⽇本のサイバーセキュリティの結節点“CYNEX”- CYNEXアライアンスの発⾜と活動報告2024 -サイバーセキュリティ研究所 サイバーセキュリティネクサス
安⽥ 真悟

1

背景：サイバーセキュリティ自給率の低迷
lサイバーセキュリティ研究・技術開発取組方針

サイバーセキュリティ戦略本部 研究開発戦略専門調査会（2019年5月17日）
３．取り組むべき課題(2) サイバーセキュリティ自給率の低迷
我が国のベンダー企業においては、海外のセキュリティ技術を導入・運用する形態が主流となっている。
このようなビジネスモデルは、研究開発投資を抑え、事業上のリスクを極小化することができる一方で、利益率が低く、また、コア技術に係るノウハウ・知見を蓄積することが難しい側面がある。（P5）
我が国企業の国際競争力強化はむろんのこと、政府機関や重要インフラ事業者等のサービスを支えるセキュリティ技術が過度に海外に依存する状況を回避・脱却する観点から、コア技術の開発・運用を中心に、国産技術・産業の育成を進めていくことが重要である。 （P6）l実際、日本のセキュリティ自給率はどのくらい？

ü 具体的な自給率の算出は容易ではない（そのような調査結果は見たことがない）
ü 体感では自給率10％を切っているのでは？（国産で思いつく製品名は…？）

2

データ負けのスパイラルからの脱却に向けてl国内業界はデータ負けのスパイラル
1.
2.
3.
4.

国産のセキュリティ技術が普及しない
サイバー攻撃の実データが集まらない
実データを使った研究開発ができない
良い国産セキュリティ技術を作れない➡ 国内でサイバーセキュリティ情報を生成・蓄積・提供できる環境が必要
l今、⽇本に必要なこと実データを⼤規模に収集・蓄積する仕組み
実データを定常的・組織的に分析する仕組み
実データで国産製品を運⽤・検証する仕組み
実データから脅威情報を⽣成・共有する仕組
み実データによる⼈材育成をオープン化する仕
3組み

これらの仕組みの実現を目指す

産学官の結節点を構築

第5期中長期計画期間（2021〜2025年度）

5

NICT サイバーセキュリティ分野の体制図【第5期中長期計画 サイバーセキュリティ分野】(1) サイバーセキュリティ技術
(2)

暗号技術

(3) サイバーセキュリティに関する演習(4) サイバーセキュリティ産学官連携拠点形成(5) パスワード設定等に不備のあるIoT機器の調査

サイバーセキュリティ研究所

ナショナルサイバー
トレーニングセンター

ナショナルサイバーオブザベーションセンター

サイバーセキュリティネクサス
セキュリティ基盤研究室

サイバーセキュリティ研究室

サイバートレーニング
研究室

サイバーオブザベーション
運用室

暗号技術

基礎研究

⼈材育成

IoT調査

サイバートレーニング
事業推進室

サイバーオブザベーション
事業推進室

総合企画室

サイバーセキュリティ研究室 研究マップ

受Passive

インシデント分析センタ（ニクター）

NICTER

サイバー攻撃統合分析プラットフォーム（ニルヴァーナ・カイ）

DAEDALUS

Dark
net

BlogsNIRVANA改弐

Live
net
DNS
DB

News

全AssetInfo

ProxyLog

From Security Big Data

Honeypot

VulnerabilityCUREAlertsTo Security Intelligence
Malware

IoT
PoT

SPAM

(result)

Mal
ware

(exe)

C&C
URL

Web
Crawl
DBD

サイバーセキュリティユニバーサル・リポジトリ（ワープドライブ）(標的型攻撃対策)

Amp
Pot



Events

Web媒介型攻撃対策フレームワーク

NIRVANA改脆弱性管理プラットフォーム（ニルヴァーナ・カイ・ニ）

対サイバー攻撃アラートシステム（ダイダロス）

Global (無差別型攻撃対策)

6

CURE

能A

ctive

サイバー攻撃誘引基盤

STARDUST(スターダスト)

