(57)【要約】      （修正有）【課題】検知用データベースを必要としない検知方法で拡散型不正アクセスを早期に検知するシステムを提供。【解決手段】ネットワークトラヒックからパケット単位またはフロー単位に集約して収集するパケット収集部101と、収集したパケット情報を格納する記憶部102と、パケット単位またはフロー単位に集約したパケット情報からパケットのペイロードを数値化して特徴量を算出する特徴量算出部103と、算出された特徴量を基にパケットやフローの通信内容の類似性を判定する類似性判定部104と、一定期間内に類似した通信内容が複数検出された場合、該通信内容を拡散型不正アクセスの候補として該通信内容の特徴量を他の観測点に通知する情報送信部105と、他の観測点から通知された拡散型不正アクセス候補の特徴量を受け取る情報受信部106と、通知された特徴量を基に通信内容の類似性を判定することにより拡散型不正アクセスを検知する異常判定部107とを有する。【選択図】図１
2007074339.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークトラヒックから収集したパケット情報を基にパケットのペイロードを数値化して特徴量を算出する特徴量算出工程と、前記特徴量を基にパケットやフローの通信内容の類似性を判定する類似性判定工程と、複数の観測点で前記特徴量に関する情報の交換を行うと共に該情報を基にパケットやフローの通信内容の類似性を判定することにより拡散型不正アクセスを検知する異常判定工程とを有することを特徴とする拡散型不正アクセス検出方法。
【請求項２】
前記特徴量算出工程は、パケット単位またはフロー単位に集約したパケット情報を基にパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして256クラスのコード出現頻度を算出すると共に、該出現頻度をヒストグラムとして表すことを特徴とする請求項１に記載の拡散型不正アクセス検出方法。
【請求項３】
前記類似性判定工程は、パケットやフローの通信内容の類似性を判定するために、前記特徴量として表したヒストグラムを256次元のベクトルで表すと共に、類似性を比較する通信内容についてベクトル間の距離を算出し、算出された距離値を評価して通信内容の類似性を判定することを特徴とする請求項１に記載の拡散型不正アクセス検出方法。
【請求項４】
前記類似性判定工程は、前記距離値の評価にクラスタリング技術を用いることを特徴とする請求項３に記載の拡散型不正アクセス検出方法。
【請求項５】
前記異常判定工程は、一つの観測点で一定期間内に類似した通信内容が複数検出された場合、該通信内容を拡散型不正アクセスの候補として該通信内容の特徴量を他の観測点に通知する手順と、通知を受けた観測点において通知された特徴量を基準として自観測点の通信内容の類似性を判定すると共に、類似性があると判定した通信内容を拡散型不正アクセスとして検知する手順とを有することを特徴とする請求項１に記載の拡散型不正アクセス検出方法。
【請求項６】
ネットワークトラヒックから収集したパケット情報を基にパケットのペイロードを数値化して特徴量を算出する特徴量算出手段と、前記特徴量を基にパケットやフローの通信内容の類似性を判定する類似性判定手段と、複数の観測点で前記特徴量に関する情報の交換を行うと共に該情報を基にパケットやフローの通信内容の類似性を判定することにより拡散型不正アクセスを検知する異常判定手段とを有することを特徴とする拡散型不正アクセス検出システム。
【請求項７】
前記特徴量算出手段は、パケット単位またはフロー単位に集約したパケット情報を基にパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして256クラスのコード出現頻度を算出すると共に、該出現頻度をヒストグラムとして表すことを特徴とする請求項６に記載の拡散型不正アクセス検出システム。
【請求項８】
前記類似性判定手段は、パケットやフローの通信内容の類似性を判定するために、前記特徴量として表したヒストグラムを256次元のベクトルで表すと共に、類似性を比較する通信内容についてベクトル間の距離を算出し、算出された距離値を評価して通信内容の類似性を判定することを特徴とする請求項６に記載の拡散型不正アクセス検出システム。
【請求項９】
前記類似性判定手段は、前記距離値の評価にクラスタリング技術を用いることを特徴とする請求項８に記載の拡散型不正アクセス検出システム。
【請求項１０】
前記異常判定手段は、一つの観測点で一定期間内に類似した通信内容が複数検出された場合、該通信内容を拡散型不正アクセスの候補として該通信内容の特徴量を他の観測点に通知する手段と、通知を受けた観測点において通知された特徴量を基準として自観測点の通信内容の類似性を判定すると共に、類似性があると判定した通信内容を拡散型不正アクセスとして検知する手段とを有することを特徴とする請求項６に記載の拡散型不正アクセス検出システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワームなどのように不特定多数のホストに感染を試みる拡散型不正アクセスを検出する技術に関するものである。
【背景技術】
【０００２】
