北朝鮮は今週、複数回にわたるDDoS攻撃を受け、ほぼすべての公開ウェブサイトにアクセスしにくい状態に陥りました。
トラフィックを集計した観測結果によると、障害は10月20日の午前2時01分(UTC)ごろに始まりました。着信トラフィックが突然急増したタイミングで、同国のウェブサイトにアクセスできなくなっています。
Madory氏の報告によると、トラフィックはベトナム、フィリピン、ベネズエラなどのネットワークから発信されていました。
同氏は10月22日の分析で、この障害の原因を繰り返し発生した分散型サービス拒否攻撃だと結論づけました。これに先立つ報告では、北朝鮮のウェブサイトが約1日にわたってほぼ到達不能だったと伝えられていました。
Kentikが作成した10月15日から22日までのグラフを見ると、10月20日から北朝鮮宛てのトラフィックが急増しています。このグラフは送信元の自律システム(AS)ごとにトラフィックを分けて表示しており、単一の送信元ではなく複数のネットワークが関与していたことがわかります。
高水準のトラフィックはピークを繰り返しながら続き、10月22日にかけて大幅に減少しました。このグラフからは、最初のトラフィック急増と、ウェブサイトが利用できなくなったとの報告との関連を時系列で確認できます。
ただし、グラフには読み取れる形でスループットの数値が示されていないため、攻撃帯域幅のピーク値を独自に算出することはできません。トラフィックの急増に使われたプロトコル、宛先ポート、パケットの特徴も特定されていません。
着信トラフィックに関連する国を、攻撃元を特定する証拠とみなすべきではありません。
Madory氏の観測が示すのは、トラフィックが測定対象のデータセットに入ってきた場所にとどまります。提示された調査結果からは、攻撃に加わったシステムを誰が操作していたのか、それらのシステムが侵害されていたのか、誰が攻撃を仕掛けたのかは確認できません。
障害の大きな部分を占めたのが175.45.176.0/24です。Madory氏は、このネットワークに北朝鮮の国別コードドメイン「.kp」を担当するネームサーバーが含まれていると指摘しています。
同氏は10月21日の更新で、このネットワークが過去24時間に何度もダウンし、ウェブサイトも広範囲でアクセス不能になっていたと説明しました。この観測は、ドメイン名のインフラが影響を受けたネットワークの範囲に含まれていたことを意味します。
一方、入手できる報告からは、ネームサーバーが直接標的にされたのか、上流の輻輳によってアクセスできなくなったのか、あるいは個々のウェブサーバーが別の攻撃を受けたのかは判断できません。
障害が起きた技術的な仕組みを正確に評価するうえで、これらの違いは引き続き重要です。Madory氏は、攻撃の最中にAS131279に影響する経路変更が起きていたことも記録しています。
175.45.176.0/24のプレフィックスは、ロシアを経由する状態のまま、経路がCenbongからロシアのTTKに切り替わりました。175.45.177.0/24のプレフィックスは、観測期間を通じてTTK経由のままでした。
一方、175.45.178.0/24はCenbongからTTKに移った後、再びCenbongに戻りました。175.45.179.0/24はCenbongを使い続けています。
これらの観測から、経路の挙動はアドレス範囲全体で一律に変わったわけではなく、4つのプレフィックスごとに異なっていたことがわかります。提示された証拠からは、攻撃者、攻撃ツール、確認済みの緩和策のいずれも特定できません。
報告されているのは、トラフィックの大量送信が繰り返されたこと、サービス障害が広範囲に及んだこと、同時に経路変更が起きたことです。責任の所在と正確な攻撃手法は、いまだ明らかになっていません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業の負担を減らしています。チームでの導入を検討する
翻訳元: https://cyberpress.org/north-korea-hit-multiple-waves-ddos-attacks/
