(57)【要約】【課題】ネットワークトラヒックからパケット数を観測し定量的な分析によりDoS攻撃に係る異常パケット種別を特定するシステムを提供すること。【解決手段】パケット種別をk通り（k：自然数）に分類して該分類ごとに一定時間毎のパケット数を測定するパケット数カウント部101と、測定されたパケット数に基づいて前記分類を要素とするk次元ベクトルを生成するk次元ベクトル生成部102と、必要な情報を記憶する記憶部103と、k次元特徴空間において各次元間の相関関係に基づいて定められた主成分軸を導出する主成分軸導出部104と、生成したk次元ベクトルと主成分軸との距離を測定するk次元ベクトル−主成分軸間距離測定部105と、測定された距離に基づいて異常の有無を判定する異常判定部106と、異常と判定されたk次元ベクトルと前記主成分軸との差分要素を分析して異常パケットの種別を特定するパケット種別特定部107とを有する。【選択図】図１
2007060233.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークトラヒックからパケット種別をk通りに分類して該分類ごとに一定時間毎のパケット数を測定するパケット数測定工程と、測定されたパケット数に基づいて前記分類を要素とするk次元ベクトルを生成するベクトル生成工程と、k次元特徴空間上にネットワーク正常状態として定義された主成分軸と前記k次元ベクトルとの距離に基づいて異常の有無を判定する異常判定工程と、異常と判定されたk次元ベクトルと前記主成分軸との差分要素を分析して異常パケットの種別を特定するパケット種別特定工程と、を有することを特徴とする異常パケット種別特定方法。
【請求項２】
前記ベクトル生成工程は、過去の観測値に基づいてパケット数を正規化した値を用いてk次元ベクトルを生成することを特徴とする請求項１に記載の異常パケット種別特定方法。
【請求項３】
前記異常判定工程は、k次元特徴空間上にネットワーク正常状態として定義された主成分軸とk次元ベクトルとの間の距離を測定して、該距離が閾値以上か否かにより異常の有無を判定することを特徴とする請求項１に記載の異常パケット種別特定方法。
【請求項４】
前記パケット種別特定工程は、前記異常判定工程で異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルを算出し、該ベクトルと前記k次元ベクトルとの差分ベクトルを算出すると共に、異常状態の継続時間帯における前記差分ベクトルの全ての各要素を分析して異常パケットの種別を特定することを特徴とする請求項１に記載の異常パケット種別特定方法。
【請求項５】
前記パケット種別特定工程は、前記差分ベクトルの各要素について異常状態の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定すること、および前記評価の方法は、総和の値が最大となる要素、総和の値が予め設定された閾値以上となる要素、総和の値が上位N個に該当する要素、のいずれかの要素に対応するパケット種別を異常パケットの種別と特定することを特徴とする請求項４に記載の異常パケット種別特定方法。
【請求項６】
ネットワークトラヒックからパケット種別をk通りに分類して該分類ごとに一定時間毎のパケット数を測定するパケット数測定手段と、測定されたパケット数に基づいて前記分類を要素とするk次元ベクトルを生成するベクトル生成手段と、k次元特徴空間上にネットワーク正常状態として定義された主成分軸と前記k次元ベクトルとの距離に基づいて異常の有無を判定する異常判定手段と、異常と判定されたk次元ベクトルと前記主成分軸との差分要素を分析して異常パケットの種別を特定するパケット種別特定手段と、を有することを特徴とする異常パケット種別特定システム。
【請求項７】
前記ベクトル生成手段は、過去の観測値に基づいてパケット数を正規化した値を用いてk次元ベクトルを生成することを特徴とする請求項６に記載の異常パケット種別特定システム。
【請求項８】
前記異常判定手段は、k次元特徴空間上にネットワーク正常状態として定義された主成分軸とk次元ベクトルとの間の距離を測定して、該距離が閾値以上か否かにより異常の有無を判定することを特徴とする請求項６に記載の異常パケット種別特定システム。
【請求項９】