近年、ネットワークを経由して感染するワームやウイルスなどの不正アクセスが大きな社会問題となっている。特にネットワークやコンピュータの高速化に伴い、その拡散のスピードが急激に早まり、世界規模の被害が報告されるようになっている（非特許文献１、非特許文献２）。ワームなどの拡散型不正アクセスによる被害を抑制するには、まず不正アクセスを検知することが必要であるが、現在の検知システムでは検知用のデータベースの作成と更新が必要であり、そのデータベースを準備するために要する時間が被害拡大の要因となっている。zero-day attackと表されるように、ソフトウエアにセキュリティ上の脆弱性が発見された際に、問題の存在自体が広く公表される前にその脆弱性を悪用する不正アクセスも出現しており、不正アクセスに対する迅速な対応を可能とする技術の確立が社会的急務となっている。
【０００３】
この課題に対して検知用データベースを必要としない検知方式である異常検知方式の研究が盛んに行われている（非特許文献３〜非特許文献９）。異常検知方式は、管理対象ネットワークのトラヒックを、サーバへのアクセス頻度やパケットヘッダのフィールドの出現頻度などに基づき数値として表すことにより、その数値が予め設定された通常時の値からどの程度逸脱しているか判定することで異常状態の検知を行うものである。異常検知方式は、検知用データベースなどの事前知識を必要としないため未知のワームの検知が原理的に可能であるが、ネットワークトラヒックの数値化方式やその値に基づき通常状態を適切に表すモデルの設計方式が確立されていないため、多くの未検知や誤検知が発生する問題がある。
【０００４】
また不正アクセスの早期検知を目的とした研究では、感染試行時に発生するスキャンに伴うエラーメッセージや未使用IPアドレスへのアクセスを利用したものがある。メールを経由して感染するワームなどは、感染ホストのメールアドレスのリストを感染先として利用するものがあり、この場合スキャン発生時に生じるエラーなどは起こらず、スキャンを前提としない検知方式が必要であると考えられる。
【０００５】
さらにワームなどのように不特定多数のホストに感染を試みる拡散型不正アクセスでは、感染時の動作として自分自身の複製を多数のホストへ送信する特徴があり、類似した通信内容を多数発生させることになるため、通信内容の類似性を評価し早期検知を行う方式が有効であると考えられる。
【０００６】
拡散型不正アクセスの早期検知方式として様々な手法が提案されている。非特許文献10や非特許文献11などは、世界規模で拡散する不正アクセスに対して、不正検知システムやFirewallなどをセンサとして利用し、不正アクセスの世界規模での監視を行っている。
【０００７】
検知用データベースを利用しない検知技術としては、未使用のIPアドレスに対するアクセスをNetwork Probe（非特許文献12、非特許文献13）やHoneypot（非特許文献14）により観測する方式、ICMPのUnreachable Messageを観測する方式（非特許文献15）がある。未使用のIPアドレスへのアクセスは、送信元を詐称したDoS（Denial of Service）攻撃やScanなどが原因で生じるものであり、検知用データベースなどの事前知識を必要としない不正アクセスの検知としては有効な方式であると考えられる。
【０００８】
拡散型不正アクセスの拡散をモデル化する研究も行われている（非特許文献16、非特許文献17、非特許文献18）。これらの研究は、主に感染先を特定する際にスキャンを行うワームなどを対象とし、感染しているホスト数と脆弱性を有するホスト数、ワームから発生するスキャンのためのトラヒック量などから感染するホスト数の漸化式などを導出し、その時間変化を推定している。また未使用IPアドレスを利用した検知手法に基づき検知可能となるまでの時間の推定も行い、利用可能な未使用IPアドレス数と検知までの必要時間の関係の考察も行っている。これらの研究は検知システムの設計・運用に多くの知見を与え得る有用な研究であるが、拡散型不正アクセスの早期検知を実現するまでには至ってない。
【０００９】
未使用IPアドレスへのスキャンなどを前提としない拡散型不正アクセスの検知方式として、通信内容の一部分を抽出し、それが高頻度で観測された場合、それらを拡散型不正アクセスの候補として検知する方式がある。非特許文献19、非特許文献20では、部分的に同じ内容を有している通信が異なる端末間で多数発見された場合、その同じ内容の共通部分を含む通信をワームなどにより生成されたものとして検知を行うものである。非特許文献19は、共通部分の抽出の単位として”substring”を利用し、そのHashの出現頻度のヒストグラムを保持する方式である。非特許文献20は、ある区切り文字を基準にフローのペイロードをバイト列へ分割し、その出現頻度のヒストグラムを用いて、出現頻度の高いバイト列をワームが原因によるものとして検知する手法である。これらの方式は、パケットやフローの通信内容の一部の出現頻度を検知の基準として用いることにより、スキャンなどの特定の動作を前提としないため、メールアドレスのリストから感染候補を選定し感染を試みるよなウイルスに対しても検知が可能であるという利点がある。しかし、ペイロードをあるルールで分解し、分解されたバイト列を出現頻度算出の基準として用いるため、不正アクセスの動作に影響のないバイト列の挿入などにより、出現頻度を適切に算出することができないという問題点が考えられる。
【００１０】
【非特許文献１】CERT. CERT/CC advisories. http://www.cert.org/advisories/.
