(57)【要約】【課題】統計データのみを用いて特定した、単位時間あたりに生成するフロー数が閾値以上となる大量フロー生成ホストの中から、ワーム感染ホストを絞り込むワーム感染ホスト特定法を提供する。【解決手段】フローサンプリングによって得られた統計データのみを用いて、単位時間あたりに生成するフロー数が閾値以上となる大量フロー生成ホストを特定し、ネットワークの状態として正常状態とワーム出現状態の二つを定義し、正常状態において、前記特定した大量フロー生成ホストを全てホワイトリストに収容し、かつ、ワーム出現状態の間はホワイトリストの更新は行わず、ワーム出現状態において、前記特定した大量フロー生成ホストを、直前の正常状態において作成されたホワイトリストと比較し、ホワイトリストに存在しない場合にのみワーム感染ホストとして特定する。【選択図】図１
2008301330.tif 000002
【特許請求の範囲】
【請求項１】
フローサンプリングによって得られた統計データのみを用いて、単位時間あたりに生成するフロー数が閾値以上となる大量フロー生成ホストを特定し、
当該特定した大量フロー生成ホストの中から、ホワイトリストを用いてワーム感染ホストを絞り込むワーム感染ホスト特定法であって、
ネットワークの状態として正常状態とワーム出現状態の二つを定義し、
正常状態において、前記特定した大量フロー生成ホストを全て前記ホワイトリストに収容し、かつ、ワーム出現状態の間は前記ホワイトリストの更新は行わず、
ワーム出現状態において、前記特定した大量フロー生成ホストを、直前の正常状態において作成された前記ホワイトリストと比較し、前記ホワイトリストに存在しない場合にのみワーム感染ホストとして特定することを特徴とするワーム感染ホスト特定法。
【請求項２】
前記ホワイトリストをBloom filterを用いて構成し、前記ホワイトリストの照合時にワーム感染ホストを誤って見逃す確率（ξｗｌ）が、予め定めた許容値（δｗｌ）以下となる範囲で、前記ホワイトリストの所要メモリ量が最小化するよう、Bloom filterのBitmap長を設計することを特徴とする請求項１に記載のワーム感染ホスト特定法。
【請求項３】
前記ホワイトリストをω個の連続する測定期間毎に更新し、さらに、前記ホワイトリストを２面構成とし、
前記正常状態では、両方のホワイトリストを常に更新し、初期化を行うタイミングをω/２の測定期間だけずらし、
ワーム出現状態移行後は、更新された期間が長い方のホワイトリストを用いて、前記特定した大量フロー生成ホストの照合を行うことを特徴とする請求項１または請求項２に記載のワーム感染ホスト特定法。
【請求項４】
前記ホワイトリストをω個の連続する測定期間毎に更新し、前記ワーム出現状態に移行した際の前記ホワイトリストの更新期間が、任意に与えた整数パラメタσ個の連続した測定期間以上となるように、ホワイトリスト更新周期ωを設定することを特徴とする請求項１ないし請求項３のいずれか１項に記載のワーム感染ホスト特定法。
【請求項５】
ホワイトリストと、
フローサンプリングによって得られた統計データのみを用いて、単位時間あたりに生成するフロー数が閾値以上となる大量フロー生成ホストを特定する大量フロー生成ホスト特定装置と、
前記ホワイトリストを初期化するＷＬ更新装置と、
前記大量フロー生成ホスト特定装置で特定された大量フロー生成ホストの中から、前記ホワイトリストを用いてワーム感染ホストを絞り込むＷＬ照合装置とを有するワーム感染ホスト特定システムであって、
ネットワークの状態として正常状態とワーム出現状態の二つを定義し、正常状態において、前記特定した大量フロー生成ホストを全て前記ホワイトリストに収容し、
前記ＷＬ更新装置は、ワーム出現状態の間は前記ホワイトリストの更新は行わず、
前記ＷＬ照合装置は、ワーム出現状態において、前記特定した大量フロー生成ホストを、直前の正常状態において作成された前記ホワイトリストと比較し、前記ホワイトリストに存在しない場合にのみワーム感染ホストとして特定することを特徴とするワーム感染ホスト特定システム。
【請求項６】
前記ホワイトリストをBloom filterを用いて構成し、
前記ＷＬ照合装置における、前記ホワイトリストの照合時にワーム感染ホストを誤って見逃す確率（ξｗｌ）が、予め定めた許容値（δｗｌ）以下となる範囲で、前記ホワイトリストの所要メモリ量が最小化するよう、Bloom filterのBitmap長を設計することを特徴とする請求項５に記載のワーム感染ホスト特定システム。
【請求項７】
前記ホワイトリストは２面構成とされ、
前記ＷＬ更新装置は、前記ホワイトリストをω個の連続する測定期間毎に更新するとともに、前記正常状態では、両方のホワイトリストを常に更新し、初期化を行うタイミングをω/２の測定期間だけずらし、
