第20回室長スペシャル！

00:00

室長スペシャル，セキュリティのアレは2人で考えたんでしょ?

室長スペシャル，タイトルとかその時その時に気になった別業界のキーワードとか入れること多いんですよ宮田さん

室長スペシャル，例えば僕の一番初めの連載セキュリティ対策のある視点ってやつなんですけど

室長スペシャル，あれは映画のある視点っていう表彰のやつがあるんですよね

室長スペシャル，その後ダークナイトは完全にバッドマンから撮ってるんですけど

室長スペシャル，パクリ? パクリじゃない影響を受けたんだ

室長スペシャル，インスパイアーザ・ネクストです

室長スペシャル，これこそパクリですよ

室長スペシャル，だからセキュリティのアレももしかしたら何かか撮ったかもしれないんですよ

室長スペシャル，その頃やったかな情熱のアレっていう漫画があるんですよ

室長スペシャル，女性向けのやつなんですけど

室長スペシャル，外から撮ったのかもしれない聞いてないんですけど

室長スペシャル，ということで始まってました

室長スペシャル，また? また始まってたぞ

室長スペシャル，始まってます

室長スペシャル，やばい感激間近で始まってました

室長スペシャル，今回はあまり間開かずにやってますね

室長スペシャル，間開かへんというか 11月の積み滅ぼしをやってるんですけど

室長スペシャル，今日年末ですけどね

室長スペシャル，年末ですよ 12月28日です

室長スペシャル，仕事収め

室長スペシャル，都内某所のティーソックかな

室長スペシャル，仕事収めしてきました?

室長スペシャル，何かするの?

室長スペシャル，だってもうあれでしょ今日だって夜の8時ですからね今

室長スペシャル，え?

室長スペシャル，仕事してきた後でしょ

室長スペシャル，え?

室長スペシャル，細かいことはあまり言わないんですけどね

室長スペシャル，そうですね

室長スペシャル，時差とかありますからね

室長スペシャル，時差あるあるある

室長スペシャル，ということで今日はゲストは

室長スペシャル，久しぶりちゃいます

室長スペシャル，ゲストとかそういう雲あんの?

室長スペシャル，そもそも

室長スペシャル，ゲストとか番組っぽいじゃないですか

室長スペシャル，そういう感じ

室長スペシャル，ゲストとホストみたいな

室長スペシャル，これでも結構抑えてるほう

室長スペシャル，笑っとんねん

室長スペシャル，仮想環境っぽいから

室長スペシャル，結構そういうのやりたいの

室長スペシャル，抑えてるんですよまだこれでも

室長スペシャル，コーナーとか作りたいもん

室長スペシャル，いつも雑談コーナー

室長スペシャル，辻論、口論

室長スペシャル，パクリパクリ

室長スペシャル，パクリだよ

室長スペシャル，マジっすか

室長スペシャル，辻論

03:01

室長スペシャル，口論

室長スペシャル，行く辻来る辻

室長スペシャル，オブジェクションみたいな

室長スペシャル，腹立ってきた

室長スペシャル，ゲスト来とる言うとる

室長スペシャル，なかなか僕話し始められないんですけど

室長スペシャル，今日のゲストは

室長スペシャル，肩書きとかよく知らないんですけど

室長スペシャル，おいおい

室長スペシャル，雑だな

室長スペシャル，読み方雑じゃない

室長スペシャル，ゲスト呼んどいて雑だと

室長スペシャル，自己紹介させるのもあれかな

室長スペシャル，自分紹介したことないもんね

室長スペシャル，今日はNICTの

室長スペシャル，井上室長

室長スペシャル，室長でいいんですよね

室長スペシャル，室長が来てくれてまして

室長スペシャル，よろしくお願いします

室長スペシャル， NICTといえばあれですよ

室長スペシャル，初めてだねゲストとしても

室長スペシャル，そうですよ

室長スペシャル，看護さんもゲストなんだよね

室長スペシャル，ゲストだったら

室長スペシャル，看護さんはスーパーサブです

室長スペシャル，かっこいい

室長スペシャル，スーパーサブですからね

室長スペシャル，俺もなりたいスーパーサブ

室長スペシャル，せっかく井上さん来てくれてるんで

室長スペシャル， NICTといえばみたいな

室長スペシャル，話もできたらいいな

室長スペシャル，よろしくお願いします

室長スペシャル，この間ね

室長スペシャル，あのー

室長スペシャル，トイレに行ったんですよ

室長スペシャル，あのー

室長スペシャル，いきなりちょっと待って

室長スペシャル， NICTと関係ある?

