[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2020027250A1 - 感染拡大攻撃検知装置、攻撃元特定方法及びプログラム - Google Patents

感染拡大攻撃検知装置、攻撃元特定方法及びプログラム Download PDF

Info

Publication number
WO2020027250A1
WO2020027250A1 PCT/JP2019/030149 JP2019030149W WO2020027250A1 WO 2020027250 A1 WO2020027250 A1 WO 2020027250A1 JP 2019030149 W JP2019030149 W JP 2019030149W WO 2020027250 A1 WO2020027250 A1 WO 2020027250A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
terminal
traffic
information
infection
Prior art date
Application number
PCT/JP2019/030149
Other languages
English (en)
French (fr)
Inventor
幸洋 鋒
浩明 前田
小島　久史
健 桑原
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/265,397 priority Critical patent/US11863584B2/en
Publication of WO2020027250A1 publication Critical patent/WO2020027250A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Definitions

  • the present invention relates to an infection spread attack detection system that detects an infection spread attack by an infected terminal in a network.
  • Non-Patent Document 1 the number of cases in which an attacker hijacks the above-mentioned vulnerable user terminal via the Internet and abuse it as a stepping stone for a cyber attack has been increasing. Attack has been observed. If a large number of terminals are infected with malware and used as a stepping stone for attackers in the future, there is a possibility that network bandwidth will be squeezed and the load on the security mechanism on the response side will increase in the future (see Non-Patent Document 1).
  • the telecommunications business aims to improve the security of user terminals and prevent large-scale cyber attacks by preventing terminals that have insufficient security measures and user management from being used as a stepping stone.
  • There has been proposed a system that detects an attack that turns a terminal into a stepping stone network (hereinafter referred to as an “infection spread attack”).
  • This system reduces the security risks of telecommunications carriers by detecting unauthorized communications by infected terminals contained in their own telecommunications carriers' networks, and grasping the attack patterns and the amount of attacks in advance in advance. It is what aims at.
  • examples of the infection spread attack include infection activities such as Telnet and worms.
  • This system first (1) uses an access control list (ACL) in a core router or the like in a communication carrier network to transmit traffic information of a terminal accommodated in the communication carrier network to a communication destination address.
  • ACL access control list
  • a core router or the like in a communication carrier network to transmit traffic information of a terminal accommodated in the communication carrier network to a communication destination address.
  • IPv4 Internet ⁇ Protocol ⁇ version ⁇ 4
  • the traffic information to be obtained is the number of packets per a predetermined sampling time.
  • the ACL is information describing conditions such as an address for controlling a packet and a control method for a packet that matches the condition.
  • the traffic information acquired over time is totaled within a predetermined totaling time range for each partial address space, and the totaled traffic information for each partial address space is vectorized.
  • the vector obtained by this processing is a scalar value of traffic information in which the number of dimensions is the number of subdivisions of the partial address space and each element is totaled.
  • a classifier threshold is created by performing a machine learning process by unsupervised learning using the vectorized traffic information.
  • vectorized traffic information at a certain point in time is acquired in the same manner as in (1) and (2) described above. Then, whether the traffic information is normal or abnormal is determined using the discriminator. This makes it possible to detect an infection spread attack.
  • the core router is set so that subsequent packets are used as a predetermined security device. Then, in the security device, a more detailed analysis is performed to identify a terminal that is performing an infection spreading attack.
  • the above system can detect the occurrence of infection spread attacks with high accuracy.
  • the traffic drawn into the security device is all the traffic addressed to the detected partial address space, and this traffic includes that of normal communication. For this reason, there is a problem that not only the load of the analysis processing in the security device is large, but also traffic related to normal communication bypassing to the security device is generated and the network load is also increased.
  • Non-Patent Document 3 focuses on the behavior of Banner @ Grabbing (behavior of reading a character string on a login screen and specifying a manufacturer) unique to normal scanning. Then, a detailed feature amount such as a packet arrival interval is extracted for each source address, and clustering of the source is performed to identify that the scan source is the terminal to be investigated.
  • the present invention has been made in view of the above circumstances, and an object of the present invention is to provide an infection spread attack detection device and an attack source terminal identification method capable of detecting the occurrence of an infection spread attack and the source of the attack with high accuracy. And to provide programs.
  • the present invention is directed to an infection spread attack detection device that detects the occurrence of an infection spread attack in a network provided with a transfer device that transfers a packet, wherein the transfer device transmits a packet transmitted by the transfer device.
  • a first feature amount deriving means for acquiring one piece of traffic information and deriving a first feature amount of traffic for each of a plurality of partial address spaces obtained by subdividing an address space of a network based on the first traffic information;
  • Monitoring target determining means for determining M partial address spaces to be monitored among the plurality of partial address spaces based on the first characteristic amount derived by the first characteristic amount deriving means;
  • a packet transferred by the transfer device having an address in the M partial address spaces determined by the target determining means as a destination or a transmission source.
  • Second characteristic information deriving means for acquiring second traffic information for the traffic and deriving a second characteristic amount of the traffic for each address of a terminal accommodated in the network based on the second traffic information;
  • the second feature value derived by the second feature value deriving means is learned, the terminal address is classified into a plurality of clusters, and it is determined whether each cluster is an infection spread attack to generate cluster information.
  • Terminal specifying means for specifying.
  • the number of partial address spaces to be monitored is limited to M based on the first feature amount derived from the traffic information.
  • the clustering process based on the second feature amount derived in the above can be performed with low load. Further, since the clustering process is based on the second feature amount derived for each terminal address, it is possible to specify the occurrence of an infection spread attack and the address of the attacking terminal with high accuracy.
  • FIG. 4 is a diagram for explaining determination of a terminal observed in the current time slot
  • FIG. 7 is a view for explaining a calculation example of a second feature amount.
  • FIG. 7 is a view for explaining a calculation example of a second feature amount.
  • An example of the network configuration of the infection spread attack detection system Example of functional configuration of packet transfer device
  • Example of functional configuration of transfer device controller Example of functional configuration of storage device for abnormality detection
  • Example of feature amount processing setting information table An example of a feature storage table for traffic trend analysis
  • An example of a clustering feature value holding table An example of a time-series feature storage table for detection
  • Example of functional configuration of traffic trend analyzer Example of analysis setting information table
  • Example of clustering setting information table Example of mapping information table
  • Example of cluster information table Example of functional configuration of terminal identification device
  • Example of specific setting information table Sequence related to traffic trend analysis Sequence for performing clustering and specifying classes Sequence related to abnormality detection and handling
  • the “source” and “destination” of communication are based on the direction from a terminal accommodated in the network to the outside of the network.
  • the present invention detects an infection spread attack on the entire address space by a malware infected terminal housed in a network such as a telecommunications carrier network, and further specifies the address of the terminal of the spread infection attack terminal.
  • the present invention is not limited to the feature amount that captures the nature of communication at the time of scan execution as a feature amount for separating normal scan and attack scan, but also to the feature of communication based on the difference in each operation form and purpose of use. Also pay attention. For example, the following are the differences in the operation form and the purpose of use.
  • Example 1 Period during which terminal IP address is observed>
  • the IP address of the terminal is observed for a long time.
  • the IP address of the terminal starts to be observed with the spread of malware infection.
  • an interruption occurs to avoid detection.
  • attacks continue to occur at a constant rate.
  • the duration of the attack activity is shorter than that of the normal scan.
  • use of the terminal by a normal user who does not notice that the terminal is infected is affected.
  • Example 3 Distribution of the number of packets in one flow>
  • a dictionary attack is not often performed after scanning, and the number of packets transmitted to the target terminal is almost constant.
  • the number of packets is increased only by the flow at the time of the dictionary attack.
  • the occurrence of an infection spread attack is detected by three steps: (1) acquisition of traffic information used for detection, (2) learning of a normal state by clustering, and (3) determination of a terminal observed in the current time slot. And the source of the attack.
  • (1) Acquisition of traffic information used for detection As shown in FIG. 1, a setting for counting the number of packets for each destination address space is input to an ACL (access control list) of a network device in a communication carrier network, and communication is performed. Identify address spaces with few URLs. For example, in the ACL of the central router, the number of transmission packets may be counted in units of destination / 8 address. Then, sFlow information of the traffic addressed to the address space with less communication is obtained.
  • ACL access control list
  • Each of these feature values is a feature value for distinguishing between normal communication and random scan. By performing clustering including these feature values, normal terminals that do not perform scanning can be classified. In particular, 5. 5. Observation period length, The variation in the number of destinations is that the distribution of the number of packets in a 7.1 flow is a feature amount that classifies the characteristics of a scan (for example, a malware unit or a research institution unit). Among them, clusters are composed of similar persons. That is, 5. ⁇ 7.
  • the feature amount is a feature amount that captures a difference in scan operation form and purpose of use, and clustering including this feature amount can be expected to classify normal scans and attack scans.
  • L3-4 header information of sFlow is acquired, and a feature amount used in clustering is calculated at regular time intervals. Specifically, 1. ⁇ 4. As shown in FIG. 4, the number of flows addressed to the / 8 address is counted for each transmission source, the occurrence rate (percentage to the total number of flows) is calculated for each time slot, and the entropy is calculated as shown in FIG. The number of types of protocols and ports is calculated for each transmission source, and the number of flows is calculated for each transmission source.
  • the characteristic amount of the past time slot is stored in a table, and the characteristic amount used for clustering is calculated by processing the characteristic amount at regular time intervals. Specifically, as shown in FIG. In the feature amount calculation DB, 1 is recorded in the feature amount calculation DB if it is observed, and 0 is recorded if it is not observed, and the number of consecutive 1's from the current time slot is counted. However, 0 up to N consecutive times is regarded as 1. That is, interruption up to N consecutive times is permitted.
  • N is a parameter in consideration of the off time of the normal scan terminal, and is calculated by analyzing a known normal scan.
  • 6. For the feature amount of the variation in the number of destinations in M time slots is calculated retroactively from the current time slot, and more specifically, the standard deviation of the number of destinations in the immediately preceding M time slot is used as the feature amount.
  • the clusters obtained as a result of the clustering are analyzed according to the following rules, and classified into a cluster to which a normal scan terminal belongs and a cluster to which an infected terminal belongs.
  • a cluster including the published IP address of a normal scan terminal is defined as a cluster of normal scan terminals.
  • Rule 2 At the center of gravity of the cluster, communication information for distinguishing between normal communication and random scan is matched with the behavior of a known malware, and a matching cluster is regarded as a cluster of infected terminals.
  • Rule 3 The values of the feature values at the center of gravity of the clusters are compared, and for example, a cluster whose active period is in the top 10% is set as a cluster of normal scan terminals.
  • FIG. 6 shows an example of a network configuration of the infection spread attack detection system.
  • a large number of terminals 2 are accommodated in a network 1 such as a communication carrier network.
  • the network 1 is a large-scale IP network to which many terminals 2 are connected.
  • the communication characteristics of the terminal 2 (for example, communication frequency, number of destinations, packet size, etc.) do not matter.
  • the terminal 2 includes not only a terminal operated by a user but also an IoT terminal.
  • the type of line connecting the terminal 2 and the network 1 is not limited, and may be a wireless communication line or a wired communication line.
  • Network 1 is connected to Internet 3.
  • the operator of the network 1 provides the terminal 2 with a connection service to the Internet 3.
  • a packet transfer device 100 is provided in the network 1.
  • the network 1 is provided with a well-known security device 4 that performs a detailed analysis on the spread infection attack.
  • the packet transfer device 100 is a device that relays a packet between the Internet 3 and the terminal 2.
  • An example of the packet transfer device 100 is a network device such as a router in a core network of a communication carrier network. The number of the packet transfer devices 100 in the network 1 does not matter.
  • the abnormality detection device group includes a transfer device controller 200, an abnormality detection storage device 300, a traffic tendency analysis device 400, a clustering operation device 500, and a terminal identification device 600.
  • the abnormality detection storage device 300 corresponds to a “first feature value deriving unit” and a “second feature value deriving unit” in the claims.
  • the traffic tendency analysis device 400 corresponds to “monitoring target determining means” in the claims.
  • the clustering operation device 500 corresponds to “clustering means” in the claims.
  • the terminal specifying device 600 corresponds to a “terminal specifying unit” in the claims.
  • each device is mainly composed of a semiconductor device, a volatile storage device such as a CPU (Central Processing Unit) and a RAM (Random Access Memory), a nonvolatile storage device such as a hard disk and a flash memory, and communication with the outside. It can be configured as a so-called information processing device having a communication interface for performing a connection for Each device may be configured by installing a program on a general-purpose server, or each device may be configured as a dedicated hardware device incorporating the program. Further, for example, each device may be mounted on one hardware device in an arbitrary combination. Further, for example, each device may be implemented in a virtual machine constructed in a virtual environment.
  • an abnormality detection device group is provided for each packet transfer device 100, but one abnormality detection device group may be provided for each of the plurality of packet transfer devices 100.
  • the packet transfer device 100 collects information such as the number of transmitted and received packets for each destination address space (eg, / 8 address space) using an ACL, and transfers the information to the abnormality detection storage device 300. I do.
  • the anomaly detection storage device 300 processes the traffic information for each time series into information (first feature amount) used to identify a set of M partial address spaces that can be effectively detected, and processes the traffic tendency.
  • the data is transmitted to the analyzer 400.
  • the traffic tendency analysis device 400 analyzes the first feature amount for a certain period of time, and monitors a set of M partial address spaces that can be effectively detected (eg, M partial address spaces that always have a small traffic amount). To be specified. Further, the setting for collecting the traffic information of the M address spaces is input to the packet transfer apparatus 100 via the transfer apparatus controller 200.
