1

横浜国大では…
• 変遷を続けるサイバー攻撃やマルウェアの活動、脆弱な機器・システムを観測、分析、対策する仕組みを10年以上継続的に構築・運用してきました• 本日は、これまでの活動で達成した事、足りない事、そして、今後目指したい事について、お話をさせて頂きたいと思いますこれまでの研究活動: 概要
サイバー攻撃やマルウェアの観測のための「受動的観測技術」、感染した機器や脆弱機器を探索する「能動的観測技術」、関係者に状況を伝え防御を行う「対策技術」を軸に研究実施し、サイバーハイジーン（サイバー公衆衛生）の向上を目指してきた
受動的観測技術
マルウェア対策

PCマルウェア

攻撃観測・検知

攻撃の可視化

Androidマルウェア
Exploit攻撃

標的型マルウェア

Web媒介型攻撃IoTマルウェア

カメラ覗き見

産業制御システム攻撃

能動的観測技術

成果を活用
感染・脆弱機器探索

成果を活用

ランサムウェア

脆弱・改ざんWebサイト

脆弱IoT機器

脆弱重要施設

成果を活用
防御・警告通知技術

自動車対策技術
DoS攻撃 感染機器 脆弱機器 脆弱重要施設 大学内サイバーハイジーン向上へ
2010

2015

2020

3

横浜国大にて構築を進めてきた
サイバーセキュリティ研究機構
インターネット
観測

観測

能動的観測

受動的観測

対策
情報提供・
警告

サイバー
セキュリティ
研究機構
情報提供

連携国・企業・大学等
国・企業大学・連携国・企業・大学等

個人等（国内外）4横浜国大にて構築を進めてきた
サイバーセキュリティ研究機構
インターネット
観測

観測

能動的観測

受動的観測

対策
情報提供・
警告

サイバー
セキュリティ
研究機構
情報提供

連携国・企業・大学等
国・企業大学・連携国・企業・大学等

個人等（国内外）
受動的観測で攻撃の動向を知る

5

IoTハニーポット(2015～)
IoT機器へのサイバー攻撃を観測する囮システム(IoTハニーポット)を世界に先駆けて構築・観測開始
マルウェア捕獲！

攻撃元機器(マルウェア感染済)
攻撃者が用意したサーバ

IoT
ハニーポット
解析システム(サンドボックス)
捕獲後15分以内に動的解析！

6

Yin Minn Pa Pa, Shogo Suzuki, Katsunari Yoshioka, and Tsutomu Matsumoto, Takahiro Kasama, Christian Rossow, "IoTPOT: Analysing the Rise of IoT
Compromises," 9th USENIX Workshop on Offensive Technologies (USENIX WOOT 2015), 2015.
Yin Minn Pa Pa, Suzuki Shogo, Katsunari Yoshioka, Tsutomu Matsumoto, Takahiro Kasama, Christian Rossow "IoTPOT: A Novel Honeypot for Revealing
Current IoT Threats," Journal of Information Processing, Vol. 57, No. 4, 2016.

62016年のIoTサイバーパンデミックの予兆を1年前に把握
1600000

感染機器ＩＰアドレス数/月
1400000

マルウェア
Miraiの登場

1200000

１カ月１３３万ＩＰアドレス# /MONTH

1000000
800000600000400000218か国・地域でIoT機器の感染を観測

2000000# of accessors# of attackers

7

IoTハニーポットに関わる数字
運用年数：
ハニーポット設置国・地域：

8年間
22か国・地域

検体等提供組織数：

274,822検体‡
321,586 件‡
200 組織・個人

検体等提供先国数：

39か国・地域

学術論文引用件数†：

71.3件/年

累計収集検体数(ハッシュ値ベース)：
マルウェアDL URL：

‡2017/11～2022/9/18 現在での集計(EFLファイルのみ)†関連論文2件の平均参照件数(Google Scholarによる集計, 2022/9/18現在)

