ポートスキャン概況（2019年7月29日）

今日のポートスキャン概況は以下のような感じです。あいかわらず、23/tcpを筆頭に、いわゆるIoTマルウエアの活動に関連したポートへのスキャンが上位を占めています。また、Windows関連では、445/tcp（SMB）へのスキャンが高止まりしています。


23/tcp（telnet）へのスキャンでは、18時台にナイジェリア発のスキャンが活発化しました。


8291/tcp（MikroTik 製のRouterOS対象のスキャン）では、あいかわらず、ネパール発が中心ですが、14時台にタイ、19時台にインド発のものが増加しています。



Windows系対象のスキャンでは、SMB以外に、RDPを対象としたスキャンで、14時頃に中国発のものが若干活発化しました。



以上、今日の状況です。

ポートスキャン概況（2019年7月27日）

昨日辺りから本日にかけての概況です。

 午前９時台に米国で23/tcpの活動が活発化しました。台湾発の37215/tcp（HUAWEIルータを標的としたスキャン）は漸減していますが、引き続き活動が続いています。

米国での53413/udp（Netis/Netcoreルータ標的のスキャン）の活動も引き続き活発です。Realtek SDKの脆弱性を持つWiFiルータを狙ったスキャンは、ここ２日ほど米国で活発化しています。

 Windowsを対象とした445/tcp（SMB）に対するスキャンも地域を問わず高止まりしている状況です。

スキャンの活発化はこうした対象への攻撃を行うマルウエアの活動（感染活動やボット活動）と相関した動きと考えられるでしょう。

ポートスキャン概況（2019年7月25日）

今日の概況はこんな感じです。時系列の表示を変更して左から最新順としました。（スクロールして見なくて済むので・・・）


全体的に見て極端な変化はありませんが、米国で53413/udp関連の活動が多少活発化しています。これは中国メーカーNetcore（海外向けブランド Netis）のルータにある脆弱性を狙ったもので、ホームルータに感染したマルウエアの活動とみられるものです。



WindowsのNetbios, SMBへのスキャンも多少活発になっているようですが、通常の変動から大きくかけ離れたものとは言えないでしょう。

ポートスキャン概況（2019年7月23日～24日AM）

昨日から本日午前にかけて、目立った変化はありません。



ただ、一昨日の夜から昨日未明にかけて、観測を行っているIPアドレスのひとつで公開されているWebサイトに対し、隣国方面からSYN-FloodによるDoS攻撃を観測しました。攻撃の背景は定かではありませんが、政治的な意図による日本向けの攻撃の可能性もあり、注意が必要でしょう。

IoT関連でのスキャンでは、23/tcp (telnet)ポート探索が多く見られます。また、台湾発の37215/tcpスキャン（HUAEWIルータの脆弱性探索）は漸減傾向にありますが、まだ多い状態が継続しています。



ルータ遠隔操作プロトコル（CWMP）を狙った7547/tcpでは、あいかわらずネパール（NP）発のものがほとんどです。Mikrotik社製ルータの脆弱性を狙った8291/tcpではネパールに加え、インドネシア（ID）発のものが昨日から今日にかけて3回ほど増加しました。



Windowsを対象としたスキャンでは、RDP（3389/tcp）を狙ったものが地域を問わず多くなっています。


これらの一部は、マルウエア（ランサムウエア）によるものと考えられ、安易なパスワードなどが設定されていた場合、ランサムウエアを感染させられてしまう危険があります。

また、netbios, SMBなどのサービスへのスキャンも継続的に発生しています。



最近では、これらのスキャン活動の多くがマルウエアの活動と紐付いています。スキャン活動の活発化は、マルウエアの流行と相関する場合もあるため、インターネットから直接アクセス出来ない内部ネットワークにおいても、マルウエア感染リスクを考える上での指標となる可能性があります。

JPCERT/CCから、「攻撃を目的としたスキャンに備えて 2019年7月」が公開されていますので、参考にしてみてください。

ポートスキャン概況（2019年7月22日）

本日午後6時現在、状況に大きな変化は見られません。



昨日も書いていますが、発信元の地域によって発生するスキャンに大きな偏りが出ることがあります。最近では、台湾（TW）からのスキャンは、大半が37215/tcpつまり、
HUAWEIルータの脆弱性を狙ったと考えられるものです。これはその地域に、この種のマルウエア感染が多発している可能性を示します。一方、エストニアからのスキャンでは、5038/tcp、5060/udpといったVoIP, SIP関連のポートを狙ったものが多くなっています。これもまた、こうした機器を狙うマルウエアに感染した機器の存在を示唆します。ネパールは、23/tcp、7547/tcp、8291/tcpといった、IoT機器やルータ狙いのスキャンが非常に多くなっていて、MiraiやHajimeといったIoT系マルウエアの活動が活発であることを示唆しています。