Local局

ナショナルサイバートレーニングセンター 事業概要

7

CYNEXの事業展開のタイムライン

82023年10⽉1⽇ CYNEXアライアンス 発⾜94つの “Co-Nexus” によるプロジェクト推進
Co-Nexus Chairs
TOPIC

参画組織数：32

参画組織数：60

安⽥ 真悟
NICT

TOPIC

⽑利 公⼀

佐藤 隆⾏

⽴命館⼤学

⽇⽴製作所

参画組織数：14
久保 正樹
NICT

piyokango
セキュリティインコ

WalküreCYNEX Red Team

参画組織数：5
安部 ⼩百合NICT

参画組織数：34
佐藤 公信
NICT*CYROP: Cyber Range Open Platform

10

島 成佳

⻑崎県⽴⼤学井⽥ 純

トレノケートCo-Nexus AAccumulation & Analysis

11

Co-Nexus Aの活動（２本柱）サイバーセキュリティ情報⼤規模収集• STARDUST
ü主に標的型攻撃を対象としたサイバー
攻撃情報収集・分析基盤
ü基盤の参画組織への貸与• WarpDrive
üWeb媒介型攻撃のユーザー参加型情報収集基盤
ü収集データの参画組織への提供

12定常分析と解析者コミュニティ形成• Co-Nexus Aコミュニティ• STARDUST利⽤組織を中⼼に収集・分析したサイバー攻撃の情報共有• NICTER等のNICTが有する観測機構の情報やOSINT情報も共有• WarpDriveコミュニティ• 収集したデータの共有• ユーザへのアンケート等インタラク
ティブな情報収集⼿段の提供• 悪性サイトの解析⼿法やBlockリストなどの独⾃のデータセットの創出

Co-Nexus A：STARDUST＆解析者コミュニティ形成• STARDUST：人間の攻撃者を誘い込むサイバー攻撃誘引基盤• 定常的な攻撃誘引の試行と解析結果を共有する解析者コミュニティの形成

l 活動状況ü STARDUST NxtGen 貸与ü 参画組織が独⾃に標的型等マルウェア検体解析

ü 年間300⽇以上の攻撃誘引実験
ü NICTの解析結果は積極的にコミュニティへ共有ü 解析者コミュニティ会合定期開催
ll

サイバー攻撃誘引基盤STARDUST NxtGen

13

年4回開催+オンラインコミュニケーション基盤
毎回90名程度の参加者

Co-Nexus A：WarpDriveプロジェクト• WarpDrive：ユーザ参加型のWeb媒介型攻撃大規模観測プロジェクト• Web媒介型攻撃の対策確立のためのデータ収集・分析• タチコマ・セキュリティ・エージェント（PC/Android版）を無償配布
PC版
タチコマSAl 活動状況
ü 第2弾アップデート（2023/10/16 リリース）ll

Android版
タチコマモバイル

Android向けタチコマモバイルにゲーム機能を開発
クイズゲームでセキュリティやITの知識を反復学習

ü 第3弾アップデート（2024/2末 リリース予定）ll

PC向けタチコマSAにゲーム機能を追加
Android向けにローカルスキャン機能を開発➡ 家庭内のネットワークデバイスを発⾒可能に

ü WarpDriveコミュニティ発⾜l

14

タチコマ

産学の研究機関が複数参画、データ解析や対策展開を加速

Co-Nexus S
Security Operation & Sharing

15

Co-Nexus S：高度SOC人材育成と国産脅威情報発信• 自主学習型オンラインSOC研修とCYNEX解析チームでのOJT• サイバーセキュリティ関連情報の発信と収集・生成データの外部提供
l 活動状況
⾃主学習型
オンラインSOC研修 OJTでのSOC業務従事

ü オンラインコース＆OJTコース
国産脅威情報発信/提供
am I infected?
横浜国⽴⼤学

⾃主学習型オンラインSOC研修

16ll

オンラインコース︓3期⽣6名 修了、4期⽣16名 研修中
OJTコース︓CYNEX解析チームで1名修了、1名育成中

ü NICTERレポート, Blog, Twitterlll

NICTER観測レポートQ1, Q2, Q3, Q4
NICTER観測レポート2023（2024/2 公開予定）
NICTER Blog︓5件、Twitter 随時更新

