注目★★★★★Hacker News
TFTP ハニーポット 1 ヶ月の観測結果、セキュリティ企業 7 社のスキャン活動を追跡
30秒で把握
- 1TFTP ハニーポットが捕捉した日次トラフィックの大半は Shadow Servers・Shodan・Palo Alto Networks など 7 社セキュリティ企業の定期スキャン
- 2各社が異なる RRQ パターンや非標準 UDP ペイロードでサーバー存在確認・ソフトウェア特定・脆弱性探索を実施
- 3古いプロトコルだが PXE・組込み機器での使用例があるため、ネットワークログから本物の侵入を区別する参考データになり得る
要約
セキュリティ研究者が TFTP プロトコル用のハニーポットを 1 ヶ月以上運用し、UDP ポート 69 への日次トラフィック (20〜50 パケット/日) の正体を分析した。Shadow Servers、Censys、Driftnet、Shodan、Palo Alto Networks、Netscout、Internet Census の 7 つのセキュリティ企業による定期的なスキャンであることが判明した。各企業は TFTP サーバーの存在確認やサーバーソフトウェアの特定、ディレクトリトラバーサルなどの脆弱性を探索するパターンで通信していた。不適合な UDP ペイロードや特定ファイル名への RRQ (Read Request) など、各企業で異なるプローブ手法を採用していた。
あなたへの影響
TFTP は古いプロトコルで本番運用は稀だが、組込み機器や PXE ブート環境では今も使用例がある。
推奨：自社ネットワーク内で TFTP ポート 69 へのアクセスログを確認する際、これら公式スキャナからのトラフィックを識別できれば、本当の侵入の兆候を見つけやすくなる。