室長スペシャル，関係あるよ

室長スペシャル，今言うとかな多分

室長スペシャル，言う話聞くことないやろ

室長スペシャル，あのー

室長スペシャル，トイレ出先のトイレって

室長スペシャル，あのー

06:01

室長スペシャル，あのー

室長スペシャル，キナリ!キナリ!

室長スペシャル，着らしたよそっち

室長スペシャル，すごいね、戻し方

室長スペシャル，キナリ!ジジでたね

室長スペシャル，ブーターストレッサーサービスが

室長スペシャル，一斉…一斉というか

室長スペシャル， FYIは複数のヤツを

室長スペシャル，キナリ、きたね

室長スペシャル，摘発したぞ、ってことが

ブーターストレッサーって言葉ってそもそも定着してるんですかね?

結構日本ではあんまり使われてないかもな

なんかねブーターとかストレッサーって

ネギスさんとかカンゴさんとか井上さんもそうですけど

その辺ぐらいからしか聞いたことない言葉

そうかもね

ドスクラスターって

なんかドスクラスターって

これ結構公演とかでDDoSの話するときには

よくブーターストレッサーの話って毎回触れるけどね

そのときどうしてます?

ブーターストレッサーって言うだけ?

それともブーターストレッサーとは?

説明するよ

ブーターストレッサーって一般に言いますけど

いわゆるDDoSの代行サービスで代わりに攻撃してくれる

お金とか払うと

ビットコインなり何なりを払えば

DDoS for hireサービスっていったり

いろいろ言い方ありますねみたいな説明は一応するよ

でもブーターストレッサーって言葉はよく出てくるから

みなさん知ってねって

これを機会に

公演ではそういう紹介する

僕もだいたいDDoS代行サービス

あとは加計さんの漢字見て

そもそもブーターストレッサーって資料には書いてるけど

声には出さんときはありますけどね

英語圏では普通に使うからね

ニュースとかでも出てきますしね

今回の司法省のやつにも普通にブーターストレッサーって書いてあるから

基礎上に書いてあるからね

書いてあるから

ストレッサーっていうのがストレスを与える

webのアクセスのストレステストと表彰して売ってるサービスがあるじゃないですか

ブーターってなんでブーターって言うんですか

なんだろうね

え?

ブートする

ブーターストレッサーサービスを摘発したっていう

なんか基礎上エンギンさん読まれたらしくて

結構ねこれ面白いこといろいろ書いてあって

みんなさニュース特にほらこういうの摘発しましたっていうのを

日本語に出てきたニュースとかを見て

えーって思うじゃない

今回もGDNETとかね

もうちょっと興味持ってる人だと

オリジナルのじゃあソース読もうかって言って

英語のニュースぐらいは見るけど

でも基礎上までみんな読まないじゃん

でも基礎上読むと結構詳しいこといろいろ書いてあって

面白いこといっぱい書いてあるの

今回のやつもトータル3人

サービスに関わってた人たちが摘発されてるんだけど

そのメインで摘発されたサービスがね2つあって

なんだっけ

ダンゼムってやつとアンプノードっていうサービスがあって

09:01

これもう何年も前からずーっと使われていて

その利用状況とかさ結局差し抑えてるから

どれくらいのユーザーがいて

何人ぐらいがどれくらいの頻度で使ってるかとかっていうのも

結構書いてある

いくら儲かったかとかも書いてある

あと面白いのがアンプノードっていうサービスは

他のサービスに売られている

OEM販売っていうかさ

そのバックエンドのシステムは一緒?