ü am I infected?*への情報提供*横浜国⽴⼤学 情報・物理セキュリティ研究拠点が運営するマルウェア感染・脆弱性診断サービス

Co-Nexus E
Evaluation17

Co-Nexus E：国産セキュリティ製品の運用・検証• 国産セキュリティ製品のテスト環境提供による実用化支援• NICT内部ネットワークにおける国産セキュリティ製品の長期運用・検証• Walküre（CYNEX Red Team）の模擬攻撃によるセキュリティ機能検証
国産セキュリティ製品検証リスト

製品種別

l 活動状況

製品フェーズ

運⽤・検証の概要

ペネトレーションツール

商⽤化前技術ツールの⾼度化及び⻑期運⽤

ファジングツール

商⽤化前技術アルゴリズムの精度検証

ü 国産製品の⻑期運⽤・検証を実施

IPレピュテーションサービス

商⽤化済技術

運⽤されている製品の精度検証
新たな分析軸の検証

ü 各製品ごとにカスタム検証環境構築

ランサムウェア対策ソフト

商⽤化済技術新たなマルウェアへの適応検証

WAF製品検証環境

IoT機器検証環境

lIoT機器検証環境、WAF製品検証環境、etc...

ü Walküreによる模擬攻撃の実施
ü 海外有⼒製品群との⽐較検証

Walküre18

ü 開発企業へのフィードバック

Co-Nexus CCYROP： Cyber Range Open Platform

19

Co-Nexus C：人材育成オープンプラットフォーム• 演習基盤開放による国内セキュリティ人材育成事業活性化• サイバーセキュリティ演習に必要となる演習環境と演習教材をオープン化• 産学官のニーズに基づき、NIST NICE Frameworkに沿って演習教材整備

l 活動状況ü CYROP基盤本格稼働開始
ü ３組織が商⽤演習サービスを開始
サイバーセキュリティ演習基盤
CYROP（Cyber Range Open Platform）

CYNEXオリジナル演習教材

lll

CYDER Aコース由来 演習教材（順次受け⼊れ)
CYDER Bコース由来 演習教材（順次受け⼊れ）CYNEX オリジナル 演習教材（拡充中）ü 新規演習教材の共同開発を実施
⼤学での演習教材利⽤事例

20lll

2021年︓CYDERコンテンツ、パケット解析等（18種）
2022年︓セキュリティ管理、ペンテスト等（18種）
2023年︓フォレンジック、OTセキュリティ（29種）

HOT TOPICSü Co-Nexus A: WarpDriveの大型アップデートü Co-Nexus A/S: Project> LETTICE 始動
ü Co-Nexus S: NICTER Peport 2023公開

21

Co-Nexus A： WarpDrive Project
lユーザ参加型のWeb媒介型攻撃大規模観測プロジェクト※個人情報（近接情報）の収集に該当する為、データはWarpDrive Project参画組織のみ提供