8

IoTマルウェア・攻撃情報提供サイト
https://sec.ynu.codes/iot

最新の観測結果の概況を公開
世界最大規模IoTマルウェア検体データセット(17万＋)、マルウェアダウンロードURLを研究者・開発者向けに提供

99

Amppot:サービス妨害攻撃観測用ハニーポット
踏み台に出来そうに見せかけたオープンサービスを用意して攻撃を観測する世界初の反射型サービ
ス妨害攻撃観測機構を構築約10万件/日、国内で約700件/日の攻撃を検知
攻撃検知時に世界130の公的対策機関、6000以上のネットワークオペレータに攻撃速報を発行
リフレクタ①送信元を詐称した
リクエストを送信

攻撃者
1010Lukas Kramer, Johannes Krupp, Daisuke Makita, Tomomi Nishizoe, Takashi Koide, Katsunari Yoshioka, Christian Rossow, "AmpPot: Monitoring and Defending
Amplification DDoS Attacks," Proc. Research in Attacks, Intrusions, and Defenses (RAID15), Lecture Notes in Computer Science, Vol. 9404, pp. 615-636, 2015.

観測事例：国内への攻撃• AnonymousによるOpKillingBay– 和歌山県太地町のイルカ漁への抗議活動．
• DD4BCによる企業の恐喝– DDoS攻撃を利用して企業を恐喝し，Bitcoinの身代金を要求．
• TOKYO2020– 2020年開催予定の東京オリンピックに関連するサイバー攻撃．
• ロシア系ハッカー集団KILLNET– e-Gov, 地方自治体, IT/通信事業者への攻撃等
http://www.nikkei.com/article/DGXLASDG05H5W_V01C15A1CC1000/

https://www3.nhk.or.jp/news/html/20220907/k10013806691000.html

11 11

DoS攻撃情報提供サイト
https://sec.ynu.codes/dos

最新の観測概況を公開
攻撃観測時にアラートを発出（地震速報のサイバー攻撃版）→ICT-ISAC、Shadowserver Foundation
を通じて世界130の公的対策機関、6000以上のネットワークオペレータに提供中
12 12

横浜国大にて構築を進めてきた
サイバーセキュリティ研究機構
インターネット
観測

観測

能動的観測

受動的観測

対策
情報提供・
警告

サイバーセキュリティ研究機構
情報提供

連携国・企業・大学等
国・企業大学・連携国・企業・大学等

個人等（国内外）
能動的観測で脆弱な機器を探索

13広域スキャンシステム
広域ネットワークをスキャンし、脆弱/設定不備のあるIoT機器等の探索を行うシステム
広範囲のスキャンによるIoT機器の探索

フロントエンド
バックエンド一般ユーザ

14

「重要IoT機器」とは？
治水、防災、発電など重要な施設の遠隔監視を行うためのデータロガーや制御機器
データロガーWebUI(管理画面)
ルータ

コント
ローラ?

制御プロトコル(Modbus他)

アクチュ
エータ？

モバイル
回線

インターネット
カメラ
映像

センサ

専用設定
ツール

アクセス制御設定に不備があると外部から個々の施設が識別可能
15

事例

水道 監視システム

16

事例：

流入河川ゲート17

2017年度 総務省重要IoT機器調査(重要機器候補)

１５０件

2020年度総務省重要IoT機調査(重要機器候補)
これらの機器は、世界的に著名な既存の広域スキャンシステム(米国
Shodan/Censys等)では検知できない
一般社団法人ICT-ISAC,脆弱な状態にある重要IoT機器の調査及び注意喚起について(報告)https://www.ict-isac.jp/news/news20210901.html

18海外の重要IoT機器の探索
米国のモバイルISPをシードに全世界探索を実施した結果、わずか１ラウンドの探索で8機種3875件を発見

半数以上は米国内の機器であり、一部に空港などの重要施設への設置を示唆する記載があったため、注意喚起の第一弾としてUS-CERTに情報提供を実施．数日のうちにIPアドレス所有者への注意喚起が完了した旨の
19
返信があった

車載器の探索結果• ２ラウンドの探索で12機種2,532件を発見• いずれも車載ルータ/GW

主に欧米のモバイル回線で発見
Takahiro Ueda, Takayuki Sasaki, Katsunari Yoshioka, and Tsutomu Matsumoto, "An Internet-wide View of Connected Cars: Discovery of Exposed 20
Automotive Devices," Proc. The 2nd International Workshop on Security and Privacy in Intelligent Infrastructures (SP2I 2022), 2022.

