1

サイバーセキュリティの結節点を作っています

国⽴研究開発法⼈ 情報通信研究機構 サイバーセキュリティ研究所
サイバーセキュリティネクサス
ネクサス⻑

井上 ⼤介 ✖ 主任研究技術員 遠藤 由紀⼦

2

サイバーセキュリティあるある (1)
彼の国のセキュリティ製品は検知率100%で凄いじゃないか︕
社⻑…セキュリティ業界で100%はほぼ嘘なんですけど…

セキュリティ担当者

社⻑

サイバーセキュリティあるある (2)この侵⼊検知システムのアラート…
何でずっと出続けてるんですかね︖
お任せください︕本国の開発部隊に問い合わせてみます︕
・・・
セキュリティ担当者

数週間後検知ロジックのコアに当たるため開⽰不可だそうです︕

セキュリティベンダ
⽇本代理店

3

4

サイバーセキュリティあるある (3)
機械学習の検知エンジン作ったけどどこかで試せないかなぁ…
研究部⾨には事業部の顧客データは指⼀本触れさせません︕

研究部⾨

事業部

サイバーセキュリティあるある (4)
今度うちの学科で、サイバー演習をすることになって…
お任せください︕本国の営業部隊に問い合わせてみます︕
・・・准教授数⽇後サイバー演習BOX（ハーフラック）が破格の8億円ポッキリです︕

セキュリティベンダ
⽇本代理店担当者

5サイバーセキュリティ⾃給率とデータ負けのスパイラルl サイバーセキュリティ⾃給率の低迷

ü サイバーセキュリティ戦略本部 研究開発戦略専⾨調査会（2019年5⽉17⽇）

l データ負けのスパイラル

ü データが集まらない → 研究開発/⼈材育成できない → 国産技術を作れない→ 国産技術が普及しない → データが集まらない → …

産 官 学

l 今、⽇本に必要なこと
üü
ü
ü
ü

実データを⼤規模に収集・蓄積する仕組み
実データを定常的・組織的に分析する仕組み
実データで国産製品を運⽤・検証する仕組み
実データから脅威情報を⽣成・共有する仕組み
実データによる⼈材育成をオープン化する仕組み

これらの仕組みの実現を⽬指す

産学官の結節点を構築

6

7

CYNEX︓サイバーセキュリティ統合知的・⼈材育成基盤
lサイバーセキュリティ情報を国内で収集・蓄積・分析・提供するとともに、社会全体でサイバーセキュリティ⼈材を育成するための共通基盤を構築し、産学官の結節点として開放
サイバーセキュリティ研究室

研究開発成果展開

⼈材育成ノウハウ展開

ナショナルサイバートレーニングセンター

サイバーセキュリティ情報の⼤規模収集

定常的分析と国内解析者コミュニティ形成

説明可能な国産脅威情報の⽣成・提供

⾼度SOC⼈材育成（Online⾃主学習＆OJT）

国産セキュリティ技術の検証環境構築

⼈材育成基盤のオープン化による事業促進

⺠間企業・政府機関

共同解析, 育成⼈材投⼊,⼈材育成基盤利⽤,製品プロトタイプ導⼊, etc.

共同解析, 育成⼈材投⼊,⼈材育成基盤利⽤, etc.

教育機関

8

4つの “Co-Nexus” によるプロジェクト推進A

Co-Nexus A (Accumulation & Analysis)

ü 各種観測機構によるデータ収集・蓄積
ü 解析者コミュニティ醸成と共同分析の実現

S

Co-Nexus S (Security Operation & Sharing)E

Co-Nexus E (Evaluation)

ü ⾼度SOC⼈材育成（Online⾃主学習＆OJT）
ü 国産脅威情報の⽣成・提供

ü 国産セキュリティ製品の⻑期運⽤・検証
ü 国産セキュリティ製品へのフィードバック

CCo-Nexus C (CYROP*)ü ⼈材育成基盤のオープン化
ü パイロットコンテンツ開発*CYROP: CYDERANGE as an Open Platform