前記パケット種別特定手段は、前記異常判定工程で異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルを算出し、該ベクトルと前記k次元ベクトルとの差分ベクトルを算出すると共に、異常状態の継続時間帯における前記差分ベクトルの全ての各要素を分析して異常パケットの種別を特定することを特徴とする請求項６に記載の異常パケット種別特定システム。
【請求項１０】
前記パケット種別特定手段は、前記差分ベクトルの各要素について異常状態の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定すること、および前記評価の手段は、総和の値が最大となる要素、総和の値が予め設定された閾値以上となる要素、総和の値が上位N個に該当する要素、のいずれかの要素に対応するパケット種別を異常パケットの種別と特定することを特徴とする請求項９に記載の異常パケット種別特定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに対するセキュリティ侵害を行うDoS(Denial of Service)攻撃を検出する技術に関するものである。
【背景技術】
【０００２】
近年、インターネット上のサービスを停止させるFlooding型DoS攻撃が深刻な問題となっており対策が急務となっている。この攻撃の対策には攻撃元の特定が必要であるが、一般に攻撃元の情報は改竄されているため、追跡は困難である。有効な追跡手法の一つとして、観測パケット数の時間的変化であるトラヒックパターンを利用した手法（非特許文献１、非特許文献２）が提案されている。これらの手法では、ネットワークの合流点において、攻撃トラヒックが流出した出力リンクと、その他の入力リンクで観測されたトラヒックパターン形状の類似性をそれぞれ評価し、類似性の高い入力リンクを攻撃流入リンクとして追跡を行っている。
【０００３】
【非特許文献１】武井洋介、太田耕平、加藤寧、根元義章、「トラヒックパターンを用いた不正アクセス検出及び追跡方式」、電子情報通信学会論文誌Vol.J82-B-I No.10 pp.1-10、1999年10月
【非特許文献２】坂口薫、太田耕平、和泉勇治、加藤寧、根元義章、「2次計画法に基づいたトラヒックパターンの比較によるDDoSの追跡」、電子情報通信学会論文誌Vol.J85-B No.8 pp.1295-1303、2002年8月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながらトラヒックパターンには攻撃に関連していない種別のパケットも含まれ、それらがパターン形状の類似性を評価する際のノイズとして作用し、追跡精度を低下させる原因となっている。そこで攻撃に用いられたパケット種別を正確に特定することが重要となる。しかし単純にパケット種別毎の観測数の増加から判断するだけでは、正確な特定が困難であると考えられる。
【０００５】
本発明は、上記問題を解決するため、パケット種別を定義した上で各種観測パケット数を要素とするベクトルをデータとして算出した主成分軸を通常状態として定義し、各パケット種別について通常状態からの逸脱度を考慮した特定方法を提供することを目的とする。ここで通常状態の基準を示す主成分軸の導出については、特許文献１の手法を用いるものとする。
【０００６】
【特許文献１】特開2004-312064「ネットワーク異常検出装置、ネットワーク異常検出方法およびネットワーク異常検出プログラム」
【課題を解決するための手段】
【０００７】
上記目的を達成するため、請求項１に記載の異常パケット種別特定方法は、ネットワークトラヒックからパケット種別をk通り（k：自然数）に分類して該分類ごとに一定時間毎のパケット数を測定するパケット数測定工程と、測定されたパケット数に基づいて前記分類を要素とするk次元ベクトルを生成するベクトル生成工程と、k次元特徴空間上にネットワーク正常状態として定義された主成分軸と前記k次元ベクトルとの距離に基づいて異常の有無を判定する異常判定工程と、異常と判定されたk次元ベクトルと前記主成分軸との差分要素を分析して異常パケットの種別を特定するパケット種別特定工程と、を有することを特徴とする。
【０００８】
請求項２に記載のベクトル生成工程は、過去の観測値に基づいてパケット数を正規化した値を用いてk次元ベクトルを生成することを特徴とする。
【０００９】
