JP2018148270A - 分類装置、分類方法および分類プログラム - Google Patents

Abstract

【課題】大規模なトラフィックデータから異常な通信を行う端末のＩＰアドレス群を検知すること。【解決手段】フィルタリング部１２は、宛先ポート番号の指定を受け付けて、収集されたトラフィックデータ４０のうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出し、統計情報計算部１３が、Ｆｉｌｔｅｒｅｄトラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる所定の特徴量を抽出し、クラスタリング部１４は、抽出された特徴量を用いて送信元ＩＰアドレスを分類する。【選択図】図１

Description

本発明は、分類装置、分類方法および分類プログラムに関する。

近年、インターネット上ではワームやボット等のマルウェアによる攻撃が頻繁に発生している。ワームやボットは、ネットワーク経由で攻撃対象のホストを探索し、脆弱性を突いて侵入するスキャン攻撃を行って感染を拡大させる。スキャン攻撃を行うマルウェアに感染した端末は、さらにスキャン攻撃を行って感染を拡大させる。特に、外部の攻撃者によってコントロールされるボットは、ボットに感染した複数の端末によるボットネットを構築し、一括して遠隔操作を可能とするため脅威となっている。そこで、スキャン攻撃を行う異常な通信を検知する技術が期待されている。

従来、異常な通信は、パケット数や宛先のＩＰアドレスに対する通信回数等が統計情報から導出される閾値を超えた場合に、異常と判定されていた。また、通信の特徴が異常な通信の特徴と一致した場合に、異常と判定する技術が開示されている（非特許文献１，２参照）。

衛藤将史、高木彌一郎、宋中錫、井上大介、中尾康二、「スキャンの特徴抽出による攻撃元プロファイリング手法の提案」、信学技報、社団法人電子情報通信学会、2011年6月、ICSS2011-4、pp.19-24 福島祥郎、堀良彰、櫻井幸一、「ダークネット観測データに基づく攻撃挙動の特徴抽出に関する考察」、信学技報、社団法人電子情報通信学会、2009年11月、ICSS2009-60、pp.37-42

しかしながら、大規模なトラフィックデータに対しては、異常な通信と正常な通信とを分類するにはデータ数が膨大で多大な時間がかかっていた。また、通信回数が所定の閾値以上であるＩＰアドレスや、予め求められた異常な通信の特徴と一致する通信を行ったＩＰアドレスを特定する等、具体的に通信を異常な通信と比較しなければ、異常な通信と正常な通信とを分類することができなかった。

本発明は、上記に鑑みてなされたものであって、大規模なトラフィックデータから異常な通信を行う端末のＩＰアドレス群を検知することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る分類装置は、宛先ポート番号の指定を受け付けて、収集されたトラフィックデータのうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出する抽出部と、抽出された前記トラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる所定の特徴量を抽出する特徴抽出部と、前記特徴量を用いて前記送信元ＩＰアドレスを分類する分類部と、を備えることを特徴とする。

本発明によれば、大規模なトラフィックデータから異常な通信を行う端末のＩＰアドレス群を容易に検知することが可能となる。

図１は、本発明の一実施形態に係る分類装置を含むシステムの概略構成を示す模式図である。 図２は、本実施形態のクラスタリング結果の出力例を示す図である。 図３は、本実施形態の分類処理手順を示すフローチャートである。 図４は、分類プログラムを実行するコンピュータを例示する図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［分類装置の構成］
まず、図１を参照して、本実施形態に係る分類装置の概略構成を説明する。図１は、本実施形態に係る分類装置を含むシステムの概略構成を示す模式図である。図１に示す分類装置１０は、ワークステーションやパソコン等の汎用コンピュータで実現され、後述する分類処理を実行し、インターネット２０に接続されるネットワーク（ＮＷ）機器３０から収集されるトラフィックデータ４０を、特徴に応じて分類する。

ここで、スキャン攻撃において宛先ポート番号が指定されることから、分類装置１０は、トラフィックデータ４０のうち、スキャン攻撃と疑われる通信で指定される宛先ポート番号等の注目すべき宛先ポート番号が使用されている通信を対象にして分類する。これにより、分類装置１０は、既知のスキャン攻撃を行う端末と同様の特徴を有するクラスタに分類された端末の送信元ＩＰアドレス群を、マルウェアに感染してスキャン攻撃を行っている端末の送信元ＩＰアドレス群として検知する。

