(57)【要約】【課題】DoS攻撃などの不正アクセスを高精度に追跡するシステムを提供すること。【解決手段】各観測点には、ネットワークトラヒックからパケット数の時間的推移を一定時間Tの幅でトラヒックパターンとして切出しを行うトラヒック測定部101と、トラヒックパターンの情報を格納する記憶部102とを有する。また各観測点のトラヒックパターンの情報を入力として不正アクセスの指向性を検出するシステムには、各観測点の記憶部102に格納された複数の一定時間T毎のトラヒックパターンを入力として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成するトラヒック抽出部103と、生成された新たなトラヒックパターンから類似性を比較評価することにより不正アクセスの指向性を検出する類似性判定部104とを有する。【選択図】図２
2007074219.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークトラヒックからパケット数の時間的推移を一定時間Tの幅でトラヒックパターンとして切出すトラヒック測定工程と、前記トラヒック測定工程で切出した複数の一定時間T毎のトラヒックパターンを対象として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成するトラヒック抽出工程と、二つの観測点のトラヒックパターンの類似性を比較評価することにより不正アクセスの指向性を検出する類似性判定工程と、を有することを特徴とする不正アクセス追跡方法。
【請求項２】
前記トラヒック測定工程は、ネットワーク上に設置した複数の観測点で時刻tから一定時間T経過する間（時刻tからt+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すと共に、スライド幅α（α≦T）のsliding window方式により、それぞれの時刻t+ n＊α（n：自然数）ごとに一定時間T経過する間（時刻t+ n＊αからt+ n＊α+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すことを特徴とする請求項１に記載の不正アクセス追跡方法。
【請求項３】
前記トラヒック抽出工程は、前記トラヒック測定工程で切出した時刻tからt+Tの期間のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻tのパケット数P(t)としてプロットすると共に、sliding window方式で切出したそれぞれの時刻ごとの一定時間T毎のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻t+ n＊αのパケット数P(t+ n＊α)としてプロットすることにより、フィルタリング後の新たなトラヒックパターンを生成することを特徴とする請求項１に記載の不正アクセス追跡方法。
【請求項４】
前記類似性判定工程は、二つの観測点のトラヒックパターンについて相関係数rを算出すると共に、相関係数rの値を評価してトラヒックパターンの類似性を判断することにより不正アクセスの指向性を検出することを特徴とする請求項１に記載の不正アクセス追跡方法。
【請求項５】
前記類似性判定工程は、二つの観測点のトラヒックパターンの類似性を比較するために、前記フィルタリング前と後についてトラヒックパターンの相関係数r0とｒ1を算出し、フィルタリング前の相関係数r0の値が閾値以上（r0≧0.3）かつフィルタリング後の相関係数ｒ1の値が閾値以上（ｒ1≧0.7）と判定した場合に、トラヒックパターンの類似性があり二つの観測点間を不正アクセスが通過したと判断することを特徴とする請求項１または請求項４に記載の不正アクセス追跡方法。
【請求項６】
ネットワークトラヒックからパケット数の時間的推移を一定時間Tの幅でトラヒックパターンとして切出すトラヒック測定手段と、前記トラヒック測定手段で切出した複数の一定時間T毎のトラヒックパターンを対象として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成するトラヒック抽出手段と、二つの観測点のトラヒックパターンの類似性を比較評価することにより不正アクセスの指向性を検出する類似性判定手段と、を備えたことを特徴とする不正アクセス追跡システム。
【請求項７】
前記トラヒック測定手段は、ネットワーク上に設置した複数の観測点で時刻tから一定時間T経過する間（時刻tからt+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すと共に、スライド幅α（α≦T）のsliding window方式により、それぞれの時刻t+ n＊α（n：自然数）ごとに一定時間T経過する間（時刻t+ n＊αからt+ n＊α+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すことを特徴とする請求項６に記載の不正アクセス追跡システム。
【請求項８】