  • the packet transfer device 100 After the setting of the packet transfer device 100 is entered, the packet transfer device 100 transmits the traffic information to the abnormality detection storage device 300 only for the M address spaces that can be effectively detected.
  • the anomaly detection storage device 300 accumulates traffic information for each time series, processes it into information (second feature amount) used for learning and detection using clustering, and transmits the information to the clustering calculation device 500 and the terminal identification device 600. I do.
  • the clustering calculation device 500 receives the second feature amount in the traffic information for a certain period from the abnormality detection storage device 300, and performs clustering. As a result, a plurality of clusters according to the tendency of the spread infection attack performed by the terminal 2 are mapped to the feature space. Further, the meaning of the cluster is determined by using past observation information and the like.
  • the terminal specifying device 600 receives the clustering result of the terminal 2 from the clustering operation device 500. Further, it receives the second feature amount information for each time series from the abnormality detection storage device 300, and separates the infected terminal and the normal scan terminal for each cluster based on the information. Further, when an infected terminal is extracted, the routing of the packet transfer device 100 is changed via the transfer device control controller 200, and the subsequent traffic is input to a predetermined security device 4 for scrutiny.
  • the packet transfer device 100 includes a communication unit 110 that relays a packet transmitted from the terminal 2 to the Internet 3 and relays a packet addressed to the terminal 2 from the Internet 3 to the terminal 2.
  • the packet transfer apparatus 100 sets a condition for each attribute information (eg, destination / source IP address) of the communication packet in the ACL so that the number of packets that match the condition within a predetermined sampling time can be trafficked.
  • An information collection unit 120 that transmits the information to the abnormality detection storage device 300 is provided.
  • a plurality of ACLs can be set around the packet transfer apparatus 100, and the application timing is not limited before and after forwarding. Further, in a hierarchical network, when the set capacity of the ACL is insufficient, it is possible to set a different ACL for each different layer and to share the functions, and the setting location is irrelevant.
  • the information collecting unit 120 specifies an address space with less communication in the traffic tendency analysis device 400, and then acquires sFlow (traffic information corresponding to the L3-L4 header) for those address bands based on the information, The data is transmitted to the abnormality detection storage device 300.
  • the ACL and sFlow may be set in one packet transfer device 100, or may be set separately in different packet transfer devices 100 in the same layer.
  • the settings for the information to be collected in the information collection unit 120 and the settings for the routing in the communication unit 110 are determined based on a command from the transfer device controller 200.
  • the traffic information transmitted by the information collecting unit 120 to the abnormality detection storage device 300 may include not only ACL and sFlow but also an IP header and full capture. In the following description, two examples, ACL and sFlow, will be described.
  • the transfer device controller 200 includes a communication unit 210 serving as a communication interface, and a configuration generation unit 220.
  • the configuration generation unit 220 inputs information related to the settings of the packet transfer device 100 such as sFlow setting information, ACL setting information, and routing setting information from outside the system (including the traffic trend analysis device 400 and the terminal identification device 600). It has a function of generating a configuration of the packet transfer device 100, such as drawing only a specific flow into the security device 4. The generated config is transmitted to the packet transfer device 100 and set.
  • the anomaly detection storage device 300 includes a communication unit 310 as a communication interface and a first feature amount and a second feature amount (e.g., a source address at a fixed time interval) obtained from the current traffic information acquired from the packet transfer device 100.
  • the image processing apparatus includes a feature amount processing operation unit 320 that processes the number of destinations in the unit, the number of protocol types, and a statistic resulting therefrom, and a feature amount processing setting information table 330 that holds the setting of the feature amount processing.
  • the abnormality detection storage device 300 holds the calculated feature amounts in various tables as necessary.
  • the holding of the feature amounts may be performed by dividing the tables to be held for each application, such as the first feature amounts used for the traffic tendency analysis and the second feature amounts used for the clustering, or may be put together in the same table.
  • a table that holds the feature values in time series units is prepared for calculating the feature values used for clustering (particularly, the detection processing using the cluster).
  • a traffic trend analysis feature amount holding table 340, a clustering feature amount holding table 350, and a detection time-series feature amount holding table 360 are provided.
  • the abnormality detection storage device 300 includes an information management unit 370 which is an interface between the feature amount processing operation unit 320 and each of the tables 330 to 360. These pieces of feature amount information are transmitted to the traffic trend analysis device 400, the clustering calculation device 500, and the terminal identification device 600.
  • the feature amount processing setting information table 330 holds a time width for performing the feature amount processing and a method of processing information acquired from the packet transfer apparatus 100. Based on these pieces of information, the feature amount processing calculation unit 320 calculates a first feature amount for traffic trend analysis and a second feature amount for clustering.
  • the characteristic amount holding table for traffic tendency analysis 340 is a table for holding, for each time series, the characteristic amounts acquired for each effectively detectable address space.
  • the number of packets, which is the first feature amount is stored for each address space as a predetermined unit. Here, how to take the unit is not questionable. Also, the value and the number of dimensions used for the first feature amount are not questioned.
  • one table is created for each network device, but information acquired from a plurality of network devices may be stored in one table. These pieces of information are used by the traffic tendency analyzer 400.
  • the clustering feature amount holding table 350 stores the second feature amount based on the setting contents of the feature amount processing setting information table 330 for each source address limited to the IP address in the network. Calculate and store the result in this table.
  • An example of the second feature amount is as described above with reference to FIG. These pieces of information are used by the clustering operation device 500.
  • the feature quantity indicating the length of the observation period or the feature quantity indicating the variation in the number of destinations stores observation values for each time series (time slot) and extends over a plurality of time series. Processing must be performed. As shown in the example of FIG. 13, the detection time-series feature amount holding table 360 holds observation information that is used as a basis for calculating these feature amounts. The held result is a feature amount processing unit. It is processed again in 320 and stored in the clustering feature value holding table 350.
  • the traffic trend analysis device 400 performs an analysis based on the communication unit 410 as a communication interface and the first feature amount acquired from the storage device 300 for abnormality detection, and an address space that can be effectively detected.
  • An information management unit 440 which is an interface between the calculation unit 420 and the analysis setting information table 430, is provided.
  • the analysis operation unit 420 analyzes information for obtaining the traffic information necessary for deriving the second feature amount in the packet transfer device 100 (for example, M partial address spaces with a small traffic amount).
  • the analysis setting information table 430 holds various setting information necessary for the above-described analysis processing. As shown in the example of FIG. 15, the analysis setting information table 430 includes a method for specifying a partial address space with a small traffic amount, a threshold for the traffic amount, the number of partial address spaces for performing abnormality detection, and the like. Holds the information of
  • the threshold value X of the traffic amount is an example of a parameter that defines a set of partial address spaces that can be effectively detected.
  • an address space that is always lower than the traffic volume threshold value X is set as an address space that can be effectively detected.
  • the threshold value X is, for example, the amount of an attack to be detected (eg, target value of the number of infected devices ⁇ the amount of attack per infected terminal), the distribution of attack destinations (eg, a uniform distribution or a bias in a plurality of address spaces). Distribution).
  • FIG. 15 illustrates an example in which the user sets the threshold value X
  • an effective address space set for detection may be specified by a clustering algorithm such as K-Means.
  • the clustering operation device 500 uses a communication unit 510 as a communication interface, an operation unit for clustering 520, a clustering setting information table 530 holding various setting information used in clustering, and mapping for clustering.
  • a mapping information table 540 for holding mapping information, a cluster information table 550 for holding cluster information as a result of clustering, a clustering operation unit 520, and an information management unit 560 as an interface between the tables 530 to 550 are provided. I have.
  • the clustering operation unit 520 performs clustering based on the second feature amount acquired from the abnormality detection storage device 300, the information of the clustering setting information table 530, and the information of the mapping information table 540, and stores the result in the cluster information table 550. Hold.
  • the clustering setting information table 530 is a table that holds setting information related to clustering. As shown in the example of FIG. 17, specifically, a clustering algorithm (eg, K-Means, non-hierarchical clustering, generation model, etc.) And its parameters and implementation intervals are kept. According to these pieces of information, the clustering calculation unit 520 performs a clustering calculation.
  • a clustering algorithm eg, K-Means, non-hierarchical clustering, generation model, etc.
  • the clustering calculation unit 520 performs a clustering calculation.
  • the mapping information table 540 includes a rule for analyzing whether the calculated cluster is related to a normal scan or an attack scan, and an analysis process based on the rule. Holds known information to be used. Specifically, the mapping information table 540 holds various types of information according to the above-described rules 1 to 3. According to these pieces of information, the clustering calculation unit 520 analyzes and maps the clusters, that is, assigns meaning to each cluster.
  • the cluster information table 550 is a table that holds the clustering result by the clustering operation unit 520, and as shown in the example of FIG. 19, information on the IP address of the source terminal that is a constituent element for each cluster and the center of gravity of the cluster And hold labels. These data are transmitted to the terminal identification device 600.
  • the terminal specifying device 600 includes a communication unit 610 as a communication interface, a calculation unit 620 for specifying whether an infection spread attack has occurred and a terminal that has caused the attack, and a calculation unit 620 for specifying.
  • a specific setting information table 630 holding setting information to be used, and a specific result display user interface unit 640 for displaying a specific result are provided.
  • the specifying operation unit 620 acquires the second characteristic amount of the traffic in the current time series from the abnormality detection storage device 300. Further, it receives information on a clustering result calculated from the past traffic information from the clustering operation device 500.
  • the specifying operation unit 620 specifies which cluster each terminal observed in the current time series belongs to in accordance with the calculation method defined in the specific setting information table 630 in addition to the received information.
  • the specified result is transmitted to the transfer device controller 200 and displayed on the specified result display user interface unit 640.
  • the specific setting information table 630 holds information necessary for specifying which cluster each terminal observed in the current time series belongs to.
  • As a method of associating clusters for example, it is conceivable to calculate the distance between the center of gravity of each cluster and the current time-series feature amount, and assign the cluster to the shortest cluster.
  • the abnormality detection storage device 300 acquires the traffic information for each of the subdivided address spaces from the packet transfer device 100 at regular time intervals (step S11).
  • the acquired traffic information is accumulated for a plurality of time periods in the abnormality detection storage device 300, and the accumulated information is analyzed by the traffic tendency analysis device 400, so that the M partial address space sets that can accurately detect an infection spread attack can be detected. Is specified (steps S12 and S13).
  • the transfer device control controller 200 sends information (a second feature value) that can be used for detection to a plurality of packet transfer devices 100 from M partial address spaces. (Step S14, S15).
  • the anomaly detection storage device 300 transmits traffic information from the packet transfer device 100 to the subdivided M partial address spaces at regular time intervals (for example, 1 month) (step S21).
  • the acquired traffic information is stored in the abnormality detection storage device 300, and is processed into a second feature value based on a predetermined calculation (step S22).
  • the second feature amount is transmitted to the clustering operation device 500 (Step S23).
  • the terminal 2 is grouped by inputting the second feature value to the clustering algorithm, and the result is stored (steps S24 and S25).
  • step S26 The property of each cluster is specified using the grouping result, the past grouping result, and information of the known scan terminal (the IP address of the normal scan terminal that has been published) (step S26). Since the traffic trend is considered to fluctuate periodically, the above steps S21 to S26 are performed at regular intervals (for example, once every two months) (step S27).
  • the anomaly detection storage device 300 transmits traffic information from the packet transfer device 100 to the subdivided M partial address spaces at regular time intervals (for example, (20 minute intervals) (step S31).
  • the acquired traffic information is stored in the anomaly detection storage device 300, and is processed into a second feature amount for each source address based on a predetermined calculation (step S32).
  • step S33 and S34 Using the processed second feature amount and the result information of the clustering (steps S33 and S34), by performing an operation such as comparison, it is determined which cluster the transmission source belongs to (step S35).
  • an abnormality of the transmission source is detected (step S36).
  • the routing of the packet transfer device 100 is changed by transmitting the information of the source address to the transfer device controller 200 (steps S37 and S38).
  • all communications are drawn into the security device 4 from the source address (step S39), and a detailed inspection of the infected terminal is performed (step S40).
  • the present invention is not limited to this.
  • the first feature value deriving means used to specify the M partial address spaces and the second feature value deriving means used in detecting an infection spread attack are: Although implemented in the abnormality detection storage device 300, both means may be implemented as different devices.
  • the setting process for the packet transfer device 100 is performed by the transfer device controller 200.
  • the traffic trend analysis device 400 and the terminal identification device 600 directly set the packet transfer device 100. You may.
  • IPv4 is exemplified as the address space, but the present invention can be applied to other address spaces such as IPv6.
  • the second feature value 1. 1. Distribution of destination (entropy); 2. Number of destinations; 3. Number of types of port numbers; 4. Ratio of protocol in IP header; 5. Observation period length, Although the variation in the number of destinations and the distribution of the number of packets in the 7.1 flow have been illustrated, other information may be used.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Artificial Intelligence (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Mathematical Physics (AREA)
  • Computational Linguistics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

