ポートスキャン概況（2019年9月17日）

本日の概況です。


本日は5500/tcpで英国（GB）発の活動が活発化しました。


英国発では、少ないながら、60001/tcpでも活動が見られています。Mirai系のIoTマルウエアの活動が活発化した可能性があります。



1433/tcp（MS SQLサーバ）へのスキャン活動は引き続き中国発などを中心に、相対的に高い状態が続いています。



国別では、中国発で広範なポートへのスキャンが活発化した時間帯がありました。




日本発では、一昨日頃から、またICT-ISACによるスキャンを観測しています。今回のスキャンは昨日午後4時台で終了しています。



この活動で、他のスキャンが埋もれてしまうため、以降、当該IPからのスキャンを観測から除外することとしました。除外すると、以下のような状態になります。移動平均線は既に計算済みのデータのため、二日間はリセットされません。



これを見ると、日本発でも広範なポートへのスキャンが発生している傾向が出ています。時間単位のイベント数が２以上のポートを対象にして表示していますが、積み上げグラフの制限を超えていて、すべては表示できていません。また、大多数のポートへのスキャン回数は1時間当たり４回以下のようです。少数のホストから広範なスキャンが行われているものと思われます。米国発などでも同様の傾向が見られており、なんらかのマルウエアによる活動とも考えられます。

以上、今日の概況でした。

ポートスキャン概況（2019年9月16日）

本日のスキャン概況です。今日は445/tcp及び139/tcpで活動が活発な時間帯がありました。



445/tcpで午前3時台にベトナム、インドで活動が活発化し、午前8時台には139/tcpで同じくインド、ベトナムで活動が活発化しました。マルウエア活動の活発化の可能性があります。



1433/tcp（MS SQLサーバポート）宛ての活動は引き続き中国を含む複数の地域で活発な状況が続いています。



5555/tcp（Android ADBポート）宛ての活動が、午後8時台にフランスで活発化しています。



国別では、ロシアで広範なポートへのスキャン活動が高いレベルを維持しているほか、日本でも、広範囲のポートに対するスキャンが活発になっています。





以上、本日の概況でした。

2019年9月14日～15日にかけてのスキャン観測状況

昨日（14日）から本日（15日）にかけての状況をまとめました。23/tcpでは、韓国方面で本日6時台に一時的に活動が活発化しました。



1433/tcp （MS SQLサーバポート）宛ての活動が、昨日午後に中国を始め多数の地域で活発化しました。



5555/tcp （Android ADBポート）宛てでは、本日13時台にイタリア発の活動が活発化しました。



国別では、ここ数日、広範囲のポートへのスキャンが観測されていた米国発で、昨日13時台から14時台にかけ広い範囲のスキャンの増加がみられました。



こうした広範囲のスキャンが増加する傾向は日本でも見られます。



先日のICT-ISACのスキャン活動（IoT機器の脆弱性探索）とはまた異なり、より広範囲のポートへのスキャンが見られます。これらの広範囲へのスキャン活動の意味は不明ですが、意図的に広範囲のポートスキャンが行われている可能性があります。

ポートスキャン概況（2019年9月12日）

今日の概況です。



午後から夜にかけて、5555/tcp（Android ADBポート）へのスキャン活動が米国で活発化しています。



3389/tcp（RDP）では、中国とロシアで活発化する時間帯がありました。8月14日に公開されたRDPの脆弱性（攻撃は未確認）を探索する活動の可能性もあります。



以上、今日の概況でした。

ポートスキャン概況（2019年9月10日）

今日の概況です。今日は23/tcpの活動が活発化した時間帯がありました。


23/tcpは11時台に米国、14時台に中国で活発化しています。



22/tcp（SSH）は9時台に欧州方面（ベルギー、英国、ルーマニアなど）で活発化が見られました。3389/tcp（RDP）は、引き続きロシアがでの活動が活発ですが、今日は韓国や中国、ベトナムなどでも活動が見られました。



Windows系サービス対象のスキャンでは、139/tcp（netbios）の活動が、7時台の中国で活発化しました。11時台にはトルコでも若干活発化しています。445/tcp（SMB）の活動は引き続き幅広い地域で活発となっています。