発見された車載ルータ/GWのセキュリティ••••

5機種でTelnetが動作し、外部からアクセス可能
8機種で古い組み込みWebサーバプログラム稼働(管理画面露出)
9機種では車内の車載NWに接続可能(2機種は接続確認)
3機種でGPS情報が閲覧可能（自動車の位置が把握可能）

主に欧米のモバイル回線
で発見
Takahiro Ueda, Takayuki Sasaki, Katsunari Yoshioka, and Tsutomu Matsumoto, "An Internet-wide View of Connected Cars: Discovery of Exposed 21
Automotive Devices," Proc. The 2nd International Workshop on Security and Privacy in Intelligent Infrastructures (SP2I 2022), 2022.

本学にて構築を進めてきた対策でサイバーハイジーン
サイバーセキュリティ研究機構(公衆衛生)を向上させる
インターネット観測

観測

能動的観測

受動的観測

対策
情報提供・警告

サイバーセキュリティ研究機構
情報提供

連携国・企業・大学等国・企業大学・連携国・企業・大学等

個人等（国内外）22

総務省重要IOT機器調査
および注意喚起2020

ICT-ISAC, 脆弱な状態にある重要IoT機器の調査及び注意喚起について

https://www.ict-isac.jp/news/news20200728.html

ICT-ISAC, 脆弱な状態にある重要IoT機器の調査及び注意喚起について(報告)https://ict-isac.jp/news/news20210901.html

23

体制
全体とりまとめ
機器探索、利用者特定、利用環境調査、注意喚
起、対策状況確認

総務省
サイバーセキュリティ統括官室

NTTコミュニケーションズ

利用者特定、架電対応、実地調査支援

横浜国立大学ICT-ISAC

サイバー創研スキャン調査、脆弱性調査など

調査主旨の周知・公表
注意喚起実施の助言
問い合わせ窓口対応

NDSソリューション
架電対応

24

脆弱な状態にある重要IoT機器の調査及び注意喚起(2020)

187(83%)件
９２４件の重要IoTが何らかの対応を実施

機器候補を発見

13件のゼロデイ
脆弱性発見

２２４件の注意喚起３５９件の利用者を特定(含５件の実地調査)

1300回超の架電＃小規模太陽光発電施設
３１６件はメーカーにヒアリング

25 25

利用者の意識と注意喚起活動
Q.部外者に閲覧・操作されることを意識しているか？

９割の利用者は、重要IoT機器が部外者に閲覧されることを意図していない→しかし、指摘すれば85%は対応する意思を示す→注意喚起活動の意義が大きいと言える26

重要IoT機器の検出台数
通知なし

通知実施(キーマンに連絡できず)

通知実施(キーマンに連絡)

注意喚起により、実際に検出される重要IoT機器の台数は顕著に減少.特に当該機器を担当するキーマンに連絡できた場合は効果が高い

27 27

本学にて構築を進めてきた対策でサイバーハイジーン
サイバーセキュリティ研究機構(公衆衛生)を向上させる
インターネット
観測

観測

能動的観測

受動的観測

対策
情報提供・警告

一般ユーザもサイバー守りたい！
セキュリティ研究機構

情報提供

連携国・企業・大学等
国・企業大学・連携国・企業・大学等

個人等（国内外）28オランダISPとの連携とWalled Garden(検疫NW)の活用
あなたがお使いの機器はIoTマルウェアに感染している恐れがあります。下記の対策を実施してください。
１．ルータの電源を切る
２．ルータのファームウェアを..