チャンネル販売みたいなものってことですか

サーバーを使って別の人に

その人自身のサービスを作っていいよっていう

そういうサービス

サーバーだけ作ってくれれば何%が取り分お前みたいな

そんな感じの仕組みなんですかね

あといわゆるアンプ攻撃ってさ

DNSとかNTPとかUDP使った

アンプの攻撃ってよくドス攻撃で使うじゃない

あれの踏み台に使えるアンプリストっていう

IPアドレスのリストを販売したりとか

そういうのもやってる

手広い

単純に利用者として使わせるだけじゃなくて

自分もサービスを提供したい人向きに

インフラを提供するとか

リストを提供するとかっていうこともやってる

フランチャイズ展開みたいな

その捕まったもう一人はそれを使って

自分のサービスを2012年ぐらいからずっと動かしてる

っていう人が捕まってて

6年間ぐらいやってたってことですね

結構そういう実態を書いてあって

面白いこういうなるほどねと

みんなそうやってるとはみんな知ってたけど

実際捕まって

あんまり明らかに

同じやつやってるなみたいな

あと日本だとちょっとできないかもしれないな

ってちょっと思ったのは

今回FBIが摘発するにあたって

実際にサービス買って試してるんだよね

いくつも

僕らがずっと気にしてたことじゃないですか

それ書いてあって

どことは書いてないんだけど

複数のサービスを実際に買って試しました

でスタンダードのサービスを買って

いろいろプレミアムとかいっぱいあるじゃん

継続時間が長い

さすがに高いやつは買えないから

スタンダードのやつを買って試してみたら

30GBPSぐらいの攻撃能力がいました

っていうことを書いてあって

言ってるメニューに書いてあるのは

おおむねたの正しいっていうか

中には言ってるのと全然違う攻撃能力が

正しくないやつもあったけど

メジャーで利用者がいっぱいいるやつは

だいたいその言ってる通りの攻撃能力がある

ということが分かりました

だからこいつらは悪意があるっていうか

そういう攻撃能力があるからやばいんだと

だから摘発するんだ

そういうふうに基礎上に理由が書いてあるわけ

摘発するに至る一つの証拠語の一個

そうそうそう

こいつらだから適当なこと書いてるんじゃなくて

本当に攻撃能力があるし

攻撃に使えてるから

だから摘発するんだよっていう

そういう主張でね

12:00

どこに向けて打ったんですかね

多分自分で一応管理してて

トラフィックとか見れるところだと思うけど

そこまで書いてなかった

でもそういう時ってやっぱあれなんですか

プロバイダーとかバックボーンに協力要請

あらかじめ言うんじゃない

してんのかな

かないしは自分たちがちゃんと管理してるところなのか

分かんないけどどういうインフラ使ったのかは書いてなかった

そこまでは書いてない

何年か前にオランダの大学で

同じようなことやってる学生がいて

悪い側ですかいい側で

いい側で

いい側じゃないでしょ

いい側でしょ

研究するためにブータサービス買って

その学生は自分の大学に向けて打ち込んで

それ許可取らず

許可取って

よくしてくれましたね

大学の先生に許可を取って

自分の大学にドスを打ち込んで

誰の先生が許可出せるんですね

結構やっぱりオランダとかそうですけど

かなり踏み込んでやっていて

学生は確かローエンフォースメントの

警察から来ている社会人の学生

なるほどね

年齢はちょっと上なんですね

結構上なんですけど

そうすると自分のところに打ち込んでくるんで

打ち込むために使われている

アンプリファイヤーとして使われている

DNSとかNTPのリストが作れる

送信元がね

送信元があるから

だからそのブータサービスで使われている機器のリストには

リフレクターはこれですみたいなのが上がってきて

結構面白いですね

今言われて思い出したけど

それは多分それとは別の研究かな