9

Co-Nexus A︓STARDUST＆解析者コミュニティ形成
l⽬的︓STARDUSTを核とした共同解析と解析者コミュニティ形成
ü STARDUST︓⼈間の攻撃者を誘い込むサイバー攻撃誘引基盤
ü 定常的な攻撃誘引の試⾏と解析結果を共有する解析者コミュニティの形成

l 2022年活動状況
ü 36組織から70名以上の解析者参画
ü 年間300⽇以上の攻撃誘引継続
ü 対象拡⼤︓OSINTの定常収集
ü 解析者コミュニティ会合定期開催
サイバー攻撃誘引基盤STARDUSTü 常時情報共有環境の整備

10

Co-Nexus A︓WarpDriveプロジェクト

11l⽬的︓Web媒介型攻撃の対策確⽴のためのデータ収集・分析

ü WarpDrive︓ユーザ参加型のWeb媒介型攻撃⼤規模観測プロジェクト
ü タチコマ・セキュリティ・エージェント（PC/Android版）を無償配布中

https://warpdrive-project.jp/

l 2022年活動状況
ü タチコマSA第⼀弾アップデート完了（攻殻機動隊SAC_2045対応）

ü 1⽇最⼤約2000ユーザ新規参加
ü 1⽇約500万アクセスを収集
新Windows/Mac版タチコマSA

新Android版タチコマSAモバイル©⼠郎政宗・Production I.G／講談社・攻殻機動隊2045製作委員会

ü さらなる参加ユーザ獲得に向け第⼆弾アップデート準備中Co-Nexus S︓⾼度SOC⼈材育成と国産脅威情報発信
l⽬的︓⾼度な解析者の育成とCYNEX独⾃の脅威情報の⽣成・発信ü オンラインSOC研修（⾃主学習型）とCYNEX解析チームでのOJT
ü サイバーセキュリティ関連情報の発信機能のCYNEXへの集約

l 2022年活動状況
⾃主学習型
オンラインSOC研修

OJTでのSOC業務従事

国産脅威情報発信/提供

ü オンラインコース1期⽣︓6名修了
ü OJTコース︓1名育成中
ü am I infected?*への情報提供*横浜国⽴⼤学 情報・物理セキュリティ研究拠点が運営するマルウェア感染・脆弱性診断サービス

ü DVR製品の脆弱性*報告・公表* 脆弱性︓CVE-2022-35733

⾃主学習型オンラインSOC研修システム

am I infected

ü NICTERレポート, Blog, Twitter12

Co-Nexus E︓国産セキュリティ製品の運⽤・検証
l⽬的︓国産セキュリティ製品のテスト環境提供による実⽤化⽀援ü NICT内部ネットワークにおける国産セキュリティ製品の⻑期運⽤・検証
ü CYNEX Red Team（攻撃チーム）による模擬攻撃を⽤いた機能検証

Tapping Network Traffic
on Each Buildings

Aggregation +Deduplication

Optical TAPVPNFilter +Distribution

Capture +Analysis

AggregatedTraffic
Traffic

Aggregation
TAP

Databasel 2022年活動状況
ü ６企業の製品の⻑期検証を開始

VPN RouterAggregation
TAP

セキュリティテスト環境（機構内ネットワーク）

SAN Storage

Analysis Enginesü 各製品ごとにカスタム検証環境構築
ü CYNEX Red Teamによる模擬攻撃ü 海外有⼒製品との⽐較検証

カスタム検証環境例

ü ⺠間企業へのフィードバック

13

Co-Nexus C︓⼈材育成オープンプラットフォーム
l⽬的︓演習基盤開放による国内セキュリティ⼈材育成事業の活性化
ü サイバーセキュリティ演習に必要となる演習環境と演習教材をオープン化
ü ⽶国NIST NICE Frameworkに基づいた演習教材の段階的整備
サイバーセキュリティ
演習基盤 CYROPCYNEXオリジナル演習教材

l 2022年活動状況
ü ⼤学/⺠間企業など14組織が参画
ü CYROPオープン化トライアル中• CYDER Aコース由来 演習教材
• CYDER Bコース由来 演習教材
• CYNEX オリジナル 演習教材