インターネット●対策を実行した●やり方が分からない

攻撃を
検知
攻撃を
検知
Walled Gardenで外部との通信ほぼ遮断

29

O. Cetin, C. Gañán, L. Altena, D. Inoue, T. Kasama, K. Tamiya, Y. Tie, K. Yoshioka, M. van Eeten, "Cleaning Up theInternet of Evil Things: Real-World Evidence on ISP and Consumer Efforts to Remove Mirai," The Network andDistributed System Security Symposium (NDSS 2019), 2019 (Distinguished Paper Award).

何もしない(実験後に注意喚起)

隔離はせずにメールで通知
検疫ネットワークで強制隔離・注意喚起

検疫NW強制隔離による注意喚起で高い感染抑制効果が確認

30
30

NICT WarpDriveプロジェクト

H28-R2に実施されたNICT委託研究プロジェクト．
R4からはNICTによるWarpDrive 2.0が開始.
タチコマ セキュリティエージェント(SA)をインストールして誰でも実証実験に参加可能

https://warpdrive-project.jp/

31

専用アプリ経由での通知
Telnet空いてますよ！閉じてください。

感染してますよ！駆除してください。

Telnet発見

Telnet探索

攻撃を検知

32

注意喚起による改善効果
注意喚起後、2週間目以降は改善確認できず１週間以内に大きく改善
最終的に自然回復(通知していないユーザ)と比べて３倍の改善率

33

専用アプリの事前インストールが必要であるため、普及に時間が掛かる

アプリなしで注意喚起・情報提供できないか？
34

感染検査Webサービス
マルウェア感染・脆弱性チェック！
感染を確認

脆弱サービス
発見

アクセス
探索

感染検査サイト攻撃
攻撃を検知観測情報

35

NICT CYNEX (Co-Nexus A)の枠組みでご提供頂いたNICTERダークネットデータを活用

感染・脆弱性検査サービス“am I infected?”36

https://amii.ynu.codes/

問題が見つかった場合マルウェア感染また脆弱性発見の問題がある場合、問題点の説明と推奨する対策を提示する

https://amii.ynu.codes/

372022年2月サービス開始以降の利用状況

2022/2/24から2022/9/16
約7か月で、79,795名が累計108,202回利用38感染機器、脆弱機器 検知状況
感染検知数：89 人（0.12%）

脆弱性検知数：293 人（0.38%）＜脆弱性を有していた機器種別＞
ルーター：5社28種類
ウェブカメラ： 2社12種類
NAS：3社45種類
ファイアウォール：1社1種類

39

注意喚起効果
注意喚起効果が確認できるのは、再検査を行ったユーザのみ。
＃感染検査については最初の検査から24h後以降でないと効果を確認できない

感染検知数：
89 人

感染検知数(再検査有)26 人（29.2%, 24h～）

脆弱性検知数： 脆弱性検知数(再検査有)293 人
95 人（32.4%）
ユーザ全体の再検査率は18.4％であるため、セキュリティ問題が発見されたユーザは再検査率がそれぞれ3.4倍(感染)、1.8倍（脆弱性）と総じて高くなっている40

注意喚起効果
注意喚起効果が確認できるのは、再検査を行ったユーザのみ。
＃感染検査については最初の検査から24h後以降24h以降に再検査有

感染検知数

26 人

再検査時に感染無24 人（92.3%改善）

再検査有

脆弱性検知数

95 人

再検査時に脆弱性無51 人（53.7%改善）

稲澤朋也，佐々木貴之，吉岡克成，松本勉，"am I infected? エンドユーザに注意喚起を促すIoTセキュ
リティ診断Webサービスの実証実験, 情報処理学会コンピュータセキュリティシンポジウム2022, 2022. 41