前記ＷＬ照合装置は、ワーム出現状態移行後は、更新された期間が長い方のホワイトリストを用いて、前記特定した大量フロー生成ホストの照合を行うことを特徴とする請求項５または請求項６に記載のワーム感染ホスト特定システム。
【請求項８】
前記ＷＬ更新装置は、前記ホワイトリストをω個の連続する測定期間毎に更新するとともに、前記ワーム出現状態に移行した際の前記ホワイトリストの更新期間が、任意に与えた整数パラメタσ個の連続した測定期間以上となるように、ホワイトリスト更新周期ωを設定することを特徴とする請求項５ないし請求項７のいずれか１項に記載のワーム感染ホスト特定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワーム感染ホスト特定法およびワーム感染ホスト特定システムに係り、特に、フロー計測から得られたデータを用いて、ワーム感染ホストを特定するワーム感染ホスト特定法およびワーム感染ホスト特定システムに関する。
【背景技術】
【０００２】
近年インターネットでは、ワームの感染拡大が問題となっている。ワームに感染したホストは、次に感染させる脆弱なホストを探すため、ランダムやシーケンシャルに生成したアドレスに対してポートスキャンのためのパケットを送付する。
中でも、Bandwidth limited型と呼ばれるワームに感染したホストは、使用可能なネットワークの伝送帯域とホストのＣＰＵ能力を最大限用いてポートスキャンを行うため、感染が爆発的に拡大する特徴がある。例えば、代表的なBandwidth limited型のワームであるSlammerの場合、感染ホストは平均で４０００回ものポートスキャンを１秒間に行い、わずか１０分程度でネットワーク全体に感染が拡大したことが報告されている。
これまで新種のワームの出現に対しては、ＯＳやアプリケーションソフトの脆弱性を修復するためのパッチや、感染プログラムを除去するためのワクチンプログラムを開発し、一般利用者に配布することで対策がとられてきた。
しかし、Bandwidth limited型といった感染レートの高いワームは、パッチやワクチンが開発されるまでにネットワークの大部分に感染が拡大するため、このような対策だけでは十分でない。
【０００３】
Bandwidth limited型のような感染レートの高いワームに対しては、ワームの出現を可能な限り早期に検知し、自動的にワーム感染ホストを特定し、感染ホストのパケット送出レート規制等により、ワームの感染が拡大する速度を抑え、パッチやワクチンが開発されるまでの時間を稼ぐことが重要となる。
一方、ワーム感染ホストを特定する手法として、以前、発明者らは、短時間に大量のフローを生成するホストを大量フロー生成ホスト（Superspreader）として特定する方法を提案した。（下記、非特許文献１参照）
この非特許文献１に記載されている方法は、長さがφ秒の任意の測定期間Φ内に測定ポイントで観測されたフロー数ｍが明示的に定めた閾値ｍ＊以上のホストを、大量フロー生成ホストと定義し、ｍ＝ｍ＊のホストが特定される確率Ｈ＊を明示的に与える。
本方式を用いることで、限られたメモリを最大限に活用して、大量フロー生成ホストを高精度に特定することが可能となる。
【０００４】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【非特許文献１】上山，森，川原，「フローサンプリングを用いた大量フロー生成ホストの特定」，信学技報 IN2005-184.
【発明の開示】
【発明が解決しようとする課題】
【０００５】
大量フロー生成ホストには、ワーム感染ホストに加え、ＤＮＳサーバといった正常なホストであるが大量のフローを生成するホストも含まれる。そのため、単に、特定された大量フロー生成ホストに対してレート規制等の規制処理を行うと、正常なホストまで規制される。特に、ＤＮＳサーバといった重要な役目を担うホストに対して規制処理を行うと、インターネットの正常な運営に支障をきたす可能性があるため、特定されたホストに対する規制処理は慎重に行う必要がある。
一方、正常なホストで大量のフローを生成するホストは、連続した複数の測定期間で大量フロー生成ホストとなる傾向がある。
本発明は、前記従来技術の問題点を解決するためになされたものであり、発明の目的は、フローサンプリングによって得られた統計データのみを用いて特定した、単位時間あたりに生成するフロー数が閾値以上となる大量フロー生成ホストの中から、ワーム感染ホストを絞り込むワーム感染ホスト特定法およびワーム感染ホスト特定システムを提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００６】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