【非特許文献２】D. Moore, C. Shannon, and J. Brown. "Code-Red: a case study on the spread and victims of an Internet worm.” In Proceedings of the second ACM SIGCOMM Workshop on Internet Measurement, November 2002.
【非特許文献３】Matthew V. Mahoney and Philip K. Chan, "Trajectory Boundary Modeling of Time Series for Anomaly Detection," Data Mining Methods for Anomaly Detection workshop, KDD, Chicag0, 2005.
【非特許文献４】K. Chan and Matthew V. Mahoney, "Detecting Novel Attacks by Identifying Anomalous Network Packet Headers by Philip", Florida Tech. technical report CS-2001-2, 2001.
【非特許文献５】Matthew V. Mahoney and Philip K. Chan, "PHAD: Packet Header Anomaly Detection for Indentifying Hostile Network Traffic". Florida Tech. technical report CS-2001-4,2001.
【非特許文献６】Matthew V. Mahoney and Philip K. Glian, "Learning Non-     stationary Models of Normal Network Traffic for Detecting Novel Attacks", Proc. Eighth Int1. Conf. Knowledge Discovery and Data Mining, p376-385, 2002.
【非特許文献７】Matthew V. Mahoney and Philip K. Chan, "Learning Models of Network Traffic for Detecting Novel Attacks", Florida Institute of Technology Technical Report CS-2002-08, 2002.
【非特許文献８】Matthew V. Mahoney, "Network Traffic Anomaly Detection Based on Packet Bytes", Proc. ACM-SAC, Melbourne FL, p346-350,2003
【非特許文献９】D. Barbara, J. Couto, S. Jajodia, L. Popyack, and N. Wu, "ADAM: Detecting Intrusions by Data Mining", Proc. 2001IEEE Workshop Information Assurance and Security, pp.11-16, June 2001.
【非特許文献１０】Symantec Corp.,"Symantec early warning solutions."       , http://enterprisesecurity.symantec.com/SecurityServices /content.cfm?ArticlelD=1522.
【非特許文献１１】"Internet Storm Center", http://isc.incidents.org.
【非特許文献１２】D. Moore, C. Shannon, G.M. Voelker, and S. Savage, " Network telescopes". Technical report. Technical Report TR-2004-04, GAIDA, 2004.
【非特許文献１３】R. Pang, V. Yegneswaran, P. Barford, V. Paxson, and L. Peterson, "Characteristics of Internet background radiation".    In Proceedings of the Internet Measurement Conference (IMC), October 2004.
【非特許文献１４】Hotleynet project,"know your enemy: Honeynets",                   http://project, honeynet.org/papers/honeynet.
【非特許文献１５】V.H.Berk, R.S.Gray, and G.Bakos, "Using sensor networks and data fusion for early detection of active worms".                In Proceedings of the SPIE AeroSense, 2003.
【非特許文献１６】Z.Chen, L.Gao, and K.Kwiat," Modeling the spread of active worms",  In Proceedings of the IEEE INFOCOM, March 2003.
【非特許文献１７】C.C.Zou, W.Gong, and D.Towsley,"Code Red worm propagation modeling and analysis",  In Proceedings of 9th ACM Conference on Computer and Communications Security (CCS' 02), October 2002
【非特許文献１８】S.Staniford, V.Paxson, and N.Weaver, "How to own the Internet in your spare time", In Proceedings of USENIX Security Symposium, August 2002.
【非特許文献１９】S.Singh, C.Estan, G.Varghese. and S.Savage, "Automated worm fingerprinting", In Proceedings of the 6th ACM/USENIX Symposium on Operating System Design and Implementation (OSDI), December 2004.
【非特許文献２０】H.Kim and B.Karp,"Autograph: Toward automated, distributed worm signature detection",  In Proceedings of 13th USENIX Security Symposium, August 2004.