これまでの研究活動のまとめ• 受動的観測、能動的観測にサイバー攻撃を実際に調査し、その実態を明らかにすると共に、詳細分析に基づき、その実態を明らかにすることを主な研究アプローチとしてきた• 現在は特に、観測、分析結果をいかに社会的に還元し、実際のセキュリティ向上に役立てるかの対策に焦点をあて、IoTのサイバーセキュリティのベースラインを高める「サイバーハイジーン（サイバー公衆衛生）」の概念に着目し研究を実施• これからは？

42

サイバー攻撃エコシステム観測網43

横浜国大にて構築中の
サイバー攻撃エコシステム観測網
サイバー攻撃の原因となっているエコシステムを把握し、全体像を捉える
サイバー攻撃エコシステム観測網
Intelligent Service

Dark Web広告
Hacker’s
websiteLeaked data

リークデータ観測
Vulnerable Targets

SEO

Forums and Market

Spam Services

Clearnet
Dedicated Chat
Servers

広告

SMM Bot

脅威アクタ観測
Exploits
MalwareBotnet

観測

観測

受動的観測

能動的観測

Access as a Service

Exploit Kit

VPNTraffic
仮想通貨観測IPV6 Proxy

Forums and MarketSNSインターネット

Third-Party Control on Leaks

Popular
SNS Chat

Booter

RDP

広告
Bug Bounties for Hacking Tools
Buying the Hacking Ideas

Telegram, VK,Whatsapp, Wechat

Chat Bot

広告

入口

対策

サイバー攻撃ビジネス実体
サイバー攻撃ビジネス実体

情報提供・警告

連携国・連携国・国・企業
企業・大企業・大大学
学等
学等
個人

情報提供

44

SUMMARY OF IOT RELATED TOPIC IN HACKINGFORUMS

リークデータ観測事例

SUMMARY OF IOT RELATED TOPIC IN HACKINGFORUMS

脅威アクタ観測～IoTサイバー攻撃ビジネスの例～

ハニーポット検体解析結果と脅威アクタ観測の連携事例

47

サイバーインテリジェンスが集まる

エコシステムを作る48

サイバーセキュリティデータ収集が研究開発を促進している好例• Google社 Virus Total(ウイルストータル)• 怪しいファイルやURLを投稿すると70を超えるセキュリティソリューションで検査をして、結果を教えてくれる（利用は無料）

ウイルストータル全体像
検索、情報取得（有償）
セキュリティ研究組織
実務者

セキュリティインテリジェンスデータ
分析結果を共有
セキュリティベンダ

検査ツール
提供

検体、分析結果提供
セキュリティ
(インテリジェンス)
検査サービスプラットフォーム

検査依頼
（無償）

分析結果

エンドユーザエンドユーザのサービス利用状況(無償)ファイル検査依頼

URL検査依頼

VirusTotalには一日２００万件以上の投稿（検査依頼）がある

提案：
日本版VirusTotalを作れないか？

本家VirusTotalとの違いは？

1.日本への脅威に特化
2.様々な情報の検査・検証
3.コントロールドシェア

1.日本への脅威に特化• 日本の企業、大学が分析エンジン、インテリジェンスを提供する• 標的型メール、国内IoT機器への攻撃、フィッシング攻撃、SNS詐欺など国内で特徴のある脅威について、検査対象に対する有益な情報を提供することで海外の検査サービスと差別化を図る

2. 様々な情報の検査・検証• ニュースや情報の信ぴょう性の検査• 画像、動画、音声の真正性評価（ディープフェイク検知）• ChatGPT or not?
• 偽ショッピングサイト、オンライン詐欺、不正に悪用されている電話番号• なりすましメール、フィッシング検知
原理的には、専門家による判断が必要なすべての検査が対象となり得る。様々な分野の研究者を巻き込むことで多様な分析エンジンを用意する。研究者から見ると、サービスに投稿されたリアルなデータを使って研究を行うことができる。

3. コントロールドシェア
日本の企業等にこのサービスを利用してもらうためには、ウイルストータルのように投稿したデータが自由に共有されるのでは安心してサービスが使えない→コントロールドシェアモードを提供