https://warpdrive-project.jp
Android版タチコマSAモバイル

ü 第3弾アップデート（2024/2末 リリース予定）
lWindows/Mac版タチコマSA➡ 家庭内のネットワークデバイスを発⾒可能に

ü WarpDriveコミュニティ発⾜l22Android向けにローカルスキャン機能を開発

産学の研究機関が複数参画、データ解析や対策展開を加速デモ23

WarpDrive収集データ例：PC版

24

項目名説明ユーザID

初回起動時に割り当てられる値

タブID

1つのウィンドウに複数のタブでWebページを表示する場合に、タブごとのアクセスを区別するためにブラウザ側で付与する値

アクセスURL

ブラウザのアドレスバーに表示されるアクセス先を指し示す文字列

ページタイトル

ブラウザのタイトルバーに表示される文字列

アクセス先IPアドレス

アクセス先のWebページのファイルを持っているWebサーバのIPアドレス

HTTPリクエストの送信時刻

ブラウザからサーバに対して要求を送信した時刻

HTTPレスポンス受信完了時刻

ブラウザからの要求に対するサーバからの応答を受信完了時刻

URLバーの表示内容

Webページを開いた際にブラウザのURLバーに表示されるURL

リダイレクトの有無

リダイレクトが発生したかどうか

リダイレクト元URL

リダイレクトによるアクセスの場合、リダイレクト先へ誘導したリダイレクト元URL

マウスイベント

アクセスが参加者のマウス動作の結果起こったものか、マウス動作なしにおこったものか

HTTPプロトコルのリクエストヘッダ

ブラウザからサーバに対する要求のうちヘッダ情報。Authorized、Cookie, Set-Cookie（クッキーの情報）は除く

HTTPプロトコルのレスポンスヘッダ

ブラウザからの要求に対するサーバの応答のうちヘッダ情報。Authorized、Cookie, Set-Cookie（クッキーの情報）は除く

WarpDrive収集データ例：モバイル版

25

項目名

説明

ユーザID初回起動時に割り当てられる値

Webアクセス履歴

ChromeアプリおよびChromeのコンポーネントを使用してWebページを表示した際のURLおよびアンカータグのテキストなど

アプリ表示履歴

ユーザがフォアグランドとして実行したアプリおよびアプリにおけるActivityの履歴

インストールアプリ一覧

端末にインストールされているアプリのパッケージ名およびアプリ構成や証明書などの関連情報

SMSのメッセージ関連のハッシュ値

メッセージにURLもしくはブラックリストの文字列が含まれている場合の送信者、メッセージ等のハッシュ値、メッセージに含まれるURL

通信ネットワーク

端末がインターネットにアクセスする際に付与されるパブリックIPアドレスとその接続種別など

端末情報

端末名、OSのバージョン、パッチレベルなどの端末情報

提供元不明アプリのインストール許可公式アプリ配布サイト以外からアプリをインストールすることをユーザが許可する操作

アンケート回答

運営が配信するアンケート結果の回答

項目名

説明

ユーザID

初回起動時に割り当てられる値

Webアクセス履歴

ChromeアプリおよびChromeのコンポーネントを使用してWebページを表示した際のURLおよびアンカータグのテキストなど

アプリ表示履歴

ユーザがフォアグランドとして実行したアプリおよびアプリにおけるActivityの履歴今後の追加活動：CURE開放
lセキュリティ情報融合基盤CURE
lCo-Nexus A/S向けに2023年度末開放予定
l検索可能データセット（予定）üüüüüüüüüüü

Honeypot
Haguregumo
AmpPotEXIST
NICTER
STARDUSTCHORUS
SpamDB
ATT&CK
Security Reports
Social Media
CURE

28

CURE WebNICTER観測レポート2023公開!
WEB概要 https://csl.nict.go.jp/nicter-report.html

29

PDF https://csl.nict.go.jp/report/NICTER_report_2023.pdf

X(Twitter) @nicter_jp

30

NICTERl サイバー攻撃リアルタイム⼤規模観測・分析システム
l 国内外で30万の未使⽤IPアドレス“ダークネット”を観測
l 無差別型サイバー攻撃の⼤局的な傾向把握に有効
30

