要約

  • Eric KapitanskiのLightScopeは、本番ホストの未使用TCPポートを観測する。選択した接続は、任意のハニーポット機能で別の機械へ転送できる。
  • RIPE 93の発表では、スキャナーが稼働中の個別ホストを選び分ける様子が示された。公式論文記録が扱うのは235台、2か月分のデータだ。

分析

何も動いていないアドレスへのスキャンから分かるのは、空き地のドアを誰が叩いたかだ。稼働サーバーにセンサーを置けば、問いは変わる。スキャナーはどの機械を選び、最初のパケットの後に何を試すのか。Eric KapitanskiのLightScopeは、その違いを測ろうとする。

未使用のアドレス空間はインターネットの望遠鏡として使われてきた。しかし、IPv4の空き領域は縮小している。スキャナーが、空のアドレス群と利用者にサービスを出すホストを同じように扱うとも限らない。LightScopeは本番機へ観測点を移す一方、稼働中のサービス通信は観測対象から外す。

対象は空いているTCPポートだ。受動モードでは、未使用ポートに届いたTCP SYNを記録する。任意のハニーポットモードでは、運用者が未使用ポートを選び、接続を遠隔のハニーポットへ転送する。Kapitanskiによると、通常は10〜26個のポートを選ぶ。本番ホストは入口と中継役であり、囮のサービスは別の機械で動く。

この線引きによって、実際のサービスを使う利用者の通信は収集経路に入らない。選択された未使用ポートへの接続後、遠隔の囮環境でログインやコマンドの試行を観察できる。本番のサービスを実験台にせず、稼働ホストを狙う行動に近づける設計だ。

2026年のInternet Measurement Conference向け論文の公式記録は、235のLightScope導入先から2か月分のデータを分析したとしている。KapitanskiはRIPE 93で、同じネットワーク内でもスキャナーがホストごとに違う行動を取った例を示した。広い視点ではスキャナーを確認できても、次にどの稼働機を選んだかまでは分からないことがある。

センサーの位置は、観測結果を決める条件だ。未使用アドレスなら走査の輪郭が見える。稼働ホストの空きポートなら、実在する機器の選択が見える。遠隔ハニーポットなら接続後の試行が分かる。SYNの数とログイン試行の数は、別の段階を測っている。

Kapitanskiは導入先が米国の教育ネットワークに偏っていたと話した。運用者や地域の構成が広がれば、観測された選択行動をどこまで一般化できるかも変わる。発表が挙げた未対応の領域はUDPとバックscatterだ。TCPだけではスキャンの全体像にならない。

運用者が決めるのは、どの未使用ポートを観測に回すか、どれを転送に使うか、遠隔の記録を誰が読み、試された資格情報やコマンドをどれだけ保管するかだ。空きポートがセンサーになれば、記録の責任者と停止手順も必要になる。

出典