(57)【要約】【課題】パケット数の時間的変化であるトラヒックパターンを用いてDoS(Denial of Service)攻撃を追跡する方法において、トラヒックパターンにはDoS攻撃以外の通常のトラヒックも含まれ、それらがパターン形状の類似性を評価する際のノイズとして作用し、追跡精度を低下させる原因となる。【解決手段】Wavelet変換による多重解析を繰り返すごとに通常トラヒックではWavelet係数（低周波成分の振幅を表す値）が減少し、通常のトラヒックは高周波成分が大きな振幅を持つ特性があることから、高周波成分をトラヒックパターンから除去するフィルタリング手法を用いることにより、DoS攻撃を含むトラヒックパターンからノイズ成分である通常のトラヒックを除去して高精度な追跡を実現することができる。【選択図】図３
2006246326.tif 000002
【特許請求の範囲】
【請求項１】
パケット数の時間的変化であるトラヒックパターンを用いてDoS(Denial of Service)攻撃を追跡する方法において、DoS攻撃のトラヒックパターン形状の類似性を評価する際のノイズ成分を除去するフィルタリング手法と、トラヒックパターン形状を比較評価してDoS攻撃トラヒックの流れを追跡する手法を組み合わせて用いることを特徴とするネットワーク異常検出方法。
【請求項２】
前記フィルタリング手法は、トラックパターンからDoS攻撃以外の通常のトラヒックをノイズ成分として除去する手法を備えたことを特徴とする請求項１に記載のネットワーク異常検出方法。
【請求項３】
前記フィルタリング手法は、Wavelet変換を用いたトラヒック波形の解析を用いて、通常のトラヒックをトラヒックパターンから除去する手法を備えたことを特徴とする請求項１または請求項２に記載のネットワーク異常検出方法。
【請求項４】
前記フィルタリング手法は、Wavelet変換による多重解析を繰り返すごとに通常のトラヒックではWavelet係数（低周波成分の振幅を表す値）が減少し、通常のトラヒックは高周波成分が大きな振幅を持つ特性があることから、高周波成分をトラヒックパターンから除去する手法を備えたことを特徴とする請求項１または請求項２または請求項３に記載のネットワーク異常検出方法。
【請求項５】
前記フィルタリング手法は、通常のトラヒックにおいて最も高い周波数に対応するWavelet係数を基準にして閾値を設定し、その閾値を初めて下回った周波数領域以上を除去するアルゴリズムを備えたことを特徴とする請求項１または請求項２または請求項３または請求項４に記載のネットワーク異常検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに対するセキュリティ侵害を行うDoS攻撃を検出及び追跡する技術に関するものである。
【背景技術】
【０００２】
近年、インターネット上のサービスを停止させるDoS攻撃が問題となっており、被害を最小限に抑えるため攻撃元を追跡する必要があるが、一般に攻撃元のIPアドレスは改竄されているため、攻撃者が改竄不可能な情報による追跡技術が重要となっている。改竄不可能の情報を用いた追跡手法の一つとして、パケット数の時間的変化であるトラヒックパターンを用いた手法（非特許文献１、非特許文献２）があり、DoS攻撃を含むトラヒックパターン形状の類似性を利用してDoS攻撃の追跡を行うものである。
【０００３】
【非特許文献１】武井洋介、大田耕平、加藤寧、根元義章、「トラヒックパターンを用いた不正アクセス検出及び追跡方式」、電子情報通信学会論文誌Vol.J82-B-I No.10 pp.1-10、1999年10月
【非特許文献２】坂口薫、大田耕平、和泉勇治、加藤寧、根元義章、「2次計画法に基づいたトラヒックパターンの比較によるDDoSの追跡」、電子情報通信学会論文誌Vol.J85-B No.8 pp.1295-1303、2002年8月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながらトラヒックパターンにはDoS攻撃以外の通常のトラヒックも含まれ、それらがパターン形状の類似性を評価する際のノイズとして作用し、追跡精度を低下させる原因となる。特に分散型DoS(Distributed DoS)攻撃においては、DoS攻撃のトラヒックが合流する前ではDoS攻撃のパケット数の絶対数が減少するため、通常のトラヒックがノイズ成分となりDoS攻撃のトラヒックが埋没し、高精度な追跡がより困難となる問題がある。