前述の目的を達成するために、本発明は、フローサンプリングによって得られた統計データのみを用いて、単位時間あたりに生成するフロー数が閾値以上となる大量フロー生成ホストを特定し、当該特定した大量フロー生成ホストの中から、ホワイトリストを用いてワーム感染ホストを絞り込むワーム感染ホスト特定法であって、ネットワークの状態として正常状態とワーム出現状態の二つを定義し、正常状態において、前記特定した大量フロー生成ホストを全て前記ホワイトリストに収容し、かつ、ワーム出現状態の間は前記ホワイトリストの更新は行わず、ワーム出現状態において、前記特定した大量フロー生成ホストを、直前の正常状態において作成された前記ホワイトリストと比較し、前記ホワイトリストに存在しない場合にのみワーム感染ホストとして特定することを特徴とする。
【０００７】
また、本発明は、前記ホワイトリストをBloom filterを用いて構成し、前記ホワイトリストの照合時にワーム感染ホストを誤って見逃す確率（ξｗｌ）が、予め定めた許容値（δｗｌ）以下となる範囲で、前記ホワイトリストの所要メモリ量が最小化するよう、Bloom filterのBitmap長を設計する。
また、本発明では、前記ホワイトリストをω個の連続する測定期間毎に更新し、さらに、前記ホワイトリストを２面構成とし、前記正常状態では、両方のホワイトリストを常に更新し、初期化を行うタイミングをω/２の測定期間だけずらし、ワーム出現状態移行後は、更新された期間が長い方のホワイトリストを用いて、前記特定した大量フロー生成ホストの照合を行う。
また、本発明では、前記ホワイトリストをω個の連続する測定期間毎に更新し、前記ワーム出現状態に移行した際の前記ホワイトリストの更新期間が、任意に与えた整数パラメタσ個の連続した測定期間以上となるように、ホワイトリスト更新周期ωを設定する。
また、本発明は、前述のワーム感染ホスト特定法を実行するためのワーム感染ホスト特定システムである。
【発明の効果】
【０００８】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、フローサンプリングによって得られた統計データのみを用いて特定した、単位時間あたりに生成するフロー数が閾値以上となる大量フロー生成ホストの中から、ワーム感染ホストを絞り込むことが可能となる。
【発明を実施するための最良の形態】
【０００９】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
［大量フロー生成ホストの特定法の概要］
始めに、大量フロー生成ホストの特定法の概要について説明する。
大量フロー生成ホストを特定するには、パケット単位ではなく、フローを単位にサンプリングを行い、ホスト毎に生成フロー数を集計することが有効である。
フローを、発着ＩＰアドレス、発着ポート番号が共通のパケットの集合と定義する。そして、長さがφ（ｓ）の任意の測定期間Φを定め、測定期間Φ内に着目リンクに到着した総フロー数をＭとする。
そして、各ホストに対して測定期間Φ内に着目リンクに到着したフロー数をｍとするとき、任意に定めた閾値ｍ＊に対して、ｍ≧ｍ＊のホストを大量フロー生成ホストと定義し、着目リンクにおいて、大量フロー生成ホストを測定期間Φ内で特定することを考える。
【００１０】
今、測定期間Φ内に着目リンクを流れたフロー数がｍのホストに着目する。
測定期間Φ内で着目ホストのｍ本のフローからｄ本のフローがサンプルされる確率ｆｄは、フローサンプルレートｒを用いて、下記（１）式で表される。
【数１】
2008301330.tif 000003
よって、サンプルフロー数がｙ以上のホストを特定するとき、このホストが特定される確率Ｈは、下記（２）式で得られる。
また、下記（２）式に、ｍ＝ｍ＊を代入することによって得られる、下記（３）式を数値的に解くことによって、ｍ＊とＨ＊が与えられたときに、ｙかｒの任意の一方を定めたときに対応するもう一方のパラメタを設定することができる。
【００１１】
【数２】
2008301330.tif 000004
【数３】
2008301330.tif 000005
【００１２】
着目リンクに到着した各パケットに対して、発着ＩＰアドレスと発着ポート番号の計９６ビットをキーにして、予め用意したハッシュ関数を通して得られるｓビットの値をｖとするとき、ｖ＜ｖ＊であるときにのみ新規フロー判定装置に入力する。ただし、ｖ＊はフローサンプリングのための閾値であり、ｒをフローサンプリング確率とすると、ｒ＝ｖ＊／２ｓとなる。同一フローに属するフローは同一のキーを持つため、フローサイズとは無関係に全てのフローが確率ｒでサンプルされることになる。
ｖ＜ｖ＊であった場合、次に到着パケットが属するフローを既にカウントしたかどうかを判定する。
最も直感的な方法は、サンプルした全てのフローをフローテーブルにて管理し、フローテーブルに該当フローのエントリが存在するか否かを判定する方法であるが、最大で全エントリをチェックする必要があるため処理時間が大きくなる。
