-----BEGIN PGP SIGNED MESSAGE----- ====================================================================== JPCERT-PR-2002-0001 JPCERT/CC JPCERT/CC 活動概要 [ 2001年10月1日 〜 2001年12月31日 ] 初 版: 2002-01-23 (Ver.01) 発行日: 2002-05-09 (Ver.02) ====================================================================== §1. インシデント報告 2001年10月1日から2001年12月31日までの間に JPCERT/CC が受領したコン ピュータセキュリティインシデントに関する報告の件数は 445件でした。 注: ここにあげた数字は、JPCERT/CC が受け付けた報告の件数です。従って、 実際のアタックの発生件数や、被害件数を類推できるような数値ではあ りません。また類型ごとの実際の発生比率を示すものでもありません。 一定以上の期間に渡るアクセスの要約レポートも含まれるため、アクセ スの回数と報告件数も一般に対応しません。また、報告元には、国内外 のサイトが含まれます。 [インシデント報告の送信元による分類] JPCERT/CC が受領したインシデント報告の送信元をトップレベルドメイン で分類したもののうち、件数の多いものは以下の通りです。 .au 162件 .jp 75件 .fr 66件 .edu 31件 .org 15件 .com 13件 [インシデント報告より派生した通知連絡] JPCERT/CC が受領したインシデント報告に対して、JPCERT/CC から国内外の 関連サイトに通知連絡した件数は 379件です。 [インシデント報告のタイプ別分類] I. プローブ、スキャン、その他不審なアクセス JPCERT/CC では、防御に成功したアタックや、コンピュータ/サービス/弱点 の探査を意図したアクセス、その他の不審なアクセス等、システムのアクセス 権において影響が生じない、または、無視できるアクセスについて 393件の報 告を受領しています。 このような探査は、自動化ツールを用いて広範囲に渡る任意のホストに対し て行なわれています。セキュリティ上の弱点を放置していると、弱点の存在を 検出され、ホストへの侵入等さまざまなアタックを受ける可能性があります。 参考文献 [1] [2] [3] [4] [5] [6] をご参照ください。 今回受領した報告に含まれるアクセスのうち、ポートごとの報告件数が 多いものを以下に列挙します。 111 (sunrpc) 63件 (*1) 27374 49件 (*2) 12345 42件 (*3) 21 (ftp) 40件 80 (http) 39件 (*4) 53 (domain) 32件 137 (netbios-ns) 31件 515 (printer) 29件 22 (ssh) 23件 139 (netbios-ssn) 20件 23 (telnet) 14件 (*1) 通常、このアクセスは他の RPC サービスに対するアクセスの前段 階として行なわれます。この項目に分類されているアクセスについては、 他の RPC サービスへのアクセスを意図したアクセスである可能性もあ ります。参考文献 [7] をご参照ください。 (*2) (*3) 通常、このアクセスはコンピュータウィルスやワームによっ て設置されたバックドアからの侵入の試みと考えられます。参考文献 [8] [9] をご参照ください。 (*4) http://ホスト名/cgi-bin/... という URL へのアクセスが報告さ れています。参考文献 [10] [11] [12] [13] [14] [15] をご参照くだ さい。 また、ワームによる感染の試みやワームなどによって設置されたバック ドアからの侵入の試みと思われるアクセスも報告されています。参考文 献 [16] [17] をご参照ください。また以下の URL もご参照ください。 Microsoft IIS の脆弱性を使って伝播するワーム http://www.jpcert.or.jp/at/2001/at010018.txt Microsoft IIS の脆弱性を使って伝播するワーム "Code Red II" http://www.jpcert.or.jp/at/2001/at010020.txt 80番ポート (HTTP) へのスキャンの増加に関する注意喚起 http://www.jpcert.or.jp/at/2001/at010023.txt II. サーバプログラムの不正中継 JPCERT/CC では、なりすましなどの目的で、電子メール配送プログラムやプ ロキシサーバなどを不正中継に使用したアクセスについて 3件の報告を受領し ています。 この攻撃を受けたホストは、大量の電子メールの中継地点として計算機資源 を利用されることがあります。電子メールの中継については、参考文献 [18] をご参照ください。また、掲示板への書き込みや Web サーバへのアクセスな どが、あたかもそのホストから行なわれたように見せかけられることがありま す。 III. 送信ヘッダを詐称した電子メールの配送 JPCERT/CC では、送信ヘッダを詐称した電子メールの配送について 9件の報 告を受領しています。 電子メールの送信ヘッダを詐称して、メールの中継には関与していない第三 のサイトへのメール配送が行なわれています。この結果、多量のエラーメール が作成され、計算機資源やネットワーク領域が消費される可能性があります。 また、これらのメールの発信元であるという疑いをもたれる可能性があります。 送信ヘッダを詐称した電子メールの中継については参考文献 [19] をご参照く ださい。 IV. システムへの侵入 JPCERT/CC では、管理者権限の盗用が認められる場合を含むシステムへの侵 入について 11件の報告を受領しています。侵入を受けた場合の対応について は、「コンピュータセキュリティインシデントへの対応」 の V. および VI. を参照してください。 