【０００５】
本発明は、上記問題を解決するため、大量のパケットを送り付けるFlooding型DoS攻撃を対象とし、DoS攻撃のトラヒックパターンの形状比較を行う際にノイズ成分となる通常のトラヒックを除去することにより、DoS攻撃のトラヒックを抽出して高精度な追跡を実現することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、請求項１に記載のネットワーク異常検出方法は、パケット数の時間的変化であるトラヒックパターンを用いてDoS(Denial of Service)攻撃を追跡する方法において、DoS攻撃のトラヒックパターン形状の類似性を評価する際のノイズ成分を除去するフィルタリング手法と、トラヒックパターン形状を比較評価してDoS攻撃トラヒックの流れを追跡する手法（非特許文献１、非特許文献２）を組み合わせて用いることを特徴とする。
【０００７】
請求項２に記載のフィルタリング手法は、トラックパターンからDoS攻撃以外の通常のトラヒックをノイズ成分として除去する手法を備えたことを特徴とする。
【０００８】
請求項３に記載のフィルタリング手法は、Wavelet変換を用いたトラヒック波形の解析を用いて、通常のトラヒックをトラヒックパターンから除去する手法を備えたことを特徴とする。
【０００９】
請求項４に記載のフィルタリング手法は、Wavelet変換による多重解析を繰り返すごとに通常のトラヒックではWavelet係数（低周波成分の振幅を表す値）が減少し、通常のトラヒックは高周波成分が大きな振幅を持つ特性があることから、高周波成分をトラヒックパターンから除去する手法を備えたことを特徴とする。
【００１０】
請求項５にフィルタリング手法は、通常のトラヒックにおいて最も高い周波数に対応するWavelet係数を基準にして閾値を設定し、その閾値を初めて下回った周波数領域以上を除去するアルゴリズムを備えたことを特徴とする。
【発明の効果】
【００１１】
請求項１による発明によれば、DoS攻撃のトラヒックパターン形状の類似性を評価する際のノイズ成分を除去するフィルタリング手法とトラヒックパターン形状を比較評価してDoS攻撃トラヒックの流れを追跡する手法を組み合わせて用いることにより、DoS攻撃の追跡精度を向上させることができる。
【００１２】
請求項２による発明によれば、トラックパターンからDoS攻撃以外の通常のトラヒックをノイズ成分として除去することができるため、DoS攻撃の追跡精度を向上させることができる。
【００１３】
請求項３による発明によれば、Wavelet変換を用いたトラヒック波形の解析を用いて、通常のトラヒックをトラヒックパターンから除去することができるため、DoS攻撃の追跡精度を向上させることができる。
【００１４】
請求項４による発明によれば、Wavelet変換による多重解析を繰り返すごとに通常トラヒックではWavelet係数（低周波成分の振幅を表す値）が減少し、通常のトラヒックは高周波成分が大きな振幅を持つ特性があることから、高周波成分をトラヒックパターンから除去することができるため、DoS攻撃の追跡精度を向上させることができる。
【００１５】
請求項５による発明によれば、通常のトラヒックにおいて最も高い周波数に対応するWavelet係数を基準にして閾値を設定し、その閾値を初めて下回った周波数領域以上を除去するアルゴリズムを適用することにより、通常のトラヒックの主成分である高周波成分をトラヒックパターンから除去することができるため、DoS攻撃の追跡精度を向上させることができる。
【発明を実施するための最良の形態】
【００１６】
次に、本発明のネットワーク異常検出方法を実施するための最良の形態（以下、単に「実施の形態」と称する）について説明する。なお、この実施の形態により本発明が限定されるものではない。
【００１７】
