1ヶ月以上稼働させたTFTPハニーポットが捉えたのは、サイバー攻撃の兆候ではなかった。むしろ、セキュリティ企業による「定期的なスキャン」の嵐だったのです。それも、特定のファイル名「a」を狙ったものが複数企業から確認されていました。
この観測は、VPS（仮想プライベートサーバー）の月額5ドルという低コストで実施されました。1日あたり20〜50パケットというTFTPトラフィックを分析した結果、驚くべき事実が浮かび上がりました。
観測されたパケットの多くは、悪意ある攻撃ではなく、Shadow Servers、Censys、Driftnet、Shodan、Palo Alto Networks、Netscout、Internet Censusといった7つのインフォセキュリティ企業による定期的なスキャン活動でした。まるで、ネットワーク全体を網羅しようとしているかのようです。
中でも興味深いのは、Censys、Palo Alto Networks、Internet Censusといった複数の企業が、ファイル名「a」をダウンロードしようとするリクエスト（RRQ）を頻繁に送信していた点です。なぜ「a」なのでしょうか。その理由は、このソースだけでは明らかになっていません。
さらに、ShodanとInternet Censusからは、16バイトの非標準UDPペイロードを持つリクエストも観測されています。これらは形状が似ているものの、完全に同一ではありませんでした。また、一部のスキャンはIPv6を経由しており、手法の多様化も示唆されています。
これらのIPアドレスの多くは、WHOIS情報から各セキュリティ企業自身に登録されていることが判明しました。ただし、Shodanは自社IPとDigitalOceanなどのクラウドプロバイダーのIPを使い分けている場合もありました。
一般論として、TFTPプロトコル自体には認証機能がなく、設定を誤ったサーバーが攻撃に悪用された例も過去に報告されています（ただし今回観測されたのは、そうした攻撃ではありませんでした）。今回の観測は、攻撃の表面だけでなく、それを監視する側の活動の裏側を垣間見せた、という点で興味深いものです。
関連記事
参考にした情報源: bruceediger.com
コメント