前記トラヒック抽出手段は、前記トラヒック測定手段で切出した時刻tからt+Tの期間のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻tのパケット数P(t)としてプロットすると共に、sliding window方式で切出したそれぞれの時刻ごとの一定時間T毎のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻t+ n＊αのパケット数P(t+ n＊α)としてプロットすることにより、フィルタリング後の新たなトラヒックパターンを生成することを特徴とする請求項６に記載の不正アクセス追跡システム。
【請求項９】
前記類似性判定手段は、二つの観測点のトラヒックパターンについて相関係数rを算出すると共に、相関係数rの値を評価してトラヒックパターンの類似性を判断することにより不正アクセスの指向性を検出することを特徴とする請求項６に記載の不正アクセス追跡システム。
【請求項１０】
前記類似性判定手段は、二つの観測点のトラヒックパターンの類似性を比較するために、前記フィルタリング前と後についてトラヒックパターンの相関係数r0とｒ1を算出し、フィルタリング前の相関係数r0の値が閾値以上（r0≧0.3）かつフィルタリング後の相関係数ｒ1の値が閾値以上（ｒ1≧0.7）と判定した場合に、トラヒックパターンの類似性があり二つの観測点間を不正アクセスが通過したと判断することを特徴とする請求項６または請求項９に記載の不正アクセス追跡システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに対するセキュリティ侵害を行うDoS(Denial of Service)攻撃などの不正アクセスを検出及び追跡する技術に関するものである。
【背景技術】
【０００２】
近年、インターネット上のサービスを停止させるDoS攻撃が問題となっており、被害を最小限に抑えるため攻撃元を追跡する必要があるが、一般に攻撃元のIPアドレスは改竄されているため、攻撃者が改竄不可能な情報による追跡技術が重要となっている。改竄不可能の情報を用いた追跡手法の一つとして、パケット数の時間的変化であるトラヒックパターンを用いた攻撃の追跡方式（非特許文献１、非特許文献２、非特許文献３）が提案されている。これらの方式では、ネットワークの合流点において、攻撃トラヒックが流出した出力リンクと、その他の入力リンクで観測されたトラヒックパターン形状の類似性をそれぞれ評価し、類似性の高い入力リンクを攻撃流入リンクとして追跡を行っている。
【０００３】
【非特許文献１】武井洋介、太田耕平、加藤寧、根元義章、「トラヒックパターンを用いた不正アクセス検出及び追跡方式」、電子情報通信学会論文誌Vol.J82-B-I No.10 pp.1-10、1999年10月
【非特許文献２】坂口薫、太田耕平、和泉勇治、加藤寧、根元義章、「2次計画法に基づいたトラヒックパターンの比較によるDDoSの追跡」、電子情報通信学会論文誌Vol.J85-B No.8 pp.1295-1303、2002年8月
【非特許文献３】佐藤徹、和泉勇治、根元義章、「独立成分分析を用いたトラヒックパターン解析によるDoS攻撃経路追跡手法の提案」、電子情報通信学会技術研究報告NS2004-101 pp.1-6、2004年9月
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながらトラヒックパターンにはDoS攻撃以外の通常のトラヒックも含まれ、それらがパターン形状の類似性を評価する際のノイズとして作用し、追跡精度を低下させる原因となっている。特に分散型DoS(Distributed DoS)攻撃においては、DoS攻撃のトラヒックが合流する前ではDoS攻撃のパケット数の絶対数が減少するため、通常のトラヒックがノイズ成分となりDoS攻撃のトラヒックが埋没し、高精度な追跡がより困難となる問題がある。
特願2005-062234では、上記ノイズ成分となる通常トラヒックを除去するためにWavelet変換によるフィルタリング手法を用いてDoS攻撃の追跡精度向上を実現している。
しかしながらFlooding型DoS攻撃の特徴は、被害者側のリソースを浪費させるために大量のパケットを一定期間送り続けることにあり、攻撃の期間中は攻撃によって発生する一定量以上のトラヒックが常に流れていると考えられるが、低い転送レートで長時間に渡り通信を行うようなトラヒックを対象としてトラヒックパターンを評価する際には、通常トラヒックの流量の変動に影響を受けるために、低い転送レートで通信を行う攻撃トラヒックを検出することが困難となる問題がある。
【０００５】
本発明は、上記問題を解決するため、DoS攻撃が行われている期間中トラヒック流量は常に一定量以上流れることに着目し、一定時間毎の最小流量をトラヒックパターンとすることにより、DoS攻撃トラヒックの高精度な追跡を実現することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、請求項１に記載の不正アクセス追跡方法は、ネットワークトラヒックからパケット数の時間的推移を一定時間Tの幅でトラヒックパターンとして切出すトラヒック測定工程と、前記トラヒック測定工程で切出した複数の一定時間T毎のトラヒックパターンを対象として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成するトラヒック抽出工程と、二つの観測点のトラヒックパターンの類似性を比較評価することにより不正アクセスの指向性を検出する類似性判定工程とを有することを特徴とする。