分類装置１０は、不図示の入力部、出力部、通信制御部、記憶部、および制御部を備える。入力部は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部に対して各種指示情報を入力する。出力部は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置、情報通信装置、スピーカ等によって実現され、例えば、後述する分類処理の結果であるクラスタリング結果６０等を操作者に対して出力する。通信制御部は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮ（Local Area Network）やインターネット等の電気通信回線を介したサーバ等の外部の装置と制御部との通信を制御する。

記憶部は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部には、分類装置１０を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが予め記憶され、あるいは処理の都度一時的に記憶される。また、この記憶部は、通信制御部を介して制御部と通信する構成でもよい。

制御部は、ＣＰＵ（Central Processing Unit）等の演算処理装置を用いて実現され、メモリに記憶された処理プログラムを実行することにより、図１に例示するように、ポート特定部１１、フィルタリング部１２、統計情報計算部１３およびクラスタリング部１４として機能する。

ポート特定部１１は、特定部として機能する。すなわち、ポート特定部１１は、マルウェアへの感染が疑われるホストに関する情報を用いて、該ホストが通信に使用した宛先ポート番号を特定する。また、ポート特定部１１は、後述するフィルタリング部１２に対して特定した宛先ポート番号を指定する。

具体的に、ポート特定部１１は、まず入力部あるいは通信制御部を介して、脅威情報５０を取得する。ここで、脅威情報５０は、マルウェアへの感染が疑われるホストに関する情報を意味する。例えば、独立行政法人情報通信研究機構により公開されているサイバー攻撃の観測情報に関するサイトＮＩＣＴＥＲＷＥＢ（http://www.nicter.jp/）における「ＴＣＰ宛先ポート別ユニークホスト数Ｔｏｐ１０」が例示される。この場合に、ポート特定部１１は、ホスト数がランキング上位のＴＣＰ宛先ポートを参照して、上位のホストが使用した宛先ポート番号を特定する。

また、脅威情報５０は、独自に実施されたダークネットやハニーポット等によるトラフィックの観測結果でもよい。この場合に、ポート特定部１１は、観測結果に含まれるホスト数を参照し、例えば、時系列データの変化点を検出する手法として周知のＣｈａｎｇｅｆｉｎｄｅｒを適用して、ホスト数の増減の変化点を検知する。そして、ポート特定部１１は、検知された変化点において数が増加しているホストが使用した宛先ポート番号を特定する。

また、ポート特定部１１は、特定した宛先ポート番号を、スキャン攻撃が疑われる通信に使用される宛先ポート番号等の注目すべき宛先ポート番号として、フィルタリング部１２に対して指定する。

フィルタリング部１２は、抽出部として機能する。すなわち、フィルタリング部１２は、宛先ポート番号の指定を受け付けて、収集されたトラフィックデータ４０のうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出する。ここで、トラフィックデータ４０は、インターネット２０に接続されるＮＷ機器３０に設定されたトラフィックのミラーリング機能により収集される。フィルタリング部１２は、このトラフィックデータ４０を、入力部あるいは通信制御部を介して取得する。以下、フィルタリング部１２が抽出した、宛先ポート番号が指定されたトラフィックデータを、ｆｉｌｔｅｒｅｄトラフィックデータと記す。

統計情報計算部１３は、特徴抽出部として機能する。すなわち、統計情報計算部１３は、抽出されたトラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる所定の特徴量を抽出する。具体的に、統計情報計算部１３は、所定の時間ごとのｆｉｌｔｅｒｅｄトラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、その組み合わせを所定の特徴量として抽出する。

ここで、統計情報には、通信回数、宛先ポート番号等の通信先に依らない通信の統計情報と、レスポンスバイト数、接続時間等のポートが開放されている通信先に関する通信の統計情報とが含まれる。

