ボットネットとは何かをひもとく
ボットネットは特定の製品名や単一の攻撃手法ではなく、感染した機器がひとまとまりで操られている「状態」を指す言葉です。まずは呼び名の由来と、誰がどのように操っているのかという基本的な構図から整理します。
ボットネットの正体と「ボット」という呼び名の由来
ボットネットとは、マルウェアに感染して遠隔から操作できるようになった機器が、数百台から数十万台に及ぶ規模でつながった集合体を指します。「ボット」は「ロボット」を縮めた言葉で、人が都度操作しなくても届いた指示どおりに動く様子から名づけられました。操られる側の機器はゾンビ端末とも呼ばれ、パソコンに限らずサーバーやルーター、ネットワークカメラまで幅広く含まれます。
見落とされやすいのは、感染しても機器がこれまでどおり動き続ける点です。データを暗号化して身代金を求めるランサムウェアと異なり、ボットは持ち主に気づかれないよう静かに潜み、指令が届いたときだけ活動します。自社の回線が他社への攻撃に使われていても、長く発覚しない事態が起こります。
ボットハーダーとC&Cサーバーが担う役割
ボットネットを操る人物は「ボットハーダー」と呼ばれます。ハーダーは牧夫を意味し、散らばった感染機器を群れのように誘導する様子に由来します。ハーダーが一台ずつ操作するのではなく、あいだに「C&Cサーバー」と呼ばれる指令用のサーバーを置く構図が一般的です。C&CはCommand and Controlの略で、C2サーバーと表記される場合もあります。
感染した機器は、C&Cサーバーへ定期的に指示の有無を問い合わせる通信を出し続けます。この待機中の通信は短く目立たないため、通常の業務通信に紛れがちです。ハーダーは命令を一つ置くだけで世界中の機器を同時に動かせます。この中継役の存在が、ボットネットを大規模な攻撃基盤に変えている要因です。
機器がボットに変わるまでの流れと指令の届き方
ボットネットは、感染を広げる段階、指令を待つ段階、一斉に動く段階を経て攻撃に使われます。それぞれの段階と指令が届く経路の違いを押さえておくと、どこで断ち切れるかが見えてきます。
感染・待機・一斉実行という三つの段階
最初の段階は感染です。不審な添付ファイルや偽の更新プログラム、改ざんされたWebサイト、公開されたままの管理画面への侵入など、入口は多岐にわたります。IoT機器の場合は、初期設定の利用者名とパスワードを機械的に試す手口で侵入されるケースが目立ちます。侵入に成功すると、遠隔操作用のプログラムが常駐するよう仕込まれます。
次が待機の段階です。感染した機器は指令サーバーと連絡を取りながら、何もせずに潜みます。そして攻撃者が号令をかけた瞬間に、三つ目の一斉実行へ移ります。ここで初めて大量の通信やメール送信が始まるため、平常時の監視では見つけにくく、異変が表面化したときにはすでに攻撃が始まっているという順序になります。
中央集権型とP2P型で異なる指令の経路
指令の届き方は大きく二つに分かれます。一つは中央集権型で、特定のC&Cサーバーが全体に命令を配る形です。かつてはIRC（Internet Relay Chat、チャット用の通信規格）が使われ、その後は通常のWeb通信に紛れやすいHTTPやHTTPSを用いる形が広がりました。構造が単純なぶん、指令サーバーを止められれば全体が動かなくなります。
もう一つがP2P型です。感染機器どうしが直接つながって命令を伝え合うため中心となるサーバーがなく、一部を止めても残りが動き続けます。なお中央集権型では、接続先のドメインを自動生成するDGA（Domain Generation Algorithm）を用い、遮断を回避する手口が確認されています。
ボットネットが悪用される攻撃の種類
ボットネットは、単独の機器では実行できない「数の力」を必要とする攻撃に使われます。代表例であるDDoS攻撃に加え、大量送信や試行回数を前提とした攻撃にも転用されるため、被害の形は一つではありません。
正規の機器から押し寄せるDDoS攻撃
DDoS攻撃は、Distributed Denial of Service（分散型サービス拒否）の略で、多数の発信元から一斉にアクセスを集中させ、Webサイトやサービスを応答できない状態へ追い込む攻撃です。発信元が一つに限られるDoS攻撃と違い、通信元が世界中に散らばるため、単純に特定のIPアドレスを遮断する方法では防ぎきれません。この「多数の発信元」を用意する手段がボットネットです。