このところ下火だった53413/udp（netis/netcoreルータの脆弱性狙い）の活動が、米国で活発化しました。60001/tcpポート（IoT製品のサービスを狙ったもの）の活動は、このところ漸減傾向でしたが、昨日から今日にかけて米国方面で活発化の傾向が見られました。IoTマルウエアの活動が活発化している可能性があります。



国・地域別では、中国で先に述べた23/tcpの活動が顕著でした。韓国においても23/tcpが活発化した時間帯があります。また、時々RDPに対する活動も観測されています。



香港では、16時台に6379/tcp（Radius）や関連ポートを宛先とした活動が高まりました。台湾では、引き続き23/tcpの活動が活発です。



米国では、先に述べた23/tcpの顕著な活動が見られました。ロシアでは、引き続きRDPを狙ったとみられる3389/tcpやその周辺、下位桁が3389のハイポートなどへのスキャンが活発です。また、今日は10時頃に22/tcpの活動が活発化しました。その他、主要なサービスやその周辺をスキャンするような活動が続いています。



今日は、日本発のスキャンも調べて見ました。



驚いたのは、昨日の午後4時台までとそれ以降の状況が大きく異なることです。雑多のポートに来ていたスキャンがなくなり、（ノイズがなくなって）23/tcpへのスキャンが目立つようになっています。不具合を疑って調べて見たところ、7日の午前10時頃から9日の午後4時台までの間、特定の（複数の）IPから非常に多数のポートに対して継続的なスキャンがあったことが判明しました。発信元のIPを調べたところ、ICT-ISACが使用しているIPアドレスであることがわかりました。一昨年あたりから、脆弱なIoTデバイスを調べるための大規模なスキャンを行っているようで、たまたまそれを検知したようです。ただ、調査のためのスキャンにしては、2日半にわたって20000回以上、250種以上のポートに対して複数回のスキャンがあるなど、ちょっとお行儀が悪いように思えます。こうした活動は必要と考えますが、その方法や頻度については改善が望まれるところです。

以上、今日の概況でした。

なお、ここに書いている事項は、限られた範囲での観測を元にしており、必ずしも一般的な状況でない可能性があります。一方で、広範囲の観測では平均化されて埋もれてしまうような事象が見えてくる可能性もあります。

ポートスキャン概況（2019年9月8日）

今日の概況です。



今日も全体的に大きな変化はありませんでしたが、23/tcpは引き続き米国や中国で活発な時間帯がありました。



Android ADBを標的とした5555/tcpでは、このところオランダ、中国、米国等での活動が活発ですが、今日はモーリシャスで一時的に活発化が見られています。



国別では、二日ぶりに米国で23/tcpの活動が活発化したほか、ロシアでは、引き続きRDPを狙ったと思われるスキャンが多く発生しています。



RDPの活発化は、先月マイクロソフトから公開された脆弱性 CVE-2019-1181/1182との関連も注意すべきでしょう。まだ攻撃コードの存在が確認されたという情報はないようですが、ワーム活動などに利用出来る脆弱性とのMSからのコメントもあり注意が必要です。

以上、今日の概況でした。

ポートスキャン概況（2019年9月7日）

今日の概況です。



全体的に大きな変化は見られませんでした。81/tcpで今日も一時メキシコ発の活動が活発化したほか、8080/tcpでも若干メキシコ発の活動が見られます。これらはIoT系マルウエアの活動である可能性があります。


中国発では65533番ポート宛ての活動が見られますが、これが何かは不明です。



香港では、朝4時台に8000番台ポート（8008,8080,8443など）を宛先とした活動が活発化しました。これらは、IoTやネットワーク機器などの管理Webを狙ったものの可能性があり、IoT系マルウエアによる活動が疑われます。台湾で一時活発だった37215/tcpの活動は下火になり、現在は23/tcpの活動が多くを占めています。



米国の23/tcp活動は今日は落ち着いています。ロシア発では、あいかわらず雑多なポートへのスキャンが広く発生していますが、RDPポート（3389/tcp）に関係する番号（13389,23389,33389やその周辺の番号）へのスキャンが活発でした。標準のポート番号から変更することが多い番号を狙ったものと思われますが、ロシア発ではこうした形のスキャンが他のサービスでも見られ、なんらかのツールを使ってスキャンしている可能性も疑われます。幅広く攻撃対象を探しているという印象です。またMS PPTPのポートである1723/tcpポートへの活動が午後8時頃に高まりました。



以上、今日の概況でした。