【０００７】
請求項２に記載のトラヒック測定工程は、ネットワーク上に設置した複数の観測点で時刻tから一定時間T経過する間（時刻tからt+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すと共に、スライド幅α（α≦T）のsliding window方式により、それぞれの時刻t+ n＊α（n：自然数）ごとに一定時間T経過する間（時刻t+ n＊αからt+ n＊α+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すことを特徴とする。
【０００８】
請求項３に記載のトラヒック抽出工程は、前記トラヒック測定工程で切出した時刻tからt+Tの期間のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻tのパケット数P(t)としてプロットすると共に、sliding window方式で切出したそれぞれの時刻ごとの一定時間T毎のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻t+ n＊αのパケット数P(t+ n＊α)としてプロットすることにより、フィルタリング後の新たなトラヒックパターンを生成することを特徴とする。
【０００９】
請求項４に記載の類似性判定工程は、二つの観測点のトラヒックパターンについて相関係数rを算出すると共に、相関係数rの値を評価してトラヒックパターンの類似性を判断することにより不正アクセスの指向性を検出することを特徴とする。
【００１０】
請求項５に記載の類似性判定工程は、二つの観測点のトラヒックパターンの類似性を比較するために、前記フィルタリング前と後についてトラヒックパターンの相関係数r0とｒ1を算出し、フィルタリング前の相関係数r0の値が閾値以上（r0≧0.3）かつフィルタリング後の相関係数ｒ1の値が閾値以上（ｒ1≧0.7）と判定した場合に、トラヒックパターンの類似性があり二つの観測点間を不正アクセスが通過したと判断することを特徴とする。
【００１１】
請求項６に記載の不正アクセス追跡システムは、ネットワークトラヒックからパケット数の時間的推移を一定時間Tの幅でトラヒックパターンとして切出すトラヒック測定手段と、前記トラヒック測定手段で切出した複数の一定時間T毎のトラヒックパターンを対象として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成するトラヒック抽出手段と、二つの観測点のトラヒックパターンの類似性を比較評価することにより不正アクセスの指向性を検出する類似性判定手段とを備えたことを特徴とする。
【００１２】
請求項７に記載のトラヒック測定手段は、ネットワーク上に設置した複数の観測点で時刻tから一定時間T経過する間（時刻tからt+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すと共に、スライド幅α（α≦T）のsliding window方式により、それぞれの時刻t+ n＊α（n：自然数）ごとに一定時間T経過する間（時刻t+ n＊αからt+ n＊α+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すことを特徴とする。
【００１３】
請求項８に記載のトラヒック抽出手段は、前記トラヒック測定手段で切出した時刻tからt+Tの期間のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻tのパケット数P(t)としてプロットすると共に、sliding window方式で切出したそれぞれの時刻ごとの一定時間T毎のトラヒックパターンからパケット数の最小値を抽出するフィルタリングを行い、その最小値を時刻t+ n＊αのパケット数P(t+ n＊α)としてプロットすることにより、フィルタリング後の新たなトラヒックパターンを生成することを特徴とする。
【００１４】
請求項９に記載の類似性判定手段は、二つの観測点のトラヒックパターンについて相関係数rを算出すると共に、相関係数rの値を評価してトラヒックパターンの類似性を判断することにより不正アクセスの指向性を検出することを特徴とする。
【００１５】
請求項１０に記載の類似性判定手段は、二つの観測点のトラヒックパターンの類似性を比較するために、前記フィルタリング前と後についてトラヒックパターンの相関係数r0とｒ1を算出し、フィルタリング前の相関係数r0の値が閾値以上（r0≧0.3）かつフィルタリング後の相関係数ｒ1の値が閾値以上（ｒ1≧0.7）と判定した場合に、トラヒックパターンの類似性があり二つの観測点間を不正アクセスが通過したと判断することを特徴とする。