近年、マルウエアの多くが、いわゆるボットなど遠隔操作型のものとなっており、通常の感染拡大のためのワーム活動に加え、指令によりポートスキャンや攻撃が実行される可能性も高いと言えます。時折、特定のポートへのバースト的なスキャンが発生するのも、特定のマルウエアの流行による感染活動に加え、こうした意図的なスキャンが行われている可能性も示唆します。

ポートスキャン概況（2019年7月21日）

ブログに書くネタもなかったのでずいぶん長い間サボってしまいました。最近、契約している複数のISP回線で、ポートスキャンの観測を始めました。仕組みは単純で、ファイアウォールで拒否されている外部からの通信ログをリアルタイムにデータベースに読み込み、その集計ビューをマイクロソフトのPower BIを使って可視化しています。IPの国別情報などについては、各NICで公開されている割り当て情報を使って判別しています。

観測しているのは、主にIoT系マルウエアに関連するポートや、Windows関連のポートなどです。使っているIPアドレスは、某ビジネスISPからの/29セグメント、コンシューマ向けISPの固定IP２個とダイナミックIP１個で、いずれも異なるレンジの物です。

とりあえず、全体はこんな感じのダッシュボードにまとめています。

１時間単位のイベント数とポート比率を積み上げグラフ化したものや、国ごとにポート番号別の頻度を積み上げたもの、ポート別のランキングなどをまとめています。ポート別では、あいかわらずtelnet(23/tcp）がトップで、依然としてMiraiなどのマルウエアに感染した機器が多いことが伺えます。２番目に445/tcpが来ているのは、Windows系のマルウエア等による脆弱なホスト探索でしょう。以下、上位にはやはりIoTマルウエアが狙うポートが並んでいます。

ポート別では、telnet（23/tcp）で、未明に米国（US）、朝６時台に中国（CN）からのスキャン増加が見られました。

ポート37215/tcpはHUAWEI製ルータの脆弱性を狙ったマルウエアのスキャンとみられますが、今日の午前から台湾（TW）発のスキャンが急増しています。このポートのスキャンでは、以前から台湾発が大半を占めており、発信元は、台湾最大のISPであるhinetがダイナミックに利用者に割り当てているIPがほとんどで、IP数にして8300個あまりを観測しています。

IoTマルウエアに関する通信としては、ルータの遠隔操作プロトコルCWMPを狙った7547/tcpやラトビアのMikrotik社製ルータの脆弱性を狙った8291/tcpへのスキャンも観測しています。これらの大半はネパール（NP）が発信元となっています。

また、中国 Netcore（海外向けブランドはNetis）製ルータの脆弱性を狙ったとみられる53413/udpや、Realtek SDKが組み込まれたWiFiルータの脆弱性を狙った52869/tcpなどへのスキャンも観測しています。前者はオランダ（NL）発信元のものが大半を占めます。後者については米国(US）発が中心でしたが、数日前からオランダ（NL）発のものが急増しています。

そんな感じで、こうして時系列で見ていると興味深い傾向も見えてきます。今後データがたまったら、あれこれ統計的な分析もしてみようと思っています。

CES2019 その１

長い間、ブログの更新をサボってしまいましたが、今回はラスベガスで開催されている全米最大のエレクトロニクスショー、CESからのレポートです。

【ラスベガス風景】
昨日からラスベガス入りして、今日からショーを見て回ります。今日は、頭の中にインデックスを作るために、ひととおり駆け足で見て回ることにしました。まずは、メイン会場から少し離れた、IoT関連の展示会場へ向かいます。
スマートホーム系のIoTでは、次第に形が定まってきている印象を受けます。機器の制御や通信については、ZWAVEやZigbee3.0といった標準に乗るメーカーがほとんどで、デバイスの選択肢も2年前に比べるとかなり増えた印象を受けます。

【ZWAVEアライアンスのブース】

【つながる機器群】
こうしたデバイスレイヤーの標準の上に、ユーザーインターフェイスとしてのAI,たとえばGoogle Assistant や Amazon Alexaなどを使用して全体をたばねるといった形が定着しつつあります。
一方、家電メーカー系はというと、ちょっと混迷しているかもしれません。冷蔵庫や電子レンジといったものにAIを積んでネットにつなぐ・・・といった流れは2年前のCESでも見られていたのですが、そこから大きく進んだ感じでもなく、また、スマートホームとしての（住居インフラとなるIoT環境との）統一感もいまひとつ見られません。大手家電メーカーは、どうしても囲い込み戦略になりがちなので、そういう意味での停滞感があるのかもしれません。本格的なスマートホームを実現するためには、もっとオープンなインターフェイスが必要になりそうです。

さて、CESのもうひとつの目玉が自動車関連です。こちらは、自動運転が次第に実用化段階に入りつつあり、各社とも力が入っています。AI搭載の自動運転車のプロトタイプやコンセプトモデル展示の一方で、各社ともに、近未来の公共交通システム的なコンセプトでの展示も増えています。これは、自動運転化後に起きるであろう、自動車所有意欲の低下を意識したもののようにも思えます。所有から利用への変化はこの世界でもいずれ起きるのかもしれません。

