IoT機器へのポートスキャンや脆弱性ある製品への探索が増加～ダークネット観測リポート（FY2020 4Q）～
BBソフトサービス株式会社（以下、「BBSS」）と株式会社クルウィット（以下、「クルウィット」）は、IoT機器やサイバー攻撃の実態を可視化するため、ダークネット観測リポート（2021年1月～3月分）を発行します。
観測パケット数
本四半期におけるダークネット宛のパケット数については、図1の観測結果となりました。この四半期では、1月と2月はIoT関連のマルウエアが利用するポートへのスキャンの増加、3月は脆弱性がある製品やソフトウェアの探索を目的していると思われるスキャンの増加を観測しました。探索活動はサイバー攻撃の第一歩となるため、引き続きソフトウェアのアップデートや定義ファイルの更新などを定期的に行うことが重要になります。
図 1 観測パケット数
観測ホスト数
当該期間におけるダークネット宛に通信をしたホスト数については、表2の観測結果となりました。2021年3月にホスト数の増加が見られますが、これは送信元IPアドレスを詐称したICMPパケットによるものです。ICMPパケットは通常IPアドレス通信の補助パケットであり一般的に利用されているものです。こういった通信も利用してサイバー攻撃を仕掛けてきます。
図 2 観測ホスト数
| 2020年4月 | 2020年5月 | 2020年6月 | 2020年7月 | 2020年8月 | 2020年9月 | |
|---|---|---|---|---|---|---|
| ホスト数 | 45万6,127 | 377万2,713 | 46万7,461 | 45万1,330 | 40万7,424 | 60万720 |
| 国内ホスト数(*) | 2,313 | 93,005 | 2,546 | 3,066 | 3,128 | 2,500 |
| 2020年10月 | 2020年11月 | 2020年12月 | 2021年1月 | 2021年2月 | 2021年3月 | |
|---|---|---|---|---|---|---|
| ホスト数 | 58万8,209 | 46万3,501 | 51万1,142 | 42万9,363 | 36万7,292 | 41万7,673 |
| 国内ホスト数(*) | 2,429 | 2,400 | 3,706 | 2,053 | 2,073 | 3,872 |
*国内ホスト数：IPアドレスを逆引きして.jpドメインだったもの
宛先ポート番号
当該期間におけるダークネット宛への宛先ポート番号の観測状況については、前回と同様に445/TCP(microsoft-ds)と1433/TCP（ms-sql-s）といった、Windows系ホストを狙った通信であり、従来から続いています。現在の IoT マルウエアは、23番ポート以外にも1024番ポート以上のポートと組み合わせて利用されており、1024番以上のポートへのスキャンも増加しています。
図 3 宛先ポート番号
| 順位 | 2020年4月 | 2020年5月 | 2020年6月 | 2020年7月 | 2020年8月 | 2020年9月 |
|---|---|---|---|---|---|---|
| 1 | 23/TCP | 23/TCP | 445/TCP | 445/TCP | 445/TCP | 445/TCP |
| 2 | 1433/TCP | 445/TCP | 23/TCP | 23/TCP | 23/TCP | 23/TCP |
| 3 | 445/TCP | 1433/TCP | 1433/TCP | 1433/TCP | 1433/TCP | 1433/TCP |
| 4 | 52869/TCP | 80/TCP | 52869/TCP | 80/TCP | 22/TCP | 22/TCP |
| 5 | 80/TCP | 22/TCP | 80/TCP | 22/TCP | 80/TCP | 80/TCP |
| 順位 | 2020年10月 | 2020年11月 | 2020年12月 | 2021年1月 | 2021年2月 | 2021年3月 |
|---|---|---|---|---|---|---|
| 1 | 445/TCP | 445/TCP | 445/TCP | 445/TCP | 445/TCP | 445/TCP |
| 2 | 23/TCP | 23/TCP | 23/TCP | 23/TCP | 23/TCP | 23/TCP |
| 3 | 1433/TCP | 1433/TCP | 1433/TCP | 22/TCP | 22/TCP | 1433/TCP |