請求項３に記載の異常判定工程は、k次元特徴空間上にネットワーク正常状態として定義された主成分軸とk次元ベクトルとの間の距離を測定して、該距離が閾値以上か否かにより異常の有無を判定することを特徴とする。
【００１０】
請求項４に記載のパケット種別特定工程は、前記異常判定工程で異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルを算出し、該ベクトルと前記k次元ベクトルとの差分ベクトルを算出すると共に、異常状態の継続時間帯における前記差分ベクトルの全ての各要素を分析して異常パケットの種別を特定することを特徴とする。
【００１１】
請求項５に記載のパケット種別特定工程は、前記差分ベクトルの各要素について異常状態の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定すること、および前記評価の方法は、総和の値が最大となる要素、総和の値が予め設定された閾値以上となる要素、総和の値が上位N個（N：自然数）に該当する要素、のいずれかの要素に対応するパケット種別を異常パケットの種別と特定することを特徴とする。
【００１２】
請求項６に記載の異常パケット種別特定システムは、ネットワークトラヒックからパケット種別をk通りに分類して該分類ごとに一定時間毎のパケット数を測定するパケット数測定手段と、測定されたパケット数に基づいて前記分類を要素とするk次元ベクトルを生成するベクトル生成手段と、k次元特徴空間上にネットワーク正常状態として定義された主成分軸と前記k次元ベクトルとの距離に基づいて異常の有無を判定する異常判定手段と、異常と判定されたk次元ベクトルと前記主成分軸との差分要素を分析して異常パケットの種別を特定するパケット種別特定手段と、を有することを特徴とする。
【００１３】
請求項７に記載のベクトル生成手段は、過去の観測値に基づいてパケット数を正規化した値を用いてk次元ベクトルを生成することを特徴とする。
【００１４】
請求項８に記載の異常判定手段は、k次元特徴空間上にネットワーク正常状態として定義された主成分軸とk次元ベクトルとの間の距離を測定して、該距離が閾値以上か否かにより異常の有無を判定することを特徴とする。
【００１５】
請求項９に記載のパケット種別特定手段は、前記異常判定工程で異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルを算出し、該ベクトルと前記k次元ベクトルとの差分ベクトルを算出すると共に、異常状態の継続時間帯における前記差分ベクトルの全ての各要素を分析して異常パケットの種別を特定することを特徴とする。
【００１６】
請求項１０に記載のパケット種別特定手段は、前記差分ベクトルの各要素について異常状態の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定すること、および前記評価の手段は、総和の値が最大となる要素、総和の値が予め設定された閾値以上となる要素、総和の値が上位N個に該当する要素、のいずれかの要素に対応するパケット種別を異常パケットの種別と特定することを特徴とする。
【発明の効果】
【００１７】
請求項１または請求項６に係る発明によれば、ネットワーク回線の状態をk次元ベクトルで表し、k次元特徴空間に正常領域を定義してk次元ベクトルとの位置関係に基づいてネットワーク状態の異常の有無を検出すると共に異常の原因となるパケット種別を特定することとしたため、ネットワーク回線の評価を定量的に行うことが可能であること、および未知のネットワーク異常をも検出可能であると共に異常パケットの種別を特定することが可能となる。
【００１８】
請求項２または請求項７に係る発明によれば、過去の観測値に基づいてパケット数を正規化した値を用いてk次元ベクトルを生成することとしたため、測定されたパケット数が分類ごとに取り得る値の範囲が異なっても要素間の影響力に差が生じることを防ぐことができ、分類された各要素のネットワーク異常の判定に対する影響力を均一化することが可能となる。
【００１９】
請求項３または請求項８に係る発明によれば、k次元特徴空間上にネットワーク正常状態として定義された主成分軸とk次元ベクトルとの間の距離を測定して、該距離が閾値以上か否かにより異常の有無を判定することとしたため、ネットワーク回線の評価を定量的に行うことが可能であること、および未知のネットワーク異常をも検出可能となる。
