(57)【要約】【課題】複数の監視間隔で攻撃を監視し、その攻撃成否確率によって監視間隔別の閾値を設定することにより、攻撃パケットの誤検出、見逃しを減少させる。【解決手段】監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられるときに、監視間隔Ｔｉに対する閾値ｒｉとして、予め定められたパラメータａｉ，ｅｉに対して、Ｆ（ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たすｒｉを設定しておくとともに、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、複数の監視間隔のいずれかの監視間隔において、監視間隔内のレート数Ｒｉが閾値ｒｉを超過したときに攻撃トラヒックとして検出する。【選択図】図１
2010171669.tif 000002
【特許請求の範囲】
【請求項１】
監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出方法であって、
監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられ、また、ａｉ，ｅｉが予め定められたパラメータであるときに、各監視間隔Ｔｉ毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、当該レート数Ｒｉに基づく攻撃成功確率Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）を計算し、
複数の監視間隔のいずれかの監視間隔において、前記計算した攻撃成功確率が、Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たさないときに攻撃トラヒックとして検出することを特徴とする攻撃トラヒック検出方法。
【請求項２】
監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出方法であって、
監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられるときに、監視間隔Ｔｉに対する閾値ｒｉとして、予め定められたパラメータａｉ，ｅｉに対して、Ｆ（ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たすｒｉを設定しておくとともに、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、
複数の監視間隔のいずれかの監視間隔において、監視間隔内のレート数Ｒｉが閾値ｒｉを超過したときに攻撃トラヒックとして検出することを特徴とする攻撃トラヒック検出方法。
【請求項３】
監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出装置であって、
複数の監視間隔毎に監視対象のトラヒックを取得するトラヒック取得部と、
監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられ、また、ａｉ，ｅｉが予め定められたパラメータであるときに、各監視間隔Ｔｉ毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、当該レート数Ｒｉに基づく攻撃成功確率Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）を計算する攻撃成功確率計算部と、
複数の監視間隔のいずれかの監視間隔において、前記計算した攻撃成功確率が、Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たさないときに攻撃トラヒックとして検出する攻撃検出部とを有することを特徴とする攻撃トラヒック検出装置。
【請求項４】
監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出装置であって、
複数の監視間隔毎に監視対象のトラヒックを取得するトラヒック取得部と、
前記複数の監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられるときに、監視間隔Ｔｉに対する閾値ｒｉとして、予め定められたパラメータａｉ，ｅｉに対して、Ｆ（ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たすｒｉを設定しておくとともに、前記各監視間隔毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算する攻撃成功確率計算部と、
複数の監視間隔のいずれかの監視間隔において、監視間隔内のレート数Ｒｉが閾値ｒｉを超過したときに攻撃トラヒックとして検出する攻撃検出部とを有することを特徴とする攻撃トラヒック検出装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、攻撃トラヒック検出方法および攻撃トラヒック検出装置に係り、特に、ＩＰネットワーク上における攻撃検出技術に関する。
【背景技術】
【０００２】
ＩＰネットワーク上の攻撃や侵入などの異常トラヒック検出において、通常のトラヒック変動から外れた値を異常として統計的に検出する手法が知られている。
統計的異常検出としては、下記非特許文献１に開示されているように、パケット数やバイト数などのトラヒック量、あるいは、下記非特許文献２に開示されているように、トラヒックのバラツキを示すエントロピーなどのトラヒック特性などを一定間隔に測定した値の時系列を対象とした手法が提案されている。これらの手法は、時系列値が、動的もしくは静的な閾値を超過したときに、攻撃と検出するものである。
これらの手法は、通常トラヒックの変動は相対的に小さく、かつ、変動がランダムであることを仮定しているが、インターネットにおいては、通常トラヒックといえども変動が大きく、かつ、時間相関が大きいことが知られており、下記非特許文献３では、その様なトラヒックに対して統計的な異常検出を行うと、通常トラヒックにおいても確率的に発生する外れ値を攻撃と誤検出するケースが多発することが示されている。
このような課題に鑑み、非特許文献３では、単一の監視間隔による測定値を用いるのではなく、複数の監視間隔での測定値を用いてそのどれかで閾値を超過していれば異常と検出する手法を提案している。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】P.Barford,J.Kline,D.Plonka, and A.Ron,“A signal analysis of netWork traffic anomalies,”Proc.2nd ACM SIGCOMM Workshop in Internet Measurement(IMW2002),Marseille,France,October 2002.
【非特許文献２】A.Lakhina,M.Crovella and C.Diot,“Characterization of Network-Wide Anomalies in Traffic Flows,”Proc.4th ACM SIGCOMM Conference on Internet Measurement(IMC 2004),Taormina,Italy,October 2004.
【非特許文献３】L.Zhang,Z.Zhu,K.Jeffay,J.S.Marron,and F.D.Smith,“MultiResolution Anomaly Detection for the Internet”,Proceedings of IEEE INFOCOM Workshop on Automated Network Management,Phoenix,AZ,April 18,2008.