そこで、Bloom filterを用いて判定する方法が有効である。Bloom filterはある候補に対してある集合のメンバであるか否かを判定する方法であり、異なるｋ個のハッシュ関数（各々が入カキーに対してｂビットの値を返す）と２ｂ個の２値変数（初期状態では全てゼロにリセットされる）が用意される。
この場合、パケットの９６ビットのキーをｋ個のハッシュ関数を通して得られるｋ個のアドレスに該当する２値変数の値を調べ、１つ以上がゼロである場合に該当パケットが属するフローを新規フローと判定する。そしてｋ個の該当する２値変数を全て１にセットする。
Bloom filterを用いた場合、既にカウントしたフローを誤って新規フローと見なす可能性はゼロであるが、ハッシュ値の衝突によって新規フローを誤って見逃す可能性がある。
測定期間Φ内に着目リンクを流れた総フローＭに対して、測定期間Φ内でサンプルされたフロー数の期待値ＤはＤ＝ｒＭとなる。ｋの最適値はＤを用いて、下記（４）式で表される。
【００１３】
【数４】
2008301330.tif 000006
【００１４】
ｎ本の異なるフローに対してBloom filterの２ｂ（bits）のbitmapを更新したとき、bitmap中のあるビットが１である確率は｛１−（１−ｋ／２ｂ）ｎ｝となる。
このとき、新規フローを誤って見逃す確率をηｎとすると、確率ηｎは、下記（５）式で表される。
【数５】
2008301330.tif 000007
よって、新規フローを見逃す確率の平均値ηは（４）式を考慮して、下記（６）式により導出できる。
【００１５】
【数６】
2008301330.tif 000008
【００１６】
（６）式より、ｒとＭが与えられたときに、新規フローを見逃す確率の平均値η≦δＢＦ（任意に与えた値）を満足するｂの最小値を求めることができ、さらに、前述の（４）式よりｋの値を設定できる。
ホストテーブルには、発ＩＰアドレスとサンプルフロー数ｃｊが収容される。新規フローと判定された場合には、該当パケットの発ＩＰアドレスが既にホストテーブル内にエントリされているか否か調べ（例えば、発ＩＰアドレスをキーにしてハッシュ値のアドレスを調べる）、既にエントリが存在する場合にはサンプルフロー数を１だけ増加させる。
この結果、サンプルフロー数が特定判断閾値ｙに達した場合には、そのホストを大量フロー生成ホストとして特定し、大量フロー生成ホストリスト（本発明のホワイトリストに相当する）に書き出す。
一方、発ＩＰアドレスがホストテーブル内にエントリされていない場合には、新規にエントリを生成する。
ホストテーブルのエントリ更新処理を実現する際には、効率的に各エントリが収容されるアドレスを解決することが重要であるが、ここでは一般的に広く用いられるハッシュ関数を用いた方法を想定する。
ハッシュ値の衝突に対しては、ポインタを用いたリンク構造による解決方法が高い性能を示し、広く用いられていることから、ここでもリンク構造による形態を想定する。
【００１７】
ホストテーブルは、ポインタ収容領域（以下、ＰＳＡ（pointer stored area）と称する。）とホストエントリ収容領域（以下、ＥＳＡ（entry stored area）と称する。）とから構成される。
ＥＳＡはエントリが実際に収容される領域であり、ホストのＩＰアドレス、サンプルフロー数ｃｊ、次エントリへのポインタが収容される。ＰＳＡには２β個のハッシュ値の各々に対応するＥＳＡ内の最初のエントリ収容先を示すポインタが収容される。
事前に用意されたβビットのハッシュ空間をもつハッシュ関数ｈを用いて得られるハッシュ値ｈ（ｊ）に対応するＰＳＡの値を調べ、ヌル値である場合にはＥＳＡの空き位置にエントリを作成し、サンプルフロー数ｃｊを１に初期化する。
一方、ＰＳＡの値がヌル値でない場合には、ＥＳＡの該当エントリのリンクを順に調査して該当ホストのエントリが存在するか調査し、存在した場合にはそのエントリの、サンプルフロー数ｃｊを１だけ増加させる。存在しない場合にはやはり新規にエントリを作成する。
【００１８】
［実施例］
図１は、本発明のホワイトリストを用いたワーム感染ホスト特定法の実施の形態の一例を示すシステム構成図である。
図１において、１０１はパラメタ設計装置、１０２はＷＬ更新装置、１０３はＷＬ照合装置、１０４はSuperspreader特定装置（以下、大量フロー生成ホスト特定装置という）、１０５はホワイトリスト（以下、ＷＬという）、１０６はワーム感染ホストリストである。
パラメタ設計装置１０１により、ホワイトリストのサイズｇや更新周期ωが設計される。
大量フロー生成ホスト特定装置１０４によって特定されたホスト情報を用いて、正常状態においてはＷＬ更新装置１０２によりＷＬ（１０５）が更新され、ワーム出現状態においてはＷＬ照合装置１０３によりＷＬ（１０５）が照合され、その結果、ワーム感染ホストと判断された場合にはワーム感染ホストリスト１０６に出力する。