【００２０】
請求項４および請求項５に係る発明によれば、異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルを算出し、該ベクトルと前記k次元ベクトルとの差分ベクトルの各要素について異常状態の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定することとしたため、高精度な確率で異常パケットの種別を特定することが可能となる。シミュレーションでは、平均して通常の4倍以上のパケットが発生するDoS攻撃であれば90%以上の確率でDoS攻撃のパケット種別を特定可能であるという結果が得られている。
【００２１】
請求項９および請求項１０に係る発明によれば、異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルを算出し、該ベクトルと前記k次元ベクトルとの差分ベクトルの各要素について異常状態の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定することとしたため、高精度な確率で異常パケットの種別を特定することが可能となる。シミュレーションでは、平均して通常の4倍以上のパケットが発生するDoS攻撃であれば90%以上の確率でDoS攻撃のパケット種別を特定可能であるという結果が得られている。
【発明を実施するための最良の形態】
【００２２】
次に、本発明の実施の形態に係る異常パケット種別特定システムについて図面に基づいて説明する。なお、この実施の形態により本発明が限定されるものではない。
【００２３】
図１は、本発明の実施の形態に係る異常パケット種別特定システムの構成を示すブロック図である。図１に示すように、異常パケット種別特定システムは、ネットワーク中を一定時間の間に通過するパケットについて、パケット種別をk通り（k：自然数）に分類して各分類ごとにパケット数を測定するパケット数カウント部101と、測定したパケット数をk個の分類ごとに正規化し、正規化したパケット数に基づいて前記分類を要素とするk次元ベクトルを生成するk次元ベクトル生成部102と、必要な情報を記憶する記憶部103と、k次元特徴空間において各次元間の相関関係に基づいて定められた主成分軸を導出する主成分軸導出部104と、生成したk次元ベクトルと主成分軸との距離を測定するk次元ベクトル−主成分軸間距離測定部105と、測定された距離に基づいて異常の有無を判定する異常判定部106と、異常と判定されたk次元ベクトルと主成分軸との差分ベクトルを算出し、差分ベクトルの各要素を分析してDoS攻撃パケットの種別を特定するパケット種別特定部107とを有する。
【００２４】
パケット数カウント部101は、ネットワーク中を一定時間の間に通過するパケットについて、パケット種別をプロトコル種別やフラグ等によりk通りに分類し各分類ごとにパケット数を測定するためのものであり、測定した結果はk次元ベクトル生成部102および記憶部103に対して出力される。
【００２５】
k次元ベクトル生成部102は、パケット数カウント部101で測定されたパケット数に基づいてk個の分類を要素とするk次元ベクトルを生成するためのものである。ここで測定されたパケット数をそのままk次元ベクトルの各要素とするのではなく、記憶部103に記憶されている過去の観測値に基づいてパケット数を正規化した値を用いてk次元ベクトルを生成する。k次元ベクトル生成部102で生成されたk次元ベクトルは、記憶部103およびk次元ベクトル−主成分軸間距離測定部105に対して出力される。さらにk次元ベクトル生成部102で生成されたk次元ベクトルは、パケット種別特定部107に対して出力される場合もある。
【００２６】
記憶部103は、パケット数カウント部101によって測定されたパケット数と、k次元ベクトル生成部102で生成されたk次元ベクトルを記憶するためのものである。記憶部103に記憶された値のうち、パケット数はk次元ベクトル生成部102に出力され、k次元ベクトルは主成分軸導出部104に出力される。
【００２７】