【非特許文献４】A.Hubert,and R.van Mook,“Measures for making DNS more resilient against forged answers,”draft-ietf-dnsext-forgery-resilience-09.txt,November 18,2008.
【発明の概要】
【発明が解決しようとする課題】
【０００４】
攻撃検出においては、誤検出を最小化した上で、攻撃発生時に迅速に警告が発生できるとともに長期間にわたる攻撃も見逃さないことが要求される。しかし発生しうる攻撃パターンも長期間低レートに渡るものやパルス型など多用であり、単一の監視間隔でこの条件を満たすことは容易ではない。
また、攻撃手法によっては、攻撃パケット送信レートや攻撃時間によらず、トータルの送信攻撃パケット数によって攻撃成功確率が決まるものもあり、このような場合には、高レートトラヒックを短時間送信する攻撃と、低レートトラヒックを長時間送信する攻撃双方に対して検出が可能である必要がある。
しかし、長時間間隔で監視した場合は、短時間攻撃の検出までに時間がかかるという問題点があり、一方、短時間間隔で監視した場合、長時間低レート攻撃の見逃し、あるいは誤検出が発生する。
後者は閾値を高く設定した場合に長時間低レート攻撃を見逃してしまうという問題である。しかし長時間低レート攻撃に対して、短時間間隔の監視のみでは当該監視間隔で観測した攻撃がその後持続するかどうかの情報がないため、このような攻撃を見逃さないためには、観測した攻撃レートがその後長時間続くと仮定し、その場合に攻撃が成功しうるようなレート未満に閾値を設定する必要がある。
しかし、通常トラヒックも変動により散発的に閾値を超過する可能性があり、このような場合は誤検出となる。
【０００５】
従って、複数の監視間隔で同時に攻撃監視することが有効であるが、前述の非特許文献３で提案されている手法では、攻撃パケット数による攻撃確率を勘案せず、通常トラヒック分布からの乖離のみで異常を検出しているため、効果的な閾値設定ができず、攻撃トラヒックが通常トラヒック分布から乖離しないような低レートであった場合に見逃しが発生する可能性がある。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、複数の監視間隔で攻撃を監視し、その攻撃成否確率によって監視間隔別の閾値を設定することにより、攻撃トラヒックの誤検出、見逃しを減少させることが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００６】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出方法であって、監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられ、また、ａｉ，ｅｉが予め定められたパラメータであるときに、各監視間隔Ｔｉ毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、当該レート数Ｒｉに基づく攻撃成功確率Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）を計算し、複数の監視間隔のいずれかの監視間隔において、前記計算した攻撃成功確率が、Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たさないときに攻撃トラヒックとして検出する。
（２）監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出方法であって、監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられるときに、監視間隔Ｔｉに対する閾値ｒｉとして、予め定められたパラメータａｉ，ｅｉに対して、Ｆ（ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たすｒｉを設定しておくとともに、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、複数の監視間隔のいずれかの監視間隔において、監視間隔内のレート数Ｒｉが閾値ｒｉを超過したときに攻撃トラヒックとして検出する。
【０００７】
（３）監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出装置であって、複数の監視間隔毎に監視対象のトラヒックを取得するトラヒック取得部と、監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられ、また、ａｉ，ｅｉが予め定められたパラメータであるときに、各監視間隔Ｔｉ毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、当該レート数Ｒｉに基づく攻撃成功確率Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）を計算する攻撃成功確率計算部と、複数の監視間隔のいずれかの監視間隔において、前記計算した攻撃成功確率が、Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たさないときに攻撃トラヒックとして検出する攻撃検出部とを有する。
（４）監視対象ネットワークのトラヒック量を監視間隔毎にカウントし、監視間隔内のトラヒック量が閾値を超過した際に攻撃発生として検出する攻撃トラヒック検出装置であって、複数の監視間隔毎に監視対象のトラヒックを取得するトラヒック取得部と、前記複数の監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとし、攻撃パケットレート数Ｒと攻撃持続時間Ｔに対して、攻撃成功確率がＦ（Ｒ，Ｔ）で与えられるときに、監視間隔Ｔｉに対する閾値ｒｉとして、予め定められたパラメータａｉ，ｅｉに対して、Ｆ（ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満たすｒｉを設定しておくとともに、前記各監視間隔毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算する攻撃成功確率計算部と、複数の監視間隔のいずれかの監視間隔において、監視間隔内のレート数Ｒｉが閾値ｒｉを超過したときに攻撃トラヒックとして検出する攻撃検出部とを有する。
