ダークネット
インターネット上で到達可能だが、どの機器にも割り当てられていない、未使用のIPアドレス空間。正常な通信は届かないはずなので、届いたパケットを観測すると、攻撃や感染活動の様子がわかる。
イマシルちゃんの解説
だれも住んでいない空き家の郵便受けに、手紙が届いたら、ちょっとあやしいよね。
住んでいる人がいないんだから、ふつうは手紙なんて来ないはずなんだ。
それなのに、たくさん届くとしたら、だれかが手当たりしだいに配っているのかも。
使われていない住所に届くパケットを見張ると、ネットワークで何が起きているかが見えてくるんだよ。
より深い解説
定義
ダークネットは、グローバルIPアドレスのうち、経路はあるが、サーバや端末が置かれていないアドレスの範囲である。正当な通信の宛先になることはないため、届くパケットの多くは、次のような不正な活動によるものと考えられる。
| 届くパケットの例 | 推定できる活動 |
|---|---|
| 様々なポートへのSYNパケット | ポートスキャン、マルウェアの感染拡大（ワームが手当たりしだいに相手を探す） |
| SYN/ACK、RSTパケット | 送信元を偽装したDoS攻撃の跳ね返り（バックスキャッタ） |
| 特定のポートへの大量の通信 | 新しい脆弱性を狙った探索 |
バックスキャッタから攻撃を推定する
送信元IPアドレスを偽装したSYNフラッド攻撃では、攻撃先のサーバが、偽の送信元に向けてSYN/ACKを返す。偽の送信元はランダムに選ばれるため、その一部がダークネットのアドレスになり、観測される。
- 攻撃者が、送信元をランダムに偽装したSYNパケットを、サーバA（ポート80）に大量に送る
- サーバAは、偽の送信元に向けて、送信元ポート80のSYN/ACKを返す
- その一部がダークネットに届く
したがって、ダークネットで「送信元がA、送信元ポートが80のSYN/ACK」を大量に観測した場合、IPアドレスAのWebサーバを攻撃先とするサービス妨害攻撃が起きていると推定できる。
ハニーポットとの違い
| ダークネット観測 | ハニーポット | |
|---|---|---|
| 応答 | しない（受け取るだけ） | 応答して、攻撃者とやり取りする |
| わかること | 攻撃や感染活動の広がり、傾向 | 攻撃の手口、侵入後の行動 |
| 危険性 | 低い | 踏み台にされないよう注意が必要 |
日本では、情報通信研究機構（NICT）が大規模なダークネット観測網（NICTER）を運用し、観測結果を公表している。