1ヶ月間のTFTPハニーポットが明らかにする、インターネットスキャナーの実態

TFTP（Trivial File Transfer Protocol）は古く、暗号化されておらず、現代のセキュリティチームからはほとんど無視されている。しかし、それでも容赦なくスキャンされ続けている——ボットネットではなく、情報セキュリティ業界自身によって。ある開発者が月額5ドルのVPSと自宅サーバーで1ヶ月以上TFTPハニーポットを運用した結果、インターネット全体のスキャンがどのように機能しているかを示す興味深いデータが得られた。

数字

両方のサーバーで1日あたり20～50のTFTPパケットが観測され、そのほとんどは7つの既知のセキュリティ企業（ShadowServer、Censys、Driftnet、Shodan、Palo Alto Networks、Netscout、Internet Census）からのものだった。ハニーポットはRead Request（RRQ）、不正なパケット、ERROR応答を記録したが、悪意のある攻撃はほとんどなかった。

スキャナーが求めているもの

ほとんどのプローブは単純な存在確認である。/aというファイル名やランダムな8文字の文字列を要求しても実際のデータは返せないが、サーバーが待機していることを確認できる。Palo Alto Networksは/a（netascii）とfile（octet）を連続して送信し、異なる転送モードへの応答に基づいてサーバーソフトウェアを特定しようとしている可能性が高い。

NetscoutとInternet Censusも同様のパターンを使用する。ShodanはTFTPに準拠しないUDPペイロード（例：00000417271019800000000000034925）をバースト送信する——筆者はShodanがそれで何を得ているのか全く見当がつかないと認めている。

稀だが興味深いプローブ

いくつかのリクエストが際立っている：

• startup-config——古典的なCisco設定ファイルの取得試行
• ..\\..\\..\\..\\boot.ini——Windows TFTPサーバーに対するディレクトリトラバーサルテスト
• pxelinux.0および各種.cfgファイル——PXEブート設定、露出したネットワークブートサーバーを狙ったものと思われる
• r7tftp.txt——nmap TFTPサーバー識別プローブ

また、いくつかのOACK（オプション確認）ペアやmasscan-testへのリクエストもあり、これはmasscanスキャナーの名前を隠れ蓑にしたプローブのようだ。

結論

皮肉なことに、公開TFTPポートに到達するトラフィックのほとんどは、脆弱性を悪用しようとする攻撃者ではなく、インターネットをカタログ化するセキュリティ企業からのものである。ディレクトリトラバーサルや設定ファイルの抽出を試みたプローブはごくわずかだった。残りは単なるインベントリ——どのIPがTFTPサーバーを稼働させ、どのソフトウェアを使用しているかをマッピングしているだけだ。

もしインターネットに露出したTFTPサーバーを運用しているなら（やめてください）、これらのスキャナーから定期的に訪問されることを覚悟すべきだ。彼らは悪意があるわけではないが、あなたのサーバーが可視化されている——そして誰にでも見える状態であることを確認しているのだ。