【発明の開示】
【発明が解決しようとする課題】
【００１１】
本発明は、上記問題を解決するため、ある区切り文字を基準にしてフローのペイロードを分割するのではなく、フローを構成するパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして、コードの出現頻度をヒストグラムとして表わした特徴量を用いることにより、バイト列の挿入などの問題を回避することで、パケットやフローの通信内容の類似性を評価する方法を提供することを目的とする。
【００１２】
さらに複数の観測点で前記特徴量に関する情報の交換を行うと共に該情報を基にフローの類似性を判定することにより拡散型不正アクセスを早期に検知する方法を提供することを目的とする。
【課題を解決するための手段】
【００１３】
上記目的を達成するため、請求項１に記載の拡散型不正アクセス検出方法は、ネットワークトラヒックから収集したパケット情報を基にパケットのペイロードを数値化して特徴量を算出する特徴量算出工程と、前記特徴量を基にパケットやフローの通信内容の類似性を判定する類似性判定工程と、複数の観測点で前記特徴量に関する情報の交換を行うと共に該情報を基にパケットやフローの通信内容の類似性を判定することにより拡散型不正アクセスを検知する異常判定工程とを有することを特徴とする。ここでフローとは、送信IPアドレス、受信IPアドレス、送信port番号、受信port番号、およびプロトコルの５要素が同一である通信の単位と定義する。
【００１４】
請求項２に記載の特徴量算出工程は、パケット単位またはフロー単位に集約したパケット情報を基にパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして256クラスのコード出現頻度を算出すると共に、該出現頻度をヒストグラムとして表すことを特徴とする。
【００１５】
請求項３に記載の類似性判定工程は、パケットやフローの通信内容の類似性を判定するために、前記特徴量として表したヒストグラムを256次元のベクトルで表すと共に、類似性を比較する通信内容についてベクトル間の距離を算出し、算出された距離値を評価して通信内容の類似性を判定することを特徴とする。
【００１６】
請求項４に記載の類似性判定工程は、前記距離値の評価にクラスタリング技術を用いることを特徴とする。
【００１７】
請求項５に記載の異常判定工程は、一つの観測点で一定期間内に類似した通信内容が複数検出された場合、該通信内容を拡散型不正アクセスの候補として該通信内容の特徴量を他の観測点に通知する手順と、通知を受けた観測点において通知された特徴量を基準として自観測点の通信内容の類似性を判定すると共に、類似性があると判定した通信内容を拡散型不正アクセスとして検知する手順とを有することを特徴とする。
【００１８】
請求項６に記載の拡散型不正アクセス検出システムは、ネットワークトラヒックから収集したパケット情報を基にパケットのペイロードを数値化して特徴量を算出する特徴量算出手段と、前記特徴量を基にパケットやフローの通信内容の類似性を判定する類似性判定手段と、複数の観測点で前記特徴量に関する情報の交換を行うと共に該情報を基にパケットやフローの通信内容の類似性を判定することにより拡散型不正アクセスを検知する異常判定手段とを有することを特徴とする。ここでフローとは、送信IPアドレス、受信IPアドレス、送信port番号、受信port番号、およびプロトコルの５要素が同一である通信の単位と定義する。
【００１９】
請求項７に記載の特徴量算出手段は、パケット単位またはフロー単位に集約したパケット情報を基にパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして256クラスのコード出現頻度を算出すると共に、該出現頻度をヒストグラムとして表すことを特徴とする。
【００２０】
請求項８に記載の類似性判定手段は、パケットやフローの通信内容の類似性を判定するために、前記特徴量として表したヒストグラムを256次元のベクトルで表すと共に、類似性を比較する通信内容についてベクトル間の距離を算出し、算出された距離値を評価して通信内容の類似性を判定することを特徴とする。
【００２１】
請求項９に記載の類似性判定手段は、前記距離値の評価にクラスタリング技術を用いることを特徴とする。
【００２２】
請求項１０に記載の異常判定手段は、一つの観測点で一定期間内に類似した通信内容が複数検出された場合、該通信内容を拡散型不正アクセスの候補として該通信内容の特徴量を他の観測点に通知する手段と、通知を受けた観測点において通知された特徴量を基準として自観測点の通信内容の類似性を判定すると共に、類似性があると判定した通信内容を拡散型不正アクセスとして検知する手段とを有することを特徴とする。
【発明の効果】
【００２３】
請求項１または請求項６に係る発明によれば、ネットワークトラヒックから収集したパケット情報を基にパケットのペイロードを数値化して特徴量を算出し、特徴量を基にパケットやフローの通信内容の類似性を判定すること、および複数の観測点で前記特徴量に関する情報の交換を行うと共に該情報を基にパケットやフローの通信内容の類似性を判定することとしたため、検知用データベースを必要としない検知方法で拡散型不正アクセスを検知することが可能となる。
【００２４】
請求項２または請求項７に係る発明によれば、パケット単位またはフロー単位に集約したパケット情報のペイロード部についてバイトコードの出現頻度をヒストグラムとして表すこととしたため、パケットやフローの通信内容の類似性を定量的に評価することが可能となる。