やっかいなのは、攻撃の通信が実在する家庭や企業の機器から発信される点です。普通の利用者のアクセスと区別がつきにくく、攻撃と正常な利用の線引きが難しくなります。なお、DNSやNTPの応答を悪用して通信量を膨らませる反射・増幅型の攻撃もあり、ボットネットと組み合わせて使われる場合もあります。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
スパム送信や不正ログイン、情報の抜き取りへの転用
ボットネットの用途はDDoS攻撃だけではありません。感染機器を経由して迷惑メールやマルウェア付きメールを大量に送る、流出した利用者名とパスワードの組み合わせを次々と試して不正ログインを狙う、通信を中継させて攻撃者の所在を隠す、といった使われ方があります。いずれも「大量の発信元」が必要な行為であり、ボットネットはその供給源として機能します。
さらに、感染機器の中にある認証情報や顧客データを抜き取る、無断で暗号資産の採掘を行わせて電力と処理能力を消費させる、といった直接的な被害も生じます。こうした攻撃基盤は闇市場で貸し出される形で取引されており、専門知識がない者でも攻撃を仕掛けられる状況が生まれています。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でDDoS対策の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
IoT機器が標的になりやすい理由
近年のボットネットでは、ネットワークにつながった小型機器が多く取り込まれています。台数が多く、管理の目が届きにくいという事情が重なっているためです。その背景と、過去の代表的な事例から得られる教訓を見ていきます。
初期設定のまま外部に公開された機器の危うさ
ネットワークカメラやルーター、録画装置などは、設置してから数年間まったく触れられないまま動き続けることが珍しくありません。初期設定の利用者名とパスワードが変更されず、外部からの遠隔管理機能も有効なままという状態では、機械的な総当たりで容易に侵入されます。古いTelnet（遠隔操作用の通信規格、標準では23番ポート）が開いたままの機器も狙われやすい対象です。
加えて、こうした機器は画面や通知の仕組みを持たない場合が多くあります。感染しても警告が出ず、動作が少し重くなる程度のため、異常として扱われません。管理台帳に載っていない機器が現場にある例もあり、存在を把握できていないことが対策の遅れにつながります。
Miraiが示した教訓と現在まで続く影響
IoT機器を狙うボットネットとして広く知られるのがMiraiです。2016年に確認されたこのマルウェアは、工場出荷時の認証情報が残る機器を探し出して感染を広げ、大規模なDDoS攻撃に使われました。米国のDNSサービス事業者が攻撃を受けた際には、そのサービスを利用していた多数のWebサービスに接続障害が及び、影響が連鎖する構図が明らかになりました。
さらに、Miraiのソースコードが公開されたことで、機能を改変した派生型が次々と登場しました。新たに見つかった機器の弱点を取り込みながら、現在も同系統の攻撃が観測され続けています。初期パスワードの放置という単純な弱点が、長く攻撃の入口であり続けている点が教訓です。
加害者にも被害者にもならないための備え
ボットネットへの向き合い方には、自社の機器を感染させない「踏み台にされない対策」と、攻撃を受けたときにサービスを維持する「受け止める対策」の二つがあります。どちらも必要であり、片方だけでは守りきれません。
感染を見つけるために確認したい兆候
感染を疑うきっかけは、通信の様子に現れます。業務時間外なのに外向きの通信量が増えている、特定の海外の宛先へ一定間隔で短い通信が出ている、身に覚えのないメールが自社ドメインから送られたと指摘される、といった変化が代表例です。ルーターや複合機の動作が急に重くなる、再起動が増えるといった症状も手がかりになります。
確認の第一歩は、社内から外部へ出ていく通信の記録を残し、宛先と頻度を点検することです。取引先や接続事業者から不審通信の連絡が届いた場合は、該当機器をすぐにネットワークから切り離し、初期化と最新ファームウェアの適用まで行います。感染したまま使い続けると責任を問われる恐れもあります。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
