ポートスキャン概況（2019年10月14日）

本日の概況です。



昨日、一時的にスキャン活動が落ち込んだものの、今日はまた通常の状態に戻っています。23/tcp（telnet） では、昨日あたりからバングラデシュを発信元とするものが観測されています。（下のオレンジ色の部分）



1433/tcp（MS SQL Server）の活動も、引き続き中国を中心に高止まりが続いています。



中国では、1433/tcpの活動が23/tcpを上回った状態が続いています。



日本での活動レベルは相対的に低い状態ですが、1433/tcpの活動は引き続き観測されています。



また、時系列で見ると、日本でのスキャン活動は深夜から早朝の時間帯に低下しているように見え、これは、常時稼働しているサーバなどよりも、この時間帯に停止しているPC等に感染したマルウエアの活動との見方も出来ます。

観測対象のWebサーバへのDoSライクなパケット着信は、また活発化しています。



平均すれば、毎秒1～２パケットの着信で、DoSとしては貧弱なものですが、受けている側からすれば、あまり気持ちのいいものではありません。

以上、本日の状況でした。

ポートスキャン概況（2019年10月13日）

本日の概況です。


今日は未明から15時台くらいまで、全般的にスキャン数が減少しました。16時台から元に戻っていますが、その原因は不明です。ポート別や国別を見ても全般的に同じような傾向があるため、国内の回線の状況が影響している可能性もあります。

1433/tcpでも同様の傾向が出ていますが、引き続き相対的に活動は活発です。



国別でもスキャン数が多い中国、米国、ロシアなどで、同じように一時的な減少傾向が見られました。







以上、本日の概況でした。

1433/tcp活動が継続中（2019年10月10日 ポートスキャン概況）

本日も1433/tcp（MS-SQLサーバポート）宛ての活動は高止まりしています。ポートランキングでは、第3位ですが、そろそろ第2位の445/tcpに迫る勢いです。



1433/tcpのトレンドは以下のようになっています。



活動の中心は引き続き中国です。中国ではこの3日間の集計で1433/tcpがトップとなっています。



5555/tcp（Android ADBポート）では、午前0時台にフランス発で活動が活発化しました。



国別では、香港で午後9時台に23/tcpの活動が高まりました。ここでも、1433/tcpは3日間のトータルでは445/tcpを越えて第2位となっています。香港での第1位は、5555/tcpで、Android ADBポート経由でのマルウエア感染が相対的に多いことを示唆しています。



韓国発でも、1433/tcpが23/tcpについで第2位となっています。mata,
5555/tcpも上位につけています。



雑多なポートへのスキャンが多い米国、ロシアでも、1433/tcpは23/tcp,445/tcpについで第3位をキープしています。





日本での1433/tcpは、今日の未明に一旦落ち着いた活動が昼前後にかけて活発化し、また夕方にかけて退化するというパターンが見られました。相対的に活動は低下しているように見えますが、3日間のトータルでは、依然として445/tcpに次いで第2位となっています。こうしたパターンから、発信元がサーバ等、常時ネットワークに接続されているものでなく、PCのように停止したり、ネットワークから切り離されたりするデバイスが発信元になっている可能性が高いと考えられます。



1433/tcpについては、引き続き警戒が必要と思われます。

明日、明後日と越後湯沢の情報セキュリティワークショップ参加のため、レポートができないかもしれません。観測は継続しているため、変化があれば後日レポートします。

1433/tcp活動拡大中（2019年10月9日のポートスキャン概況）

本日も引き続き、1433/tcp（MS-SQLサーバ）宛てのスキャン活動が拡大しつつあります。


過去3日間のトータルでは、1433/tcpは23/tcp, 445/tcpについで第3位となりました。活動地域も中国からアジア、米国、中南米、ヨーロッパと広がりを見せています。（本日お昼頃のデータ欠落は、データ処理仮想マシンが動いているWindowsサーバのメンテナンス（恒例のパッチ当て）によるものです。今回もクリティカルな脆弱性が多いので、パッチはお早めに・・・）