次に、本発明の実施例に係るホワイトリストを用いたワーム感染ホスト特定法について説明する。
【００１９】
［フレームワーク］
ネットワークの状態として、（１）正常状態、（２）ワーム出現状態、の二つを定義する。
ユーザ自身がワームの感染に気がつかない場合や、気がついてもパッチやワクチンを用いるなどの対処を取らない場合もあり、インターネットには、常時、様々な種類のワームが観測されており、その意味では常にワーム出現状態にあると言える。
しかし、本明細書では、Slammerといった非常に感染レートが高く、短時間にネットワーク全体に蔓延する可能性の高いワームが新規に出現し、急激に感染ホストが増加している状態をワーム出現状態と定義する。そして、このような被害の大きいワームに対してパッチやワクチンを開発するまでの時間を稼ぐため、自動的にワーム感染ホストを特定し規制を行うことを最終的な目標とする。
本実施例では、事前に、前述した方法により、測定期間長φ、大量フロー生成ホストを定義する生成フロー数の閾値ｍ＊、そしてｍ＝ｍ＊のホストが特定される確率Ｈ＊を与え、ネットワークの状態とは無関係に、常時、連続した各測定期間Φの各々において大量フロー生成ホストの特定処理を実施する。
【００２０】
新種のワーム検出後、ワームの解析によりパッチやワクチンが作成されワームに対する根本的な解決が可能になった段階で、再度、ネットワークは正常状態に移行する。
正常状態において特定された大量フロー生成ホストは全てＷＬ（１０５）に収容される。
一方、ワーム出現状態の間は、ＷＬ（１０５）の更新は行わず、特定された大量フロー生成ホストを直前の正常状態において作成されたＷＬ（１０５）と比較し、ＷＬ（１０５）に存在しない場合にのみワーム感染ホストと見なしてレート規制等を行う。
ワーム出現状態中に大量フロー生成ホストとして特定されたホストのうち正常なものは、直前の正常状態においても大量フロー生成ホストとして特定されている可能性が高い。一方、ワームに感染したホストは、感染以後、大量フロー生成ホストとなるため、ワームが検知された時点で既に感染しているホストを除きＷＬ（１０５）には存在しない。
そのためＷＬ（１０５）を用いることで、特定された大量フロー生成ホストから、効果的にワーム感染ホストを絞り込むことが可能となる。
【００２１】
［ＷＬ構成法］
ＷＬ（１０５）には、ω個の連続する測定期間（更新周期）において、特定された大量フロー生成ホストの識別番号（ＩＤ；例えば、ＩＰアドレス）がエントリされる。
複数の測定期間において同一のホストが特定される可能性があるため、ＷＬ（１０５）に新たに特定されたホストをエントリする際には、既に該当ホストがリスト中に存在するか否かを確認する必要がある。
また、ワーム出現状態中は、特定されたホストがＷＬ（１０５）中に存在するか否かを、やはり判定する必要がある。最も直感的な方法は、大量フロー生成ホストが特定される毎に、ＷＬ（１０５）の全エントリを調べる方法であるが、大量フロー生成ホストの増加に伴い所要メモリ量と探索処理時間が線形に増加する。
連続して到着したパケットの各々に対して、異なるホストが大量フロー生成ホストとして特定される可能性があり、ＷＬ（１０５）の更新や照合処理は最小パケット時間内で完了する必要がある。そのため実装メモリ量と処理能力に制約のあるエッジルータにおいて、このような方法を用いることは困難である。
【００２２】
そこで、大量フロー生成ホスト特定法の新規フロー判定にも用いたBloom filter（以下、ＢＦという）をここでも用いることを考える。例えば、Universalハッシュ関数はハードウェア実装に適しており、ハードウェア実装による並列処理でハッシュ値を得ることができ、ＢＦを用いることで、ＷＬ（１０５）の更新や照合処理を極めて短い時間で完了できる。
ワーム出現状態中、特定されたホストをＷＬ（１０５）と照合するが、ＢＦではＷＬ（１０５）に存在するホストを誤って見逃すことはないが、存在しないホストを誤って存在すると判断する可能性がある。このことは、ワーム感染ホストを誤って見逃すことを意味する。
ＢＦのビットマップ長を２ｇ（bits）とすると、このような見逃しが生じる確率はｇを増加させることで低減させることができる。しかし、一方で、ｇの増加は、ＷＬ（１０５）の所要メモリ量を増加させるため、実装メモリ量に制約がある状況では、慎重にｇを設計する必要がある。
そこで、本実施例では、ＷＬ（１０５）の照合時にワーム感染ホストを誤って見逃す確率ξｗｌが予め定めた許容値δｗｌ以下となる範囲で、所要メモリ量が最小化するようｇを設計することを考える。
ＷＬ（１０５）の更新期間において収容された大量フロー生成ホストの数をＳとし、ＢＦのハッシュ関数の数をκとすると、κの最適値は、下記（７）式で与えられる。また、この時のξｗｌは、下記（８）式で与えられる。
【００２３】
【数７】
2008301330.tif 000009