感染拡大攻撃の発生及びその攻撃元を高精度で検知する。転送装置が転送するパケットのトラヒック情報に基づき第１の特徴量を算出し、該第１の特徴量に基づき監視対象とするＭ個の部分アドレス空間を特定する。そして、Ｍ個の部分アドレス空間に係るトラヒック情報に基づきネットワーク内の端末のアドレス毎に第２の特徴量を算出し、第２の特徴量を学習して端末のアドレスを複数のクラスタに分類するとともに各クラスタについて感染拡大攻撃であるかを判定してクラスタ情報を生成する。そして、第２の特徴量及びクラスタ情報に基づき感染拡大攻撃が発生したか否か及び攻撃元の端末のアドレスを特定する。

Description

感染拡大攻撃検知装置、攻撃元特定方法及びプログラム
　本発明は、ネットワーク内において感染端末による感染拡大攻撃を検知する感染拡大攻撃検知システムに関する。
　近年、ＩｏＴ（Internet of Things）の普及により、充分な計算資源が無く、セキュリティ対策が行えない端末もインターネットに接続されることが増えてきている。また、ユーザの一人あたりの所持端末数も増加しており、管理が行き届かない端末の増加も予想される。
　一方、近年、攻撃者がインターネット経由で上述の脆弱なユーザ端末を乗っ取り、サイバー攻撃の踏み台として悪用する事例が増加しており、数ＴｂｐｓクラスのＤＤｏＳ（Denial of Service）攻撃などの大規模なサイバー攻撃が観測されている。今後も多数の端末がマルウェアに感染し、攻撃者の踏み台に用いられれば、将来的にネットワーク帯域の圧迫や対処側のセキュリティ機構への負荷が増大するおそれがある（非特許文献１参照）。
　そこで、従来、セキュリティ対策やユーザの管理が不十分な端末が踏み台にされることを通信事業者網で防ぐことで、ユーザ端末のセキュリティ向上と大規模なサイバー攻撃の未然防止を目指し、通信事業者網での端末を踏み台化する攻撃（以下「感染拡大攻撃」と言う）を検知するシステムが提案されている。このシステムは、自身の通信事業者網に収容されている感染端末による不正通信を当該網において検知し、今後の攻撃パターンや攻撃量を事前に把握することで、通信事業者のセキュリティリスクの軽減を目指すものである。なお、感染拡大攻撃の例としては、Ｔｅｌｎｅｔやワーム等の感染活動などが挙げられる。
　上記システムについて説明する。このシステムは、まず、（１）通信事業者網内のコアルータ等においてアクセスコントロールリスト（ＡＣＬ：Access Control List）を用いて、通信事業者網に収容された端末のトラヒック情報を、通信相手先アドレスについて細分化した部分アドレス空間毎に経時的に取得する。アドレス空間の細分化の例としては、ＩＰｖ４（Internet Protocol version 4）のパケットの場合、３２ｂｉｔのアドレス空間について上位８ｂｉｔの値を用いて細分化する方法が挙げられる。また、取得するトラヒック情報としては、所定のサンプリング時間当たりのパケット数である。なお、前記ＡＣＬとは、パケットを制御するためのアドレス等の条件と、条件にマッチしたパケットに対する制御方法を記載した情報である。
　次に、（２）経時的に取得したトラヒック情報を、部分アドレス空間毎に所定の集計時間範囲で集計するとともに、集計した部分アドレス空間毎のトラヒック情報をベクトル化する。この処理によるベクトルは、次元数が部分アドレス空間の細分化数であり、各要素が集計したトラヒック情報というスカラー値である。そして、（３）このベクトル化されたトラヒック情報を用いて、教師なし学習により機械学習処理を行うことにより、識別器（閾値）を作成する。
　次に、（４）検知を行う際には、前述の（１）及び（２）と同様にして、ある時点におけるベクトル化されたトラヒック情報を取得する。そして、当該トラヒック情報について前記識別器を用いて正常か異常かを判定する。これにより感染拡大攻撃を検知することができる。感染拡大攻撃を検知した場合、以降のパケットを所定のセキュリティ装置にするようコアルータを設定する。そして、セキュリティ装置において、さらに詳細な分析が行われ、感染拡大攻撃を行っている端末の特定などを行う。
　トラヒック量の少ない空間では、正常通信に対して感染拡大攻撃に係る通信が相対的に多くなることが知られている。このため、上記のシステムでは、少量の攻撃による変化も捉えられると期待できる。
小山覚, "サイバー攻撃対策としてのIoTセキュリティについて",[online], サイバーセキュリティタスクフォース（第2回）, 総務省, [平成30年7月6日検索], インターネット<URL:http://www.soumu.go.jp/main_content/000471279.pdf> Johan Mazel, 他２名, "Profiling Internet Scanners: Spatiotemporal Structures and Measurement Ethics", 2016年 Seungwoon Lee1, 他２名, "Abnormal Behavior-Based Detection of Shodan and Censys-Like Scanning", IEEE, ICUFN 2017, pp.1048-1052, 2017年
　上記のシステムでは、感染拡大攻撃の発生を高精度で検知できる。しかし、セキュリティ装置に引き込まれるトラヒックは、検知した部分アドレス空間宛の全てのトラヒックであり、このトラヒックには正常通信のものも含まれる。このため、セキュリティ装置での分析処理の負荷が大きいだけでなく、セキュリティ装置へ迂回する正常通信に係るトラヒックが発生することになりネットワーク負荷も高くなるという問題がある。
　上記問題を解決するためには、感染端末のアドレスを特定する技術が必要であるが、上記のシステムではセキュリティ装置に引き込むトリガとなる送信元アドレスの情報を特定することはできなかった。
　感染端末のアドレスを特定するためには、トラヒックが正常端末によるものなのか、感染端末によるものなのかを判別することが必要である。ところで、セキュリティ情報の共有化等を目的として、インターネットに接続された端末の全ポートに対してスキャンを行い、脆弱なポートが空いてないか等を調査し、データベース化する「Ｓｈｏｄａｎ」や「Ｃｅｎｓｙｓ」などのシステムがある（非特許文献２，３参照）。この調査に係るトラヒックは感染拡大攻撃にかかるものではないので、感染端末を特定するために、調査に係るトラヒックと感染拡大攻撃に係るトラヒックを区別する必要がある。
　非特許文献３では、正常スキャン特有のＢａｎｎｅｒ　Ｇｒａｂｂｉｎｇ（ログイン画面の文字列を読み取ってメーカを特定する行動）の振舞いに着目している。そして、送信元アドレス毎にパケット到着間隔等の詳細な特徴量を抽出し、送信元のクラスタリングを行うことでスキャン送信元が調査に係る端末であると識別する。
　しかし、感染端末によるスキャンと正常スキャンでは、スキャン実行時の通信特性が極めて似ているため、識別が困難である。これは、一般的な調査用スキャンは、感染端末からの攻撃を模擬することで端末の脆弱性を調査するため、感染端末によるスキャンとほぼ同じ性質になってしまうためである。また、Ｂａｎｎｅｒ　Ｇｒａｂｂｉｎｇ相当の挙動を示すマルウェアも存在する。
　本発明は上記事情に鑑みてなされたものであり、その目的とするところは、感染拡大攻撃の発生及びその攻撃元を高精度で検知することができる感染拡大攻撃検知装置、攻撃元端末特定方法及びプログラムを提供することにある。
　上記目的を達成するために、本願発明は、パケットを転送する転送装置を備えたネットワーク内において感染拡大攻撃の発生を検知する感染拡大攻撃検知装置であって、前記転送装置が転送するパケットについて第１のトラヒック情報を取得するとともに、前記第１のトラヒック情報に基づきトラヒックの第１の特徴量をネットワークのアドレス空間を細分化してなる複数の部分アドレス空間毎に導出する第１の特徴量導出手段と、前記第１の特徴量導出手段により導出された第１の特徴量に基づき前記複数の部分アドレス空間のうち監視対象とするＭ個の部分アドレス空間を決定する監視対象決定手段と、前記監視対象決定手段により決定されたＭ個の部分アドレス空間内のアドレスを宛先又は送信元とする前記転送装置が転送するパケットについて第２のトラヒック情報を取得するとともに前記第２のトラヒック情報に基づき当該トラヒックの第２の特徴量をネットワーク内に収容された端末のアドレス毎に導出する第２の特徴量導出手段と、前記第２の特徴量導出手段により導出された第２の特徴量を学習して端末のアドレスを複数のクラスタに分類するとともに各クラスタについて感染拡大攻撃であるかを判定してクラスタ情報を生成するクラスタリング手段と、前記第２の特徴量導出手段により導出された第２の特徴量及び前記クラスタリング手段により生成されたクラスタ情報に基づき感染拡大攻撃が発生したか否か及び攻撃元の端末のアドレスを特定する端末特定手段とを備えたことを特徴とする。
　本発明によれば、監視対象とする部分アドレス空間がトラヒック情報から導出した第１の特徴量に基づきＭ個に限定されているので、限定された各部分アドレス空間におけるトラヒック情報から端末のアドレス毎に導出した第２の特徴量に基づくクラスタリング処理を低負荷で実施することができる。またクラスタリング処理は端末のアドレス毎に導出した第２の特徴量に基づいているので、感染拡大攻撃の発生及び攻撃元端末のアドレスを高精度で特定することができる。