コンピュータセキュリティインシデントへの対応 http://www.jpcert.or.jp/ed/2001/ed010004.txt 今回受領した報告において、侵入の原因として指摘されている弱点のうち、 主なものを以下に紹介します。 SSH サーバプログラムに含まれる弱点 [20] [21] [22] Microsoft IIS に含まれる弱点 [23] [24] [25] * Microsoft IIS に含まれる弱点については以下の URL もご参照く ださい。 Microsoft IIS バージョン5.0 のセキュリティ上の問題について http://www.jpcert.or.jp/at/2001/at010008.txt Microsoft IIS Index Server に含まれる脆弱性に関する注意喚起 http://www.jpcert.or.jp/at/2001/at010010.txt 今回受領した報告において、侵入後に行なわれた操作として指摘されている 行為のうち、主なものを以下に紹介します。 (1) 当該サイトを経由した他サイトへのアクセス (ワームを含む) (2) システムの改ざん (ファイルの置き換え、ログの消去、Webページの 改ざんなど) (3) DDoS (分散型サービス運用妨害) ツールの設置 (4) サーバプログラムのインストール (バックドアの設置など) (5) ネットワークの傍受 今回受領した報告において、侵入に用いられたと思われるワームのうち、主 なものを以下に紹介します。 CodeRed ワーム [16] * CodeRed ワームについては以下の URL もご参照ください。 Microsoft IIS の脆弱性を使って伝播するワーム http://www.jpcert.or.jp/at/2001/at010018.txt Microsoft IIS の脆弱性を使って伝播するワーム "Code Red II" http://www.jpcert.or.jp/at/2001/at010020.txt W32/Nimda ワーム [17] * W32/Nimda ワームについては以下の URL もご参照ください。 80番ポート (HTTP) へのスキャンの増加に関する注意喚起 http://www.jpcert.or.jp/at/2001/at010023.txt V. サービス運用妨害につながる攻撃 JPCERT/CC では、サービス運用妨害につながるアクセスについて 9件の報告 を受領しています。これは、大量のパケットを送信してネットワーク資源を浪 費させたり、サーバプログラムの弱点を悪用してサービス自体を停止させ、結 果としてサイトのネットワーク運用やホストのサービス運用を妨害するもので す。参考文献 [26] [27] [28] [29] [30] [31] [32] [33] [34] [35] をご参 照ください。また、参考文献 [6] もご参照ください。このアクセスへの対応 については、以下の URL をご参照ください。 サービス運用妨害攻撃に対する防衛 http://www.jpcert.or.jp/ed/2001/ed010005.txt また、感染を大量に試みるワームにより運用妨害が行なわれたとの報告も受 領しています。参考文献 [16] [17] をご参照ください。以下の URL もご参照 ください。 Microsoft IIS の脆弱性を使って伝播するワーム http://www.jpcert.or.jp/at/2001/at010018.txt Microsoft IIS の脆弱性を使って伝播するワーム "Code Red II" http://www.jpcert.or.jp/at/2001/at010020.txt 80番ポート (HTTP) へのスキャンの増加に関する注意喚起 http://www.jpcert.or.jp/at/2001/at010023.txt VI. その他 JPCERT/CC では、上記 I. から V. に含まれないインシデント (コンピュー タウィルスや SPAM メールの受信など) について 45件の報告を受領していま す。 §2. 公開文書 2001年10月1日から2001年12月31日までの間に JPCERT/CC が発行した文書は、 注意喚起 1件、JPCERT/CC レポート 13件、技術メモ 6件 (更新)、及び第3四 半期の活動概要です。詳細は以下の通りです。 I. 注意喚起 1件 http://www.jpcert.or.jp/at/ 2001-10-09 CDE ToolTalk に含まれる脆弱性に関する注意喚起 II. JPCERT/CC レポート 13件 http://www.jpcert.or.jp/wr/ JPCERT/CC レポート内で扱ったセキュリティ関連情報の項目数は、合計して 36件です。 III. 技術メモ 6件 http://www.jpcert.or.jp/ed/ 2001-12-27 電子メール配送プログラムの不正利用 (予期しない中継) (Version 5) 2001-12-27 sendmail バージョンアップマニュアル (Version 11) 2001-12-27 関係サイトとの情報交換 (Version 3) 2001-12-27 コンピュータセキュリティインシデントへの対応 (Version 3) 2001-12-27 サービス運用妨害攻撃に対する防衛 (Version 3) 2001-12-27 Web ページの改竄に対する防衛 (Version 4) IV. 活動概要 http://www.jpcert.or.jp/pr/ 2001-10-23 JPCERT/CC 活動概要 [ 2001年7月1日 〜 2001年9月30日 ] http://www.jpcert.or.jp/pr/2001/pr010006.txt §3. 主催イベント 2001年10月1日から2001年12月31日までの間に JPCERT/CC が主催したイベン トは Internet Week 2001 (パシフィコ横浜 12/3〜12/7) における以下のプロ グラムです。参考文献 [36] をご参照ください。 (1) メインプログラム「JPCERT/CC Seminar 2001」 12/4(火) 14:00〜17:00 小ホール 第一部「インターネットセキュリティの最新事情」 第二部「常時接続時代のセキュリティ」 (2) BOF「ブロードバンド時代のセキュリティを考える 〜Code Redの教訓〜」 12/4(火) 18:00〜20:30 小ホール __________ Appendix. 参考文献 [1] IN-98.02: New Tools Used For Widespread Scans http://www.cert.org/incident_notes/IN-98.02.html [2] IN-98.04: Advanced Scanning http://www.cert.org/incident_notes/IN-98.04.html [3] IN-98.05: Probes with Spoofed IP Addresses http://www.cert.org/incident_notes/IN-98-05.html [4] IN-98.06: Automated Scanning and Exploitation http://www.cert.org/incident_notes/IN-98-06.html [5] IN-99-01: "sscan" Scanning Tool http://www.cert.org/incident_notes/IN-99-01.html [6] Packet Filtering for Firewall Systems http://www.cert.org/tech_tips/packet_filtering.html [7] IN-99-04: Similar Attacks Using Various RPC Services http://www.cert.org/incident_notes/IN-99-04.html [8] CA-1999-02 Trojan Horses http://www.cert.org/advisories/CA-1999-02.html [9] IN-2001-07: W32/Leaves: Exploitation of previously installed SubSeven Trojan Horses http://www.cert.org/incident_notes/IN-2001-07.html [10] CA-1996-06 Vulnerability in NCSA/Apache CGI example code http://www.cert.org/advisories/CA-1996-06.html (日本語訳) http://www.jpcert.or.jp/tr/cert_advisories/CA-96.06.txt [11] CA-1996-11 Interpreters in CGI bin Directories http://www.cert.org/advisories/CA-1996-11.html (日本語訳) http://www.jpcert.or.jp/tr/cert_advisories/CA-96.11.txt [12] CA-1997-07 Vulnerability in the httpd nph-test-cgi script http://www.cert.org/advisories/CA-1997-07.html [13] CA-1997-12 Vulnerability in webdist.cgi http://www.cert.org/advisories/CA-1997-12.html [14] CA-1997-24 Buffer Overrun Vulnerability in Count.cgi cgi-bin Program http://www.cert.org/advisories/CA-1997-24.html [15] How To Remove Meta-characters From User-Supplied Data In CGI Scripts http://www.cert.org/tech_tips/cgi_metacharacters.html [16] CA-2001-19 "Code Red" Worm Exploiting Buffer Overflow in IIS Indexing Service DLL http://www.cert.org/advisories/CA-2001-19.html [17] CA-2001-26 Nimda Worm http://www.cert.org/advisories/CA-2001-26.html [18] Email Bombing and Spamming http://www.cert.org/tech_tips/email_bombing_spamming.html [19] Spoofed/Forged Email http://www.cert.org/tech_tips/email_spoofing.html [20] CA-2001-35 Recent Activity Against Secure Shell Daemons http://www.cert.org/advisories/CA-2001-35.html [21] IN-2001-12: Exploitation of vulnerability in SSH1 CRC-32 compensation attack detector http://www.cert.org/incident_notes/IN-2001-12.html [22] CIACTech02-001 Understanding the SSH CRC32 Exploit http://www.ciac.org/ciac/techbull/CIACTech02-001.shtml [23] CA-2001-10 Buffer Overflow Vulnerability in Microsoft IIS 5.0 http://www.cert.org/advisories/CA-2001-10.html [24] CA-2001-12 Superfluous Decoding Vulnerability in IIS http://www.cert.org/advisories/CA-2001-12.html [25] CA-2001-13 Buffer Overflow In IIS Indexing Service DLL http://www.cert.org/advisories/CA-2001-13.html [26] Denial of Service Attacks http://www.cert.org/tech_tips/denial_of_service.html [27] CA-1996-01 UDP Port Denial-of-Service Attack http://www.cert.org/advisories/CA-1996-01.html (日本語訳) http://www.jpcert.or.jp/tr/cert_advisories/CA-96.01.txt [28] CA-1996-21 TCP SYN Flooding and IP Spoofing Attacks http://www.cert.org/advisories/CA-1996-21.html [29] CA-1996-26 Denial-of-Service Attack via ping http://www.cert.org/advisories/CA-1996-26.html [30] CA-1997-28 IP Denial-of-Service Attacks http://www.cert.org/advisories/CA-1997-28.html [31] CA-1998-01 Smurf IP Denial-of-Service Attacks http://www.cert.org/advisories/CA-1998-01.html [32] CA-1998-13 Vulnerability in Certain TCP/IP Implementations http://www.cert.org/advisories/CA-1998-13.html [33] CA-1999-17 Denial-of-Service Tools http://www.cert.org/advisories/CA-1999-17.html [34] CA-2000-01 Denial-of-Service Developments http://www.cert.org/advisories/CA-2000-01.html [35] IN-99-07: Distributed Denial of Service Tools http://www.cert.org/incident_notes/IN-99-07.html [36] Internet Week 2001 http://internetweek.jp/ __________ ＜JPCERT/CC からのお知らせとお願い＞ 本文書で解説したコンピュータセキュリティインシデントも含め、インター ネット上で引き起こされるさまざまなコンピュータセキュリティインシデント に関する情報がありましたら、info@jpcert.or.jp までご提供くださいますよ うお願いします。報告様式に関しては以下の URL をご覧ください http://www.jpcert.or.jp/form/ 報告様式にご記載のうえ、 info@jpcert.or.jp までお送りください。 JPCERT/CC に頂いた報告は、報告者の了解なしに、そのまま他組織等に開示 することはありません。JPCERT/CC の組織概要につきましては、 http://www.jpcert.or.jp/ をご参照ください。 JPCERT/CC では、コンピュータセキュリティインシデントに関する情報を迅 速にご提供するために、メーリングリストを開設しています。登録の方法等、 詳しくは、 http://www.jpcert.or.jp/announce.html をご参照ください。 __________ 注: JPCERT/CC の活動は、特定の個人や組織の利益を保障することを目的とし たものではありません。個別の問題に関するお問い合わせ等に対して必ずお答 えできるとは限らないことをあらかじめご了承ください。また、本件に関する ものも含め、JPCERT/CC へのお問い合わせ等が増加することが予想されるため、 お答えできる場合でもご回答が遅れる可能性があることを何卒ご承知おきくだ さい。 注: この文書は、コンピュータセキュリティインシデントに関する一般的な情 報提供を目的とするものであり、特定の個人や組織に対する、個別のコンサル ティングを目的としたものではありません。また JPCERT/CC は、この文書に 記載された情報の内容が正確であることに努めておりますが、正確性を含め一 切の品質についてこれを保証するものではありません。この文書に記載された 情報に基づいて、貴方あるいは貴組織がとられる行動 / あるいはとられなかっ た行動によって引き起こされる結果に対して、JPCERT/CC は何ら保障を与える ものではありません。 __________ 2002 (c) JPCERT/CC この文書を転載する際には、全文を転載してください。また、最新情報につ いては JPCERT/CC の Web サイト http://www.jpcert.or.jp/ を参照してください。 JPCERT/CC の PGP 公開鍵は以下の URL から入手できます。 http://www.jpcert.or.jp/jpcert.asc __________ 改訂履歴 2002-05-09 参考文献の参照番号の修正 2002-01-23 初版 (JPCERT-PR-2002-0001) -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBPNnEvYx1ay4slNTtAQF+HgP+M6TDMlNL3ycEH7dLb3QVmHl9Si6kv1N0 xxUq6ljQGm26Qu46ZZt8+p0k1bN6dmlkWoyVExU2kQVaVOUNZUVehW6LYveqf5AN Gb0LN5IFbw8PZROnTvOcacxMzMpClumVPaAWA1nkRP25uJ3iO4cu1x3nIq81r8CD 5KegmFOM0z8= =AKEQ -----END PGP SIGNATURE-----