【数８】
2008301330.tif 000010
【００２４】
よって、ξｗｌ≦δｗｌを満たすｇの最小の整数を数値的に算出することによりｇを設計することができる。また、ＷＬ（１０５）の所要メモリ量Ｂｗｌは、Ｂｗｌ＝２ｇ−３（byte）となる。
大量フロー生成ホスト特定に必要なメモリ量（Ｂｂｆ，Ｂｐｓａ，Ｂｅｓａ）とＢｗｌの合計が実装メモリ量Ｂ以下となる必要があるため、大量フロー生成ホスト特定方式のメモリ配分を行う際、Ｂを（Ｂ−Ｂｗｌ）に置換えることで、ＷＬ（１０５）を含めた適切なメモリ配分が実現できる。
ここで、Ｂｂｆは、大量フロー生成ホスト特定法の新規フロー判定のＢＦのBitmap用のメモリ量、Ｂｐｓａは、大量フロー生成ホスト特定法の新規フロー判定に使用されるホストテーブルのポインタ収容領域（ＰＳＡ）のメモリ量、Ｂｅｓａは、大量フロー生成ホスト特定法の新規フロー判定に使用されるホストテーブルのホストエントリ収容領域（ＥＳＡ）のメモリ量である。
【００２５】
［ＷＬ更新周期］
正常状態において、特定された大量フロー生成ホストをＷＬ（１０５）へ収容するにつれ、ＢＦのBitmapのより多くのビットが１にセットされる。そのため、無限にＷＬ（１０５）への収容を繰り返すとBitmapが１で埋まり、ワーム出現状態において任意のホストがＷＬ（１０５）に収容されていると判断される。
そのため、何らかのタイミングでＷＬ（１０５）のBitmapをゼロに初期化する必要がある。ここでは、ＷＬ（１０５）更新周期を、ωを任意の整数としてωφで与える。すなわち、連続するω個の観測期間毎に、ＷＬ（１０５）を初期化する。
ＷＬ（１０５）を初期化した直後にワームが検出され、ワーム出現状態となった場合、少数の大量フロー生成ホストのみが収容されたＷＬ（１０５）を用いてワーム感染ホストを特定することになり、正常ホストの大量フロー生成ホストを数多く感染ホストと誤判定してしまう。
そこで、図２に示すように、White list1と、White list2の２つのＷＬ（１０５）を用
意し、図２に示すように、正常状態においては、特定された大量フロー生成ホストを２つのＷＬ（１０５）に各々収容する。そして、各々のＷＬ（１０５）を初期化するタイミング（図２のReset）を、ωφ／２だけずらす。
【００２６】
ワームが検出されワーム出現状態に移行した後は、２つのＷＬ（１０５）のうち、更新期間（最後に初期化されてからの経過時間）が長い方（図２では、White list2）を特定ホストの照合に用いる。このとき、ワームが検出された後の最初の測定期間の開始時点からワーム出現状態に移行すれば、任意の時点でワームが検出された場合でも、照合に用いるＷＬ（１０５）の更新期問を（ωφ／２＋φ）以上にすることができる。なお、ＷＬ（１０５）の所要メモリ量Ｂｗｌは、Ｂｗｌ＝２ｇ−２（byte）となる。
ＷＬ（１０５）の更新周期を決めるパラメタωをどのように定めるかが問題であるが、更新周期が長いほど多くの正常な大量フロー生成ホストをＷＬ（１０５）に収容することができ、ワーム出現状態において誤って正常なホストを感染ホストと判断する可能性を低減できる。
しかし一方、ＷＬ（１０５）の更新期間において収容された大量フロー生成ホストの数Ｓの増加に伴いＷＬ（１０５）の所要メモリ量が増加する。そこで、図２に示すように、ワーム出現状態に移行した際のＷＬ（１０５）の更新期間が、任意に与えた整数パラメタσを用いて、σφ以上となるよう、ωを設定する。すなわち、下記（９）式のように設定する。
【００２７】
【数９】
2008301330.tif 000011
【００２８】
どのような値を、σに設定すればよいかという課題が残るが、正常時の大量フロー生成ホストの発生パターンには、日や週といった周期性が見られることが予想されるため、ある程度経験的に設定可能であると思われる。更新期間の増加に伴う、ＷＬ（１０５）の更新期間において収容された大量フロー生成ホストの数Ｓの増加度合いは、更新期間の増加に伴い低減する。そのため、比較的小さなパラメタσでも十分な性能が得られることが予想される。
ところで、ＷＬ（１０５）の設定パラメタｇとκは、[ＷＬ構成法]で述べた方法でＷＬ（１０５）を初期化する毎に再度設計することが可能である。この際、ＷＬ（１０５）の更新期間の間に特定される大量フロー生成ホストの数（Ｓ）が必要であるが、更新期間の開始時点では未知であるため推定値を用いる必要がある。
本実施例では、単に、ＷＬ（１０５）を初期化する時点でそのＷＬ（１０５）に収容されている大量フロー生成ホスト数を用いるものとする。
【００２９】
［数値評価］
以下に、本実施例の有効性を確認するために数値評価結果を示す。
Ｗｅｂ上で公開されている実パケットトレースにおいて出現した全てのホストを正常ホストと見なし、ワーム感染ホストによって生成された異常トラヒックを計算機シミュレーションにより生成し、上記パケットトレースと混合させた新たなパケットトレースを生成した。そして本発明を本混合パケットトレースに適用した。