⼤学での演習教材利⽤事例

ü 教育機関向け⼈材育成教材など新規演習教材の共同開発を継続

14

15

Co-Nexus S­ 国産脅威情報の発信 ­16

NICTER観測レポート2022公開︕

NICTプレスリリース 2023/02/14
https://csl.nict.go.jp/report/NICTER_report_2022.pdf

NICTER解析チームTwitter2023/02/14

17• マスタ テキストの書式設定– 第 2 レベル• 第 3 レベル– 第 4 レベル» 第 5 レベルNICTERl サイバー攻撃リアルタイム⼤規模観測・分析システム
l 国内外で30万の未使⽤IPアドレス“ダークネット”を観測
l 無差別型サイバー攻撃の⼤局的な傾向把握に有効

NICTERダークネット観測統計（過去10年）
年

年間総観測パケット数

ダークネットIPアドレス数

1 IPアドレス当たりの年間総観測パケット数

2013

約128.8億

209,174

63,6822014

約241.0億

212,878

115,3352015

約631.6億270,973245,5402016

約1,440億

274,872

527,8882017

約1,559億

253,086

578,7502018

約2,169億273,292

806,877

2019

約3,756億309,769

1,231,331

2020

約5,705億307,985

1,849,817

2021

約5,180億

289,9461,747,685

2022

約5,226億

288,042

1,833,012（パケット数、単位︓万）150

1アドレスあたり17秒に1回
攻撃関連通信受信調査スキャナの影響

IoT機器に感染するマルウェ
アMiraiの影響で⼤きく増加

200

100
500
2013年

2014年

2015年

2016年

2017年

2018年

2019年

1 IPアドレス当たりの年間総観測パケット数
※１
※２

18

「年間総観測パケット数」は、全観測期間について集計⽅法の⾒直しを⾏い、全ダークネットセンサ宛の全パケット数に統⼀した。
数値は資料作成時点のデータベースの値に基づくが、集計後にデータベースの再構築等が⾏われ数値が増減することがある。
「ダークネットIPアドレス数」は、当該年12⽉31⽇に稼働していたセンサIPアドレス数である。

2020年

2021年

2022年

調査スキャナ…観測におけるノイズ
l 2018年頃から主に海外組織からの調査⽬的とみられるスキャンが急増

・・・

l 2022年は12,752のIPアドレスを調査スキャナと判定（2021年は7,631）
ü 調査組織が特定できた IP アドレス︓9,486（69組織）
ü 実⾏元が不明なIPアドレス︓3,266
ü 1つのIPアドレスから最⼤で年間約91億観測

l 調査スキャンパケットはネットワーク管理者、SOCの業務の⽀障にもなり得る

NICTER観測において、調査スキャナによるパケットはノイズ

19

調査スキャンを除いた攻撃関連パケット数の実態
4540x 100000000

総観測パケットから調査⽬的のスキャンを除いたパケット(攻撃関連パケット)
調査⽬的のスキャンパケット

パケット数/⽇

35
30
25
20
15
10
501/1/2018 5/1/2018 9/1/2018 1/1/2019 5/1/2019 9/1/2019 1/1/2020 5/1/2020 9/1/2020 1/1/2021 5/1/2021 9/1/2021 1/1/2022 5/1/2022 9/1/2022

2022年の攻撃関連パケット数は横ばいで推移

20

宛先ポート番号別パケット数分布（2022年）
l 引き続きIoT機器への攻撃が活発

ü Telnet（23/TCP） の割合が増（ 2021 年は11.0%）
ü ADB（5555/TCP）の割合が増（前年13位）

l Windows 関連はTop10内に1つのみ（445/TCP は前年3 位）
l Redis，Docker REST API が去年と同様上位に

2021年

2022年

ポート番号

主な攻撃対象

23/TCP

Telnet （ルータ，Webカメラ等）

22/TCP

SSH（サーバ，ルータ等）

80/TCP

HTTP（Web管理画面）

5555/TCP

ADB（Android Debug Bridge）

6379/TCP

Redis

2375/TCP

Docker REST API

443/TCPHTTPS (Webサーバ)