【発明の効果】
【００１６】
請求項１または請求項６に係る発明によれば、高い精度でDoS攻撃などの不正アクセスを検出できると共にDoS攻撃などの不正アクセスを追跡することが可能になる。実験結果からは平均90%程度の高い追跡精度を検証できた。
【００１７】
請求項２および請求項３、または請求項７および請求項８に係る発明によれば、トラヒック流量の最小値に注目することで、通常トラヒックに含まれる変動や瞬間的なトラヒック量の増加による影響を抑えたトラヒックパターンを抽出することが可能になる。
【００１８】
請求項４および請求項５、または請求項９および請求項１０に係る発明によれば、トラヒックパターンを比較する際に相関係数を用いることにより、パケット数が近い値でない場合も、その形状が類似していれば二つのデータは強い関連があると判断できる利点があり、定量的にトラヒックパターンの類似性を評価することが可能になる。
【発明を実施するための最良の形態】
【００１９】
次に、本発明の実施の形態に係る不正アクセス追跡システムについて図面に基づいて説明する。なお、この実施の形態により本発明が限定されるものではない。
【００２０】
図１は、本発明の実施の形態に係る不正アクセス追跡システムを用いて不正アクセスの経路を追跡するために、対象となるネットワークに観測点を設置する模式図である。図１に示すように、ネットワークの合流点に観測点を設置して、観測点の協調により異常なトラヒックの動向を捉え、不正アクセスの経路を追跡する。
【００２１】
各観測点で観測されるトラヒックパターンは独立に変化する。ここでトラヒックパターンとはネットワークトラヒックから一定時間T毎のパケット数の時間的推移を表したものである。ある観測点で観測されるトラヒックパターンは、他の観測点のものと比較すると一般には形状が異なるが、DoS攻撃などの不正アクセスが発生すると、大量のパケットが複数の観測点を通過するため、各観測点で同様なパターンの変化が観測される。
【００２２】
特にFlooding型DoS攻撃の特徴は、被害者側のリソースを浪費させるために大量のパケットを一定期間送り続けることにある。つまり攻撃の期間中は常に攻撃によって発生した一定量以上のトラヒックが流れていると考えられる。それに対して通常通信のみの場合の流量は利用状況によって変動する。このことからトラヒック流量の最小値に注目することで、通常トラヒックに含まれる変動や瞬間的なトラヒック量の増加による影響を抑えたトラヒックパターンを抽出し観測点の協調により、高い精度でDoS攻撃トラヒックを検出すると共にDoS攻撃の追跡が可能になる。
【００２３】
例えば図１の観測点Aおよび観測点Bで上下両方向（入力と出力）のトラヒックパターンを観測する。両観測点で観測された複数の一定時間T毎のトラヒックパターンを対象として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成する。観測点Aおよび観測点Bのフィルタリング後のトラヒックパターンを比較し類似性が検出されれば、Network-1とNetwork-2間、およびNetwork-2とNetwork-3間をDoS攻撃のパケットが通過したと判断する。また観測点Aおよび観測点Bで入力と出力のトラヒックパターンについてそれぞれ比較することで、DoS攻撃の指向性も検出可能となる。
【００２４】
図２は、本発明の実施の形態に係る不正アクセス追跡システムの構成を示すブロック図である。図２に示すように、各観測点には、ネットワークトラヒックからパケット数の時間的推移を一定時間Tの幅でトラヒックパターンとして切出しを行うトラヒック測定部101と、トラヒックパターンの情報を格納する記憶部102とを有する。また各観測点のトラヒックパターンの情報を入力として不正アクセスの指向性を検出するシステムには、各観測点の記憶部102に格納された複数の一定時間T毎のトラヒックパターンを入力として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成するトラヒック抽出部103と、生成された新たなトラヒックパターンから類似性を比較評価することにより不正アクセスの指向性を検出する類似性判定部104とを有する。
【００２５】
トラヒック測定部101は、各観測点で時刻tから一定時間T経過する間（時刻tからt+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出すと共に、スライド幅α（α≦T）のsliding window方式により、それぞれの時刻t+ n＊α（n：自然数）ごとに一定時間T経過する間（時刻t+ n＊αからt+ n＊α+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出しを行い、そのトラヒックパターンの情報を記憶部102へ格納する。
【００２６】