ここでは、流体モデルを用いてワーム感染ホストによって生成されるポートスキャンの異常トラヒックをモデル化する。これは、伝染病の拡大といった感染が拡大する現象をモデル化する際によく用いられる手法であり、感染パターンに地理的依存性のない均一性が成立する場合にはよい近似を与える。必ずしも全てのワームがランダムに生成したアドレスに対してポートスキャンを行うとは限らないが、ランダムに行う場合には地理的依存性を無視することができ、ワーム感染ホストの拡大についても本モデルでモデル化が可能である。
均一性が成り立つ場合、一つの感染ホストが単位時間あたりに感染させるホスト数の平均値αに対して、時刻ｔにおける感染ホスト数（Ｉｔ）は、下記（１０）式でモデル化できる。
【００３０】
【数１０】
2008301330.tif 000012
【００３１】
本実施例では、更に、ワームに感染したホストは、平均が（１／η）秒の指数分布に従う間隔でポートスキャンを行うとした。
また、各ポートスキャンは、確率（Ｎ−Ｉｔ）／２３２で未感染の脆弱ホストにヒットし、新たに感染ホストが一つ増加すると仮定した。ただし、Ｎはネットワーク全体の、このワームに対して脆弱なホストの数である。このとき、αは、下記（１１）式のように表される。
【数１１】
2008301330.tif 000013
各感染ホストのポートスキャンレート（η）の値は、Code Redが６程度、Slammerが４０００程度である。
SlammerのようなBandwidth-limited型のワームを想定して評価を行うことが望ましいが、異常トラヒック量が大きく現実的な時間で評価が行えないため、ここでは、基本特性を得る目的から、η＝１０，２０とした２つの場合について評価した。
大量フロー生成ホスト特定法のパラメタを、φ＝１０秒、ｍ＊＝５０，Ｈ＊＝０．５に設定した。１４個の測定期間Φ１,...,Φ１4が存在するが、Φ７の中でワーム発生が検出されたと仮定し、Φ１〜Φ７を正常状態、Φ８〜Φ１４をワーム出現状態とした。
そして、ＷＬ更新期間の下限を与えるパラメタσに対して、前述の（９）式で得られるωを用いて、Φ１〜Φωの期間に観測された大量フロー生成ホストの異なり数（全測定期間において、同じホストが複数回カウントされる場合を除いた、純粋な大量フロー生成ホスト数）をＳに設定し、ＷＬ（１０５）を設計した。
また、性能の下限を評価するため、更新期間が最短となるタイミングでワームが検出された場合を評価した。すなわち、σを、１≦σ≦４の範囲で設定し、Φ８−σ〜Φ７の期間でＷＬ（１０５）を更新した。
【００３２】
表１に、η＝１０，σ＝１、総メモリ量をＢ＝６４（kbyte）とした場合の、Φ８以後のワーム出現状態の各測定期間における、全ホスト数（Ｎ）、ＷＬ照合前の特定ホスト数（Ｘ），ＷＬ照合後の特定ホスト数（Ｙ）を、正常ホストとｍ≦ｍ＊の感染ホストを対象に各々まとめた結果を示す。なお、表１および後述する各表において、「Normal host」が正常ホストを意味し、「Infected host」がｍ≦ｍ＊の感染ホストを意味する。また、σ＝４とした場合の結果についても同様に表２にまとめた。
評価に用いたパケットトレースでは、ｍ＊＝５０のとき、正常ホストの１％程度が大量フロー生成ホストとして特定（表１のＸ）されるが、ＷＬ（１０５）との照合により、その多く（表１の（Ｘ−Ｙ））を特定対象からはずせるが確認できる。またその効果は、σ＝４の方がσ＝１よりも大きい。
表３に、σ＝４のときのＷＬ（１０５）の更新期間（Φ４〜Φ７）の各測定期間終了時点における、ＷＬ（１０５）に収容されたホスト数を、正常ホストとｍ≧ｍ＊のワーム感染ホストの各々について示す。
σ＝１の場合に、正常ホストのＷＬ（１０５）の収容数は１４５であったが、時間の経過と共にＷＬ（１０５）の収容ホスト数が増加する結果、σ＝４のワーム出現状態移行時点における正常ホストの収容数は、σ＝１の場合より大きい。そのため、表１と表２で確認できるように、σ＝４の方が、σ＝１よりも正常ホストの誤特定低減効果が大きい。
【００３３】
【表１】
2008301330.tif 000014
【表２】
2008301330.tif 000015
【００３４】
また、ＷＬ（１０５）の更新期間の増加に伴い、ＷＬ（１０５）に収容される正常ホスト数の増加する割合は低減するが、このことは表３からも確認できる。そのため、σをさほど大きな値に設定せず、ＷＬ（１０５）の更新周期を比較的短い長さに設定しても、十分な効果が得られることが期待される。
ただし、ＷＬ（１０５）の照合を行うことにより、ワーム感染ホストの見逃し数が増加する。例えば、σ＝４の場合、ＷＬ（１０５）に収容された３５のワーム感染ホストは必ず特定されない。