主成分軸導出部104は、記憶部103に記憶されたk次元ベクトルに基づいてネットワークの正常状態の基準を示す主成分軸を導出するためのものである。主成分軸とは、ネットワークが正常な状態におけるk次元特徴空間を形成する各成分間の相関関係を示すものであり、各成分間の相関関係に基づいた正常状態を定義する軸である。主成分軸導出部104によって導出された主成分軸は、k次元ベクトル−主成分軸間距離測定部105に対して出力される。さらに主成分軸導出部104によって導出された主成分軸は、パケット種別特定部107に対して出力される場合もある。
【００２８】
k次元ベクトル−主成分軸間距離測定部105は、主成分軸導出部104で導出された主成分軸と、k次元ベクトル生成部102で生成されたk次元ベクトルとの距離を導出するためのものであり、導出された距離は異常判定部106に対して出力される。
【００２９】
異常判定部106は、k次元ベクトル−主成分軸間距離測定部105で導出された距離に基づいて、k次元ベクトルを形成したタイムスロットにおけるネットワーク状態の異常の有無を判定する。具体的には、主成分軸とk次元ベクトルとの間の距離が所定の閾値以上の場合にはネットワーク状態が異常であると判定する。
【００３０】
パケット種別特定部107は、異常判定部106で異常と判定されたk次元ベクトルについて、主成分軸との差分ベクトルを算出し、差分ベクトルの各要素を分析してDoS攻撃パケットの種別を特定する。具体的には、異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルと、k次元ベクトルとの差分ベクトルを算出し、さらに差分ベクトルの各要素について異常状態（DoS攻撃）の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定する。また前記評価の手段は、総和の値が最大となる要素、総和の値が予め設定された閾値以上となる要素、総和の値が上位N個に該当する要素、のいずれかの要素に対応するパケット種別を異常パケットの種別と特定する。
【００３１】
ここでパケット数カウント部101、k次元ベクトル生成部102、記憶部103、主成分軸導出部104、k次元ベクトル−主成分軸間距離測定部105、異常判定部106については、特許文献１の「実施の形態１」の構成と同じものを用いている。
【００３２】
次に本発明の実施の形態に係る異常パケット種別特定システムの動作について説明する。図２は、本発明の実施の形態に係る異常パケット種別特定システムの動作を示すフローチャートである。
【００３３】
まずネットワーク中を一定時間の間に通過するパケットについて、パケット種別をプロトコル種別やフラグ等によりk通りに分類し各分類ごとにパケット数を測定する（S01）。ここでパケット種別としてプロトコル別にUDPとICMPを定義し、TCPについてはフラグの立ち方が違うものを各々別の種別として定義する。またフラグの種類として、SYN, ACK, FIN, RST, PSH, URG などがあり、TCPパケットは通常通信の大半を占めており、DoS攻撃のパケット種別として追跡に移る際に情報を渡すことを考慮すると、細分化しておく必要があると考えた。
【００３４】
次に測定されたパケット数に基づいて測定期間（タイムスロット）におけるk個の分類を要素とするk次元ベクトルを生成する（S02）。ここで測定されたパケット数をそのままk次元ベクトルの各要素とするのではなく、過去の観測値に基づいてパケット数を正規化した値を用いてk次元ベクトルを生成する。具体的には、k次元ベクトル生成部102が記憶部103に記憶された異なる時刻におけるk通りの分類ごとのパケット数に関するデータを参照して、ステップS01で測定された各分類のパケット数を正規化する。すなわち各分類ごとに過去のパケット数およびステップS01で測定されたパケット数の平均値が0、標準偏差が1となるように正規化している。
【００３５】
また本ステップ（S02）で正規化を行う理由は、測定されたパケット数は分類ごとに取り得る値の範囲が異なり、パケット数をそのままk次元ベクトルの要素とした場合、要素間の影響力に差が生じるためである。例えばICMPパケット数が10個から50個に増加した場合と、総パケット数が1000個から1100個に増加した場合とでは、ネットワーク状態の異常を検出する観点からはICMPパケットの増加に着目すべきである。ところがパケットの絶対数をパラメータとした場合には、全てのパケット数の変化の中にICMPパケット数の変化が埋もれてしまい、ICMPパケットに関する異常が検知されなくなる可能性がある。従ってパケット数を正規化することにより、分類された各要素のネットワーク異常の判定に対する影響力を均一化している。