トラヒック抽出部103は、各観測点の記憶部102に格納されたトラヒックパターンの情報を入力として、時刻tからt+Tの期間のトラヒックパターンからパケット数の最小値を抽出し、その値を時刻tのパケット数P(t)としてプロットすると共に、sliding window方式で切出したそれぞれの時刻ごとの一定時間T毎のトラヒックパターンからパケット数の最小値を抽出し、その値を時刻t+ n＊αのパケット数P(t+ n＊α)としてプロットすることにより、フィルタリングされた新たなトラヒックパターンを生成する。生成された新たなトラヒックパターンの情報は、類似性判定部104へ出力される。
【００２７】
類似性判定部104は、トラヒック抽出部103で生成されたトラヒックパターンを用いて、二つの観測点のトラヒックパターンについて相関係数rを算出すると共に、相関係数rの値を評価してトラヒックパターンの類似性を判断することにより不正アクセスの指向性を検出する。具体的には、二つの観測点のトラヒックパターンの類似性を比較するために、前記フィルタリング前と後についてトラヒックパターンの相関係数r0とｒ1を算出し、フィルタリング前の相関係数r0の値が閾値以上（r0≧0.3）かつフィルタリング後の相関係数ｒ1の値が閾値以上（ｒ1≧0.7）と判定した場合に、トラヒックパターンの類似性があり二つの観測点間を不正アクセスが通過したと判断する。
【００２８】
次に本発明の実施の形態に係る不正アクセス追跡システムの動作について説明する。図３は、本発明の実施の形態に係る不正アクセス追跡システムの動作を示すフローチャートである。
【００２９】
まずネットワークに設置された観測点において、ネットワークトラヒックからパケット数の時間的推移を一定時間Tの幅でトラヒックパターンとして切出しを行う（S01）。具体的には、各観測点で時刻tから一定時間T経過する間（時刻tからt+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出しを行うこととする。さらにスライド幅α（α≦T）のsliding window方式により、それぞれの時刻t+ n＊α（n：自然数）ごとに一定時間T経過する間（時刻t+ n＊αからt+ n＊α+Tの期間）に通過するパケット数の時間的推移をトラヒックパターンとして切出しを行うこととする。
【００３０】
また切出しの過程において、切出しを開始する条件を定義しておく必要がある。例えばDoS攻撃の代表的な事象であるSmurfを追跡対象とした場合、観測パケットをICMPのEchoパケットとする。Echoパケットは、ホストの接続状況を調査するpingなどに用いられている。これらを使用した場合では、連続的に発生させた場合1秒間隔が最短である。つまり1分間で最高60パケットが発生する。この値を基準とし、観測されるパケット数がThup = 60×β [packets/min]以上の場合を異常な変化とし、トラヒックパターンの切出しを開始する。次に切出しを終了する条件は、切出しが開始された時点からパケット量が最も多く増加したときの観測パケット数をNupとし、それ以後の変化量Ndownが−Nup/2以下になった時点を事象が終了したと判断する。なおパターンの切出しは最大で10分間とする。これは長時間にわたる不正アクセスが観測された場合に対して、検出のレスポンスを早めるためである。
【００３１】
次に各観測点で切出された複数の一定時間T毎のトラヒックパターンを入力として各トラヒックパターンのパケット数の最小値を抽出するフィルタリングを行うことにより新たなトラヒックパターンを生成する（S02）。具体的には、各観測点で切出された複数の一定時間T毎のトラヒックパターンを入力として、時刻tからt+Tの期間のトラヒックパターンからパケット数の最小値を抽出し、その値を時刻tのパケット数P(t)としてプロットすると共に、sliding window方式で切出したそれぞれの時刻ごとの一定時間T毎のトラヒックパターンからパケット数の最小値を抽出し、その値を時刻t+ n＊αのパケット数P(t+ n＊α)としてプロットすることにより、フィルタリングされた新たなトラヒックパターンを生成することとする。
【００３２】
次に新トラヒックパターンから類似性を比較評価するために、二つの観測点のトラヒックパターンについて相関係数rを算出する（S03）。相関係数を用いると、パケット数が近い値でない場合も、その形状が類似していれば二つのデータは強い関連があると判断できる利点がある。観測点iと観測点jで観測されたパターンを比較する場合、各トラヒックパターンを
【数１】
2007074219.tif 000003
とすると、この二つのパターンの相関係数は次式で与えられる。
【数２】
2007074219.tif 000004
ここで
2007074219.tif 000005
は各データの平均、σはその分散を表す。相関係数rの値が１に近い程、二つのパターンには強い相関があり、パターンが類似していると言える。ここでトラヒックパターンの類似性を比較するために用いた相関係数による形状比較手法は、非特許文献１の手法を利用している。
【００３３】