トラヒック情報の取得について説明する図 クラスタリングによる正常状態の学習について説明する図 現タイムスロットで観測された端末の判定について説明する図 第２の特徴量の算出例について説明する図 第２の特徴量の算出例について説明する図 感染拡大攻撃検知システムのネットワーク構成の一例 パケット転送装置の機能構成の一例 転送装置制御コントローラの機能構成の一例 異常検知用ストレージ装置の機能構成の一例 特徴量加工設定情報テーブルの一例 トラヒック傾向分析用特徴量保持テーブルの一例 クラスタリング用特徴量保持テーブルの一例 検知用時系列特徴量保持テーブルの一例 トラヒック傾向分析装置の機能構成の一例 分析設定情報テーブルの一例 クラスタリング演算装置の機能構成の一例 クラスタリング設定情報テーブルの一例 マッピング情報テーブルの一例 クラスタ情報テーブルの一例 端末特定装置の機能構成の一例 特定設定情報テーブルの一例 トラヒックの傾向分析に係るシーケンス クラスタリングの実施及びクラスの特定に係るシーケンス 異常の検知・対処に係るシーケンス
　まず、本発明に係る感染拡大攻撃検知システムの概要について説明する。なお、以下の説明においては、特に断りが無いかぎり、通信の「送信元」や「宛先」はネットワークに収容された端末からネットワーク外に出て行く方向を基準とする。
　本発明は、通信事業者網などのネットワークに収容されているマルウェア感染端末による、アドレス空間全体への感染拡大攻撃を検知対象とし、さらに感染拡大攻撃元の端末のアドレスを特定する。また、本発明は、正常スキャンと攻撃スキャンを分離する特徴量として、スキャン実行時の通信の性質を捉えた特徴量だけではなく、それぞれの運用形態や利用目的の違いに基づいた通信の特徴にも着目する。運用形態や利用目的の違いとしては例えば以下のようなものがある。
　＜例１：端末のＩＰアドレスが観測されている期間＞
　正常スキャンの場合、端末のＩＰアドレスは長期間に観測される。一方、攻撃スキャンの場合、端末のＩＰアドレスはマルウェア感染の流行に伴い観測され始める。また、攻撃スキャンの場合、検知を避けるために中断が発生する。
　＜例２：一度の攻撃活動における継続時間＞
　この継続時間は、過去Ｍタイムスロット分の宛先数の標準偏差等の形式に加工することにより利用することができる。正常スキャンの場合、一定のレートで攻撃が発生し続ける。一方、攻撃スキャンの場合、攻撃活動の継続時間が正常スキャンよりも短い。また、攻撃スキャンの場合、端末が感染していることに気づいてない正常ユーザによる当該端末の利用（例：電源のＯＮ／ＯＦＦ等）の影響を受ける。
　＜例３：１フロー中のパケット数の分布＞
　正常スキャンの場合はスキャン後に辞書攻撃を行わない事が多く、対象端末に送信されるパケット数がほぼ一定となる。攻撃スキャン後に辞書攻撃を行う場合、辞書攻撃時のフローだけパケット数が多くなる。
　本発明では、（１）検知に用いるトラヒック情報の取得、（２）クラスタリングによる正常状態の学習、（３）現タイムスロットで観測された端末の判定、という３つのステップにより感染拡大攻撃の発生検知及び攻撃元を特定する。
　（１）検知に用いるトラヒック情報の取得
　図１に示すように、通信事業者網内のネットワーク機器のＡＣＬ（アクセス制御リスト）等に宛先アドレス空間毎にパケット数をカウントする設定を投入し、通信の少ないアドレス空間を特定する。例えば、中央のルータのＡＣＬにおいて、宛先／８アドレス単位で送信パケット数をカウントさせる等がある。そして、通信の少ないアドレス空間宛トラヒックのｓＦｌｏｗ情報を取得する。
　（２）クラスタリングによる正常状態の学習
　図２に示すように、ある一定期間（１か月等）でｓＦｌｏｗログを解析し、送信元毎に下記の特徴量を取得する。特徴量を既存のクラスタリングアルゴリズム（例：ＤＢＳＣＡＮ：Density-Based Spatial Clustering of Applications with Noise，ＧＭＭ:Gaussian Mixture Model，CluStream）に入力することで、類似する通信特性を持つ送信元同士を同じクラスタに分類する。この特徴量は、特許請求の範囲の「第２の特徴量」に相当する。なお、図２の右側に例示したグラフは発明の理解を容易にするためにクラスタの分布を２次元で表現したものであり、実際は特徴量の数に対応する次元を有する点に留意されたい。
　特徴量としては、１．宛先の分布（エントロピー）、２．宛先数、３．ポート番号の種類数、４．ＩＰヘッダのプロトコルの割合、５．観測期間の長さ、６．宛先数のばらつき、７．１フロー中のパケット数の分布、が挙げられる。これらの各特徴量は正常通信とランダムスキャンを見分けるための特徴量であり、この特徴量を含むクラスタリングにより、スキャンを行わない正常端末を分類できる。特に、５．観測期間の長さ、６．宛先数のばらつきは、７．１フロー中のパケット数の分布は、スキャンの性質（例：マルウェア単位とか調査機関単位とか）を分類する特徴量であり、この特徴量を含むクラスタリングにより、スキャンの中でも似た者同士でクラスタが構成される。すなわち、５．～７．の特徴量はスキャンの運用形態や利用目的の違いを捉えた特徴量であり、この特徴量を含むクラスタリングにより正常スキャンと攻撃スキャンの分類が期待できる。
　（３）現タイムスロットで観測された端末の判定
　図３に示すように、学習期間に生成したクラスタの重心やクラスタに所属する端末の情報を利用し、現タイムスロットで観測された端末がどのクラスタに所属するかを判定する。例えば、現タイムスロットの送信元の特徴量値を算出する。そして、各クラスタの重心との距離を比較し、最も距離が近いクラスタに割り振る。
　上記の（２）における特徴量の算出方法の一例について図４及び図５を参照して説明する。例えば、ｓＦｌｏｗのＬ３－４ヘッダ情報を取得し、一定時間ごとにクラスタリングで利用する特徴量を算出する。具体的には、前記１．～４．の特徴量については、図４に示すように、送信元毎に／８アドレス宛のフロー数をカウントする、タイムスロット単位で発生率（全フロー数に対する割合）を計算してエントロピーを算出する、送信元毎にプロトコルやポートの種類数を計算する、送信元毎にフロー数を計算することにより算出する。
　また、例えば、過去のタイムスロットの特徴量をテーブルで保持しておき、一定時間ごとに加工することでクラスタリングに利用する特徴量を算出する。具体的には、図５に示すように、前記５．の特徴量については、特徴量算出用ＤＢに、観測された場合は１、観測されてない場合は０を記録し、現在のタイムスロットから遡って１が連続する数をカウントする。ただし、連続Ｎ回までの０は１とみなす。すなわち、連続Ｎ回までの中断を許容する。ここでＮは正常スキャン端末のオフ時間を考慮したパラメータであり、既知の正常スキャンを解析して算出する。また、前記６．の特徴量については、現在のタイムスロットから遡ってＭ個のタイムスロットにおける宛先数のばらつきを計算する、より具体的には直前Ｍタイムスロットの宛先数の標準偏差を特徴量とする。
　上記の（３）におけるクラスタリング結果の解析方法の一例について説明する。クラスタリングの結果得られたクラスタを以下のルールで解析し、正常スキャン端末が所属するクラスタと、感染端末が所属するクラスタに分類する。
　ルール１：公開されている正常スキャン端末のＩＰアドレスが含まれるクラスタを正常スキャン端末のクラスタとする。
　ルール２：クラスタの重心における、正常通信とランダムスキャンを見分けるための通信情報と既知のマルウェアの挙動を突合し、一致するクラスタを感染端末のクラスタとする。
　ルール３：クラスタの重心における、前記の特徴量の値を比較し、例えば活動期間の長さが上位１０％のクラスタを正常スキャン端末のクラスタとする。
　次に、本発明の一実施の形態に係る感染拡大攻撃検知システムについて図６を参照して説明する。図６は感染拡大攻撃検知システムのネットワーク構成の一例である。図６に示すように、通信事業者網等のネットワーク１には多数の端末２が収容されている。ネットワーク１は、多数の端末２が接続された大規模なＩＰネットワークである。端末２の通信特性（例えば、通信頻度、宛先数、パケットサイズなど）は不問である。端末２としては、ユーザによって操作される端末だけでなくＩｏＴ端末も含む。端末２とネットワーク１とを接続する回線種別は不問であり、無線通信回線であっても有線通信回線であてもよい。ネットワーク１はインターネット３と接続している。ネットワーク１の事業者は、端末２に対してインターネット３への接続サービスを提供する。ネットワーク１にはパケット転送装置１００が配備されている。また、ネットワーク１には、感染拡大攻撃についての詳細な分析を行う周知のセキュリティ装置４が配置されている。
　パケット転送装置１００は、インターネット３と端末２間のパケットを中継する装置である。パケット転送装置１００の一例としては、通信事業者網のコアネットワークにおけるルータ等のネットワーク機器が挙げられる。ネットワーク１内のパケット転送装置１００の台数は不問である。
　本実施の形態では、異常検知用装置群として、転送装置制御コントローラ２００と、異常検知用ストレージ装置３００と、トラヒック傾向分析装置４００と、クラスタリング演算装置５００と、端末特定装置６００とを備える。ここで、異常検知用ストレージ装置３００は、特許請求の範囲の「第１の特徴量導出手段」及び「第２の特徴量導出手段」に相当する。また、トラヒック傾向分析装置４００は、特許請求の範囲の「監視対象決定手段」に相当する。また、クラスタリング演算装置５００は、特許請求の範囲の「クラスタリング手段」に相当する。また、端末特定装置６００は、特許請求の範囲の「端末特定手段」に相当する。