同じやっぱ大学の研究機関で

複数のアンプのサービスを全部調べて

そいつらの送信元がだいぶ重なっている

結局みんな同じアンプのサーバーを使っている

っていうのを調べた研究もある

そういうのちょっとね

なんかやりにくいけど

やってみるとすごい面白い結果が得られる

気になってたのが

一時期Memcachedが

今年の2月

1.何テラとか

ニュースにもなってたじゃないですか

ブータサービスとかにも

いろんな選べるんですよねあれ

HTTP打つとか

ICMPとかUTPとか

いろいろ選べるじゃないですか

結構メジャーどころとか

お金ちゃんと取ってるようなところだと

そういうのが多岐に渡る選択肢がいっぱいあるんですよ

ちょうどそのタイミングで

Memcachedが組み込まれたりするかなと思って

一時期20個ぐらい

ブータサービスのアカウント作って

作らなくても見れないじゃないですか

結局その時は早すぎたのが

なかったんですよね

それと同時に気づいたのが

結構久しぶりに間開けて

ブータサービスを見に行ったんですよ

有名どころみたいな

上から20個ぐらいみたいな感じで見ていったんですけど

無料プランみたいな

お試しプランみたいなのが

昔あんまなかったんですけど

すごい数あるんで

さっき言ったFBIが試したスタンダードプランみたいなやつなんですよね

無料プランやったらどれぐらいでいいのやろうとか

15:01

その辺は結構気になるなと思って

でも試せないじゃない

お試しだとたぶんそんなには出ないんだろうな

たぶんね

たぶんそうなんですけど

やっぱり見てみないとわからないじゃないですか

簡単に試せないよね

NYCDとかそういうのやったらどうでしょう

今ちょっと折行と思ってました

ちょっと売ってみていいですかみたいな

自分たちのインフラに向けてぶっ放すみたいな

無料プランだったら

別に向こうの日本社会勢力に

お金落としてないわけじゃないですか

お金を払わなければいいかというと

そうとも言えなくて

結局踏んでるんだよね

そうかそうか

そういうリスト裏で何が使ってるかって

こちらからコントロールできないじゃん

そうするともしかしたら

攻撃にあたって

何かしていて

僕らが攻撃を依頼したことで

その踏み台に何か不利益があったら

通信遅くなるとかかもしれないし

それで別にね

訴えられはしないかもしれないけど

そういうことを言う人もいるでしょ

そういう場合に

なんて反応するかっていったら結構難しい

難しいんですよね

ってなってきたときにやっぱり

IoTスキャンってことになってくる

そこに

いやいやほら

無理矢理繋げただけ

全然無理矢理ちゃうやん

大分無理があるよ

何かあるんですか

さっきほらオランダの

何笑ったんねん

CMが入ったみたい

そうだよ

攻撃をさせることによって

ソースが分かるから

踏み台リストが

分かるわけでしょ

でもそれができないじゃない

我が国は

でもね

できないかどうかが

分からないグレーなんですよね

できないとは言ってないよ

やればできるんだよ

できるし別にやってもいいと思うけど

そんなどっちみち踏まれてるんだからさ

おっ

まあそうですね

ニカライン中踏まれてるやつに

一刻終わったところでどうってことないと思うよ

実際のところはね

どう言ってやっていいかって言うと

これは結構微妙

しかもね

それをさ

例えば国の機関とかね

どこがやるって話になるじゃない

そういうちゃんとした背景が

法的な整理がないうちにやるのは

なかなかやっぱ難しいところあるよね

だからこっちから

弱いIOT機器を探すっていうスキャン

なんじゃないのかなっていうので

繋がってるやん

繋がってるよ

スキャンのやり方がだいぶ無理があったなと思って

そう本当に

思わなかった?

ちょっとね

いやいやいいっすよ

来ました?スキャン

来ました?どこに?