| 4 | 22/TCP | 22/TCP | 22/TCP | 1433/TCP | 1433/TCP | 22/TCP |
| 5 | 80/TCP | 80/TC | 80/TCP | 80/TC | 80/TCP | 52869/TCP |
送信元の国別観測状況
当該期間におけるダークネット宛に通信をした国別状況については、図4の観測結果となりました。
図 4 送信元の国別観測状況
| 順位 | 2020年4月 | 2020年5月 | 2020年6月 | 2020年7月 | 2020年8月 | 2020年9月 |
|---|---|---|---|---|---|---|
| 1 | アメリカ(US) | アメリカ(US) | 不明(N/A) | 不明(N/A) | 不明(N/A) | アメリカ(US) |
| 2 | 不明(N/A) | 中国(CN) | スイス(CH) | アメリカ(US) | アメリカ(US) | 不明(N/A) |
| 3 | 中国(CN) | 不明(N/A) | アメリカ(US) | 中国(CN) | 中国(CN) | セーシェル(SC) |
| 4 | ロシア(RU) | ロシア(RU) | セーシェル(SC) | セーシェル(SC) | セーシェル(SC) | 中国(CN) |
| 5 | セーシェル(SC) | セーシェル(SC) | 中国(CN) | ロシア(RU) | ロシア(RU) | ロシア(RU) |
| 順位 | 2020年10月 | 2020年11月 | 2020年12月 | 2021年1月 | 2021年2月 | 2021年3月 |
|---|---|---|---|---|---|---|
| 1 | アメリカ(US) | 不明(N/A) | アメリカ(US) | アメリカ(US) | 不明(N/A) | アメリカ(US) |
| 2 | 不明(N/A) | アメリカ(US) | 不明(N/A) | 不明(N/A) | アメリカ(US) | 不明(N/A) |
| 3 | セーシェル(SC) | セーシェル(SC) | セーシェル(SC) | セーシェル(SC) | セーシェル(SC) | セーシェル(SC) |
| 4 | 中国(CN) | 中国(CN) | 中国(CN) | 中国(CN) | 中国(CN) | 中国(CN) |
| 5 | ロシア(RU) | ロシア(RU) | ロシア(RU) | ロシア(RU) | ロシア(RU) | ロシア(RU) |
考察
2020年4月から2021年3月まで継続的に感染先や侵入先を探索する通信が行われており、予断を許さない状況が続いています。これらの探索パケットは昨今の企業の情報漏えいのきっかけになっている可能性もあります。個人・法人含めパソコンやソフトウェアの脆弱性や見落とされがちなIoT機器のセキュリティ対策などの対策をしっかり行い、感染・侵入されないよう対策を行う必要があります。
FY21年度も同様の傾向は続くことが予想され、特に世界的なイベントや国際情勢によりサイバー攻撃が増加する傾向があります。すべてのインターネット利用者の端末がサイバー攻撃を行うための調査・危険にさらされているという意識を持ち継続的にセキュリティ対策を行うことが重要となります。
IoT機器を攻撃から守るためには？
1. IoT機器をしっかり調べて購入する
安くてセキュリティ対策がしっかり施されていない製品もあるため、メーカーホームページでセキュリティ対策を実施しているか？もしくはセキュリティパッチ情報が定期的に更新されているかどうかを確認しましょう。
2. 初期パスワードを変更する
多くのルーターやIoT機器には、メーカーが初期パスワードを設定しています。このパスワードを変更しないまま放置しておくと、不正侵入の原因となるため、必ず変更するようにしてください。パスワードは8文字以上で作成し、大文字・小文字・数字・特殊文字を使用すると強度が高くなります。
3. セキュリティ更新や修正情報を確認する
メーカーが発表している最新のセキュリティパッチ情報を常に確認し、OSやファームウェアを最新に保つようにしてください。または脆弱性診断ツールを使用して、自動的にこれらの情報を確認できるようにすると便利です。
4.IoT機器専用のWi-Fiネットワークを作る
IoT機器用にもう1台ルーターを用意し、個人情報など重要な情報を保存しているPCやリモートワークで使用するPC等と、IoT機器のWi-Fiネットワークを分けておきます。この方法により、万が一IoT機器がハッキングされた場合でも、個人情報に侵入される心配はありません。多くのルーターは、ゲストネットワークを設定できるようになっていますので、この機能も活用しましょう。
5.専用のソリューション（セキュリティ機能付きWi-Fiルーター）を導入する