【発明の効果】
【０００８】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、複数の監視間隔で攻撃を監視し、その攻撃成否確率によって監視間隔別の閾値を設定することにより、攻撃トラヒックの誤検出、見逃しを減少させることが可能となる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施例の攻撃トラヒック検出装置の概略構成を示すブロック図である。
【図２】キャッシュ汚染攻撃において、複数の攻撃レートに対する攻撃成功確率の計算例の一例を示すグラフである。
【発明を実施するための形態】
【００１０】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施例の攻撃トラヒック検出装置の概略構成を示すブロック図である。本実施例の攻撃トラヒック検出装置は、トラヒック取得部１０と、攻撃成功確率計算部１１と、攻撃検出部１２とで構成される。
トラヒック取得部１０では、監視対象のトラヒックを取得する。ここで、攻撃とは無関係なトラヒックをフィルタリングしてもよい。
本実施例では、監視間隔を複数保持し、当該監視間隔を短い順に、Ｔ１，Ｔ２,...,Ｔｎとするとき、攻撃成功確率計算部１１では、各監視間隔Ｔｉ毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、当該レート数Ｒｉに基づく攻撃成功確率Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）を計算する。但し、１≦ｉ≦ｎ−１である。
ここで、攻撃持続時間は、当該監視間隔Ｔｉでなく、Ｔｉ＋１を用いる。これはある監視間隔Ｔｉでは、それより長い監視間隔Ｔｉ＋１以前に成功するようなレート数の攻撃を検出できればよく、十分小さい確率ｅｉに対して、Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉとなるレート数の攻撃を検出すればよいためである。なおａｉは安全係数である。
【００１１】
攻撃パケットレート数Ｒと攻撃持続時間Ｔで攻撃成功確率が求まる代表的な攻撃として、ＤＮＳキャッシュポイズニング攻撃が挙げられる。
この攻撃の成功確率Ｆ（Ｒ，Ｔ）は、前述の非特許文献４で述べられており、下記（１）式で与えられる。
なお、（１）式において、Ｗはキャッシュサーバと権威サーバの往復時間、Ｐはキャッシュサーバが用いるポート番号数、ＩはトランザクションＩＤの空間サイズ、Ｏは従来型攻撃ではキャッシュのタイムアウト時間、Kaminsky型攻撃ではＷとなる。
【００１２】
【数１】
2010171669.tif 000003
【００１３】
図２に、キャッシュ汚染攻撃において、複数の攻撃レートに対する攻撃成功確率の計算例の一例を示す。この図２において、Ａが攻撃レートが１００ｐｐｓ、Ｂが攻撃レートが１００００ｐｐｓである。
図２から分かるように、長時間間隔以前に攻撃成立するような高レート攻撃は、短時間間隔（例えば、数秒以下）の監視で検出でき、低レート長期間攻撃は、長時間間隔（例えば、数分）の監視で検出することができる。
攻撃検出部１２では、複数の監視間隔のいずれか１つで、レート数Ｒｉが、前述の（１）式を満たすかどうかをチェックし、前述の（１）式を満たさない場合は攻撃と判定する。
なお、本実施例において、攻撃成功確率計算部１１において、各監視間隔Ｔｉ毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、当該レート数Ｒｉに基づく攻撃成功確率Ｆ（Ｒｉ，Ｔｉ＋１×ａｉ）を計算する代わりに、攻撃成功確率計算部１１において、予め、十分小さい確率ｅｉに対して、Ｆ（ｒｉ，Ｔｉ＋１×ａｉ）＜ｅｉを満足する閾値ｒｉを計算しておくとともに、各監視間隔Ｔｉ毎に、取得したパケット数を監視間隔Ｔｉで除算してレート数Ｒｉを計算し、攻撃検出部１２において、複数の監視間隔Ｔｉのいずれか１つで、レート数Ｒｉが、前述の（１）式を満たす閾値ｒｉ以上となっていないかどうかをチェックし、そうであれば攻撃と判定するようにしてもよい。
【００１４】
以上説明したように、本実施例では、複数の監視時間（Ｔ１，Ｔ２,...,Ｔｎ）において、それぞれ攻撃と見なすレート数（あるいは、閾値ｒｉ）を変え、それぞれ並列に攻撃を検出する。
例えば、短時間間隔（例えば、１分）の監視においては、長時間間隔以前に攻撃成立するような高レート攻撃（例えば、監視間隔が１分間隔で、攻撃成功確率が１時間以内に５％を超えるような攻撃）のみを検出の対象となし、長時間間隔（例えば、１時間）の監視においては、そのような高レート攻撃用閾値では見逃すような低レート長期間攻撃（例えば、監視間隔が１時間間隔で、攻撃成功確率が１日以内に５％を超えるような攻撃）を対象とする。これにより、攻撃トラヒックの誤検出、見逃しを減少させることが可能となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本
発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【符号の説明】
【００１５】
１０  トラヒック取得部
１１  攻撃成功確率計算部
１２  攻撃検出部
【図１】
2010171669.tif 000004
【図２】
2010171669.tif 000005