自分を観測してる範囲に

すぐ来たよ

やらせていただいています

その辺ちょっともう

あれはいかがだったんですか

具体的に誰がやってるってのは

ちょっとそこには言えないんですけど

18:01

一応責任者は僕でやっています

お前さんが

撃ってるわけじゃない

僕が直接は撃ってない

ボチってエンター押すやつ

どうぞ

それめっちゃおもろい

準備できましたどうぞ

バーン

でも実際に撃つ前はこのポートで

これぐらいのPPSで撃ちますっていうのを

連絡もらって

OKってやってます

一応慎重にやらないとね

結構あの後

ツイッター上でも

うちのハニポリなんか来たとか言ってる人いっぱいいましたから

IPアドレスの元のスキャン元の

アドレスは公開してますしね

そこから来たら

ちゃんとした法的根拠のある

活動だからね

後ろ見たくないから

バナーも出てますしね

クルースキャンの

スキャナーの名前とか

入ってますね

別に言っても

全然大丈夫です

あれはなんで

ツールというかバナーにしてあるんですか

あれはマススキャンを使っているだけで

インターネット高速にスキャンする

ツールライトを使って

今だってハニポで検索している

検索じゃない観測していると

マススキャンとGMAPが

動的に多いので

マススキャンはハニポリによく来ますね

その二つがほぼスキャンで

V4空間ぐらいだったら

10分ぐらいで

全域読めるので

それぐらいのスピードでできるのって

なかなか

あの二つぐらいじゃない

今大きなメインのやつは

あれ早いやつ一個ありましたよね

何やったっけ

めっちゃ早いやつ

それだけじゃわ

GMAP

出た出た

聞いてないから

今マススキャンとGMAPの

二つ言ってたじゃん

GMAPって言いました

滑舌が悪かった

発音が良すぎた

スキャンは

言えないことは

言えないことは黙っとく

いっぱい聞いてもいいってこと

今は

事前調査だから

まだまだ

2月以降ですね

ICT法のね

施行されてからだから

法律は11月1日

施行されてます

それ以降

だいたい今目標としては

2月末ぐらいに調査を開始しよう

今は事前調査で

今インターネットがどうなっているか

というよりもむしろどれくらいのパケットを

僕らの

通信の足回りで出せるのか

というところを調査している

聞いている人はあまり詳しくないかもしれないけど

事前の部分はどんな感じで

やって

本番はどんな感じでやるか教えてもらえますか

事前は

21:00

ポート番号そんなにたくさんなくて

調査予定のポート全てではない

じゃないですね

80番とか23とか2323とか

いわゆるIoT機器の

脆弱なやつが使っているやつ

に対してスキャンをやりましょう

スキャンの範囲は

日本の

インターネットの範囲限定なんですよね

外に行かないように

まずはそこで

スキャンは1回きりなんですか

定期的にやるんですか

定期的にやります

データ更新されていくんですね

同じ対象でも2回3回

結構それ

IoTのボットに実際感染すると

ポートが閉じたり開いたり

いろいろ状況変わるし

利用状況もどんどん変わりますからね

更新しないとね

感染したら23

逆に止めちゃったりするので

そうすると

例えば1日1回やってると

23開いてたやつが

閉じたなとか

逆にこれもしかしたら感染してる

そういう動きも全部蓄積してる

そういう意味では

スキャンするだけではなくて

データも蓄積をしておいて

後からも見れるようにしておくという

ような活動

その調査が事前の

これは本番に入ったときに

そういう調査をしましょうと

事前は自分たちのシステムのスペックを

どう決めるかというための

調査がメインなんですよね

片晴らしですよね

そうですね

アップを始めました

本番になると

今の計画では

100ポートぐらいを

まずは初年度は決めて

それに対して

1発音に対して100ポート

そうですね

1発音に対して100ポートを

1日1回ずっと舐めていくというような感じですね

そこでスキャンをして

まずどこのポートが空いているのか

というのを見て

次にバナー収集

ポートが空いているところに対しては

バナー収集をかけて

バナー収集で危機特定ができて

これはポートが空いていて

おそらくこの機種だというのがわかったら

あとは

ポートの入力ですね

そこが特定アクセスと言われている部分で

不正アクセス禁止法の

除外規定のような形で

NICTの

法律を変えて

NICTの法律を変えたのは

一番の理由は

不正アクセス禁止法を普通にやると

IDとパスワードを入れると

不正アクセス禁止法に引っかかってしまうので

NICTでこういうおさほでやれば

不正アクセス禁止法の

除外になりますよというのは

いわゆる除外規定みたいな感じになっているので

それをやると

そこまで踏み込まないと危ないか危なくないかまで

調べられないからということですよね

空いているだけではなかなか

ポートが空いてますよというだけでは

ユーザーさんに注意喚起ができにくいので

なので最終的に

このようなIDパスワードで

ちょっとやばい奴で運用しているので

というのを最後ISPさんに

24:00

お伝えをしてISPからご注意喚起をしてもらう

みたいな流れです

それあれなんですか

今回のやつが

本番のやつが一通り終わって

注意喚起をしてもらう

プロバイダーとかにしてもらうと

あと確認とかするんですか

どれくらい減ったぞと

やります当然

これ5年間の継続するプロジェクトというか業務

1年が終わりというわけではない

一応今回それは時限決まっていますので

なので5年間も

危なかった数が

注意喚起をして

しばらくスキャンを始めたら

こんだけなくなりました

ということを出すのが

目標ですね

僕中心事業者側じゃないですか

同じように

何回か

そういう脆弱性を持った

機器が使われていて

不正アクセスされているから

