにおいて、アプリケーションとネットワークを高速化し可用性と安全性を確保しています。A10 Networks は 2004 年に設立されました。米国カリフォルニア州サンノゼに本拠地を置き、世界各国の拠点からお客様をサポートしています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。 詳しくはホームページをご覧ください。
URL：http://www.a10networks.co.jp/

Facebook：http://www.facebook.com/A10networksjapan

LEARN
MORE
ABOUT A10 NETWORKS

A10ネットワークス株式会社

C O NTACT US©2019 A10 Networks, Inc. All rights reserved. A10 Networks、A10 Networks ロゴ、ACOS、A10 Harmony は米国およびその他各国における A10 Networks, Inc. の商標または登録商

a10networks.co.jp/contact

www.a10networks.co.jp

標です。その他の商標はそれぞれの所有者の資産です。 A10 Networks は本書の誤りに関して責任を負いません。A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。商標について詳しくはホームページをご覧ください。www.a10networks.com/a10-trademarks
Part Number: A10-EB-14115-JA-01 FEB 2019