【００２５】
請求項３および請求項４、または請求項８および請求項９に係る発明によれば、特徴量として表したヒストグラムを256次元のベクトルで表すと共に、類似性を比較する通信内容についてベクトル間の距離を算出し、算出された距離値を評価して通信内容の類似性を判定することとしたため、パケットやフローの通信内容の類似性を定量的に評価することが可能となる。さらに前記距離が小さい程通信内容の類似性が高くなること、および同一種類の不正アクセスのペイロード間の距離は通常通信に比べて小さくなることから、拡散型不正アクセスの候補を抽出することが可能となる。
【００２６】
請求項５または請求項１０に係る発明によれば、複数の観測点で拡散型不正アクセスの特徴量に関する情報の交換を行うと共に該情報を基にパケットやフローの通信内容の類似性を判定することとしたため、検知用データベースを必要としない検知方法で拡散型不正アクセスを検知することが可能となる。さらに通常通信と不正アクセスを弁別するために複数の観測点が協調することにより、フォールスポジティブを防ぐことが可能となる。
【発明を実施するための最良の形態】
【００２７】
次に、本発明の実施の形態に係る拡散型不正アクセス検出システムについて図面に基づいて説明する。なお、この実施の形態により本発明が限定されるものではない。
【００２８】
図１は、本発明の実施の形態に係る拡散型不正アクセス検出システムの構成を示すブロック図である。図１に示すように、拡散型不正アクセス検出システムは、ネットワークトラヒック中の観測点を通過するパケットについてパケット単位またはフロー単位に集約して収集するパケット収集部101と、収集したパケット情報を格納する記憶部102と、パケット単位またはフロー単位に集約したパケット情報からパケットのペイロードを数値化して特徴量を算出する特徴量算出部103と、算出された特徴量を基にパケットやフローの通信内容の類似性を判定する類似性判定部104と、一定期間内に類似した通信内容が複数検出された場合、該通信内容を拡散型不正アクセスの候補として該通信内容の特徴量を他の観測点に通知する情報送信部105と、他の観測点から通知された拡散型不正アクセス候補の特徴量を受け取る情報受信部106と、通知された特徴量を基に通信内容の類似性を判定することにより拡散型不正アクセスを検知する異常判定部107とを有する。
【００２９】
パケット収集部101は、ネットワークトラヒック中の観測点を通過するパケットについてパケット単位またはフロー単位に集約してパケット情報を収集するものであり、収集したパケット情報を記憶部102に格納する。ここでフローとは、送信IPアドレス、受信IPアドレス、送信port番号、受信port番号、およびプロトコルの５要素が同一である通信の単位と定義する。
【００３０】
ネットワークトラヒックをフロー単位で集約することの利点として、タイムスロットによる収集方法などのように観測時間帯に依存することなく、２点間通信の独立した情報を抽出することが可能になること、および通信サービスの区別が明確になることがある。さらにフロー情報から異常を検知した際に異常に係るホスト情報を迅速に得ることが可能になることがある。
【００３１】
特徴量算出部103は、記憶部102に格納されたパケット情報から、パケット単位またはフロー単位に集約したパケット情報を基にパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして256クラスのコード出現頻度を算出すると共に、該出現頻度をヒストグラムとして表したものを特徴量とするものであり、算出された特徴量は類似性判定部104と異常判定部107とへ出力される。
【００３２】
類似性判定部104は、パケットやフローの通信内容の類似性を判定するために、特徴量算出部103で算出された特徴量を256次元のベクトルで表すと共に、類似性を比較する通信内容についてベクトル間の距離を算出し、算出された距離値を評価して通信内容の類似性を判定すると共に、類似した通信内容が検出された場合、該通信内容に関する特徴量の情報を情報送信部105へ出力する。
【００３３】
情報送信部105は、一定期間内に類似した通信内容が複数検出された場合、該通信内容を拡散型不正アクセスの候補として該通信内容に関する特徴量の情報を他の観測点に通知するものである。
【００３４】
情報受信部106は、他の観測点から通知された拡散型不正アクセス候補の特徴量に関する情報を受け取るものであり、該特徴量に関する情報は異常判定部107へ出力される。
【００３５】
異常判定部107は、情報受信部106から受け取った拡散型不正アクセス候補の特徴量を基準にして、特徴量算出部103で算出された特徴量と比較して類似性を判定すると共に、類似性があると判定した通信内容を拡散型不正アクセスとして検知するものである。また類似性を判定する際には、それぞれの特徴量を256次元のベクトルで表すと共に、類似性を比較する通信内容についてベクトル間の距離を算出し、算出された距離値を評価する。
【００３６】
次に本発明の実施の形態に係る拡散型不正アクセス自動検出システムの動作について説明する。図２および図３は、本発明の実施の形態に係る拡散型不正アクセス自動検出システムの動作を示すフローチャートであり、図２は拡散型不正アクセスの候補を検出するプロセスを示し、図３は拡散型不正アクセスを検出するプロセスを示すものである。