さらに、統計情報として、受信バイト数の最大値、受信バイト数の最小値、受信バイト数の平均、受信バイト数の標準偏差、送信バイト数の最大値、送信バイト数の最小値、送信バイト数の平均、送信バイト数の標準偏差、接続時間の最大値、接続時間の最小値、接続時間の平均、接続時間の標準偏差、該宛先ポート番号の使用割合、通信時間、該宛先ポート番号への接続の確立を要求するＳＹＮパケットの送信回数、ポートが開放されている通信先に対する通信回数、または、全通信におけるユニークな該宛先ＩＰアドレスの数等のうちいずれか１つ以上が算出される。

そして、統計情報計算部１３は、送信元ＩＰアドレスごとに、算出した統計情報の組み合わせからなる所定の特徴量を抽出する。

クラスタリング部１４は、分類部として機能する。すなわち、クラスタリング部１４は、抽出された特徴量を用いて送信元ＩＰアドレスを分類する。具体的に、クラスタリング部１４は、送信元ＩＰアドレスごとの統計情報の組み合わせからなる特徴量を密度ベースすなわち分布密度に応じて機械学習により分類する。

ここで、同種のマルウェアに感染した端末による通信は同一のクラスタに属すると考えられる。そこで、クラスタリング部１４は、マルウェアに感染した既知の端末のＩＰアドレスと同一のクラスタに分類された送信元ＩＰアドレス群を、マルウェアに感染した端末のものと検知する。また、クラスタリング部１４は、分類の結果であるクラスタリング結果６０を出力部に出力する。

図２は、クラスタリング結果６０の出力例を示す図である。図２に示すように、クラスタリング部１４は、分類したクラスタごとに、送信元ＩＰアドレスと特徴量とを対応づけて出力する。図２に示す例では、特徴Ａ、特徴Ｂとは、算出された各統計情報を表している。そして、特徴Ａと特徴Ｂとの組み合わせにより、送信元ＩＰアドレスがクラスタ１、クラスタ２の２つのクラスタに分類されている。また、ＨｏｓｔＡとＨｏｓｔＢとがクラスタ１に分類され、ＨｏｓｔＣとＨｏｓｔＤとがクラスタ２に分類されている。なお、図２において、送信元ＩＰアドレスは、このＩＰアドレスに対応する端末の識別情報（ＨｏｓｔＡ、ＨｏｓｔＢ、…）で表されている。

クラスタリング結果６０のネットワーク管理者等の閲覧者は、例えば、既知のマルウェア感染端末がクラスタ１に分類されることがわかっている場合、クラスタ１に分類された未知の端末（ＨｏｓｔＡ、ＨｏｓｔＢ）をマルウェア感染端末として検知する。また、既知の正常な端末がクラスタ２に分類されている場合、クラスタ２に分類された未知の端末（ＨｏｓｔＣ、ＨｏｓｔＤ）を正常と判定する。

［分類処理］
次に、図３を参照して、分類装置１０の分類処理について説明する。図３は、分類装置１０の分類処理手順を示すフローチャートである。図３のフローチャートは、例えば、処理の開始を指示する操作入力があったタイミングで開始される。

まず、フィルタリング部１２は、ポート特定部１１による宛先ポート番号の指定を受け付けて、収集されたトラフィックデータ４０のうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出し、Ｆｉｌｔｅｒｅｄトラフィックデータとする（ステップＳ１）。

次に、統計情報計算部１３は、Ｆｉｌｔｅｒｅｄトラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる特徴量を抽出する（ステップＳ２）。

次に、クラスタリング部１４は、抽出された特徴量を用いて送信元ＩＰアドレスを分類する（ステップＳ３）。また、クラスタリング部１４が、クラスタリング結果６０を出力する。これにより、一連の分類処理が終了する。

以上、説明したように、本実施形態の分類装置１０では、フィルタリング部１２は、宛先ポート番号の指定を受け付けて、収集されたトラフィックデータ４０のうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出する。また、統計情報計算部１３が、Ｆｉｌｔｅｒｅｄトラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる所定の特徴量を抽出する。また、クラスタリング部１４は、抽出された特徴量を用いて送信元ＩＰアドレスを分類する。