注意喚起して減らしましょうって

これまでも何度もやっていて

例えばそのうちの一つだとやっと減ったな

ってかかるのに2年間かかってる

やり始めてから

注意喚起し始めてから

今回のもNICTさんがチェックして

特定するじゃないですか

IPアドレスが分かりますよね

それ各プロパイダーに連絡して

各プロパイダーもそれをもとに

お客さんを特定して

注意喚起をするじゃないですか

例えばメール一本送ってやってくれる人もいれば

個別に訪問して

おじいちゃんこのホームルーター危ないから

交換しようねとか言わなければ交換できないところもあるわけですよ

分かんないから

そういうのを各プロパイダーが地道にやるでしょ

で本当に減ったねってなるまで

多分2,3年かかる

だからその5年っていうのは決して長くないんですよ

効果をちゃんと

測定するにはそれくらい

結構息の長い話ですよね

そうですね

訪問するっていうのも大変な

実際そういうのやってるプロパイダーもあるし

そこまでしないとやっぱりリーチできない

例えば

注意喚起のなんかポップアップを出すとか

いろいろメール出すとか

あるいは電話するとか

いろいろみんなISPやってるんだけど

中にはそういう直接

っていうところもあるって聞きますね

そういう訪問するっていうのは

設定を変更してあげる

場合によるんじゃないか

サービスによるんじゃないか

例えばそういうサポートまで全部やる契約していれば

そういうのやってあげるとか

そういうのもあるでしょ

そういう詐欺とかも出てきそうで怖いですね

そうね

だいたいホームルーターって

今までアップデートみんなしないからね

最近のでもちょっとずつ

自動アップデートがついてくるようになりましたけどね

そういうのが増えてくるよね

変わりますけどね

難しいよね

聞きたかったのがこれ

本当のホームルーター

脆弱なホームルーター

であるのか

僕たちみたいにやってる

ハニーポッドなのか

見分けつけるように

スキャンで見分けがつくか

見分けつけようと思えばできると思うんですけど

色々あるハニーポッドをスキャンして

その差が

27:00

本物とどれくらい差があるか見れば分かると思うんですけど

僕が心配してるのが

家に連絡来たら嫌やなと思って

プロバイダーからお前脆弱やって

別にいいじゃん

アリフォーデソーって言えばいいんだからさ

話めんどくさいじゃん

訪問来たらどうしますおじいちゃんかなと思って

いきなり来るわけじゃねえから

見分けの部分で

どうなんかなと思って

技術的には

色々ハニーポッド

ディテクションのやり方とかがあって

ポートの開き方を見てるだけで

これハニーポッドかなみたいな

いっぱい開いてますもんね

この白いのハニーポッドかなみたいなのが

分かったりするので技術的には可能なんですけど

注意喚起に乗せるときに

色々選別をして

かなり特定できて

もうこの機種だっていう風な

分かったものっていうのが

一番最初の注意喚起の

プライオリティが上がってくるんで

でないとISPさんが

なんかよく分かんないけど

IOTがあって感染する可能性がありますって言われても

ISPとしてやっぱり動けないので

数が多いしね

まず確定的なものから絞ってくると

あとはホワイトリストを

運用する予定になっているので

もうここは

ハニーポナンでやめてくださいとか

こっからここのレンジでやめてくださいっていうのを

上げる

情報として上げていただけると

そこはホワイトリストにも

乗せてでもうスキャンもしません

ということもできるようになる予定なので

シーサーと忍者も登録するよね

そうですね

海外のGMAPとかさ

マススキャンとかを使ったスキャンも

そういう受け付けてますもんね

ここはスキャンしないでねとか

今も受け付けてるし

同じような感じですよね

でもそれ来なければ来ないでちょっと寂しい感じ

そう

来たら絶対ツイートツイートする

その流したいがたびに

逆にハニーポッドの

ポート絞ろうかな

それこそハニーポッドじゃなくてさ

本物を置けばいいんだよ

贅沢性のあるルートを買ってきてさ

置けばいい

踏まれるじゃないですか

何よりそれをコントロールするのが

腕のお店とか

出ていかないようにポート絞ってね

上で絞ってね

ICMP何個投げたら止める

とか

ありましたねそういう昔ツールで

フィッシュなんとか

でもその辺のハニーポッドの

コントロールする技術って

昔からやられてるから

そういうのやるとかね

さっきのハニーポッドのケースっていう意味だとさ

ショーダンっていう検索エンジンあるよね

あれもすぐバレるやつは

ハニーポッドってタグが付いてる

バレるやつはバレる

あと攻撃する側も

例えばIDパスワード

たまに何でもログオンOKって

してるハニーポッドすぐバレるんだけど

こういうやつだと

本当はないパスワードを

入力してログオンできちゃったら

30:00

これハニーポッドって見分けるとかね

簡単な見分け方も結構あるし

何やっても入れるやつもありますもんね

ただうちごとだけど

観測とかでみんな真面目にやっているところは

それなりに見分けられないように工夫しているから

そうそう簡単に

分かんないよ外から見ても

僕は開けまくってますから

それは分かるかもね

自動的に飛んでくるようなものだけを

取りたいだけだから僕

目的によるよね

全体の状況を知りたいだけ

そういうのは別にね

バレてもいいっていうかね

本当の動きを知りたかったら

ガチガチにやらないと

いろいろあるよね

誰を騙すためにやってるかみたいなね

SSHとかテルネットのやつとかも

このIDでこのパスワードしか

返さへんように

ログインプロンプト返さへんようにするとかもありますね

設定できるからね

楽しみやな

どれだけ減ったかってレポートが

なかなかそこまで踏み込んで

今までできなかった部分だいぶこれで

変わるから結果は楽しみ

その結果ってちなみに公開されるんですか?

