JPCERT/CCと@policeでは前者がPingパケットに反応するタイプ（ICMPのEcho Request 対しReplyを返す）、後者が反応しないタイプです。なぜそうした のかの情報を双方とも出していないのでわかりませんが、とにかくそ うなっています。
IWR aka WCLSCANは、ネットワーク上でその検知ボックスの存在を知られるこ とはない、つまりネットワーク的に存在していない、という設計思想に基づい ています。完全にインターネット中をランダムに飛び交うパケットの到着を観 測に使っています。具体的にはLinux Boxを用いて下記のような方法ですべて のパケットをリジェクトしています。
iptables -F INPUT iptables -A INPUT -i eth0 -j LOG iptables -A INPUT -i eth0 -j REJECT
今回の件に関しては本システムは動作的には@policeと同じです。また傾向に 関しても@policeと同じです。当然、Nachiのようなマシンの存在を確認した後 に攻撃するような手法を取っているものに関しては、取れるデータが違ってき ますが、いずれにせよ最初の探知に関しては検知ボックスに届くので、何か通 常ではないパケット到着は発生していることを推定することは可能です（ただ し、現在はICMPを対象にはしていません）。
送付元アドレスを偽造しSYN Flood Attackが行われるとbackscatterという現 象が現われるのが知られています。WCLSCANセンサーは2003年12月14日午後6時 23分46秒と51秒にwww.sco.comへ攻撃を行われた際に発生したと思われる backscatter パケットを検知しました。
wclscan,dec,14,18:23:46,1990/tcp,216.250.128.12,80,220.110.1.197,1990 wclscan,dec,14,18:23:51,1990/tcp,216.250.128.12,80,220.110.1.197,1990 $ host 216.250.128.12 12.128.250.216.in-addr.arpa domain name pointer www.sco.com.
Internet Weather Report aka WCLSCANの検知情報が携帯からも確認できるようになりました。 簡易HTML 版 ( NTT ドコモ iモード / vodafone J-スカイ改めvodafone live!) と HDML 版 ( KDDI au EZWeb ) があります。 Lは危険度レベル、Pはポート番号、Bはベイズ推定値、Cは本日のカウント数で す。危険度レベル1が「緊急性が高い」、レベル2が「注意喚起」、レベル3が 「推移を見守る」ぐらいの意味です。尚、本日のカウント数は、午前0時を起 点にカウントしていますので、危険度のレベルが高いけれども、カウント数が 少ない場合もあります。
検知したパケットの トップ10 の棒グラフ (3日以内、7日以内、30日以内) を表示します。
広域アラートシステム WCLSCANを開発していますが、 そのプロトタイピングレベルが終了しました。 現在、検知したパケットから、ベイズ推論を使い攻撃を自動的に発見する実験 を行っています。 ここに 推論結果のデータ と グラフ を公開しておきます。 IWR aka WCLSCANの詳細はここへ。
h2np.netサイトにおける約１年分のルータのログ(2002年1月 1日〜12月24日)をclscanで処理した統計 を公開します。
!!注意： アラートクラスは設定していません : 注意!!
そもそも「記録されたもの＝不正アクセス」というわけではありません。 よく「パケット到着＝不正アクセス」と誤解している人（たとえば警察の発表 など )を見かけますが、それは正しい解釈ではありません。 くわしくは本ページの「セキュリティアラートって何？」の節を参照してください。