全体像
コントロールドシェアリング
フルシェアリング

国産セキュリティ
インテリジェンス
一部の投稿
情報を共有
一般の解析エンジン
・インテリジェンスプロバイ
ダ（外国企業含む）

解析エンジンやインテリジェンス提供

解析エンジンやインテリジェンスを提供
セキュリティ
(インテリジェンス)
検査サービスプラットフォーム

投稿(検査依頼)

一般ユーザ
国民

信頼された解析エンジン・イン
テリジェンスプロバイダ (国内民間企業,大学等研究機関,研究者)

投稿情報を共有
解析結果投稿(検査依頼)

政府機関
国内民間企業ファイル(資料、画像、音声)、キーワード(URL, IPアドレス,ニュース)などを検査対象とし、良悪性、関連情報、真偽性などの解析結果を提供する

期待される効果– 投稿された情報を蓄積することで国産のセキュリティインテリジェンスを構築し、経済安全保障に寄与することができる。

– 国民や政府機関、国内民間企業に対して国産の先端技術や学術界の研究成果に基づくセキュリティサービスを提供できる。

– 解析エンジン・インテリジェンスプロバイダ（大学や民間企業）に対して、開発した独自のセキュリティ技術をテストする環境と解析対象のデータを提供することで、研究開発を促進する。特に国内研究者が実サービス提供に耐える実用的なセキュリティ研究に取り組むことを促す。

– 上記の効果が相乗効果を生み、データ負けの負のスパイラルからの脱却により、国内セキュリティ産業、学術研究の育成と独自インテリジェンス蓄積が推進される。

実現に向けた課題• 統合型セキュリティ(インテリジェンス)検査サービス
プラットフォームは現在国内に存在しない。この新規構築、運用には多くのコストが掛かる• 国産の解析エンジン、インテリジェンスを提供する

技術、体力、能力のある研究組織（民間企業、大学）が限られる。何らかの資金面でのサポートが必要（大学研究室は外部資金がなければ人員を確保して大型プロジェクトに参画できない）• 単一サービスであれば一組織で出来ることもあるスモールスタート その①
横浜国大発 IoTセキュリティチェックサービス am I infected?

https://amii.ynu.codes/おわりにこれまで！

• サイバー攻撃そのものの観測、対策を実施
今！

• サイバー攻撃の背景にあるサイバー攻撃ビジネスのエコシステムの観測

これから！

• サイバー攻撃、不正に関連する情報が集まる

エコシステムを作り、研究開発を活性化したい
64

横浜国立大学 大学院環境情報研究院/先端科学高等研究院
吉岡克成, yoshioka@ynu.ac.jp
http://yoshioka.ynu.ac.jp
謝辞1：本研究の一部は情報通信研究機構委託研究「Web媒介型攻撃対策技術の実用化に向けた研究開発(H28-R2)」により得られた成果です。
謝辞2：本研究の一部は総務省委託研究「IoT機器に関する脆弱性調査等の実施(H29)」により得られた成果です。
謝辞3：本研究は総務省の「電波資源拡大のための研究開発(JPJ000254)」における委託研究「電波の有効利用のためのIoTマルウェア無害化／無機能化技術等に関する研究開発」によって実施した成果を含みます。
謝辞4：本研究の一部は総務省「重要IoT機器のセキュリティ対策に係る調査の請負」(NTTコ
ミュニケーションズ株式会社との共同研究として実施(R2)」により得られた成果です。
謝辞5: 本研究の一部は戦略的イノベーション創造プログラム(SIP)第2期/自動運転(システ
ムとサービスの拡張)/新たなサイバー攻撃手法と対策技術に関する調査研究(国立研究開
発法人新エネルギー・産業技術総合開発機構（ＮＥＤＯ）の委託業務として実施)により得られた成果です。
謝辞6: 本研究は国立研究開発法人情報通信研究機構の委託研究（05201）によって実施された成果を含みます。