猛威をふるうワームBlaster（Lovesan）をいち早く検知、防御したActiveScout（情報提供：CTCSP）

　日本時間2003年8月12日午前2時頃よりマイクロソフトの「Windows」の脆弱性をターゲットとしたワーム型ウイルス「Blaster」または「Lovsan」が世界的な脅威として発見されました。日本時間14日昼の時点では、全世界で27万台を超えるコンピュータが感染したとも言われて

製品・サービス・業界動向業界動向

2003.8.14 Thu 12:00

　日本時間2003年8月12日午前2時頃よりマイクロソフトの「Windows」の脆弱性をターゲットとしたワーム型ウイルス「Blaster」または「Lovsan」が世界的な脅威として発見されました。日本時間14日昼の時点では、全世界で27万台を超えるコンピュータが感染したとも言われています。

　CTCSPが取り扱うActiveScoutは、このワーム型ウイルスと思われる活動を12日の午前0時の段階で検知・防御したという結果が分かりました。（※CTCSPではActiveScoutを外部と接続している社内検証環境に導入しており、不正アクセスの検知・防御を行っております。このレポートは当ActiveScoutのデータ解析を元にしております。）

■「ActiveScoutによる観測結果」

　8月5日から11日の発生1週間前は、

・対象となるTCP135ポートへの偵察行為及び不正アクセスは1週間で121件の検知
・TCP4444ポートについては全く観測されていない

となっており、発生日8月12日の1日を見ると、

・対象となるTCP135ポートへの偵察行為及び不正アクセスが発生日1日で719件へと激増している
・また、このネットワークではIPアドレス範囲が小さいため件数としては少ないものの午前0時27分といった早い段階からこのポートへの18件の不正アクセスを防御している
・更に、TCP4444ポートについても136件に至るアクセスの増加を観測しており、この内50件の不正アクセスを防御している

ということが明らかになりました。

■「では、何故ActiveScoutは未知の攻撃を防御できたのか？」

　ActiveScoutは不正アクセスやワームといった攻撃の特定に通常用いられるパターンマッチングや異常検知といった手法を使用しておりません。特許取得済の独自技術である「Active Response Technology」により、ツールや感染源のコンピュータが自動的に行う偵察行為を検知し、その相手に送出した偽情報を元に不正アクセスか否かを判別し、防御を実現します。自らが生成した偽情報を判別の基準としている為、誤検知が非常に少ないのも大きな特徴です。

　この方法も用いることにより、今回のような未知のワームであっても早い段階で検知、防御する事が可能となり、今後ますます増えていくと思われる未知の攻撃に対し非常に効果的なソリューションであるといえます。

　詳細は下記をご参照ください。

http://www.ctc-g.co.jp/~ctcsp/
http://www.ctc-g.co.jp/~ctcsp/security/forescout.html
http://www.ctc-g.co.jp/~ctcsp/security/ActiveScout.html

（情報提供：CTCSP）