(57)【要約】【課題】端末が被害を受けているか否かを正確に判定することである。【解決手段】受信トラヒック特徴抽出サーバ１０は、入力部１１と特徴情報抽出部１２とクラスタリング部１３とシグネチャ生成部１４と出力部１５とを有する。入力部１１は、ネットワークトラヒックデータ１１ａから所定条件を満たすトラヒック情報を取得する。特徴情報抽出部１２は、取得された上記トラヒック情報から特徴情報を抽出する。クラスタリング部１３は、抽出された上記特徴情報に基づき、上記トラヒック情報を分類する。シグネチャ生成部１４は、クラスタリング部１３により得られた分類結果を分析し、シグネチャを生成する。出力部１５は、生成された上記シグネチャの内、所定条件を満たすシグネチャを出力する。【選択図】図１
2019148882.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークトラヒックデータから所定条件を満たすトラヒック情報を取得する取得部と、
取得された前記トラヒック情報から特徴情報を抽出する抽出部と、
抽出された前記特徴情報に基づき、前記トラヒック情報を分類する分類部と、
前記分類部により得られた分類結果を分析し、シグネチャを生成する生成部と、
生成された前記シグネチャの内、所定条件を満たすシグネチャを出力する出力部と
を有することを特徴とするトラヒック特徴情報抽出装置。
【請求項２】
前記抽出部は、前記ネットワークトラヒックデータのヘッダ部分に含まれる情報、送信データ部分に含まれる情報、及び受信データ部分に含まれる情報の内、少なくとも１つに基づき、前記特徴情報を抽出することを特徴とする請求項１に記載のトラヒック特徴情報抽出装置。
【請求項３】
前記分類部は、機械学習を用いて、前記トラヒック情報を分類することを特徴とする請求項１に記載のトラヒック特徴情報抽出装置。
【請求項４】
前記生成部は、前記分類結果を分析する際、頻出パターン分析または頻出文字列分析により、前記シグネチャを生成することを特徴とする請求項１に記載のトラヒック特徴情報抽出装置。
【請求項５】
前記頻出パターン分析は、前記ネットワークトラヒックデータのヘッダ部分に含まれる情報の分析であることを特徴とする請求項４に記載のトラヒック特徴情報抽出装置。
【請求項６】
前記頻出パターン分析は、前記ネットワークトラヒックデータの送信データ部分に含まれる情報、及び受信データ部分に含まれる情報の分析であることを特徴とする請求項４に記載のトラヒック特徴情報抽出装置。
【請求項７】
トラヒック特徴情報抽出装置が、
ネットワークトラヒックデータから所定条件を満たすトラヒック情報を取得する取得工程と、
取得された前記トラヒック情報から特徴情報を抽出する抽出工程と、
抽出された前記特徴情報に基づき、前記トラヒック情報を分類する分類工程と、
前記分類工程にて得られた分類結果を分析し、シグネチャを生成する生成工程と、
生成された前記シグネチャの内、所定条件を満たすシグネチャを出力する出力工程と
を含むことを特徴とするトラヒック特徴情報抽出方法。
【請求項８】
ネットワークトラヒックデータから所定条件を満たすトラヒック情報を取得する取得ステップと、
取得された前記トラヒック情報から特徴情報を抽出する抽出ステップと、
抽出された前記特徴情報に基づき、前記トラヒック情報を分類する分類ステップと、
前記分類ステップにて得られた分類結果を分析し、シグネチャを生成する生成ステップと、
生成された前記シグネチャの内、所定条件を満たすシグネチャを出力する出力ステップと
をコンピュータに実行させるためのトラヒック特徴情報抽出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラヒック特徴情報抽出装置、トラヒック特徴情報抽出方法、及びトラヒック特徴情報抽出プログラムに関する。
【背景技術】
【０００２】
近年、インターネットの普及に伴い、マルウェアと呼ばれる悪意あるソフトウェアを用いたサイバー攻撃が増加しつつある。マルウェアに感染した端末の検知に際し、端末が送信するトラヒックのヘッダ情報に基づいて特徴情報を抽出し、シグネチャを生成してブラックリストとのマッチングを行う方法がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第６０５３０９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した従来技術では、以下の様な問題点があった。例えば、攻撃者は検知回避のために司令塔となるサーバの設定を変えるため、マッチングにより感染が確認されたとしても、通信先サーバが存在しないまたは正常なサーバである場合がある。また、端末が攻撃者のサーバと通信しても、必ずしも攻撃が成功するとは限らない。このため、シグネチャがマッチしたとしても、その端末が真にマルウェアに感染し、被害（例えば、攻撃者による操作）を受けていると、確実に判定することはできない。