【００３６】
以上から、定義したパケット種別それぞれについて、式(1)に示すように時刻tの観測パケット数を要素とするk次元ベクトルで、時刻tのネットワーク状態を表現する。ここでkはパケット種別の総数である。
2007060233.tif 000003
【数１】
2007060233.tif 000004
【００３７】
このようにk次元ベクトルの概念を導入することにより、あるタイムスロットにおけるネットワークの状態をk次元特徴空間中の一点として表現することができ。すなわち生成されるk次元ベクトルは、k次元特徴空間上での位置がデータとしての性質を示すこととなり、k次元ベクトルのk次元特徴空間上での分布を解析することによりネットワーク状態の異常の有無を判断することが可能となる。
【００３８】
次にステップS03において、主成分軸とk次元ベクトルとの間の距離の測定について説明する。主成分軸とは、ネットワークが正常な状態におけるk次元特徴空間を形成する各成分間の相関関係を示すものであり、各成分間の相関関係に基づいた正常状態を定義する軸である。従って主成分軸からの逸脱はネットワーク状態の異常の程度を示すことになるため、本ステップ（S03）では主成分軸とk次元ベクトルとの間の距離を測定することとしている。
【００３９】
また主成分軸の導出は、通常時に観測された複数のk次元ベクトル[X(t)]から算出される。（以降の説明文中でベクトルを[ ]で表すことにする。）すなわち記憶部103に記憶された過去のk次元ベクトル[X(t)]のk次元特徴空間における分布状態に基づいて主成分軸が導出され、算出された主成分軸はトラヒックの特性を表すことになり、これにより通常状態を定義する。ここで主成分軸の導出の手法として主成分分析を用いている。主成分分析とは、多次元のデータの次元圧縮の手法であり、主成分分析を用いることによって圧縮により失われる情報量を最小にする軸を求めることができる。例えば2次元の要素（x, y）を合成して1次元の軸zに射影するときに、次元圧縮により失われる情報量を最小にすることは、軸zの分散を最大にすることと等価であり、相関を示す軸を求めることができる。この軸zが主成分軸に相当することから、主成分分析によって得られた主成分軸は相関関係に基づいたネットワークの正常状態の分布を定義するもであり、ネットワーク状態の異常の有無を検出する指標となる。
【００４０】
次にステップS04について説明する。上記で述べたように主成分軸はネットワークの正常状態の基準となるものであることから、判定対象となるk次元ベクトルが主成分軸からどの程度離隔しているかを判断基準とすることによってネットワーク状態の異常の有無を判定することが可能である。従って本ステップ（S04）では主成分軸とk次元ベクトルとがなす距離が閾値以上か否かによってネットワーク状態の異常の有無を判定することとしている。閾値以上の場合は異常状態と判定し（S05）、閾値を越えない場合は正常状態と判定する（S07）。
【００４１】
次にステップS06では、ステップS05で異常状態と判定された場合に異常の原因となったパケット種別を特定する。上記で述べたように主成分軸はネットワークの正常状態の基準となるものであることから、異常と判定されたk次元ベクトルについて、主成分軸との差分ベクトルを算出し、差分ベクトルの各要素を分析して異常パケットの種別を特定する。異常状態（DoS攻撃）の継続時間帯におけるk次元ベクトルは、ある特定の種別のパケットが大量に発生することで、主成分軸に対して攻撃に用いられたパケット種別の方向に離れて分布すると考えられる。従って、異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルと、k次元ベクトルとの差分ベクトルを算出し、さらに差分ベクトルの各要素について異常状態（DoS攻撃）の継続時間帯における各要素ごとの総和を算出し、総和の値を評価して異常パケットの種別を特定する。また前記評価の手段は、総和の値が最大となる要素、総和の値が予め設定された閾値以上となる要素、総和の値が上位N個に該当する要素、のいずれかの要素に対応するパケット種別を異常パケットの種別と特定する。
