中国のDNSサーバ稼働状況を探る――謎のバナー、そして北京の奇妙な管理者……：統計で見るサイバーセキュリティ群像劇（2）（2/2 ページ）

北京の奇妙なバナー

　ここで、前回行ったように、北京のDNSサーバのバナー情報に注目します。下記は北京のDNSサーバに設定されているバナーの出現回数を多い順に並べたものです。

　北京ではBINDやdnsmasqが多いことが特徴のようです。しかしそれより気になるのが、1位の[Secured_!!!_Here_no_any_useful_information_to_you_!!!_]というバナーです。これは明らかにDNSサーバに独自のバナーを設定しているものですが、このようなちょっと語気の荒いバナーを1291台のサーバに設定している管理者（組織？）は、一体何者なのでしょうか？

北京のとある管理者

{ "_id" : "1.202.100.85", "country" : "CN", "ver" : "[Secured !!! Here no any useful information to you !!! ]", "fqdn" : "85.100.202.1.static.bjtelecom.net", "city" : "Beijing" }

　このバナーに関するFQDN（Fully Qualified Domain Name：完全修飾ドメイン名）を調べてみると、bjtelecom.netというドメインが浮かび上がってきました。Whoisで調べてみると、どうも「China Telecom」という組織が所有者であるようです。

　次に、bjtelecom.netがFQDNに入っているDNSサーバのバナーの集計を取ってみました。

　Secured...がダントツの1位です。China Telecomの中に、このバナーを一括設定している管理者がいるのでしょうか。

　上記のランキングから推測できることをまとめます。

　いずれにせよ、独自のバナー設定を1000台以上のサーバに施している管理者（チーム）の存在が気になります。

「China Telecom」を追え

　ここまでくると、1000台以上の[Secured_!!!_Here_no_any_useful_information_to_you_!!!_]を設定した管理者が何者なのか、いやが上にも知りたくなってきます。このバナーの関係者は、China Telecom内の管理者か、あるいは設定管理を一括して請け負っている業者でしょうか。しかし、ちょっと待ってください。

　[Secured_!!!_Here_no_any_useful_information_to_you_!!!_]というバナーは中国全土では1200程度観測されましたが（リスト2参照）、bjtelecomのドメイン内では1000台程度しか観測されていません（リスト3参照）。残りの200台程度のDNSサーバで同じバナーが設定されているのは、一体どういうことなのでしょうか？

　そこで、bjtelecomドメイン以外で、このバナーを設定しているドメインを調べてみます。すると、例えば次のような情報が出てきました。

{u'country': u'CN', u'_id': u'125.74.70.34', u'ver': u'[Secured !!! Here no any useful information to you !!! ]', u'fqdn': u'34.70.125.74.dail.lz.gs.dynamic.163data.com.cn', u'city': u'Gansu'}    

　上は「甘粛」の「163data」というドメインのDNSサーバが例のバナーを設定していることを表しています。そしてその所有者は……、やはり「China Telecom」なのでした。例のバナーが設定されているサーバは北京のbjtelecom.net以外にも、複数の都市にまたがって設定されているようです。

　全てを精査できていませんが、恐らく「China Telecom」管理下のDNSサーバなのではないでしょうか。というわけで、この情報から推測できるのは、

　といったところでしょうか。可能であれば次回以降、さらに掘り下げて調査を続けていきたいと思います。

　なお、最後におまけとして、筆者が調べた中国の攻撃元ドメインのプロバイダーとAS名のランキングを紹介します。

　というわけで、今回は中国のDNSサーバ情報を掘り下げてみてきました。次回も引き続き中国を対象にする予定ですが、今回紹介した幾つかの推測の検証が進まない場合は、SNSや公開情報から得られる知見など、別のテーマを扱う可能性もあります。