445/TCPMicrosoft-DS（SMB, Samba等）

2376/TCP

Docker REST API

81/TCP

HTTP（ホームルータ等）
宛先ポート番号別パケット数分布（調査⽬的のスキャンパケットを除く）

21

22

Miraiの感染ホスト数の推移（全体）l 6万〜15万ホスト/⽇で推移（2021年と⽐較すると微増）
エジプト

ユニークホスト数（万）中国

1510502022/1/1
中国

2022/3/1
韓国
アメリカ

2022/5/1
台湾
インド

2022/7/1
ブラジル
⽇本

2022/9/1
2022/11/1
ロシア
シンガポールイタリア※TCP ヘッダのシーケンス番号と宛先IP アドレスが同じ値で、送信元ポート番号が1024 以
上という特徴を持ったパケットの送信元をMiraiに感染したホストと判定する

OthersMiraiの感染ホスト数の推移（⽇本）
l 数百〜5千ホスト/⽇で推移（2021年と⽐較すると増）
l 複数の韓国製 DVR/NVR 機器がMiraiに感染
l IPアドレスのつけ変わりが⽇に何度も発⽣することがある（PPPoE のセッションの再接続）

ユニークホスト数/⽇

6,000

Miraiの感染ホスト数（⽇本）

Rifatron社製，FocusH＆S社製のDVR/NVR を多く確認

CTRing 社製，Pinetron 社製のDVR/NVR を多く確認

5,000
4,000
3,000
2,000
1,000

あるASでホスト数急増（約9台のIPアドレスが繰り返し付け変わって600IP以上観測されていた）

0
2022/1/1

2022/3/1

2022/5/1

2022/7/1

2022/9/1

2022/11/1

23

韓国製DVR/NVR製品の脆弱性
l 国内で販売されている5社8 種類の韓国製機器を調査

ü 7 機種でメンテナンス⽤と推測されるバックドアを確認
ü そのうち4社の製品のバックドアが攻撃者によって実際に悪⽤されていた

l 脆弱性[1,2]を報告し、ファームウェアの修正に協⼒[1] JVNDB-2022-002337 ユニモテクノロ
ジー製デジタルビデオレコーダにおける重要な機能に対する認証の⽋如の脆弱性
https://jvndb.jvn.jp/ja/contents/2022/JV
NDB-2022-002337.html[2] JVNDB-2022-002768 ユニモテクノロ
ジー製デジタルビデオレコーダにおける複数の脆弱性
https://jvndb.jvn.jp/ja/contents/2022/JVN
DB-2022-002768.html

24その他の観測事象の分析
3. 観測事象の分析
3.1 節 Mirai 感染ホスト数の推移
3.2 節 韓国製DVR/NVR の脆弱性
3.3 節 送信パケット数の多いホストに関する調査ü 送信パケット数の多いホストについて分析• Miraiの特徴あり︓IoTマルウェアに感染した機器（DVR 、ホームルータなど）• Miraiの特徴なし︓ボットリクルータ（ホスティングサービスのＮＷに存在することが多い）
3.4 節 Redis 関連通信（6379/TCP）の観測ü 2021年、2022年共にポート別パケット数ランク5位
ü ⽇本では，492 ホスト（うち128 ホストがAWS 上）でRedis がインターネットからアクセス可能（ 2023 /1 /20現在）
3.5 節 調査⽬的スキャン組織の分析
ü 調査組織が特定できたIPは9,486（69組織）で調査⽬的スキャンパケット全体の約54%を送信ü 実⾏元が不明なIPは3,266で調査⽬的スキャンパケット全体の約46%を送信

詳細はNICTER観測レポート2022にて

25

26

リフレクタ
攻撃者

攻撃対象

観測・分析

AmpPot（DRDoSハニーポット）
l リフレクタの視点で“DRDoS攻撃”を観測
l DRDoS攻撃の⼤局的な傾向把握に有効

Lukas Krämer, Johannes Krupp, Daisuke Makita, Tomomi Nishizoe, Takashi Koide, Katsunari Yoshioka, Christian Rossow, "AmpPot: Monitoring and Defending Amplification DDoS Attacks,"
Proceedings of the 18th International Symposium on Research in Attacks, Intrusions and Defenses (RAIDʼ15).
横浜国⽴⼤学 吉岡研究室との共同研究