【００４２】
次に異常パケットの種別を特定するプロセスについて詳細に説明する。図３はパケット種別の特定プロセスを示すフローチャートである。
【００４３】
まず異常と判定されたk次元ベクトルから主成分軸へ射影した地点のベクトルと、k次元ベクトルとの差分ベクトルを算出する（S11）。k次元ベクトルを[X(t)]、主成分軸へ射影した地点のベクトルを[Z(t)]として、差分ベクトル[E(t)]は式(2)で表される。また式(3)に示す各要素を差分値と呼ぶことにし、差分値Ei(t)は対応するパケット種別の通常状態からの逸脱度を表すことになる。
【数２】
2007060233.tif 000005
【００４４】
次にステップS12では、差分ベクトル[E(t)]の各要素である差分値Ei(t)について異常状態（DoS攻撃）の継続時間帯（1≦ t ≦T）における総和Ci（1≦ i ≦k）を算出する。異常状態（DoS攻撃）の継続時間帯では大部分のタイムスロットにおいてDoS攻撃に用いられた種別に対応する差分値が大きな値を取ると考えられる。そこで異常状態（DoS攻撃）の継続時間帯（1≦ t ≦T）において差分ベクトル[E(t)]を算出し（図４）、算出された差分ベクトル[E(t)]を用いて、各パケット種別についての差分値の総和Ci（1≦ i ≦k）を式(4)により算出する。
【数３】
2007060233.tif 000006
【００４５】
次にステップS13では、式(4)で算出した総和Ci（1≦ i ≦k）の値を評価して異常パケット種別を特定する。この総和Ciの値が大きい程、対応するパケット種別が異常状態（DoS攻撃）の継続時間帯（1≦ t ≦T）において通常状態からの逸脱度が大きいことを表すことになる。総和Ciの値を評価する方法は、次の３通りの中からいずれかの方法を用いることとする。
方法１：総和Ciの値が最大となる要素に対応するパケット種別を異常パケット種別と特定する。
方法２：総和Ciの値が予め設定された閾値以上となる要素に対応するパケット種別を異常パケット種別と特定する。
方法３：総和Ciの値が上位N個に該当する要素に対応するパケット種別を異常パケット種別と特定する。
【００４６】
以上のプロセス（S11〜S13）により、異常パケットの種別を特定することが可能となる。
【００４７】
次に、本発明の実施の形態に係る異常パケット種別特定システムについて、実際のネットワークから得られたトラヒックデータを用いて行ったシミュレーションの内容と、その効果について説明する。
【００４８】
実験では、タイムスロット幅10[sec]で各種パケットを測定したデータを用いて評価を行った。全2160スロット分のデータのうち、1800スロットを通常状態のデータとして主成分軸を算出した。残りの360スロットを60スロット毎に分割し、それぞれに対して特定の種別のパケットについて通常の平均ppsをA倍したものをDoS攻撃として加えた。
【００４９】
DoS攻撃として加算したパケット種別に対応するCiが最も大きな値を取った時にDoS攻撃に用いられたパケット種別の特定が成功したという基準で実験した結果を図５に示す。図５から、平均して通常の4倍以上のパケットが発生するDoS攻撃であれば90%以上の確率でDoS攻撃のパケット種別を特定可能であることがわかる。
【図面の簡単な説明】
【００５０】
【図１】本発明の実施の形態に係る異常パケット種別特定システムの構成を示すブロック図である。
【図２】本発明の実施の形態に係る異常パケット種別特定システムの動作を示すフローチャートである。
【図３】パケット種別の特定プロセスを示すフローチャートである。
【図４】差分ベクトルの定義と差分値の総和Ciの算出方法を示す図である。
【図５】実験結果を示す図である。
【符号の説明】
【００５１】
１０１  パケット数カウント部
１０２  k次元ベクトル生成部
１０３  記憶部
１０４  主成分軸導出部
１０５  k次元ベクトル−主成分軸間距離測定部
１０６  異常判定部
１０７  パケット種別特定部
【図１】
2007060233.tif 000007
【図２】
2007060233.tif 000008
【図３】
2007060233.tif 000009
【図４】
2007060233.tif 000010
【図５】
2007060233.tif 000011