ラック、「侵入傾向分析レポート Vol.1」を公開。Webへの攻撃が大多数

■URL
http://www.lac.co.jp/security/jsoc/report/intrusion_trend_report_vol1.pdf

　株式会社ラックが運営するJSOC（Japan Security Operation Center）は、ネットワーク攻撃者の侵入傾向を分析した「侵入傾向分析レポート Vol.1」を公開した。Webサーバーへの攻撃が多い傾向が表れている。

　JSOCは、企業やISPなどを対象とした不正アクセス対策やセキュリティ運用管理を行なっている組織。今回発表したレポートは、JSOCのIDSやファイアウォールのログをもとに、今年1月～5月までの攻撃者の侵入傾向を分析したもの。各攻撃行為が本当に攻撃を示すものか、また攻撃対象のサーバーに影響をもたらすものかなど、攻撃内容を検証した上で分析を行なうことで、誤検知を除いて調査精度を高めているという。

　レポートによれば、攻撃先サービス別で見ると、Webへの攻撃がもっとも多く52％。次いでDNSが10％、以下SSH、TELNET、RPCがいずれも5％と続いている。ワームによる感染は除いているにもかかわらず、Webサーバーへの攻撃が圧倒的に多い。またSSHやSSLといった暗号化通信はIDSで検知されにくいことから、古いバージョンのSSHサーバーへの攻撃も多いという。

　JSOCでは、侵入されたケースの多くが、サーバーアプリケーションのアップデートはもちろん、ファイアウォールのACL（アクセス制御リスト）の設定が適切に行なわれていない例が多かったと指摘している。

　また攻撃傾向としては、3月以降に、2002～2003年に報告された脆弱性を利用した攻撃が増えているという。2003年前半のWebへの攻撃傾向を分析すると、最も多かったのがOPEN SSLの脆弱性を利用した攻撃で、全体の33％。次いでIISへのUnicode脆弱性利用が23％、IISのWebDAVに関する脆弱性利用が21％、Apacheの脆弱性利用も21％となった。特に4月以降はOpenSSLとIIS WebDAVへの攻撃が急増しているほか、Apacheへの攻撃も増加傾向にあり、Webサーバーへの攻撃が75％を超えているという。

　また攻撃を受けた業界別では、学術研究機関が最も多く、47.2％と半数近い。これには研究者個人にサーバーの管理が任されているケースが多く、システム管理者がすべてのホストを把握しにくいことが大きな原因だという。以下製造業の14.4％、情報の10.2％、金融の7.4％、卸売りの5.1％と続いている。製造業の多くは、ワームの感染に起因するもの。

　JSOCでは、Web攻撃へのセキュリティ対策として、ApacheやIISばかりに気をとられている傾向があると指摘。Apacheのバージョンを最新版にしているが、OpenSSL やPHPなどのアプリケーションに対策がとられていないサーバーが多く存在することから、今後も攻撃は増加すると予測している。

◎関連記事
■WebDAVに関する脆弱性はIISを起動していないWindows 2000にも影響

(2003/7/10)

[Reported by aoki-m@impress.co.jp]