【００３７】
まず図２から、ネットワークトラヒック中の観測点を通過するパケットについてパケット単位またはフロー単位に集約してパケット情報を収集する（S01）。ここでフローとは、送信IPアドレス、受信IPアドレス、送信port番号、受信port番号、およびプロトコルの５要素が同一である通信の単位と定義する。
【００３８】
次にパケット単位またはフロー単位に集約したパケット情報を基にパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして256クラスのコード出現頻度を算出すると共に、該出現頻度をヒストグラムとして表したものを特徴量として算出する（S02）。
【００３９】
上記で算出された特徴量を256次元のベクトルで表すと共に、パケットやフローの通信内容の類似性を判定するために、類似性を比較する通信内容についてベクトル間の距離を算出する（S03）。比較する通信内容について、そのヒストグラムhi 、hj 間の距離D(hi , hj)を次式により算出する。
【数１】
2007074339.tif 000003
ここでhi,kはヒストグラムhiの第kクラスを表す。この距離D(hi , hj)が小さい程通信内容の類似性が高くなり、この式を用いて通信内容の類似性を定量的に評価することが可能になる。特に同種のワーム同士はこの距離が小さくなることが、後述するシミュレーションの結果から判明している。
【００４０】
次にステップS04について説明する。同種のワームの通信内容の類似性が高いことは前述した通りであるが、一部のペイロード間において同種のワーム同士でも距離の大きいものがあることが後述するシミュレーションから判明した。これは複数のクラスタによりペイロードの分布が構成されていること、つまりワームが複数のクラスタに分散して分布していることが後述するシミュレーションから判明した。従って複数の通信内容について式(1)を用いてベクトル間の距離を算出した後に、算出したデータをクラスタリング手法により分類する（S04）。ここではクラスタリング手法として、kmeansクラスタリング手法を用いる。この手法により、クラスタ数が３以上の場合、同種ワーム間の距離の分散が非常に小さくなることが後述するシミュレーションから判明した。
【００４１】
次にステップS05について説明する。上記で述べたようにクラスタリングにより同種ワーム間の距離の分散が非常に小さくなることが判明している。従って本ステップ（S05）では、上記クラスタリングにより求めた距離の分散値が予め設定された閾値よりも小さいか否かによって、異常候補の通信内容の有無を判定することとしている。閾値よりも小さい場合は異常候補の通信内容と判定し（S06）、閾値以上の場合は正常の通信内容と判定する（S08）。
【００４２】
次にステップS07では、ステップS06で異常候補と判定された通信内容について、該通信内容に関する特徴量の情報を他の観測点へ通知する。これは、拡散型不正アクセスの通信特性として、高い類似性を示す内容の通信が多数発生することを仮定しているが、不正アクセスではない通常通信においても幾つかの類似性の高い通信内容を持つものが存在することが判明したため、通常通信と不正アクセスを弁別する方法として協調型の検出を行うことが必要と考えたことによる。つまり複数の観測点で類似性の高い通信が発見されたか否かにより、拡散型不正アクセスと通常通信との弁別が可能であると考えた。
【００４３】
次に拡散型不正アクセスを検知するプロセスについて図３を用いて説明する。図３から、他の観測点から通知された拡散型不正アクセス候補の特徴量に関する情報を受信する（S11）と、自観測点におけるパケットやフローの通信内容の中に、通知された拡散型不正アクセス候補の通信内容と類似した通信内容がないか判定するために、自観測点の通信内容についてペイロードを数値化して特徴量を算出する（S12）。つまりパケット単位またはフロー単位に集約したパケット情報を基にパケットのペイロードを8bit毎に区切り、該8bitを一つのコードとして256クラスのコード出現頻度を算出すると共に、該出現頻度をヒストグラムとして表したものを特徴量として算出する。
【００４４】
次に上記で算出された特徴量を256次元のベクトルで表すと共に、通知された拡散型不正アクセス候補の通信内容と比較するためにベクトル間の距離を算出する（S13）。比較する通信内容について、そのヒストグラムhi 、hj 間の距離D(hi , hj)を式(1)により算出する。この距離が小さい程通信内容の類似性が高くなり、この式を用いて拡散型不正アクセスを定量的に評価することが可能になる。
【００４５】
次にステップS14では、式(1)で算出した距離が予め設定された閾値よりも小さいか否かによって、拡散型不正アクセスの有無を判定することとしている。閾値よりも小さい場合は拡散型不正アクセスと判定し（S15）、閾値以上の場合は正常アクセスと判定する（S16）。
【００４６】
以上の図２および図３で示したプロセスにより、拡散型不正アクセスを検知することが可能になる。
【００４７】
次に、本発明の実施の形態に係る拡散型不正アクセス検出システムについて、実際のネットワークから得られたトラヒックデータを用いて行ったシミュレーションの内容と、その効果について説明する。
【００４８】
