「3ウェイ・ハンドシェイク」を悪用したSYN/ACKリフレクター攻撃を確認(警察庁) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.08.20(火)

「3ウェイ・ハンドシェイク」を悪用したSYN/ACKリフレクター攻撃を確認(警察庁)

警察庁は、レポート「宛先ポート80/TCP を利用したSYN/ACK リフレクター攻撃とみられる観測等について」を「@police」において公開した。

調査・レポート・白書 調査・ホワイトペーパー
宛先ポート80/TCP に対するアクセス件数の推移(発信元国・地域別 i H30.9.26~11.5)
宛先ポート80/TCP に対するアクセス件数の推移(発信元国・地域別 i H30.9.26~11.5) 全 4 枚 拡大写真
警察庁は12月3日、レポート「宛先ポート80/TCP を利用したSYN/ACK リフレクター攻撃とみられる観測等について」を「@police」において公開した。2018年9月26日頃から、同庁のインターネット定点観測システムにおいて増加を確認しているという。この観測は、SYNパケットを短期間に多数検知したもので、その特徴は、Webサーバ等で使用される80/TCPを宛先ポートとし、発信元が特定の単一IPアドレスまたは同一ネットワーク内とみられる複数のIPアドレスとなっていた。これらはSYN Flood攻撃に関連した観測と考えられるとしている。

9月26日の観測では、米国に割り当てられた特定の単一IPアドレス(23.225.x.x)を発信元とするSYNパケットを約6時間に渡って検知した。また、11月5日の観測では、同一ネットワークに属するとみられる複数のIPアドレスを発信元とするSYNパケットを検知したが、センサー別に検知パケットを確認すると、その発信元は特定の単一IPアドレスとなっていた。さらに、これらSYNパケットは応答型センサーでのみ検知していることが判明した。

今回の観測では、TCPプロトコルにおける「3ウェイ・ハンドシェイク」の仕組みを悪用し、何者かが送信元IPアドレスを偽装したSYNパケットを多数のインターネット上のWebサーバ等の機器に対し送信していたとみている。SYNパケットを受け取ったWebサーバ等の機器は踏み台となり、SYN/ACKパケットを偽装された送信元IPアドレスに送信することになる。これは、偽装された送信元IPアドレスを持つ機器や当該機器が属するネットワークのサービスが不能状態に陥ることを狙ったTCPプロトコルによるSYN/ACKリフレクター攻撃と考えられるとしている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 「BIG-IP」に重大な脆弱性、関連情報を紹介(エフセキュア)

    「BIG-IP」に重大な脆弱性、関連情報を紹介(エフセキュア)

  2. シンガポール子会社に不正アクセス、顧客情報が流出(みずほ銀行)

    シンガポール子会社に不正アクセス、顧客情報が流出(みずほ銀行)

  3. メール誤送信、添付ファイルサイズ制限で「安心一斉送信システム」使用できず(大阪府)

    メール誤送信、添付ファイルサイズ制限で「安心一斉送信システム」使用できず(大阪府)

  4. 毎年アンチウイルスを更新する「攻め」のセキュリティグループはなぜ、CrowdStrike の EDR を選定したか

    毎年アンチウイルスを更新する「攻め」のセキュリティグループはなぜ、CrowdStrike の EDR を選定したかPR

  5. 3,411件患者個人情報流出、データ匿名化するも運用の繁雑さから形骸化(横浜市立大学)

    3,411件患者個人情報流出、データ匿名化するも運用の繁雑さから形骸化(横浜市立大学)

  6. 顧客情報ファイル誤送信、再発防止としてシステム導入決定(ボルボ・カー・ジャパン)

    顧客情報ファイル誤送信、再発防止としてシステム導入決定(ボルボ・カー・ジャパン)

  7. Apache HTTP Web Server 2.4系アップデート、複数の脆弱性に対応(JVN)

    Apache HTTP Web Server 2.4系アップデート、複数の脆弱性に対応(JVN)

  8. 繁忙期のため管理不徹底「国民健康保険関係届」紛失(大阪市)

    繁忙期のため管理不徹底「国民健康保険関係届」紛失(大阪市)

  9. マイクロソフトが月例セキュリティ情報を公開、10製品を更新(IPA、JPCERT/CC)

    マイクロソフトが月例セキュリティ情報を公開、10製品を更新(IPA、JPCERT/CC)

  10. HTTP/2実装に、DoS攻撃を受ける複数の問題(JVN)

    HTTP/2実装に、DoS攻撃を受ける複数の問題(JVN)

ランキングをもっと見る