NICTERダークネット観測統計（過去10年）
年

年間総観測パケット数

ダークネットIPアドレス数

1 IPアドレス当たりの年間総観測パケット数

2014

約241.0億

212,878

115,3352015

約631.6億270,973245,540

2016

約1,440億

274,872

527,8882017

約1,559億

253,086

578,750

1アドレスあたり2018

約2,169億273,292

806,877

2019

約3,756億309,769

1,231,331

2020

約5,705億307,985

1,849,817

14秒に1回2021

約5,180億

289,946

1,747,685

2022

約5,226億

288,042

1,833,012

2023

約6,197億289,686

2,260,132

攻撃関連通信受信調査スキャナの影響（パケット数、単位︓万）
250
200
150
100

実際の増加
ペース？

IoT機器に感染するマルウェア
Miraiの影響で⼤きく増加

約半数が調査スキャナ

50
0

31

2014年

2015年

2016年

2017年

2018年

2019年

2020年

2021年

2022年

2023年

攻撃関連パケット数と調査スキャン
不明スキャナからのバースト

約半数が調査スキャナ

32調査スキャンパケットの除去

33

宛先ポート番号別パケット数分布 (2023年)
宛先ポート
23/TCP

Telnet （ルータ，Webカメラ等）

22/TCP

SSH（サーバ，ルータ等）

80/TCP

HTTP（Webサーバ）

8080/TCP

HTTP（Web管理画⾯）

3389/TCP

Remote Desktop

5555/TCPADB （Android）

37215/TCP

Huawei 製ルータ

443/TCPHTTPS （Webサーバ）

3389/TCP 1.6%

5060/UDP

SIP

37215/TCP 1.3%

445/TCP

Windows SMB

23/TCP
56.6%

23/TCP
Other Ports

23.0%

22/TC
P 3.6%
80/TC
P

22/TCP 4.6%

57.2%

80/TC
P 2.9%
555
5/T
CP
6379
2.4%
/T
CP
2375
2.1/T
CP%

236%
1.
6%
P1.
TC P%
3/1.5C
44 5/T CP%
1.5
44 76/T

P/TC
81

2022年
3427.1%Other Ports

2.8%

8080/TCP 2.0%5555/TCP 1.5%

1.
7%

445/TCP 1.1%

2023年

攻撃対象

443/TCP 1.2%

5060/UDP 1.1%

宛先ポート番号別パケット数分布（調査⽬的のスキャンパケットを除く）

Mirai感染ホスト数の推移（世界全体）

ベネズエラ
エジプト
エジプト

ベネズエラ

地理的に近傍ではない35

Mirai感染ホスト数の推移（日本国内）

Miraiの特徴を持たない
InfectedSlursの出現により⾒かけ上減少

36

InfectedSlurs/IoTボットの感染状況• ⽇本国内でInfectedSlursへの感染が確認されたIoT機器• モバイル接続可能な防犯カメラ• コンセント埋め込み型のWiFiルータ• DVR/NVR• NICTが特定したLTEルータのIoTボットの感染• LTEルータA• Rooster RXシリーズ• HWL-2511-SS

/
•LTEA

•

RoosterRX(•)

HWL-2511-SS(37)•4719/tcp telnettelnet

26

リフレクタ
攻撃者

攻撃対象

観測・分析

AmpPot（DRDoSハニーポット）
l リフレクタの視点で“DRDoS攻撃”を観測
l DRDoS攻撃の⼤局的な傾向把握に有効

38

Lukas Krämer, Johannes Krupp, Daisuke Makita, Tomomi Nishizoe, Takashi Koide, Katsunari Yoshioka, Christian Rossow, "AmpPot: Monitoring and Defending Amplification DDoS Attacks,"
Proceedings of the 18th International Symposium on Research in Attacks, Intrusions and Defenses (RAIDʼ15).
横浜国⽴⼤学 吉岡研究室との共同研究DRDoSの攻撃の観測• ⽇ごとの DRDoS 攻撃件数の推移(左軸:全体，右軸:⽇本宛)
総数増加の要因はスパイクの増加91%が10分未満の攻撃&絨毯爆撃型

2023: 5,561万件 2022年：3,465万件
39

その他• イスラエル・パレスチナに関連するDRDoS攻撃の観測事例
10/7

ü 1 ⽇ 平均でイスラエル宛は約 49 件，パレスチナ宛は約 3 件の DRDoS 攻撃が観測ü 攻撃件数の推移⾃体には武⼒衝突の開始前後で⼤きな変化はなし
40詳細はNICTER観測レポート2023をご覧下さい41

How to Join CYNEX?
CYNEX参画⽅法

42

CYNEX参画申し込み・お問い合わせ先CYNEX事務局

cynex@ml.nict.go.jp
43

CYNEXアライアンス参画費⽤l参加組織の種別、参画するCo-Nexus数に応じて参画費を設定
参画組織の種別
⼤企業
中⼩企業
社団法⼈等
NPO法⼈
教育機関
官公庁
専⾨委員特別会員

44

参画するCo-Nexus数と参画費の⾦額（年額、単位：千円）
1234
1,000
1,500
1,800
2,000
500
750
900
1,000
500
750
900
1,000
5075
90
100
5075
90
100
000000000000産学官のエコシステムの確立に向けて
l官：国産のセキュリティ製品を買う！

官
l産：国産のセキュリティ製品を創る！

l学：イノベーターを輩出する！
45

産学46