このように、分類装置１０は、宛先ポート番号を限定して処理対象のトラフィックデータを削減し、また、トラフィックデータを統計的に扱って、処理負荷を軽減して容易に分類することができる。また、マルウェアに感染した既知の端末のＩＰアドレスと同一のクラスタに分類された送信元ＩＰアドレス群を、マルウェアに感染した端末のものと検知することができる。これにより、本実施形態の分類装置１０は、大規模なトラフィックデータからマルウェアに感染した異常な通信を行う端末のＩＰアドレス群を容易に検知することが可能となる。したがって、マルウェアに感染してスキャン攻撃を行う端末の特定や、ボットネットの推定が可能となる。また、異常な通信を行うＩＰアドレスのブラックリストを作成して、異常通信を防止することが可能となる。

また、ポート特定部１１は、マルウェアへの感染が疑われるホストに関する情報を用いて、該ホストが通信に使用した宛先ポート番号を特定し、フィルタリング部１２に対して特定した宛先ポート番号を指定する。これにより、既知の脅威情報５０を用いて、スキャン攻撃が疑われる注目すべき宛先ポート番号を容易に指定可能となる。

また、統計情報計算部１３は、統計情報として、通信先に依らない通信の統計情報と、ポートが開放されている通信先に関する通信の統計情報とを算出する。これにより、各ｆｉｌｔｅｒｅｄトラフィックデータの通信の特徴をより明確に反映した特徴量の抽出が可能となる。

［プログラム］
上記実施形態に係る分類装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、分類装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の分類処理を実行する分類プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の分類プログラムを情報処理装置に実行させることにより、情報処理装置を分類装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）などの移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistants）などのスレート端末などがその範疇に含まれる。また、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の分類処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、分類装置１０は、宛先ポート番号およびトラフィックデータを入力とし、クラスタリング結果を出力する分類処理サービスを提供するサーバ装置として実装される。この場合、分類装置１０は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の分類処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。以下に、分類装置１０と同様の機能を実現する分類プログラムを実行するコンピュータの一例を説明する。

図４に示すように、分類プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、図４に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、分類プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した分類装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。

また、分類プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、分類プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、分類プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。

１０ 分類装置
１１ ポート特定部
１２ フィルタリング部
１３ 統計情報計算部
１４ クラスタリング部
２０ インターネット
３０ ＮＷ機器
４０ トラフィックデータ
５０ 脅威情報
６０ クラスタリング結果

Claims (5)

1. 宛先ポート番号の指定を受け付けて、収集されたトラフィックデータのうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出する抽出部と、
   抽出された前記トラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる所定の特徴量を抽出する特徴抽出部と、
   前記特徴量を用いて前記送信元ＩＰアドレスを分類する分類部と、
   を備えることを特徴とする分類装置。
2. さらに、マルウェアへの感染が疑われるホストに関する情報を用いて、該ホストが通信に使用した宛先ポート番号を特定し、前記抽出部に対して該宛先ポート番号を指定する特定部を備えることを特徴とする請求項１に記載の分類装置。
3. 前記特徴抽出部は、前記統計情報として、通信先に依らない通信の統計情報と、ポートが開放されている通信先に関する通信の統計情報とを算出することを特徴とする請求項１または２に記載の分類装置。
4. 分類装置で実行される分類方法であって、
   宛先ポート番号の指定を受け付けて、収集されたトラフィックデータのうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出する抽出工程と、
   抽出された前記トラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる所定の特徴量を抽出する特徴抽出工程と、
   前記特徴量を用いて前記送信元ＩＰアドレスを分類する分類工程と、
   を含むことを特徴とする分類方法。
5. 宛先ポート番号の指定を受け付けて、収集されたトラフィックデータのうち該宛先ポート番号を使用して通信を行ったホストのトラフィックデータを抽出する抽出ステップと、
   抽出された前記トラフィックデータについて、送信元ＩＰアドレスごとに所定の統計情報を算出し、算出した統計情報の組み合わせからなる所定の特徴量を抽出する特徴抽出ステップと、
   前記特徴量を用いて前記送信元ＩＰアドレスを分類する分類ステップと、
   をコンピュータに実行させることを特徴とする分類プログラム。

Images