[CEO ブログ] 3.4 DDoS の現場から
まさか、また DDoS 攻撃でブログをアップすることになるとは全く考えていなかった。マルウェアは進化を続けてきたが、セキュリティインシデントが起きたとしても、DDoS ではなく、異なる攻撃タイプとなることを予想していた。攻撃者 (Attacker) の常識では、私たちが 2度も攻撃を受けるほど粗末な対策を立てたとは考えられないためだ。
しかし、2011年 3月 4日に DDoS 攻撃は発生した。息の詰まるような週末を過ごし、日曜日の夕方、このサイバーウォーに携わった人員と会議室に集まった。翌日からは新たな一週間が始まる。業務を開始する前に、お客様が出勤する前に、これまでのことを整理して、事前に対策を用意しておく必要がある。これ以上先送りにすることはできなかったため、心を痛めつつ研究員を起こすと、彼らは眠そうな目をしたまま、1人、2人と会議室に入ってきた。彼らの話を聞き、新たな歴史が幕を開けた気がした。
7.7 DDoS 大乱 VS 3.4 DDoS 大空襲
今回の攻撃は、さまざまな面において 7.7 DDoS 攻撃と類似している点が多かった。主要政府機関や金融機関、ポータルサイトを同時多発的に標的とした点、特定の時間に動作するように設定されていた点は同じだ。選ばれた対象も一部異なるものの、概して 7.7 と類似していた。今回攻撃対象となったセキュリティベンダは当社だけだった。
ある大手企業からは「なぜ私たちは対象にならなかったのだろう？」と、多少不満のこもった意見もあった。ある機関からは、自分たちの名前が誤って表記されていると訂正を要求する声もあった。「攻撃者が作成したリストに気を遣う必要があるのか？」という気もしたが…。
ヘッドライン ニュースに登場した 3.4 DDoS
アンラボ DDoS アプライアンスのモニタリング画面
攻撃手法には多少相違する点がある。7.7 の場合、24時間単位で攻撃リストがシフトしたのに対し、3.4は攻撃が開始されると終わりがない。つまり、ゾンビパソコンを減らさない限り攻撃トラフィックは続くということだ。また、攻撃の途中でリモートから攻撃対象と時間を随時操作していた。
一定の時間が経過すると、ハードディスク (HDD) を破壊させる手法は同一だった。複数の攻撃シナリオから構成されていたため、分析する過程において最も意見が割れた部分だ。結局、それぞれの観点がすべて正しいことが判明したが…。また、今回の攻撃は破壊のタイミングが流動的だった。分析家を騙すことを目的としたアルゴリズムによって構成されており、分析の焦点をずらそうとしていたことは明白だった。
そして、DDoS 攻撃の失敗が明らかとなるや、3月 5日の夜、感染させた PC を直ちに完全削除する「指令」をリモートから出した。この攻撃は 7.7 にはなかった新しい手法だ。証拠隠滅と被害拡散を目的とした緻密な行動だった。土曜日の夕方、モニタリングをしていた研究員が「攻撃は終わったようだ」と休憩を取ろうとしたところで検知した最後のマルウェアは、3日目の夜の死闘を仕掛ける最終攻撃命令だった。
3.4 DDoS は軽微な事件だったか？
3.3 DDoS 攻撃は 7.7 DDoS 攻撃と比較にならないほど軽微なインシデントであったとする意見もあるが、果たしてそうだろうか？
マルウェアは以前よりも巧妙に設計されていた。また、マルウェアの配布経緯や操作においては、単なる模倣ではなく「専門家」がかかわっているのではないかと思われた。果たして誰の仕業だったのであろうか？1つ腑に落ちなかったのは、普通銀行ではない「第一貯蓄銀行」が対象に含まれていたことだ。代わりに「SC 第一銀行」が対象となっていたら、合点がいっただろう。あくまでも、私の個人的な推測に過ぎないが、今回の攻撃は、韓国に関する知識が十分ではない人物によるものだったのではないだろうか？
攻撃手法は、最近流行しているような精巧な手法よりも劣る。マルウェアの製作および配布手法に比べ、ネットワーク攻撃に関する専門性が欠けていたということだ。今回の攻撃に、最新のネットワーク攻撃手法が用いられていたら？…考えただけでぞっとする。
今回ゾンビ化した PC は 5万台程度であり、7.7 DDoS攻撃時より相対的に少なかった。これは、マルウェア配布サイトを遮断した「予防」がうまくいったことを意味する。もし、7.7 DDoS 攻撃の時のようにあらかじめマルウェア配布サイトを把握できていなかったら、今回も当時と同様に被害が広がったことだろう。