次にステップS04について説明する。上記で述べたように相関係数rの値が１に近い程、二つのパターンには強い相関があり、パターンが類似していることが判明している。従って本ステップ（S04）では、二つの観測点のトラヒックパターンから求めた相関係数rの値が、予め設定された閾値以上か否かによって、類似性の有無を判定することとしている。具体的には、前記フィルタリング前と後についてトラヒックパターンの相関係数r0とｒ1を算出し、フィルタリング前の相関係数r0の値が閾値以上（r0≧0.3）かつフィルタリング後の相関係数ｒ1の値が閾値以上（ｒ1≧0.7）と判定した場合に、トラヒックパターンの類似性がありと判断する。従って閾値以上の場合は類似性ありと判定し（S05）、閾値よりも小さい場合は類似性なしと判定する（S07）。さらにステップS05で類似性ありと判定した場合は、二つの観測点間を不正アクセス（DoS攻撃のパケット）が通過したと判断する（S06）。
【００３４】
次に本発明の実施の形態に係る不正アクセス追跡システムについて、実際のネットワークから得られたトラヒックデータを用いて行ったシミュレーションの内容と、その効果について説明する。
【００３５】
図４は、sliding window方式で一定時間（100秒間）毎のトラヒックパターンから最小値を抽出しフィルタリングすることにより新たに生成されたトラヒックパターンを示す図である。図４から、通常トラヒックによる変動が低減され、100秒付近にあるDoS攻撃によるトラヒックの立ち上がりが顕著となっていることがわかる。
【００３６】
本実験では、ネットワークの合流点における各入力と出力のトラヒックパターンに対して、新トラヒックパターンを求める際の最小値を抽出する一定時間値T についてT=10,50,100[秒]としてフィルタリングを行い、3種類の新たなトラヒックパターンを生成した後、それぞれの場合について相関係数を算出する。そして、いずれかのTで相関係数の値が閾値0.7以上となり、かつフィルタリング前の相関係数の値が0.3以上である入力リンクを攻撃が流入したリンクと判断する。
【００３７】
図５は、攻撃の規模を通常トラヒックの平均パケット数の1/2とした場合において、DoS攻撃を含むトラヒックとDoS攻撃を含まないトラヒックについて、新トラヒックパターンを求める際の最小値を抽出する一定時間値Tを変化させた場合の相関係数の値を示す図である。なおT=0はフィルタリングしていない場合を示し、グラフは10回の平均と分散を表す。図５より、攻撃を含むトラヒックに関してはフィルタリングにより相関係数の値が閾値0.7を超えたため、正しく攻撃と判断されることが検証された。従来手法（T=0）では相関係数の値が0.5程度であるため、攻撃と判断されることはなく、フィルタリングによりFalse Negativeが解消されたことが検証された。また攻撃を含まない通常トラヒックの場合、フィルタリングにより相関係数の値が閾値0.7を超えた場合であっても、フィルタリング前の相関係数の値が0.3を下回っていることから、正しく判断できていると検証された。
【００３８】
次に実ネットワークで観測されたトラヒックを通常トラヒックパターンとして、それらに人工的にDoSトラヒックパターンを付加することにより生成したDDoSパターンを用いて、本発明の実施の形態に係る不正アクセス追跡システム（以下、本システム）による追跡精度の評価を行った。DoSパターン生成のために付加した攻撃の規模は通常トラヒックの平均パケット数の1/2程度とし、合流地点の入力リンク数を10として、攻撃合流数による追跡精度の違いを評価した。各合流数に対して100回のシミュレーションを行い、平均の判定成功率を求めた。本システムの判定成功率と、非特許文献１および非特許文献３の手法を用いた場合の判定成功率を図６に示す。合流数が増えると全ての手法で判定成功率が低下するが、本システムではその度合いが最も小さく、平均90%程度の高い追跡精度を維持していることが検証できた。
【図面の簡単な説明】
【００３９】
【図１】本発明の実施の形態に係る不正アクセス追跡システムを用いて不正アクセスの経路を追跡するために、対象となるネットワークに観測点を設置する模式図である。
【図２】本発明の実施の形態に係る不正アクセス追跡システムの構成を示すブロック図である。
【図３】本発明の実施の形態に係る不正アクセス追跡システムの動作を示すフローチャートである。
【図４】一定時間（100秒間）毎のトラヒックパターンから最小値を抽出しフィルタリングすることにより新たに生成されたトラヒックパターンを示す図である。
【図５】DoS攻撃を含むトラヒックとDoS攻撃を含まないトラヒックについて、新トラヒックパターンを求める際の最小値を抽出する一定時間値を変化させた場合の相関係数の値を示す図である。
【図６】DoS攻撃の追跡精度について他の手法と比較した図である。
【符号の説明】
【００４０】
１０１  トラヒック測定部
１０２  記憶部
１０３  トラヒック抽出部
１０４  類似性判定部
【図１】
2007074219.tif 000006
【図２】
2007074219.tif 000007
【図３】
2007074219.tif 000008
【図４】
2007074219.tif 000009
【図５】
2007074219.tif 000010
【図６】
2007074219.tif 000011