Wavelet変換手法を利用したトラヒック波形の解析について説明する。Flooding型DoS攻撃の特徴として、大量のDoS攻撃パケットによりトラヒックが急激に増加し、DoS攻撃が一定時間継続するという特徴があるため、DoS攻撃を含むトラヒックパターンは台形の形状となって観測されることに着目し、Wavelet変換ではハール関数を用いてピラミッドアルゴリズム（非特許文献３）で多重解析を行う。
【００１８】
【非特許文献３】稲田将一、鎌田康一郎、「ウェーブレットによる経済分析」、金融研究、pp.1-62、2004年3月
【００１９】
ハール関数は、ウェーブレット・フィルタ(h)とスケーリング・フィルタ(g)について、式(1)(2)で示す関数で定義される。
【数１】
2006246326.tif 000003
【数２】
2006246326.tif 000004
ウェーブレット・フィルタは周期の短い高周波を通し(high-pass filter)、スケーリング・フィルタは周期の長い低周波を通す(low-pass filter)という特性がある。
【００２０】
Wavelet係数(w)は、原系列(x)をウェーブレット・フィルタ(h)に通して、式(3)で示す関数で定義される。
【数３】
2006246326.tif 000005
ここで、Lはフィルタの長さ、Nは原系列の長さ、ｔは１からN/2までの整数である。
【００２１】
通常のトラヒックとDoS攻撃のトラヒックについて、Wavelet変換を用いて多重解析した結果を図１及び図２に示す。Wavelet係数は、256タイムスロット各10回分の平均値であり多重度解析毎に１／√２で正規化した数値である。
【００２２】
多重度解析を繰り返すごとにWavelet係数はトラヒックパターンの低周波成分の振幅を表す。図１から通常のトラヒックでは多重度解析を繰り返すごとに平均値が減少していることから、通常のトラヒックは高周波成分の方が大きな振幅を持っていることが分かる。次に、図２からDoS攻撃のトラヒックでは多重度解析を繰り返すごとに平均値が増加していることから、DoS攻撃のトラヒックは低周波成分の方が大きな振幅を持っていることが分かる。
【００２３】
以上の分析結果から、通常のトラヒックは主に高周波成分を持ち、DoS攻撃のトラヒックは大きな低周波成分を持つため、観測されたDoS攻撃を含むトラヒックの中から高周波成分を取り除けば、DoS攻撃のトラヒック部分を取り出せる。
【００２４】
次に、通常のトラヒックの除去アルゴリズムについて説明する。DoS攻撃が観測された直前のトラヒックパターンを通常のトラヒックとして学習し、それを基にDoS攻撃を含むトラヒックから通常のトラヒック成分を除去する。学習トラヒックにおいて最も高い周波数に対応するWavelet係数の1/2を初めて下回った周波数領域以上を除去すべき高周波領域とする。これによって決定された高周波成分を通常のトラヒックによるものとして観測トラヒックから除去することができる。
【００２５】
次に、DDoSを含むトラヒックパターンに対して、トラヒックパターンを用いた手法（非特許文献１）で追跡した場合、本発明のフィルタリング手法を用いた場合と用いない場合とでの追跡精度について検証した結果を図３に示す。入力リンク数を10、通常のトラヒック対DoS攻撃のトラヒックの振幅比率を1:0.5として、各合流数に対して100回のシミュレーションを行った結果、攻撃合流数が10の場合、フィルタリング手法を用いると追跡精度が4倍弱向上していることが分かる。
【００２６】
以上から、DoS攻撃を含むトラヒックパターンから高周波成分を除去するフィルタリング手法を用いることにより、トラヒックパターンを用いた手法（非特許文献１、非特許文献２）におけるDoS攻撃の追跡精度を向上できることが確認された。
【図面の簡単な説明】
【００２７】
【図１】通常トラヒックの周波数成分分布
【図２】DoSトラヒックの周波数成分分布
【図３】フィルタを用いた場合の追跡精度の変化
【図１】
2006246326.tif 000006
【図２】
2006246326.tif 000007
【図３】
2006246326.tif 000008