　各装置の実装形態は不問である。例えば、各装置は、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等の揮発性記憶装置、ハードディスクやフラッシュメモリ等の不揮発性記憶装置、及び外部との通信のための接続を行う通信インタフェースを有する、いわゆる情報処理機器として構成することができる。また、汎用サーバにプログラムをインストールすることにより各装置を構成してもよいし、プログラムを組み込んだ専用ハードウェア装置として各装置を構成してもよい。また例えば、各装置は任意の組み合わせで１つのハードウェア装置に実装してもよい。また例えば、各装置は、仮想化環境に構築された仮想マシンに実装してもよい。
　本実施の形態では、異常検知用装置群をパケット転送装置１００毎に設けるが、複数のパケット転送装置１００毎に１つの異常検知用装置群を設けてもよい。
　パケット転送装置１００は、パケットの中継を行う際に、ＡＣＬを用いて宛先アドレス空間（例：／８アドレス空間等）毎の送受信パケット数等の情報を収集し、異常検知用ストレージ装置３００に転送する。
　異常検知用ストレージ装置３００は、時系列ごとのトラヒック情報を、有効に検知可能なＭ個の部分アドレス空間の集合を特定するために用いられる情報（第１の特徴量）に加工し、トラヒック傾向分析装置４００に送信する。
　トラヒック傾向分析装置４００は、一定時間の第１の特徴量を分析し、有効に検知可能なＭ個の部分アドレス空間の集合（例：常時トラヒック量の少ないＭ個の部分アドレス空間）を監視対象として特定する。また、転送装置制御コントローラ２００を介して前記Ｍ個のアドレス空間のトラヒック情報を収集する設定を、パケット転送装置１００に投入する。
　パケット転送装置１００の設定投入後、パケット転送装置１００は、有効に検知可能なＭ個のアドレス空間に限り、そのトラヒック情報を異常検知用ストレージ装置３００に送信する。
　異常検知用ストレージ装置３００は、時系列ごとのトラヒック情報を蓄積しクラスタリングを用いた学習及び検知に利用する情報（第２の特徴量）に加工し、クラスタリング演算装置５００及び端末特定装置６００に送信する。
　クラスタリング演算装置５００は、一定期間のトラヒック情報における第２の特徴量を異常検知用ストレージ装置３００から受け取り、クラスタリングを実施する。その結果、特徴量空間に対し端末２が行なった感染拡大攻撃の傾向に応じた複数のクラスタをマッピングする。さらに、過去の観測情報等を利用してクラスタの意味づけを行う。
　端末特定装置６００は，クラスタリング演算装置５００から、端末２のクラスタリング結果を受け取る。また、異常検知用ストレージ装置３００から時系列毎の第２の特徴量情報を受け取り、これらの情報に基づき、クラスタごとに感染端末と正常スキャン端末を分離する。さらに、感染端末を抽出した際には、転送装置制御コントローラ２００を介してパケット転送装置１００のルーティングを変更し、以降のトラヒックを所定のセキュリティ装置４に入力して精査する。
　以下、異常検知用装置群を構成する各装置の機能構成の一例について説明する。
　まず、パケット転送装置１００の機能構成の一例について図７を参照して説明する。パケット転送装置１００は、図７に示すように、端末２から送信されたパケットをインターネット３へと中継するとともに、インターネット３からの端末２宛てのパケットを端末２に中継する通信部１１０を備える。
　また、パケット転送装置１００は、ＡＣＬに通信パケットの属性情報（例：宛先・送信元ＩＰアドレス）ごとに条件を設定することで、条件にマッチしたパケットの所定のサンプリング時間内での数をトラヒック情報として異常検知用ストレージ装置３００に送信する情報収集部１２０を備える。ＡＣＬはパケット転送装置１００辺りに複数設定することができ、その適用タイミングはフォワーディングの前後で限定しない。また、階層型のネットワークにおいて、ＡＣＬの設定容量が足りない場合、異なる階層ごとに異なるＡＣＬを設定し、機能分担することも可能であり、その設定箇所は不問である。また、情報収集部１２０は、トラヒック傾向分析装置４００において通信の少ないアドレス空間を特定後、その情報に基づいてそれらのアドレス帯へのｓＦｌｏｗ（Ｌ３－Ｌ４ヘッダに相当するトラヒック情報）を取得し、異常検知用ストレージ装置３００へ送信する。ＡＣＬとｓＦｌｏｗを１つのパケット転送装置１００に設定しても良いし、同階層の異なるパケット転送装置１００に分けて設定してもよい。
　情報収集部１２０において収集すべき情報についての設定や通信部１１０におけるルーティングの設定は、転送装置制御コントローラ２００からの指令に基づいて決定される。情報収集部１２０が異常検知用ストレージ装置３００に送信するトラヒック情報は、上述したとおりＡＣＬやｓＦｌｏｗだけでなく、ＩＰヘッダやフルキャプチャ等も考えられる。以降の説明では、ＡＣＬ及びｓＦｌｏｗの２つを例に用いて説明する。
　次に、転送装置制御コントローラ２００の機能構成の一例について図８を参照して説明する。転送装置制御コントローラ２００は、図８に示すように、通信インタフェースである通信部２１０と、コンフィグ生成部２２０とを備える。
　コンフィグ生成部２２０は、ｓＦｌｏｗの設定情報、ＡＣＬの設定情報及びルーティング設定情報などパケット転送装置１００の設定に関する情報をシステム外部（トラヒック傾向分析装置４００及び端末特定装置６００を含む）から入力し、例えば特定のフローだけをセキュリティ装置４に引き込む等のパケット転送装置１００のコンフィグを生成する機能を有する。生成したコンフィグはパケット転送装置１００に送信され、設定される。
　次に、異常検知用ストレージ装置３００の機能構成の一例について図９を参照して説明する。異常検知用ストレージ装置３００は、通信インタフェースである通信部３１０と、パケット転送装置１００から取得した現在のトラヒック情報を第１の特徴量及び第２の特徴量（例：一定時間間隔で送信元アドレス単位の宛先数、プロトコル種類数やそれに起因する統計量）に加工する特徴量加工演算部３２０と、特徴量加工の設定を保持する特徴量加工設定情報テーブル３３０とを備える。
　また、異常検知用ストレージ装置３００は、必要に応じて、計算済みの特徴量を各種テーブルにおいて保持する。特徴量の保持は、トラヒック傾向分析に用いる第１の特徴量、クラスタリングに用いる第２の特徴量といったように、用途別に保持するテーブルを分けてもよいし、同じテーブルにまとめてもよい。また、クラスタリング（特にクラスタを用いた検知処理）に用いる特徴量の算出のため、時系列単位で特徴量を保持するテーブルも用意する。本実施の形態では、図９に示すように、トラヒック傾向分析用特徴量保持テーブル３４０と、クラスタリング用特徴量保持テーブル３５０と、検知用時系列特徴量保持テーブル３６０とを備える。また、異常検知用ストレージ装置３００は、前記特徴量加工演算部３２０と各テーブル３３０～３６０とのインタフェースである情報管理部３７０を備える。これらの特徴量情報は、トラヒック傾向分析装置４００やクラスタリング演算装置５００・端末特定装置６００に送信される。
　特徴量加工設定情報テーブル３３０は、図１０の例に示すように、特徴量加工を実施する時間幅や、パケット転送装置１００から取得した情報の加工の仕方を保持する。これらの情報に基づき、特徴量加工演算部３２０では、トラヒック傾向分析のための第１の特徴量やクラスタリングのための第２の特徴量を算出する。
　トラヒック傾向分析用特徴量保持テーブル３４０は、有効に検知可能なアドレス空間毎に取得した特徴量を時系列ごとに保持するテーブルである。図１１の例では、所定の単位としてアドレス空間毎に第１の特徴量であるパケット数を格納している。ここで、単位の取り方は不問である。また、第１の特徴量に用いる値や次元数についても不問である。なお、図１１の例では、ネットワーク機器単位に１つのテーブルを作成しているが、複数のネットワーク機器から取得した情報を１つのテーブルに格納してもよい。これらの情報は、トラヒック傾向分析装置４００で利用される。
　クラスタリング用特徴量保持テーブル３５０は、図１２の例に示すように、網内のＩＰアドレスに限定した送信元アドレス毎に、特徴量加工設定情報テーブル３３０の設定内容に基づき第２の特徴量を計算し、その結果がこのテーブルに格納される。第２の特徴量の例は図２を参照して上述した通りである。これらの情報は、クラスタリング演算装置５００で利用される。
　クラスタリングに用いる時系列の中で、例えば観測期間の長さを示す特徴量や宛先数のバラつきを示す特徴量は時系列（タイムスロット）毎に観測値を保存し、複数の時系列にまたがって加工を行う必要がある。検知用時系列特徴量保持テーブル３６０は、図１３の例に示すように、これらの特徴量の算出に用いられる元となる観測情報を保持するものであり、保持した結果は特徴量加工演算部３２０で再度加工され、クラスタリング用特徴量保持テーブル３５０に保存される。
　次に、トラヒック傾向分析装置４００の機能構成の一例について図１４を参照して説明する。トラヒック傾向分析装置４００は、図１４に示すように、通信インタフェースである通信部４１０と、異常検知用ストレージ装置３００から取得した第１の特徴量に基づき分析を行い、有効に検知可能なアドレス空間集合（例：トラヒック量の少ないアドレス空間）を監視対象として特定する分析用演算部４２０と、分析用演算部４２０での分析処理で用いる各種設定情報を保持する分析設定情報テーブル４３０と、分析用演算部４２０と分析設定情報テーブル４３０とのインタフェースである情報管理部４４０とを備えている。分析用演算部４２０は、パケット転送装置１００において第２の特徴量の導出に必要なトラヒック情報を取得するための情報（例：トラヒック量の少ないＭ個の部分アドレス空間）の分析を行う。