公開予定ですね

素晴らしい

公開大好きですから

できるだけそうで公開して

やるからには

効果をちゃんと外向きに

できましたっていうのを

言っていかないといけないし

できなかったらできなかったで

やっぱり効果上がってないんで

もっと違うやり方とか

考えないといけない

自分たちでもハニーポッドを

やってるからさ

NYCTさんもニクターも

ライブでウェブで公開してるじゃないですか

ああいうデータとかすごい参考になる

ニクター結構セミナーとかの

資料で進めてますもんね

見てる見てる

どのくらいの人が見て活用するか知らないけど

自分たちの観測範囲以外で

ニクターってさ

ダークネットなどで

たくさん見てるから

大きな動きってすぐ分かりやすいんだよね

急に何かがスパイクでポーンと増えたりすると

すぐ分かるから

あれはすごく便利で

これ全体的に

起きてる活動なのか

うちだけピンポイントで起きてる活動なのか

見分けたりとか

ニクターを見て自分のところを確認したり

逆もあると

あっちではどうなんやろ

ニクターは主に日本とかだと思うけど

海外の

アドレスもあるし

海外は海外で

そういう海外での観測状況を公開してくれるところが

他にもいっぱいあるから

そういうのを横断的に見て

そういうのを見るときに

そういう公開データって役立つ

結構大きい

アドレスを持っているところとして

比較評価したり

未来とか

あの系のアシュがたくさん出るようになってから

変なポート番号を使ったときって

一気にスパイクが

上がって出てくるんですよね

だから

トップ10リストっていうのを

毎日デイリーで公開してるんですけど

結構激しく

ありますよね

33:01

時間があればほぼ毎日

トップ10の

今日は変動があるかなって

ニクターファンじゃないですか

ファンですよ

ニクターステッカーとかないですか

ニクターステッカー貼ってるやつ

結構そういうの助かるし

観測レポートとかも書いてくれてるし

ツイッターで

投稿してくださいよ

そのデイリーのトップ10に

それはいいですよね

バットパケットとか

デイリーで出してる

あれいいよね

試験運用中の

ツイッターカウント

あれでやりましょうよ

今日のトップ10リスト

解析チームっていうのを

ニクターの中で去年あたりから作って

解析専門の

メンバーというのを増やしてやってるんですけど

外向きにどう情報出していくか

っていうので

ツイッターでかなり軽めに出せるじゃないですか

やっぱりブログとか

レポートとかってやると

重くなるんで

これどうかなとかまだ

根本原因分かってないんだけど

皆さんどうですかみたいな意味で

ツイッターにポンと出せるような

チャンネルを持っておきたいな

試験運用してる

ニクターサイバー天気予報みたいな

どっかで聞いたやつですね

あったっけ

ニクターじゃないやつでどっかあった

ニーまでは

僕も

ある程度まとまった

観測結果をブログに書くけど

そうでないやつはツイッターでよくやるし

さっきのトップ10流すだけでも

いちいちレベル見に行くのはめんどくさいけど

ツイッターがタイムラインに流れてきたら

見るとかって言ってはいると思うんですよね

で何かそこであれって思ったら

詳しく見に行けばいいですね

ある程度自動化もできそうですね

ツイッターも

トップ10って仕事とけばね

いいと思う

来年2019は

期待ですね

仕事収めから出てくる

ニクターの観測っていう意味だと

カモさんあるんですよね

件数のことで

今度は上手かったね

毎回さ

話振るの評価すんのやめて

今のは自然だったね

今なんか話変えようとしてんやろ

お前っていう顔したんですよ

モニター見てたとき

自然感じたんですよ

観測結果毎回気にされてるじゃないですか

大好物ですよね

僕も件数大好物ですけど

2017年は

1500億件だった

サイバー攻撃の件数

とかっていう名前で

NICTで観測している

データを使われる

ケースって結構

多いですよね

本当に一人歩きしてる

あれ最初何件くらいから始まったんですか

2005年が

3.何億件

2005年からいけるのすごいですよ

NICTでもう13、4年

2005年から逆の方

36:01

って言えるのがすごいなと思って

大ファンだもんね

それがどんどん増えてくるんですよね

最初3億?