【０００５】
開示の技術は、上記に鑑みてなされたものであって、端末が被害を受けているか否かを正確に判定することができるトラヒック特徴情報抽出装置、トラヒック特徴情報抽出方法、及びトラヒック特徴情報抽出プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本願の開示するトラヒック特徴情報抽出装置は、一つの態様において、ネットワークトラヒックデータから所定条件を満たすトラヒック情報を取得する取得部と、取得された前記トラヒック情報から特徴情報を抽出する抽出部と、抽出された前記特徴情報に基づき、前記トラヒック情報を分類する分類部と、前記分類部により得られた分類結果を分析し、シグネチャを生成する生成部と、生成された前記シグネチャの内、所定条件を満たすシグネチャを出力する出力部とを有する。
【０００７】
また、本願の開示するトラヒック特徴情報抽出方法は、一つの態様において、トラヒック特徴情報抽出装置が、ネットワークトラヒックデータから所定条件を満たすトラヒック情報を取得する取得工程と、取得された前記トラヒック情報から特徴情報を抽出する抽出工程と、抽出された前記特徴情報に基づき、前記トラヒック情報を分類する分類工程と、前記分類工程にて得られた分類結果を分析し、シグネチャを生成する生成工程と、生成された前記シグネチャの内、所定条件を満たすシグネチャを出力する出力工程とを含む。
【０００８】
更に、本願の開示するトラヒック特徴情報抽出プログラムは、一つの態様において、ネットワークトラヒックデータから所定条件を満たすトラヒック情報を取得する取得ステップと、取得された前記トラヒック情報から特徴情報を抽出する抽出ステップと、抽出された前記特徴情報に基づき、前記トラヒック情報を分類する分類ステップと、前記分類ステップにて得られた分類結果を分析し、シグネチャを生成する生成ステップと、生成された前記シグネチャの内、所定条件を満たすシグネチャを出力する出力ステップとをコンピュータに実行させる。
【発明の効果】
【０００９】
本願の開示するトラヒック特徴情報抽出装置、トラヒック特徴情報抽出方法、及びトラヒック特徴情報抽出プログラムは、端末が被害を受けているか否かを正確に判定することができるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、受信トラヒック特徴抽出サーバの構成を示す図である。
【図２】図２は、受信トラヒック特徴抽出サーバの動作を説明するためのフローチャートである。
【図３】図３は、トラヒック特徴情報抽出プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願の開示するトラヒック特徴情報抽出装置、トラヒック特徴情報抽出方法、及びトラヒック特徴情報抽出プログラムの実施例を、図面を参照しながら詳細に説明する。なお、以下の実施例により本願の開示するトラヒック特徴情報抽出装置、トラヒック特徴情報抽出方法、及びトラヒック特徴情報抽出プログラムが限定されるものではない。
【００１２】
まず、本願の開示する一実施例に係るトラヒック特徴情報抽出装置の構成を説明する。図１は、受信トラヒック特徴抽出サーバ１０の構成を示す図である。図１に示す様に、受信トラヒック特徴抽出サーバ１０は、入力部１１と特徴情報抽出部１２とクラスタリング部１３とシグネチャ生成部１４と出力部１５とを有する。これら各構成部分は、一方向又は双方向に、信号やデータの入出力が可能なように接続されている。
【００１３】
入力部１１は、ネットワークトラヒックデータ１１ａから所定条件を満たすトラヒック情報を取得する。特徴情報抽出部１２は、取得された上記トラヒック情報から特徴情報を抽出する。クラスタリング部１３は、抽出された上記特徴情報に基づき、上記トラヒック情報を分類する。シグネチャ生成部１４は、クラスタリング部１３により得られた分類結果を分析し、シグネチャを生成する。出力部１５は、生成された上記シグネチャの内、所定条件を満たす（マッチする）シグネチャを出力する。
【００１４】
次に、本願の開示する一実施例に係る受信トラヒック特徴抽出サーバ１０の動作を説明する。図２は、受信トラヒック特徴抽出サーバ１０の動作を説明するためのフローチャートである。
【００１５】