踏み台化を防ぐネットワーク側の設定
基本となるのは、機器の棚卸しです。社内で稼働しているネットワーク機器を洗い出し、初期パスワードの変更、ファームウェアの更新、不要な遠隔管理機能や公開ポートの停止を一つずつ進めます。外部から直接つながる必要のない機器は、インターネットに公開しない構成へ見直すことが有効です。
あわせて、外向き通信を制御する出口対策も検討します。業務に不要な宛先や通信規格を遮断する、名前解決の段階で危険なドメインへの接続を止める、端末の不審な挙動を検知する仕組みを導入するといった手立てにより、感染が起きても指令サーバーとの連絡を断てます。指令が届かなければ、感染機器は攻撃に加われません。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
DDoS攻撃を受け止める仕組みを選ぶ観点
攻撃を受ける側の備えとしては、通信を分散して受け止める仕組みと、攻撃通信を見分けて遮断する仕組みが柱になります。選定では、自社が守りたい対象がWebサイトなのか、社内システムを含む回線全体なのかをまず整理します。そのうえで、対応できる攻撃の種類、正常な利用者を誤って遮断しないための調整のしやすさを確認します。
運用面の確認も欠かせません。攻撃の検知から遮断までが自動で行われるのか、連絡から対応開始までにどの程度かかるのか、夜間や休日の窓口があるのかといった条件は、実際の被害の大きさを左右します。導入前に想定される通信量と費用の関係を確かめ、平常時の運用負担まで含めて比較検討することが大切です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
ボットネット由来のDDoS攻撃に備える製品
ここでは、ボットネットによる大量アクセスを受け止める観点から、攻撃通信の検知と遮断に対応する製品を取り上げます。守る対象や提供形態の違いに注目して比べてください。
攻撃遮断くん
- 大規模DDoS攻撃も防ぐ国産クラウド型WAF
- DNSを切り替えるだけの簡単導入
- 24時間365日、技術者による手厚いサポート
株式会社サイバーセキュリティクラウドが提供する「攻撃遮断くん」は、クラウド型のWAFサービスです。DNSの切り替えで導入でき、サーバー停止や構成変更を伴いません。Webアプリケーションを狙う攻撃に加え、大規模なDDoS攻撃に対応する仕組みを備え、攻撃の自動検知やボット検出にも対応します。管理画面で攻撃の状況を確認でき、24時間365日の技術者によるサポート体制が用意されています。
DDoS OWL
- 150Tbps以上の大規模攻撃に対応可能
- 日本人のヘルプデスクが導入からサポート
- 低コストでの運用可能
株式会社アイロバが提供する「DDoS OWL」は、クラウド型のDDoS対策サービスです。ネットワーク構成を変えずに導入でき、トランスポート層（L4）とアプリケーション層（L7）の双方を狙う攻撃に対応します。TCPとUDPを対象に、攻撃の自動検知やトラフィック監視、ボット検出、レポート作成の機能を備えます。契約はドメイン単位で、サブドメイン数の制限はありません。日本語のヘルプデスクが対応します。
Thunder TPS （A10ネットワークス株式会社）
- 機械学習を活かした高度な自動防御！スピーディーに攻撃を検知
- ユーザーへの被害を最小限に抑えながら攻撃を検知！
- 専用ハードウェアで最大500Gbpsのハイパフォーマンスな性能！
DefensePro （日本ラドウェア株式会社）
- 高精度な振る舞い検知で未知の攻撃にもすばやく対応可能！
- 高性能な専用ハードウェアで大規模な組織もサポート！
- 専門家によるオンプレミスデバイス管理！安心して利用できる！
まとめ
ボットネットとは、マルウェアに感染した多数の機器が指令サーバーを介して一斉に操られる状態です。感染しても機器は普段どおり動くため気づきにくく、知らないうちにDDoS攻撃やスパム送信の踏み台として使われる恐れがあります。初期パスワードの変更やファームウェアの更新、外向き通信の点検を徹底しつつ、攻撃を受けた際にサービスを維持する仕組みも整えておくことが、被害を抑える近道です。