Bleeding Snort（非特許文献２１）のSignatureを利用して検知されたBeagle.AVと、MIMEでエンコードされたファイルが添付されたメールについて、それぞれ特徴量を算出してヒストグラムで表したものを図４と図５に示す。各図には二つのサンプルのヒストグラムが示されており、Beagle.AVのヒストグラムはほとんど同じ形状をしているが、通常メールのヒストグラムは異なる形状をしていることがわかる。本実験では、このヒストグラムを256次元のベクトルと見なし、形状の違いをベクトル間の距離により定量的に算出し、通信内容の類似性の評価を行う。以降、本実験で扱う不正アクセスは、全てBleeding SnortのSignatureを利用し検出したものを利用する。
【００４９】
【非特許文献２１】http://www.bleedingsnort.org/
【００５０】
任意の二つのヒストグラムhi、hj間の距離D(hi , hj)は式(1)で算出され、この距離をフロー間の類似性の評価指標として用いることとして、図６〜図９に同種のワーム間、ワームと通常メール間（以下、通常メールをNormalと表す）、異種のワーム間の距離の分布を示す。BeagleおよびNetSkyはメールを利用し感染するワームであるため、Normalにはメールのトラヒックのみを用いている。サンプル数は、Beagle.AVとNetSky.Pが30個、NetSky.Cが27個、Normalが56個であり、図中の横軸はその全ての組合せを示している。また算出された距離は昇順にソートして表している。
【００５１】
図６〜図９から、同種のワーム同士の距離は小さく、ワームとNormal間、異種のワーム間の距離は大きくなっていることがわかる。実験で利用したNormalの中に3個程度ワームに類似したファイルが添付されているものがあり、それらが原因でワーム同士の小さい距離が算出されている。しかし、大多数の同種のワーム同士は、ワームとNormal間よりも小さな距離となっていることから、ペイロードにおけるバイトコードの出現頻度を表したヒストグラム間の距離を用いて通信内容の類似性を定量的に評価すること、およびNormalとの弁別が可能であると考えられる。
【００５２】
上記において、任意の二つのペイロードを用いて、同種のワーム間、異種のワーム間、ワームとNormal間の距離の分布を評価し、同種のワームは通信内容の類似性が高いことが確認された。しかし一部のペイロード間において、同種のワームであっても距離の大きいものがあることも判明した。この原因として、同種のワームであっても幾つかのペイロードが他のペイロードの塊から逸脱した位置に存在していることが考えられる。つまり、複数のクラスタによりペイロードの分布が構成されていると推定できる。そこでkmeansクラスタリングを用いて、クラスタ数を変化させた際の、各クラスタ毎の分散の変化を評価し、上記の推定の検証を行う。
【００５３】
図10に、kmeansクラスタリングでクラスタ数（セントロイド数）を変化させた場合の各クラスタの分散の平均値を示す。データ数等は上記と同じものを使用する。図９より、クラスタ数が増加した際にワーム間の距離は0近くまで減少しているが、Normalは分散が大きく広範囲に分布していることがわかる。特にクラスタ数が３以上の場合、ワーム間の距離の分散が非常に小さくなっていることが確認できる。このことは、ワームが複数のクラスタに分散して分布していることの裏付けであると言える。また新種のワームが発生した場合でも、ペイロードを構成するバイトコードのヒストグラム間の距離を用いて通信内容の類似性を評価し、高い類似性を有している通信、つまり互いの距離が小さい通信を発見することにより、検知用データベースを必要としないで不正アクセス検知の可能性を示していると言える。
【００５４】
次に、ペイロードのサンプルを基準としたクラスタリングについて説明する。上記では、kmeansクラスタリングを利用し距離の分散について調査し、同一種類のワームは局所的に分布していることが明らかになった。kmeansクラスタリングのように、クラスタの基準となるベクトルを学習する必要のあるアルゴリズムでは、リアルタイムでの検知は困難になると考えられる。ここでは、他のペイロードから逸脱した通信内容が検知されたとして、そのサンプル（以下、基準サンプルと記す）を基準に順次観測された通信との距離計算を行った場合の距離の分布について検証する。
【００５５】
図11〜図13に、ある基準サンプルから他のサンプルまでの距離の分布を示す。縦軸は基準サンプルからの距離、横軸は基準サンプルと同種のワームとの距離、および基準サンプルとNormalとの距離を、観測された順に示している。図11〜図13から、基準サンプルと同一種類のワーム間の距離が小さく、基準サンプルとNormal間の距離は大きくなることがわかる。この結果から、ある逸脱したサンプルを基準とし、それ以降に観測されたサンプルの距離を順次計算することにより、類似した通信をクラスタリングし、検知することが可能であると考えられる。
【００５６】
本実験では、拡散型不正アクセスの通信特性として、高い類似性を示す内容の通信が多数発生することを仮定している。しかし不正アクセスではない通常の通信においても幾つかの類似性の高い通信内容を持つものが存在することが判明した。これはフォールスポジティブの原因となるものであるため、不正アクセスとの弁別を実現するアルゴリズムが必要である。
【００５７】