まずＳ１では、受信トラヒック特徴抽出サーバ１０は、入力部１１により、ネットワークトラヒックデータ１１ａから所定条件を満たすトラヒック情報を取得する。次のＳ２では、受信トラヒック特徴抽出サーバ１０は、特徴情報抽出部１２により、取得された上記トラヒック情報から特徴情報を抽出する。Ｓ３では、受信トラヒック特徴抽出サーバ１０は、クラスタリング部１３により、抽出された上記特徴情報に基づき、上記トラヒック情報を分類する。Ｓ４では、受信トラヒック特徴抽出サーバ１０は、シグネチャ生成部１４により、クラスタリング部１３により得られた分類結果を分析し、シグネチャを生成する。Ｓ５では、受信トラヒック特徴抽出サーバ１０は、出力部１５により、生成された上記シグネチャの内、所定条件を満たすシグネチャを出力する。
【００１６】
受信トラヒック特徴抽出サーバ１０において、特徴情報抽出部１２は、上記ネットワークトラヒックデータのヘッダ部分に含まれる情報、送信データ部分に含まれる情報、及び受信データ部分に含まれる情報の内、少なくとも１つに基づき、上記特徴情報を抽出するものとしてもよい。また、クラスタリング部１３は、教師情報となる学習データを使用しない教師無しの機械学習を用いて、上記トラヒック情報を分類するものとしてもよい。これにより、より高精度な分類結果に基づき、端末が被害を受けているか否かの判定を行うことができる。更に、シグネチャ生成部１４は、上記分類結果を分析する際、頻出パターン分析または頻出文字列分析により、上記シグネチャを生成するものとしてもよい。
【００１７】
上記頻出パターン分析は、上記ネットワークトラヒックデータのヘッダ部分に含まれる情報の分析であってもよく、より好適には、頻出パターンマイニングを用いた分析であってもよい。これにより、より高精度な分析結果に基づき、端末が被害を受けているか否かの判定を行うことができる。あるいは、上記頻出パターン分析は、上記ネットワークトラヒックデータの送信データ部分に含まれる情報、及び受信データ部分に含まれる情報の分析であってもよい。更に、上記トラヒック情報は、端末が特定のサーバ（例えば、悪性サーバ）と通信する際に上記端末が受信する受信トラヒックのトラヒック情報であってもよい。
【００１８】
換言すれば、受信トラヒック特徴抽出サーバ１０は、ネットワークトラヒックデータ１１ａを分析することにより、端末が受信するトラヒックをシグネチャ化し、通信先サーバ（例えば、悪性サーバ）との通信が行われていることを検知する。端末の送信するトラヒックから検知するだけでは、通信先サーバが悪性であるか否かは不明な場合があるが、受信トラヒック特徴抽出サーバ１０は、端末が受信するトラヒックの特徴も抽出して、通信先サーバからの応答をシグネチャ化するので、端末がマルウェアに感染していること、または、攻撃が成功していることを確実に判定することができる。すなわち、通信先のサーバからの応答をみることにより、端末が被害を受けているか否かを正確に判定することができる。また、上記判定に際して、従来では用いられていなかったペイロードの情報等、より多くの情報を特徴とするために、検知率の向上及び誤検知率の低減を図ることも可能となる。
【００１９】
受信トラヒック特徴抽出サーバ１０の適用例として、入力トラヒックデータとして、マルウェア感染端末のネットワークトラヒックを与えることにより、端末がマルウェアに感染した際に、悪性サーバから受信するトラヒックの特徴を抽出してシグネチャ化することができる。従って、受信トラヒック特徴抽出サーバ１０は、上記所定条件を満たすシグネチャの出力の有無に基づき、端末がマルウェアに感染していること、または、攻撃が成功していることを判定することができる。例えば、受信トラヒック特徴抽出サーバ１０は、上記所定条件を満たすシグネチャの出力が有る場合には、端末がマルウェアに感染している、または、攻撃が成功していると、確実に結論付けることができる。
【００２０】
別の適用例として、受信トラヒック特徴抽出サーバ１０は、悪性トラヒックを再生し、攻撃者が使用するサーバからの応答とその他のサーバからの応答とを判別することにより、攻撃者が使用するサーバを発見することができる。
【００２１】
（トラヒック特徴情報抽出プログラム）
図３は、トラヒック特徴情報抽出プログラムによる情報処理がコンピュータ１００を用いて具体的に実現されることを示す図である。図３に示す様に、コンピュータ１００は、例えば、メモリ１０１と、ＣＰＵ（Central  Processing  Unit）１０２と、ハードディスクドライブインタフェース１０３と、ディスクドライブインタフェース１０４と、シリアルポートインタフェース１０５と、ビデオアダプタ１０６と、ネットワークインタフェース１０７とを有し、これらの各部はバスＣによって接続される。
【００２２】
