情報セキュリティ技術動向調査（2009 年上期）

 　MUSTAN(MUlti Sensor Traffic ANalysis) はインターネット上に配置されたセンサによってインターネットに広がっているアクセスを監視することを目的としている。またアクセス量の変動を元に特に増加・拡散傾向にあるアクセスを自動的に抽出し、要注意情報としている。

 　アクセス量の変動をその発信元の数による順位の変動で判断することを特徴としており、不正、不必要なアクセスが多数存在するインターネットの状況から「「いつもと違う」部分を見つけ出すことで、実際に狙われている脆弱性を抽出する。

 　本報告では2009年前半にMUSTANで観測された以下の特徴的なアクセスについて述べる。

• Port 4899へのアクセス
• Port 1521へのアクセス
• WebアプリケーションRoundCubeへのアクセス
• WebアプリケーションDrupalへのアクセス
• WebアプリケーションHordeへのアクセス

2.1 Port 4899へのアクセス

 　6月中旬から増加しており、発信元アドレス数でみた順位的にも6位から一時2位まで顕著に上昇（図 1）している。同様の観測状況は米SANSでも言及[1]されているものと同様で、発信元に南米が多い（図 2）のが特徴である。

2.2 Port 1521

 　009年7月に入ってから、じわじわと増加を続けており、7月27日は、観測される中で発信元の数が上位に入った（図 3）ため、警告として抽出された。本ポートに関してはOracle製品に関連する脆弱性[2][3]が報告されている。また、本アクセスはその発信元がアジア圏に集中しているのが特徴である。

2.3 Web RoundCube

 　WebアクセスではオープンソースのWebメールアプリケーション、RoundCubeに対するアクセスが年明けから目立って増加している。人気のあるWebメールアプリケーションであり、国内でも一定の利用があることから、2007年にもJVN（Japan Vulnerability Notes）で脆弱性が報告[4]されていた。今回のアクセスは2008年末までに新たに明らかになった脆弱性[5]を狙ったアクセスの可能性が高く、それが急速に世界的に広がったことを示しているといえる。

 　図 5は、2009年1月にMUSTANで観測された発信元が多い不正Webアクセス上位の推移を示している。この中で’GET /nonexistenshit’および’GET ....../msgimport’として記録されているものが関連のアクセスとなる。また2009年1月8日からは関連のアクセスである ‘GET /nonexistentshit’アクセスが急増するとともに、’POST /mail/bin/html2text.php’も増加している。これは異なる2種類の脆弱性（[6][7]および[8]）に対するものであり、それらを狙った集中的な不正アクセスがあいついで発生していることを示している。

 　4月に入ると、さらにバージョン情報を収集するためと思われるアクセスが増加している。

 　以下に、主な亜種とその登場時期を示す。最初の登場以来徐々にURLパスのバリエーションが増加し、また、脆弱性が報告されているURLへの直接アクセス以外にバージョン情報の取得を目的としていると見られるアクセスが登場していることがわかる。

表 1 Roundcubeに関連する主なアクセスバリエーション

2.4 Web Drupal

 　人気のあるオープンソースCMSであるDrupalの脆弱性を狙ったと思われるアクセス(GET /user/soapCaller.bs)の発信元が5月以降増加している（図 6）。開発元でも脆弱性情報を公開しており、7月にも最新のセキュリティ修正が公開されているため、利用者は確認して更新する必要がある。

 　表 2のようにDrupalの脆弱性を狙ったアクセスは、2008年秋以降時折観測されておりユーザは開発元から発表される脆弱性情報と更新情報に注意を払う必要がある。

表 2 Drupalに関連する主なアクセスバリエーション

2.5 Web HORDE

 　一方で、図 6からは、別なアクセス(GET /horde/README)の発信元が増加していることもわかる。HordeはPHPベースのアプリケーション開発フレームワークであり、それを利用したWebアプリケーションも数多く多く公開されていることから、定常的に攻撃対象となっている。

 　図 7はその後6月の状況を示しているが、Hordeに関するアクセスが上位を占め、活動が活発になっていることがわかる。

 　表 3にHordeに関連する主なアクセスバリエーションとその最初の観測日を示す。これまではアクセス数は多くても既知のアクセスパターンに限られていたが、今年5月以降新たなパターンも観測されている。

表 2 Drupalに関連する主なアクセスバリエーション

 　これらの新規パターンは特に新しい脆弱性を狙ったものではないが、6月にはJVNでもHordeに関連した3つの脆弱性[9][10][11]に関する情報があいついで公表されており、注意が必要である。

 　MUSTANでは、不正なポートアクセスを監視し、実際に狙われているポートに関する情報を提供している。また、近年問題になっているWebアプリケーションの脆弱性についても実際に攻撃が試みられていることを示しており、広く使われているプラットフォームでは脆弱性が知られるのとほぼ同じタイミングで実際にアクセスが増加している。情報システムの管理者は、定期的にサイトを確認し効果的に対策をとっていく必要がある。