　分析設定情報テーブル４３０は、前述の分析処理で必要な各種設定情報を保持する。分析設定情報テーブル４３０は、具体的には図１５の例に示すように、トラヒック量の少ない部分アドレス空間を特定するための手法や、トラヒック量の閾値、異常検知を行う部分アドレス空間の数等の情報を保持する。
　ここで、トラヒック量の閾値Ｘは、有効に検知可能な部分アドレス空間集合を定義づけるパラメータの一例である。この例では、トラヒック量の閾値Ｘを常時下回るアドレス空間を、有効に検知可能なアドレス空間とする。閾値Ｘは、例えば、検知したい攻撃の量（例：感染台数の目標値×感染端末一台あたりの攻撃量）や攻撃先の分布等（例：一様分布又は複数のアドレス空間に偏りのある分布）に基づいて算出することができる。
　なお、図１５で例示した手順においては、閾値Ｘを下回るアドレス空間すべてで異常検知を行う必要はない。その場合、例えばパラメータＭを明示的に定め、最終的に異常検知を行うアドレス空間の数を指定してもよい。また、図１５では、閾値Ｘを利用者が設定する例を記載したが、Ｋ－Ｍｅａｎｓ等のクラスタリングアルゴリズムにより、検知に有効なアドレス空間集合を特定してもよい。
　次に、クラスタリング演算装置５００の機能構成について図１６を参照して説明する。クラスタリング演算装置５００は、図１６に示すように、通信インタフェースである通信部５１０と、クラスタリング用演算部５２０と、クラスタリングで用いる各種設定情報を保持するクラスタリング設定情報テーブル５３０と、クラスタリングのマッピングで用いるマッピング情報を保持するマッピング情報テーブル５４０と、クラスタリング結果であるクラスタ情報を保持するクラスタ情報テーブル５５０と、クラスタリング用演算部５２０と各テーブル５３０～５５０とのインタフェースである情報管理部５６０とを備えている。クラスタリング用演算部５２０は、異常検知用ストレージ装置３００から取得した第２の特徴量、クラスタリング設定情報テーブル５３０の情報、マッピング情報テーブル５４０の情報に基づきクラスタリングを実施し、結果をクラスタ情報テーブル５５０に保持する。
　クラスタリング設定情報テーブル５３０は、クラスタリングに関わる設定情報を保持するテーブルであり、図１７の例に示すように、具体的にはクラスタリングのアルゴリズム（例：Ｋ－Ｍｅａｎｓや非階層クラスタリング、生成モデル等）とそのパラメータ、実施間隔を保持しておく。これらの情報にしたがい、クラスタリング用演算部５２０ではクラスタリングの演算を行う。
　マッピング情報テーブル５４０は、図１８の例に示すように、算出されたクラスタが正常スキャンに係るものであるか攻撃スキャンに係るものであるかを解析するためのルール及び当該ルールに基づく解析処理でも用いる既知の情報を保持する。具体的には、マッピング情報テーブル５４０は、上述したルール１～ルール３に係る各種情報を保持する。これらの情報にしたがい、クラスタリング用演算部５２０ではクラスタの解析及びマッピング、すなわち各クラスタに対する意味づけを行う。
　クラスタ情報テーブル５５０は、クラスタリング用演算部５２０によるクラスタリング結果を保持するテーブルであり、図１９の例に示すように、クラスタ毎に構成要素となる送信元端末のＩＰアドレスの情報や、クラスタの重心やラベルを保持する。これらのデータは、端末特定装置６００に送信される。
　次に、端末特定装置６００の機能構成について図２０を参照して説明する。端末特定装置６００は、図２０に示すように、通信インタフェースである通信部６１０と、感染拡大攻撃の発生の有無及びその攻撃元端末を特定する特定用演算部６２０と、特定用演算部６２０で用いる設定情報を保持する特定設定情報テーブル６３０と、特定結果を表示する特定結果表示ユーザインタフェース部６４０とを備えている。特定用演算部６２０は、異常検知用ストレージ装置３００から現時系列におけるトラヒックの第２の特徴量を取得する。またクラスタリング演算装置５００から過去のトラヒック情報から算出したクラスタリング結果の情報を受け取る。特定用演算部６２０は、これらの受信情報に加え、特定設定情報テーブル６３０で定められた計算方法に従い、現時系列において観測された各端末がどのクラスタに属するのかを特定する。特定した結果は転送装置制御コントローラ２００に送信されるとともに、特定結果表示ユーザインタフェース部６４０に表示される。
　特定設定情報テーブル６３０は、図２１の例に示すように、現時系列において観測された各端末がどのクラスタに属するのかを特定するために必要な情報を保持する。クラスタの対応付け方法としては、例えば、各クラスタの重心と現在の時系列の特徴量の距離を計算し、最短のクラスタに振り分ける等が考えられる。
　以下、本実施の形態に係る感染拡大攻撃検知システムの動作について図２２～図２４を参照して説明する。まず、トラヒックの傾向分析に係るシーケンスについて図２２のシーケンスチャートを参照して説明する。
　本シーケンスでは、図６に示すネットワーク構成において、異常検知用ストレージ装置３００が、パケット転送装置１００から、細分化されたアドレス空間毎のトラヒック情報を一定の時間隔毎に取得する（ステップＳ１１）。取得したトラヒック情報は異常検知用ストレージ装置３００で複数時間幅分蓄積され、蓄積された情報をトラヒック傾向分析装置４００が分析することで、感染拡大攻撃を精度よく検知できるＭ個の部分アドレス空間集合を特定する（ステップＳ１２，Ｓ１３）。
　転送装置制御コントローラ２００は、通信事業者網内の異常を網羅的に検知するため、複数のパケット転送装置１００に対し、Ｍ個の部分アドレス空間から、検知に利用できる情報（第２の特徴量の素になるトラヒック情報）を取得するためのコマンドを設定する（ステップＳ１４，Ｓ１５）。
　次に、クラスタリングの実施及びクラスの特定に係るシーケンスについて図２３のシーケンスチャートを参照して説明する。
　本シーケンスでは、図６に示すネットワーク構成において、異常検知用ストレージ装置３００が、パケット転送装置１００から、細分化されたＭ個の部分アドレス空間毎にトラヒック情報を一定の時間隔毎に（例：１ヶ月）取得する（ステップＳ２１）。取得したトラヒック情報は異常検知用ストレージ装置３００に格納され、所定の演算に基づいて第２の特徴量に加工される（ステップＳ２２）。第２の特徴量はクラスタリング演算装置５００に送信される（ステップＳ２３）。次に、第２の特徴量をクラスタリングのアルゴリズムに入力することで、各端末２のグルーピングを行い、結果を格納する（ステップＳ２４，Ｓ２５）。グルーピング結果と過去のグルーピング結果や既知のスキャン端末の情報（公開されている正常スキャン端末のＩＰアドレス）を用いて、各クラスタの性質を特定する（ステップＳ２６）。なお、トラヒックのトレンドは周期的に変動すると考えるため、上記のステップＳ２１～Ｓ２６は一定の期間ごと（例：２か月に１度）に行う（ステップＳ２７）。
　次に、端末特定・対処のシーケンスについて図２４のシーケンスチャートを参照して説明する。
　本シーケンスでは、図６に示すネットワーク構成において、異常検知用ストレージ装置３００が、パケット転送装置１００から、細分化されたＭ個の部分アドレス空間毎にトラヒック情報を一定の時間隔毎に（例：２０分間隔）取得する（ステップＳ３１）。取得したトラヒック情報は異常検知用ストレージ装置３００に格納され、所定の演算に基づいて送信元アドレス単位の第２の特徴量に加工される（ステップＳ３２）。加工した第２の特徴量と前記クラスタリングの結果情報を用いて（ステップＳ３３，Ｓ３４）、比較等の演算を行うことで、送信元がどのクラスタに属するかを判定する（ステップＳ３５）。次に、送信元の属するクラスタが攻撃スキャンのクラスタである場合に、送信元の異常を検出する（ステップＳ３６）。
　次に、送信元アドレスの情報を転送装置制御コントローラ２００に送信することで、パケット転送装置１００のルーティングを変更する（ステップＳ３７，Ｓ３８）。これにより、送信元アドレスからすべての通信をセキュリティ装置４に引き込み（ステップＳ３９）、感染端末の詳細検査を行う（ステップＳ４０）。
　以上本発明の一実施の形態について詳述したが、本発明はこれに限定されるものではない。例えば、上記実施の形態では、Ｍ個の部分アドレス空間を特定するために用いられる第１の特徴量の導出手段と、感染拡大攻撃の検知で用いられる第２の特徴量の導出手段とを、異常検知用ストレージ装置３００において実現していたが、両手段を異なる装置として実装してもよい。
　また、上記実施の形態では、パケット転送装置１００への設定処理は転送装置制御コントローラ２００により行っていたが、トラヒック傾向分析装置４００や端末特定装置６００が直接パケット転送装置１００の設定を行うようにしてもよい。
　また、上記実施の形態ではアドレス空間としてＩＰｖ４について例示したが、ＩＰｖ６など他のアドレス空間であっても本発明を適用できる。
　また、上記実施の形態では、第２の特徴量として、１．宛先の分布（エントロピー）、２．宛先数、３．ポート番号の種類数、４．ＩＰヘッダのプロトコルの割合、５．観測期間の長さ、６．宛先数のばらつき、７．１フロー中のパケット数の分布、を例示したが、他の情報を用いることもできる。
　１…ネットワーク
　２…端末
　３…インターネット
　４…セキュリティ装置
　１００…パケット転送装置
　２００…転送装置制御コントローラ
　３００…異常検知用ストレージ装置
　４００…トラヒック傾向分析装置
　５００…クラスタリング演算装置
　６００…端末特定装置