国別に見ると、中国（CN）では、現時点で1433/tcpのイベント数がトップとなっていて、今回の活動の中心となっています。



韓国（KR）でも活動は活発化しています。この国は以前、SQL Slammerに席巻された歴史も有り、SQLサーバポートがインターネットに晒されている数も他国に比べて多いようです。



米国（US）やロシア（RU）では、幅広いポートの活動に埋もれがちですが、トータルで見ると1433/tcpの活動が上位にいることがわかります。





日本国内でも数は少ないですが、相対的に活動が活発になっているようです。



ちなみに、日本での、この3日間ほどの1433/tcpスキャンの発信元を見ると以下のような感じで、絶対数はそれほど多くありません。



気になるのは、その多くがISPのダイナミック割り当てレンジのIPのように見えることです。可能性としては、サーバではなく、PCになんらかのマルウエアが感染し、それが1433/tcpを利用した活動を行っていることなどが考えられますが、現状、確かな原因は不明です。いずれにせよ、活動は依然として拡大傾向にあるため、警戒が必要でしょう。

以上、本日の状況でした。

ポートスキャン概況（2019年10月8日）

本日の概況です。

本日は1433/tcp （MS-SQLサーバ）宛ての活動が急増しています。

活動は中国を中心に日本を含むアジア各地、米国などで高まっていて、なんらかのマルウエア活動の可能性もあります。データベースサーバのサービスをインターネット上に公開することはリスクを伴います。過去には SQL Slammerなどのマルウエアに席巻されたこともあり、経過を見る必要がありそうです。こうしたマルウエアによる攻撃は、内部ネットワークで感染した場合でも発生する可能性があります。外部向けに1433/tcp宛ての通信が発生していないか注意も必要でしょう。

23/tcp（telnet）では、お昼前後にイタリア（IT）発のスキャンが増加しました。

5555/tcp（Android ADB）宛てでは、午後にブラジル（BR）発の着信が増加しました。

日本国内IP発のスキャンでも1433/tcpの増加は観測されています。

Webサーバ宛てのDoSライクな着信も、引き続き断続的に発信元を変えながら発生しています。

以上、本日の状況でした。

ポートスキャン概況（2019年10月7日）

本日の概況です。



本日19時以降、米国及びアジア各国で、1433/tcp（MS-SQLサーバ）の活動が高まりました。マルウエアの可能性もあり注意が必要です。



国別では、中国発で、このところ広範囲のポートに対するスキャンが時々発生しています。人為的なサービス探索活動の可能性があります。



日本発の活動は相対的に低いですが、このところ445/tcpの活動に加えて、本日は1433/tcpの活動も観測されていて、これらもなんらかのマルウエアが関係している可能性があります。



本日はまた、Webサーバ（80/tcp,443/tcp）に対するDoSライクな着信が発生しています。発信元のIPは米国から、マルタ島、マン島などに変化しながら継続しています。



以上、本日の概況でした。

ポートスキャン概況（2019年10月4日）

数日、多忙のためレポートをサボってしまいました。本日の概況です。



今日は、23/tcp（telnet）での活動が引き続き活発でした。18時台にトルコ（TR）発でスキャンの一時的増加が見られました。



中国（CN）発でも23/tcpの活動は引き続き活発です。



香港（HK)発でも午前4時台に23/tcpの活発化が見られました。



ベトナム（VN)発では、このところ445/tcp（SMB）の活動が活発化しています。



米国とロシア発では、引き続き広範囲のポートへのスキャンが観測されています。





日本発で、昨日あたりから、445/tcpの活動が相対的に高まっています。なんらかのマルウエア活動の可能性もあります。



しばらく発生していなかった、WebサーバへのDoS的な着信が昨日からまた発生しました。今回は、80/tcp（http）と443/tcp（https）の両方に、コネクションを確立する形のアクセスがあります。（以前のものはSYNパケットのみでした）一方、サーバログで見るとリクエストは受信しておらず、コネクションを張るだけのもののようです。



以上、本日（4日）の概況でした。