2005年が3億で

2010年が何件だったかな

ちょっと忘れちゃったんですけど

途中

僕今データ見てますけど

途中

128億件

パケット数ですけど

パケット数

そこそこ

そこ大事

何なんですか

これが

今日いい回ですよ

神回です

パケット数

正確に言うと

NICTという

ダークネット

使ってないアドレスを観測してるんですけど

なので何にも

サーバーとかパソコンとかが繋がってないところを

観測してるんですね

そこに飛んできたパケットを見てるんですね

なので基本的に

感染したとか攻撃成功したとか

は一切関係なく

僕たちのNICTの観測網に

年間飛んできた

パケットの数です

全部のパケットの数です

なので

大体の全体傾向が

見えますよっていう話

それが大前提であるシステム

それがちょうど

2013年に128億

パケット数

2014年に

256

ちょうど1ニッパーから256

めちゃくちゃ気持ちいい数字

何か得てましたよね

メモリのサイズか

僕らもちょっとドキドキしてて

2015年に51に

ドキドキしてる

1024かもしれない

だんだん増えていって

去年2017年が

約1500億パケット

すごいですよね

その

あくまでパケット数なんで

本当に重要なのは

1IPアドレスあたりに

年間平均で

どれくらい届くかっていう方が重要

なぜかというと

アドレスの数が増えてる

観測のアドレス数が増えるんで

当然パケット数も増える

受ける数が増えてる

なので

ちゃんとデータとして正規化するためには

1IPアドレスに

年間どれくらい届きましたかっていうのを

見ないといけないんで

それが去年が

1IPアドレスあたり56万パケットですかね

56

それでもだいぶ増えてますよね

2014年から

伸びがやっぱり大きいよね

これよく見ると

2011年12年くらいあたりから

だんだん倍々で増えて

いってるんですね

そこのあたりから

1IPアドレスに対しても倍々で増えてる

そうですね

なぜ倍々で増えているのかっていうのは

そのあたりから

昔2010年くらいに

チャックノリスボットとかで

39:01

ブロードバンドルーターに感染するやつが出てきて

そこからIoT

今でこそIoTって言ってますけど

当時はLinux組み込み機器とか

それがどんどん増えていく感じなんですよね

だいたい

全体の統計で

こういうもの増えてますよとか

例えばWindows系の

攻撃は比率的にはだんだん下がってますよ

みたいなのを

見るためのものなんですけども

それがメディアに出ちゃうと

日本への攻撃1500億件

みたいな感じになってしまって

そんなにかよみたいな

インパクトあるもんね

それが流通しちゃうんですよね

セミナーとかでもそういうの

使ってある人いますもんね

何件

捉え方として

今みたいな

例えばWindowsよりもLinux

組み込みとか

いわゆるIoTへの攻撃が増えてますとか

そういう文脈で使うんだったら

数字としていい気がするんだけど

今鶴井さんが言ったみたいに

年々年々日本への攻撃が

増大してみたいな

脅威を煽るような文脈でただ単に

数字を使いたいだけみたいなと

ちょっとその中身と違う

返りしてる気がするんだよね

数字の使い方って難しいなぁと思って

数字がタイトルに入ってる記事って

大体そういうもんじゃないですか

大体

煽ってるというか

見出しに入ってるってことですか

大体かどうかは分からないけど

そういうの多いよね

分かりやすいってのはあるんだよ

数字って分かりやすいし

伝わりやすい

間違っても伝わりやすい

でも一応増えてるのは増えてる

増えてるのは増えてる

なんか日本の政府機関に対する

攻撃が1500億とか書かれてることも

あ、そうなの?

政府機関ってのはNIGTが出してるかな

そうなんですよ

NIGT政府機関ですよねみたいな

無理やりすぎだよこれ

無理やりじゃなくて

政府機関が発表したってだけですもんね

結構

メディアに言うときには

かなり丁寧に説明をするんですよね

これは使ってないところのものなんで

直接何か

1500億回

攻撃成功したっていう話でもないですし

っていうのはやるんですけども

記事化されるとどうしても簡単な部分が

丸まっていったりしますしね

最初に出た記事って

記者さんがちゃんと考えて

こっちからのリクエストに答えて

書いてくれるとかあるんですけども

その記事をまた丸めて参照する記事

っていうのがどんどん出てくるんですね

そうすると

政府機関じゃないですみたいなのが

言ってたのがいつものように

どんどん

弁言ゲームで変わっていく

みたいなのがあるんですよね

それは他の事件とかで報道でも

時々ありますよね

途中で何か変わってるみたいな

なので

2015年までのレポートは

メディア向けに

42:00

情報出してたんですけども

2016年からレポートは

観測レポートで公開してますよね

あれすごいいいですよね

あまりにもやっぱり数字が変な形で

独り歩きするんで

ちゃんと僕たちのレポートの中には

これはどういう数字ですというのを

書いて出しましょう

そういう意図があるな

日本への攻撃1506

NICって言っとるじゃないかってなった時に

いやいや僕らはそうじゃなくて

僕らの観測網に届いたこういう数字です

最初のレポートの中には

これを

政府機関への攻撃ですというのは

間違いですって書いてあった

グラフィカルなところもあるのかもしれないですけど

日本への攻撃を

みたいな感じの見出しというか

図に説明つけるじゃないですか

一行ぐらい

それによく使われてるんですよ

日本への攻撃を

これ絶対

井上さん見てないやろなこの記事っていうぐらいの

やつが書かれてるのが

たまに見かけますけどね

結構使い回しで

世界地図上での攻撃が

飛んできてるみたいなのが

わかりやすいから

記事の内容と絵全く関係ない

あるあるある

記事の内容にNICT出てこないんですよ

全然出てけへん

悲しいなと思って

見てるんですけど

ちゃんと書いたらえらいですよね

2016から公開するようにして

あまりにもやっぱり数字が

独り歩きしすぎたっていうのがあるんで

ちょっと

ちゃんとしよう

もう結構絵時間ですよ

お?

45分ぐらい喋ってます

最近ちょっと麻痺してきてますよ

麻痺してないよ

1時間ぐらい

40分ぐらいじゃなかったですか

長くなってきてるんですよ

僕らの収録時間もやっぱ

倍々にしていかないといけない

スター

エピソードをシェアする

メッセージを送信

セキュリティのアレ

スター

コメント

こちらもおすすめ

第20回 室長スペシャル！

エピソードをシェアする

セキュリティのアレ

コメント

こちらもおすすめ

第20回室長スペシャル！