Claims (8)

  1. 　パケットを転送する転送装置を備えたネットワーク内において感染拡大攻撃の発生を検知する感染拡大攻撃検知装置であって、
    　前記転送装置が転送するパケットについて第１のトラヒック情報を取得するとともに、前記第１のトラヒック情報に基づきトラヒックの第１の特徴量をネットワークのアドレス空間を細分化してなる複数の部分アドレス空間毎に導出する第１の特徴量導出手段と、
    　前記第１の特徴量導出手段により導出された第１の特徴量に基づき前記複数の部分アドレス空間のうち監視対象とするＭ個の部分アドレス空間を決定する監視対象決定手段と、
    　前記監視対象決定手段により決定されたＭ個の部分アドレス空間内のアドレスを宛先又は送信元とする前記転送装置が転送するパケットについて第２のトラヒック情報を取得するとともに前記第２のトラヒック情報に基づき当該トラヒックの第２の特徴量をネットワーク内に収容された端末のアドレス毎に導出する第２の特徴量導出手段と、
    　前記第２の特徴量導出手段により導出された第２の特徴量を学習して端末のアドレスを複数のクラスタに分類するとともに各クラスタについて感染拡大攻撃であるかを判定してクラスタ情報を生成するクラスタリング手段と、
    　前記第２の特徴量導出手段により導出された第２の特徴量及び前記クラスタリング手段により生成されたクラスタ情報に基づき感染拡大攻撃が発生したか否か及び攻撃元の端末のアドレスを特定する端末特定手段とを備えた
    　ことを特徴とする感染拡大攻撃検知装置。
  2. 　前記クラスタリング手段は、感染攻撃に係る攻撃スキャンを行う端末と調査に係る正常スキャンを行う端末とが別クラスタの属するようにクラスタを生成する
    　ことを特徴とする請求項１記載の感染拡大攻撃検知装置。
  3. 　前記第２の特徴量は、運用形態や利用目的の違いを示す特徴量を含む
    　ことを特徴とする請求項１又は２記載の感染拡大攻撃検知装置。
  4. 　前記第２の特徴量は、運用形態や利用目的の違いを示す特徴量として、所定の期間内においてトラヒックが観測された観測期間の長さと、現在から所定期間前までの期間内におけるトラヒックの宛先数のばらつきと、１フロー中のパケット数の分布の少なくとも一つを含む
    　ことを特徴とする請求項３記載の感染拡大攻撃検知装置。
  5. 　前記第２の特徴量は、さらに、スキャン通信の性質を示す特徴量を含む
    　ことを特徴とする請求項３又は４記載の感染拡大攻撃検知装置。
  6. 　前記端末特定手段は、感染拡大攻撃の攻撃元の端末を特定すると、特定した端末のアドレスを宛先又は送信元とするパケットを所定のセキュリティ装置へ転送するよう前記転送装置を設定する
    　ことを特徴とする請求項１乃至５何れか１項記載の感染拡大攻撃検知装置。
  7. 　パケットを転送する転送装置を備えたネットワーク内において感染拡大攻撃の発生を検知する感染拡大攻撃検知装置が、感染拡大攻撃の攻撃元の端末を特定する方法であって、
    　第１の特徴量導出手段が、前記転送装置が転送するパケットについて第１のトラヒック情報を取得するとともに、前記第１のトラヒック情報に基づきトラヒックの第１の特徴量をネットワークのアドレス空間を細分化してなる複数の部分アドレス空間毎に導出するステップと、
    　監視対象決定手段が、前記第１の特徴量導出手段により導出された第１の特徴量に基づき前記複数の部分アドレス空間のうち監視対象とするＭ個の部分アドレス空間を決定するステップと、
    　第２の特徴量導出手段が、前記監視対象決定手段により決定されたＭ個の部分アドレス空間内のアドレスを宛先又は送信元とする前記転送装置が転送するパケットについて第２のトラヒック情報を取得するとともに前記第２のトラヒック情報に基づき当該トラヒックの第２の特徴量をネットワーク内に収容された端末のアドレス毎に導出するステップと、
    　クラスタリング手段が、前記第２の特徴量導出手段により導出された第２の特徴量を学習して端末のアドレスを複数のクラスタに分類するとともに各クラスタについて感染拡大攻撃であるかを判定してクラスタ情報を生成するステップと、
    　端末特定手段が、前記第２の特徴量導出手段により導出された第２の特徴量及び前記クラスタリング手段により生成されたクラスタ情報に基づき感染拡大攻撃が発生したか否か及び攻撃元の端末のアドレスを特定するステップとを備えた
    　ことを特徴とする感染拡大攻撃の攻撃元端末特定方法。
  8. 　コンピュータを、請求項１乃至６何れか１項記載の感染拡大攻撃検知装置の各手段として機能させるプログラム。
PCT/JP2019/030149 2018-08-03 2019-08-01 感染拡大攻撃検知装置、攻撃元特定方法及びプログラム WO2020027250A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/265,397 US11863584B2 (en) 2018-08-03 2019-08-01 Infection spread attack detection device, attack origin specification method, and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018146593A JP6970344B2 (ja) 2018-08-03 2018-08-03 感染拡大攻撃検知装置、攻撃元特定方法及びプログラム
JP2018-146593 2018-08-03