【ベンツのコンセプトカー】

【乗り合いの自動運転車】

【乗車体験コーナー】
また、AIは自動運転だけでなく、ドライバーや利用者のエクスペリエンス向上のためにも応用されます。利用者の顔などから感情や感覚を読み取り、適切なアシストをしたり、車内の環境をそれにあわせて制御するといった応用は各社とも力を入れているようです。

さて、IoT、家電、車、ヘルスケアなど、いずれの世界でも、AI搭載は普通に行われるようになってきたわけですが、私のようなセキュリティ屋の性分としては、どうしても「大丈夫か？」と思いながら見てしまいます。

気になるのは、AIにかかわらず、現在流行となっている技術の開発において、どこまでセキュリティが意識されているのか、という点です。たしかに、安全という面では、自動車やヘルスケアの分野、電気製品などについては一定の基準があるはずなのですが、それらが「悪意」を前提としたものかと言えば、必ずしもそうではありません。

たとえば、AIにおいては、近年、画像認識を混乱させるような攻撃が話題になっています。昨年11月にブリュッセルで開催されたESCAR EUROPEという自動車関連のセキュリティコンファレンスでは、道路標識を誤認させるような攻撃手法が紹介されていました。しかし、こうした問題への対応は簡単ではありません。現在、AIと呼ばれているものの多くが、人間や動物の五感についての神経系の動きを模倣する「深層学習」という手法を利用しています。これは、知能というより、神経系の学習能力を模したものです。ただ、これは神経系を電子的に再現するのではなく、その動きを数値的にシミュレーションしているため、統計解析などを応用した高度な数学的演算が必要になります。NVIDIAのようなAI用チップメーカーが提供しているのは、ニューラルネットワークを直接実現するチップではなく、こうした数値演算を高速化するための並列処理コンピュータなのです。

【NVIDIAの車載用コンピュータ】
また、こうした演算のプログラミングには様々な統計解析手法や数学的手法に関する知識が必要となります。最近では、GAFAなどを含め、こうした深層学習のプログラミングを簡素化するためのツールキットを無償で提供する動きがあり、それほど高度な知識がなくても深層学習を応用したシステムを作ることができるようになっていますが、そのレベルでは、先に述べたような攻撃に対する対策は困難です。どうしても、深層学習の原理に詳しい専門技術者や研究者に悪意を前提として対応を考えてもらわざるをえません。

IoTなど、ハードウエアに近い分野に関しても似たような状況が存在します。こちらも近年、脆弱性の問題がクローズアップされていますが、結局のところ、開発者が「悪意」を意識できるかどうか、という点に問題は帰結します。

いずれも、我々、いわゆる「セキュリティ専門家」にとってはハードルが高い分野です。こうした分野に個別に足を踏み入れるのもひとつの方法かもしれませんが、おそらくそれならば、セキュリティを離れて、その分野の専門家に転身してしまったほうが早そうです。一方、こうした最新技術のプラットホームとなるコンピュータシステムは、いまだに従来型のものです。AIといえども例外ではなく、こうした部分については、これまでのベストプラクティスが応用できます。つまり、従来型のセキュリティで基盤は守ることができるわけで、専門知識が必要となるのは、その上のアプリケーション部分だけなのです。ついでに言えば、AIで防ぎきれない問題については、従来型の枠組みの中に安全弁を入れる方法もあるでしょう。

逆に、先端技術の技術者や研究者に基盤のセキュリティまで考えてもらうのは荷が重いので、従来型のセキュリティ専門家は依然として必要とされます。問題は、この両者がうまくコラボレーションできるかどうかです。基盤とアプリケーションは相互に密接に関連しますから、全体をひとつのシステムとして考えられないと困ります。こうしたシステム設計の段階で、どうセキュリティを組み込んでいくのか、またアプリケーション開発者に対して、悪意を前提とした課題をきちんと提起していけるかどうかは、むしろ、我々、従来からセキュリティ畑で働く人間の仕事なのかもしれません。

深層学習への攻撃では、そのためにAIを使う手法なども明らかになっています。こうした「敵対的」AIは、対AIだけでなく、今後セキュリティ全般に対する大きな脅威となることは間違いありません。今後、我々セキュリティ専門家が、様々な分野の専門家とうまくコラボレーションしていけるかどうかが、生き残りの鍵といっても過言ではないような気がするのです。

少し脱線気味になってしまいましたが、いつものセキュリティ関連のコンファレンスやショーではなく、こうした最先端技術を見て回ることで、セキュリティ屋としての自分を、その井戸の中から追い出すことは重要だろうと思います。

明日以降、もう少し深く、見て回ろうと思っていますので、また気づいたことなどを書こうと思っています。