図14に、高い類似性を示す通常通信の例を示す。図14から、プロトコルヘッダやメッセージ部分が高い類似性を示す要因であることがわかる。特に、ある特定のサーバに対して定期的にアクセスする通信やPOPを利用してメールの一覧を頻繁に得ようとする通信は、アクセス日時のみが変化し、ほとんどの部分が同一の通信内容になる傾向がある。このような通常通信の部分的な変化は、拡散型不正アクセスが感染先のIPアドレスやメールアドレスを変化させるよりも小さい変化である場合があり、ヒストグラム間の距離以外に弁別を行う条件が必要である。この条件の候補としては、送受信したデータのサイズが挙げられる。前述のように類似性の高い通信内容を持つ通常通信は、プロトコルヘッダのみの通信などの短いものが多いと考えられる。一方、自己拡散を試みる拡散型不正アクセスは、スキャンや感染ホスト内のデータベースなどを利用し感染先の候補を選定する機能や、独自のメールサーバを実装するなどのある程度の規模のプログラムであると考えられ、送受信されるデータのサイズが通常通信よりも大きくなり、データサイズが不正アクセスと通常通信とを弁別する基準の候補となり得る。
【００５８】
しかしメーリングリストからのメール送信などのように、送受信されたデータサイズでは弁別できない通常通信がある。特に一定サイズ以上のファイルが添付されたものは、複数の送信先に同一内容が短時間に送信されることになり、データサイズだけでの弁別は不可能であると考えられる。
【００５９】
この問題を解決するために、複数ネットワークの協調による検知アルゴリズムについて検証する。図15に、協調型検知アルゴリズムの概要を示す。このアルゴリズムは、LANなどに設置した類似性評価システムにより抽出された高い類似性を持つ通信の情報を、個々のLAN 間で互いに交換し、それぞれ比較することを行うものである。
【００６０】
世界規模での被害をもたらす拡散型不正アクセスは、非常に多くのネットワークやホストへ感染し被害の拡大を試みるはずである。そのため、ネットワーク上の複数の観測点で類似した内容の通信が多数観測されると考えられる。この傾向は、感染速度の速い不正アクセス程、短時間で顕著になると言える。この多数のネットワークへの感染を試みる通信の特性を利用し、複数の観測点において互いに類似した通信が、類似性情報の交換により複数発見された場合、その通信を拡散型不正アクセスとして検知することが可能となる。一方、メーリングリストから同時にそのようなメールが送信されることは稀であると考えられ、複数の観測点で類似性の高い通信が発見されたか否かにより、拡散型不正アクセスとメーリングリストのメールとの弁別が可能になると考えられる。
【図面の簡単な説明】
【００６１】
【図１】本発明の実施の形態に係る拡散型不正アクセス検出システムの構成を示すブロック図である。
【図２】本発明の実施の形態に係る拡散型不正アクセス検出システムにおいて拡散型不正アクセスの候補を検出するプロセス示すフローチャートである。
【図３】本発明の実施の形態に係る拡散型不正アクセス検出システムにおいて拡散型不正アクセスを検出するプロセスを示すフローチャートである。
【図４】Beagle.AVの特徴量を表したヒストグラムを示す図である。
【図５】通常メールの特徴量を表したヒストグラムを示す図である。
【図６】Beagle.AV間、およびBeagle.AVとNormal間の距離の分布（昇順にソート）を示す図である。
【図７】NetSky.C間、およびNetSky.CとNormal間の距離の分布（昇順にソート）を示す図である。
【図８】NetSky.P間、およびNetSky.PとNormal間の距離の分布（昇順にソート）を示す図である。
【図９】Beagle.AV間、NetSky.P間、およびBeagle.AVとNetSky.P間の距離の分布（昇順にソート）を示す図である。
【図１０】クラスタ数とクラスタ毎の分散の関係を示す図である。
【図１１】ある一つのBeagle.AVとBeagle.AV間、およびある一つのBeagle.AVとNormal間の距離を示す図である。
【図１２】ある一つのNetSky.PとNetSky.P間、およびある一つのNetSky.PとNormal間の距離を示す図である。
【図１３】ある一つのNetSky.CとNetSky.C間、およびある一つのNetSky.CとNormal間の距離を示す図である。
【図１４】高い類似性を示す通常通信の例を示す図である。
【図１５】協調型検知アルゴリズムの概要を示す図である。
【符号の説明】
【００６２】
１０１  パケット収集部
１０２  記憶部
１０３  特徴量算出部
１０４  類似性判定部
１０５  情報送信部
１０６  情報受信部
１０７  異常判定部
【図１】
2007074339.tif 000004
【図２】
2007074339.tif 000005
【図３】
2007074339.tif 000006
【図４】
2007074339.tif 000007
【図５】
2007074339.tif 000008
【図６】
2007074339.tif 000009
【図７】
2007074339.tif 000010
【図８】
2007074339.tif 000011
【図９】
2007074339.tif 000012
【図１０】
2007074339.tif 000013
【図１１】
2007074339.tif 000014
【図１２】
2007074339.tif 000015
【図１３】
2007074339.tif 000016
【図１４】
2007074339.tif 000017
【図１５】
2007074339.tif 000018