Publications (1)

Publication Number Publication Date
WO2020027250A1 true WO2020027250A1 (ja) 2020-02-06

Family

ID=69231203

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/030149 WO2020027250A1 (ja) 2018-08-03 2019-08-01 感染拡大攻撃検知装置、攻撃元特定方法及びプログラム

Country Status (3)

Country Link
US (1) US11863584B2 (ja)
JP (1) JP6970344B2 (ja)
WO (1) WO2020027250A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023248444A1 (ja) * 2022-06-23 2023-12-28 日本電信電話株式会社 学習装置、学習方法、および、学習プログラム

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113067741B (zh) * 2020-01-02 2022-11-29 中国移动通信有限公司研究院 一种信息处理方法、装置、终端及存储介质
CN114745161B (zh) * 2022-03-23 2023-08-22 烽台科技（北京）有限公司 一种异常流量的检测方法、装置、终端设备和存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010092235A (ja) * 2008-10-07 2010-04-22 Kddi Corp 情報処理装置、プログラム、および記録媒体
US20180063178A1 (en) * 2016-09-01 2018-03-01 Promithius Inc. Method and systems for real-time internal network threat detection and enforcement

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8347394B1 (en) * 2009-07-15 2013-01-01 Trend Micro, Inc. Detection of downloaded malware using DNS information
US9165142B1 (en) * 2013-01-30 2015-10-20 Palo Alto Networks, Inc. Malware family identification using profile signatures
US9565202B1 (en) * 2013-03-13 2017-02-07 Fireeye, Inc. System and method for detecting exfiltration content
CN103955645B (zh) * 2014-04-28 2017-03-08 百度在线网络技术（北京）有限公司 恶意进程行为的检测方法、装置及系统
JP6641819B2 (ja) * 2015-09-15 2020-02-05 富士通株式会社 ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラム
WO2017145843A1 (ja) * 2016-02-24 2017-08-31 日本電信電話株式会社 解析方法、解析装置および解析プログラム
US10454777B2 (en) * 2016-04-06 2019-10-22 Omni Ai, Inc. Network data processing driver for a cognitive artifical intelligence system
US11899793B2 (en) * 2018-03-01 2024-02-13 Nec Corporation Information processing apparatus, control method, and program

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010092235A (ja) * 2008-10-07 2010-04-22 Kddi Corp 情報処理装置、プログラム、および記録媒体
US20180063178A1 (en) * 2016-09-01 2018-03-01 Promithius Inc. Method and systems for real-time internal network threat detection and enforcement

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023248444A1 (ja) * 2022-06-23 2023-12-28 日本電信電話株式会社 学習装置、学習方法、および、学習プログラム

Also Published As

Publication number Publication date
US20210306351A1 (en) 2021-09-30
US11863584B2 (en) 2024-01-02
JP6970344B2 (ja) 2021-11-24
JP2020022133A (ja) 2020-02-06

Similar Documents

Publication Publication Date Title
JP6453976B2 (ja) ネットワークシステム、制御装置、通信制御方法および通信制御プログラム
CN108289088B (zh) 基于业务模型的异常流量检测系统及方法
US7804787B2 (en) Methods and apparatus for analyzing and management of application traffic on networks
US9860278B2 (en) Log analyzing device, information processing method, and program
EP2777226B1 (en) A streaming method and system for processing network metadata
US10257213B2 (en) Extraction criterion determination method, communication monitoring system, extraction criterion determination apparatus and extraction criterion determination program
KR101391781B1 (ko) 웹 트랜잭션 밀집도 기반 에이치티티피 봇넷 탐지 장치 및 방법
CN101803305A (zh) 网络监视装置、网络监视方法及网络监视程序
Gajewski et al. Two-tier anomaly detection based on traffic profiling of the home automation system
WO2020027250A1 (ja) 感染拡大攻撃検知装置、攻撃元特定方法及びプログラム
US11895146B2 (en) Infection-spreading attack detection system and method, and program
Zhang et al. UDP traffic classification using most distinguished port
Nakahara et al. Malware Detection for IoT Devices using Automatically Generated White List and Isolation Forest.
JP2008135871A (ja) ネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラム
CN108347447B (zh) 基于周期性通讯行为分析的p2p僵尸网络检测方法、系统
Lyu et al. PEDDA: Practical and Effective Detection of Distributed Attacks on enterprise networks via progressive multi-stage inference
JP2013255196A (ja) ネットワーク監視装置及びネットワーク監視方法
Akimoto et al. Collaborative behavior visualization and its detection by observing darknet traffic
Krmıcek Hardware-Accelerated Anomaly Detection in High-Speed Networks
Qin et al. Users' Behavior Character Analysis and Classification Approaches in Enterprise Networks
Elich Flow-based Network Anomaly Detection in the context of IPv6
Teixeira et al. Intelligent network client profiler

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19844629

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19844629

Country of ref document: EP

Kind code of ref document: A1