ＷＬ（１０５）の照合によって見逃されるワーム感染ホストのほとんどはワーム出現状態移行前に既に感染していたホストで、ＷＬ（１０５）に収容されたホストであることが表２より確認できる。
そのため、ワーム出現状態移行直後はこのような感染ホストが全感染ホストに占める割合が大きく、ＷＬ（１０５）の使用による感染ホスト見逃しの影響が大きい。しかし、時間が経過するにつれ、ワーム出現状態移行後に感染したホストの全感染ホストに占める比率が増大するため、影響は小さくなる。
ＷＬ（１０５）の効果をさらに確認するため、正常ホスト誤特定数の削減度Ｒｎと、感染ホスト見逃し数の増加度Ｒｗと、実装メモリ量Ｂと、ＷＬ（１０５）更新期間（パラメタσ）のいくつかの場合について表４と表５に各々示す。
ただし、正常ホストとｍ≧ｍ＊のワーム感染ホストの各々について、測定期間ΦｉにおけるＷＬ照合前の特定ホスト数をＸｉ，ｎとＸｉ，ｗ、ＷＬ照合後の特定ホスト数をＹｉ，ｎとＹｉ，ｗとするとき、正常ホスト誤特定数の削減度Ｒｎは下記（１２）式で、感染ホスト見逃し数の増加度Ｒｗは、下記（１３）式で表されるものとする。なお、η＝２０と設定した。
【００３５】
【表３】
2008301330.tif 000016
【００３６】
【数１２】
2008301330.tif 000017
【数１３】
2008301330.tif 000018
【００３７】
表４、表５から、実装メモリ量Ｂが３２（kbyte）程度以上ある場合、本実施例を用いることでワーム感染ホストの見逃し数の増加を２０〜３０％程度に抑えながら、正常ホストの誤検出を１００％に近い精度で避けられることが確認できる。しかも、ηが大きく感染力の強いワームであるほど、ワーム出現状態移行後に新たに感染するホスト数が、正常状態において感染しＷＬ（１０５）に収容される感染ホスト数よりも比率が増加するため、より感染ホスト見逃し数の増加度Ｒｗが抑えられる。
また、実装メモリ量Ｂの増加に伴い、正常ホスト誤特定数の削減度Ｒｎが向上することが確認できる。これは、大量フロー生成ホスト特定処理のＢＦに割当られるメモリ量Ｂｂｆと、ホストテーブルに割当られるメモリ量（Ｂｐｓａ，Ｂｅｓａ）が増加し、大量フロー生成ホスト特定精度が向上するためである。
また、パラメタσの増加に伴い、正常ホスト誤特定数の削減度Ｒｎが向上することが確認できる。但し、σの増加に伴い、ＷＬ（１０５）の更新期間の間に特定される大量フロー生成ホストの数Ｓが増加し、ＷＬ（１０５）に割当られるメモリが増加する結果、大量フロー生成ホスト特定処理のＢＦに割当られるメモリ量Ｂｂｆと、ホストテーブルに割当られるメモリ量（Ｂｐｓａ，Ｂｅｓａ）が減少し、大量フロー生成ホストの特定精度そのものは悪化することが予想される。
【００３８】
【表４】
2008301330.tif 000019
【表５】
2008301330.tif 000020
【００３９】
ＷＬ（１０５）のメモリ量Ｂｗｌは２の累乗で与えられ不連続に変化するが、σが４以外のとき、Ｂｗｌ＝５１２（byte）であり、σ＝４のときのみ、Ｂｗｌ＝１０２４（byte）であった。そのため、Ｂ＝１６（kbyte）のとき、σ＝４の結果が悪化している。このように、特に、実装メモリ量Ｂが小さい場合、σを大きく設定すると、大量フロー生成ホストの特定精度が悪化することに注意する必要がある。
また、実装メモリ量Ｂの増加に伴い、感染ホスト見逃し数の増加度Ｒｗも改善（減少）することが確認できる。これは、やはり、大量フロー生成ホストの特定精度が実装メモリ量Ｂの増加により向上するためである。
一方、σの増加に伴いＷＬ（１０５）に収容されるワーム感染ホスト数が増加するため、感染ホスト見逃し数の増加度Ｒｗは増加する。なお、表５では、σ＝４のときは、大量フロー生成ホスト特定処理のＢＦに割当られるメモリ量Ｂｂｆと、ホストテーブルに割当られるメモリ量（Ｂｐｓａ，Ｂｅｓａ）が減少し、正常状態において、大量フロー生成ホストして特定される感染ホスト数が減少するため、感染ホスト見逃し数の増加度Ｒｗは減少している。
そのため、実装メモリ量Ｂについては単純に大きなほどよいが、パラメタσについては慎重に設定する必要がある。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本
発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００４０】
【図１】本発明の実施例の一例の概略システム構成を示すブロック図である。
【図２】本発明の実施例の動作を示す時系列図である。
【符号の説明】
【００４１】
１０１  パラメタ設計装置
１０２  ＷＬ更新装置
１０３  ＷＬ照合装置
１０４  Superspreader特定装置
１０５  ＷＬ
１０６  ワーム感染ホストリスト
【図１】
2008301330.tif 000021
【図２】
2008301330.tif 000022