メモリ１０１は、図３に示す様に、ＲＯＭ（Read  Only  Memory）１０１ａ及びＲＡＭ（Random  Access  Memory）１０１ｂを含む。ＲＯＭ１０１ａは、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３は、図３に示す様に、ハードディスクドライブ１０８に接続される。ディスクドライブインタフェース１０４は、図３に示す様に、ディスクドライブ１０９に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０９に挿入される。シリアルポートインタフェース１０５は、図３に示す様に、例えばマウス１１０、キーボード１１１に接続される。ビデオアダプタ１０６は、図３に示す様に、例えばディスプレイ１１２に接続される。
【００２３】
ここで、図３に示す様に、ハードディスクドライブ１０８は、例えば、ＯＳ（Operating  System）１０８ａ、アプリケーションプログラム１０８ｂ、プログラムモジュール１０８ｃ、プログラムデータ１０８ｄ、ネットワークトラヒックデータ、トラヒック情報、特徴情報、シグネチャを記憶する。すなわち、開示の技術に係るトラヒック特徴情報抽出プログラムは、コンピュータ１００によって実行される指令が記述されたプログラムモジュール１０８ｃとして、例えばハードディスクドライブ１０８に記憶される。具体的には、上記実施例で説明した入力部１１、特徴情報抽出部１２、クラスタリング部１３、シグネチャ生成部１４、出力部１５の各々と同様の情報処理を実行する各種手順が記述されたプログラムモジュール１０８ｃが、ハードディスクドライブ１０８に記憶される。また、トラヒック特徴情報抽出プログラムによる情報処理に用いられるデータは、プログラムデータ１０８ｄとして、例えばハードディスクドライブ１０８に記憶される。そして、ＣＰＵ１０２が、ハードディスクドライブ１０８に記憶されたプログラムモジュール１０８ｃやプログラムデータ１０８ｄを必要に応じてＲＡＭ１０１ｂに読み出し、上記各種手順を実行する。
【００２４】
なお、トラヒック特徴情報抽出プログラムに係るプログラムモジュール１０８ｃやプログラムデータ１０８ｄは、ハードディスクドライブ１０８に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０９等を介してＣＰＵ１０２によって読み出されてもよい。あるいは、トラヒック特徴情報抽出プログラムに係るプログラムモジュール１０８ｃやプログラムデータ１０８ｄは、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７を介してＣＰＵ１０２によって読み出されてもよい。
【００２５】
また、上述した受信トラヒック特徴抽出サーバ１０の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的態様は、図示のものに限らず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することもできる。例えば、クラスタリング部１３とシグネチャ生成部１４、あるいは、頻出パターン分析部１４１と頻出文字列分析部１４２を１つの構成要素として統合してもよい。反対に、シグネチャ生成部１４に関し、頻出パターン分析を行う部分と、頻出文字列分析を行う部分とに分散してもよい。更に、ネットワークトラヒックデータ、トラヒック情報、特徴情報、シグネチャを格納するハードディスクドライブ１０８を、受信トラヒック特徴抽出サーバ１０の外部装置として、ネットワークやケーブル経由で接続する様にしてもよい。
【符号の説明】
【００２６】
１０  受信トラヒック特徴抽出サーバ
１１  入力部
１１ａ  ネットワークトラヒックデータ
１２  特徴情報抽出部
１３  クラスタリング部
１４  シグネチャ生成部
１５  出力部
１５ａ  シグネチャ
１００  コンピュータ
１０１  メモリ
１０１ａ  ＲＯＭ
１０１ｂ  ＲＡＭ
１０２  ＣＰＵ
１０３  ハードディスクドライブインタフェース
１０４  ディスクドライブインタフェース
１０５  シリアルポートインタフェース
１０６  ビデオアダプタ
１０７  ネットワークインタフェース
１０８  ハードディスクドライブ
１０８ａ  ＯＳ
１０８ｂ  アプリケーションプログラム
１０８ｃ  プログラムモジュール
１０８ｄ  プログラムデータ
１０９  ディスクドライブ
１１０  マウス
１１１  キーボード
１１２  ディスプレイ
１４１  頻出パターン分析部
１４２  頻出文字列分析部
【図１】
2019148882.tif 000003
【図２】
2019148882.tif 000004
【図３】
2019148882.tif 000005