SECURIE powered by Bitdefenderは、IoT機器、PC、タブレット、スマートフォンなどをまとめて保護します。弱いパスワードなどのデバイスの脆弱性を自動的にスキャンする脆弱性診断や、普段の動きを把握し、異なる通信をした場合に検知する異常検知、攻撃の侵入検知など、ホームネットワークを侵入から防ぐ機能が搭載されています。さらに、高性能セキュリティソフトが台数無制限でご利用いただけますので、外出中でもモバイルデバイスを守ることができます。
ダークネット観測サービス「SITE VISOR」とは
ダークネットを活用し、IoT 機器や PC を監視する対サイバー攻撃アラートサービス (システム) です。国立研究開発法人情報通信研究機構 (NICT)が研究開発した対サイバー攻撃アラートシステム "DAEDALUS"をクルウィットが商用化いたしました、グローバル IP アドレス (外部) ダークネットは インシデント分析システム NICTERの分散型大規模ダークネット観測網を利用しており、インターネット上で発生しているサイバー攻撃の現状把握や予兆・監視また攻撃元となる国や組織が分かります。プライベート IP アドレス (内部) ダークネットの監視は、会社などの組織内部でマルウエアに感染している IoT 機器や PC 等を検知できるようになります。
ダークネット観測リポートとは
クルウィットは、組織内外のダークネットを活用してIoT 機器や PC を監視する「SiteVisor」を提供しています。「SiteVisor」では、誰も利用していないIPアドレス（ダークネット）に観測機器を配置し、そのIPアドレス宛に「どのような攻撃を想定した通信があったか」を調査しています。ダークネット観測リポートは、「SiteVisor」で観測したデータを基に、IoT機器などへのサイバー攻撃の傾向をまとめたものです。
IoT機器への攻撃
IoT機器を攻撃する専用のウイルスがあり、代表的なマルウエア「Mirai」といわれるものがあります。スマートスピーカーなどのIoT機器を踏み台にして、企業のサーバーなどを攻撃します。たとえIoT機器がマルウエアに感染したとしても、利用者に実被害がでる可能性は低いこともありますが、犯罪者に利用され犯罪の片棒を担ぐこととなります。
今後はIoT機器の誤作動を行うようなマルウエアが出てくる可能性も高く、セキュリティ対策を施す必要性があります。
IoT機器への攻撃の種類
犯罪者はポートを利用して攻撃を仕掛けてきます。ポートとは機器同士が通信を行うときのドア（出入口）のようなもので番号がつけられています。犯罪者がよく使うのは「遠隔操作ができる」ポートです。これを悪用すれば、IoT機器を含めたパソコンやIoT機器を操作することができます。
| ポート番号 | 役割 |
|---|---|
| ポート22 | 管理用コマンドを使った遠隔操作をする (ssh) |
| ポート23 | 管理用コマンドを使った遠隔操作をする(telnet) |
| ポート80 | ルーターなどの管理画面へアクセスする (http) |
| ポート81 | ルーターなどの管理画面へアクセスする(http) |
| ポート8080 | Webカメラやルーターなどのログイン画面へアクセスする(http) |
| ポート5555 | Android開発用環境からIoT機器アクセスする(ADB) |
IoT機器はインターネットにつながっている機器という認識が薄く、ログインIDやパスワードを購入時のまま変更してなかったり、変更していても簡単なものに設定してしまっていたりすることも多いようです。犯罪者はそのような機器を狙っています。
BBソフトサービス株式会社について
ソフトバンクグループにおいて、セキュリティ製品を主軸とするソフトウェアサービスを、ISPや携帯電話会社などの通信事業者を通じて提供しています。サービス提供のみならず、フィッシング対策協議会やその他の社外団体を通じた情報セキュリティに関する啓発活動にも積極的に取り組んでいます。一般消費者のサイバー犯罪被害を減らし、よりよいインターネット利用環境を全てのユーザーに提供することで社会貢献を目指してまいります。
会社概要
株式会社クルウィットについて
「インターネットサービス」と「情報セキュリティ」の二つの事業を中心に、誰でも安心してインターネットが利用できるよう研究開発を行っています。その研究開発で培った技術やノウハウをもとにダークネット監視サービス「SiteVisor」を開発・運用しています。事業を通じてお客さまに末永く満足いただけるサービスを提供していくと同時に企業価値・信用度・認知度の向上に務めてまいります。