DRDoS攻撃の観測結果
l 観測攻撃件数（全体）︓約3,465万件（前年約約6,795万件） 1⽇平均︓9.5万件（前年約19万件）
ü 前年は絨毯爆撃型のDRDoS攻撃により多く計上されており，前々年（約3,120万件）と⽐較すると同程度

l 観測攻撃件数（⽇本宛て）︓約61万件（前年約50万件） 1⽇平均︓約1,678件（前年約1,375件）

27

国・地域別の被攻撃件数、攻撃継続時間、悪⽤サービス
llll

⼀部の国に被攻撃件数が偏っている傾向は継続
ü ブラジル・バングラデシュ・韓国で絨毯爆撃型のDRDoS攻撃を頻繁に観測
1 時間以上継続した攻撃の割合が約16% に増加（前年約2.9%）
よく知られている要求に対して応答の通信量が⼤きくなるUDPプロトコルのサービス（ NTP、 DNS、SNMPなど）の他にも様々なサービスが悪⽤される傾向が継続ü 1千件以上の攻撃が観測されたサービスは151 種類（前年55種類）
複数種類の⼿法を組み合わせたマルチべクタ型の攻撃が継続
ü 2022年12⽉に約20％（前年同⽉は約17%）

国・地域別の被攻撃件数

攻撃継続時間28

ロシア・ウクライナに関連するDRDoS攻撃の観測l ロシアとウクライナ宛ての攻撃

ü ロシア宛の攻撃︓約56万件（前年約60万件）
ü ウクライナ宛の攻撃︓約14万件（前年約13万件）

2022年2⽉に始まったロシアのウクライナ侵攻に関連しない攻撃が多く含まれるため，攻撃件数⾃体は前年と⽐較しても両国ともにほぼ横ばい

l ウクライナ政府機関を狙った攻撃

ü IPアドレスの逆引きのホスト名に".gov.ua“が含まれるものは年間で1062件（前年405件）• ウクライナ政府や軍，政府系の銀⾏等を含む

29

その他の攻撃事象の分析
4.2節 DRDoS攻撃の観測事例
4.2.1 ロシア・ウクライナに関連するDRDoS攻撃の観測事例
4.2.2 KillnetによるDRDoS攻撃事例

ü ⽇本国内のWebサイトへのDDoS攻撃を観測
ü 多くはDNSを悪⽤した攻撃（⼀部ではSNMPの悪⽤も観測）

4.2.3 ある製品のデバッグコマンドを悪⽤した攻撃事例

ü Mitel MiCollabの電話システムのデバッグ⽤コマンドは理論上22億倍に通信を増幅
ü ⼀部の攻撃者が⼀時的にこのコマンドを多くのポートで検証し，応答があったサーバを実際に攻撃の踏み台として悪⽤したことで、様々なポートで攻撃件数が増加

詳細はNICTER観測レポート2022にて

30

31

CYNEXのこれから

32

CYNEXのタイムライン
55組織（重複は除く）準備フェーズR2

R3

R4

システム構築/アライアンス準備フェーズ

サイバー攻撃解析分科会

Ø 製品テスト拡⼤

初期参画組織（R3⽬標20組織）Ø データの拡充
Ø 解析⼈材の増強
Ø 最新AI技術逐次導⼊
Ø ⼈材育成基盤オープン化

WarpDrive
プロジェクトR6

R7

アライアンス本格稼働フェーズ

セキュリティ製品
テスト環境
利⽤希望組織Ø 積極的広報活動展開

STARDUST
利⽤組織

R5

⼈材育成オープン
プラットフォーム
利⽤希望組織⽇本のサイバーセキュリティの産学官中核拠点確⽴（R7⽬標40組織）

ü ⽇本最⼤のデータ集積
ü 世界有数の解析能⼒の確保
ü 国産脅威情報の有効利⽤ü アライアンスによる⾃⾛組織化