また、マルウェアの早期発見やセキュリティソフトによる検知、Web サイトでのお知らせ、各サイトの準備に費やされた努力などが過小評価されている。国民銀行は、今回の攻撃のメインターゲットだった。最もトラフィックが増加し、長時間厳しい状況が続いたにもかかわらず、攻撃を防いだ。これは、DDoS 構築のみならず、毎月模擬訓練を実施してプロセスや組織力を向上させた結果であり、手本となるに値する。
ASD (AhnLab Smart Defense) の威力発揮
当社は、2008年から急増を始めたマルウェアにどのように対応するか悩んだ末、クラウドコンピューティング基盤の総合脅威分析システム「ACCESS」を開発した。7.7 DDoS 攻撃当時にクラウドエンジンは構築され、試験運用されていたが、PC にエージェント (agent) の配布が始まって間もない頃で十分に対応できなかった。しかしその後、V3 Lite や個人用 V3 365Clinic に適用されて ASD (AhnLab Smart Defense) システムが構築され、マルウェアの分析力と追跡力は飛躍的に向上した。
ASD は 3.4 DDoS 攻撃において真価を発揮した。リアルタイムで全国からマルウェアを検出してその行動を分析することにより、サンプルの早期発見に大きく寄与した。特にマルウェアを配布した P2P サイトを正確に把握し、マルウェアの配布を早期に遮断した。このような早期発見と遮断が、ハッカーとの戦いにおいて機先を制した秘訣だった。
また、マルウェアの早期分析によって、ネットワーク攻撃のパターンをあらかじめ予測することができた。そのため、攻撃時間のみならず、攻撃に関するさまざまな情報を CERT チームと監視人員の間で共有でき、DDoS アプライアンスにアップデートすることができた。「複合的な攻撃には複合的に防御を」という原則を実行できたと言える。
当社の特徴は、悪性コード分析センター (ASEC) とインシデントに対応するセキュリティ監視サービス(CERT) 組織にある。ネットワークアプライアンスのシグネチャ分析もすべて 1つの組織で行われる。半径 10メートル以内でマルウェアの配布現況やネットワーク攻撃の状況をリアルタイムで確認できるだけではなく、各分野のすべての意思決定者がサイバーウォーの現場にいることにより、このような危機的状況に速かに対応することができた。
CERT (監視センター)
ASEC モニタリング
ASD を構築したエンドポイント (PC) とネットワークアプライアンスの統合的な運用、マルウェアの分析(ASEC) と CERT のシナジーについて話しても、外部の多くの専門家は半信半疑だったが、今回はこれら全てが正確に作動した。数年間にわたる集中的な R&D 投資と、数十億に達する莫大なインフラ投資が日の目を浴び、投資した甲斐があったと感じた。何よりも私たちの方向性が正しかったと確信を持てたことが最も大きな収穫だ。
もちろん、まだ不足している点も多い。今回、補強が必要と気づいた部分について再点検し、より強化していく。スマートフォンや SNS のようなさまざまなサービスの多様化が進んでいる。これに備えるため、今後も R&D 投資が必要だと考えている。「多角的で緻密な攻撃」と「知能化した総合的な防御システム」の戦いは始まったばかりだ。
対応に全力を尽くしてくれた方々へ
丸 3日、寝る間を惜しんで努力してくれた当社の研究員、対応人員、監視人員、現地サポートスタッフ、カスタマーセンター他、多くの職員が週末を返上して全力を尽くしてくれたことに感謝の意を述べる。彼らの情熱的な努力があったからこそ、今回のような対応が可能となった。いつも、このようなイシューが発生した後は、事後サポートや各種お問合わせでカスタマーセンターは大忙しとなるが、今回もやはり、ひっきりなしにお問合わせが寄せられている。
最後に、今回の対応過程においてともに夜を明かした放送通信委員会の職員の方々、国家情報院、韓国インターネット振興院 (KISA) の研究員の方々のお力添えに心から敬意を表す。時には意見が相違することもあったが、それぞれの問題を解決しようとする気持ちがそれだけ強かったためだったと考える。ともに取り組んだからこその努力がわかる。私たちが、心を 1つにして努力したたからこそ、マルウェアの早期退治に成功できたのだ。
今後もより精進することを心に誓い、4日間の所感を終える。
