信学技報
IEICE Technical Report
IN2017-57(2017-12)

一般社団法人 電子情報通信学会
THE INSTITUTE OF ELECTRONICS,
社団法人 電子情報通信学会
INFORMATIONAND COMMUNICATION ENGINEERS

信学技報
TECHNICAL REPORT OF IEICE.

THE INSTITUTE OF ELECTRONICS,
INFORMATION AND COMMUNICATION ENGINEERS

特徴量写像関数の学習による類似インシデント検索
大下 裕一†

村田 正幸†† 大阪大学 大学院情報科学研究科
E-mail: †{y-ohsita,murata}@ist.osaka-u.ac.jp
あらまし インシデントが発生した際には、管理者はそのインシデントに対して、迅速に対応することが求められる。
インシデントの対応には、過去に発生したインシデントに関する情報は有用であり、過去の類似のインシデントの情報から、新たに発生したインシデントが早急な対応が必要なインシデントか否かといった判断や、インシデントの対応方法に関して参考となる情報を得ることができる。そこで、本稿では、このようなインシデント情報を蓄積し、新たなインシデントが発生した際に、過去に蓄積したインシデントから当該インシデントに類似したインシデントに関する情報を提示できるシステムについて議論する。新たなインシデントが検知された際には、当該インシデントで発生したフロー等の特徴量を把握できる。しかしながら、それらの特徴量間の距離が近いインシデントが同種のインシデントとは限らない。そこで、本稿では、インシデントの特徴量を、類似のインシデントは近くに、異なるインシデントは遠くに写像するような写像関数をインシデントの対応結果の情報から学習し、写像関数で写像後の位置が近い過去のインシデントを検索する手法を提案する。評価により、提案手法により、過去に経験した同種のインシデントを高い精度で検索できることを示す。
キーワード

インシデント、蓄積、分類、検索

Similar incident retrieval by learning feature mapping function
Yuichi OHSITA† and Masayuki MURATA†† Graduate School of Information Science and Technology, Osaka University
E-mail: †{y-ohsita,murata}@ist.osaka-u.ac.jp
Abstract When a security incident is detected, the manager must handle it as soon as possible. The investigation of the incident is important to handle the security incident, and the information of the previously handled incidents is useful to investigate
the incident. By using the information of the similar incidents, the manager obtains the hints to handle the incident. In thispaper, we discuss the system that can search the similar incidents. When a security incident is detected, the manager obtains
the features of the incident. In our system, the features are used as the key to search the similar incidents. The similarity used
to search the incidents should be defined so that the incidents of the same kind have the large similarity. In our method, we
use the mapping function learned by using the incident reports to search the incidents considering the similarity; our systemtrains the mapping function so that the incidents of the same kinds are mapped to the near points. In this paper, we evaluate
our system and demonstrate that our system can retrieve the incidents with the same kind accurately.
Key words Incident, Store, Classification, Search

1. は じ め にばれる IoT 機器を対象としたマルウェアが登場し、その亜種の感染も広がっている [1]。今後、IoT 機器を対象とした新たな種

従来からインターネットに接続されきたパソコンやスマート類の攻撃が発生する可能性もあり、IoT によるサービスを提供フォンに加え、IoT 機器と呼ばれる様々な機器がインターネッする業者は、それらの新たな攻撃に対しても、迅速な対処が求トに接続されるようになった。インターネットに接続される機められる。

器が増加するにつれ、それらの機器が攻撃者から狙われるなど、攻撃に対して迅速な対応を行うためには、異常検知技術 [2]セキュリティリスクが高くなっている。すでに、IoT 機器を対を用い、インシデントを迅速に検出するだけでなく、そのイン象とした攻撃も実際に発生している。2016 年には、Mirai と呼シデントについて分析することが必要となる。インシデントを- 67 —1—
This article is a technical report without peer review, and its polished and/or extended version may be published elsewhere.
Copyright ©2017 by IEICE

分析することにより、外部からポートスキャンを受けた場合や、䜲䞁䝅䝕䞁䝖᝟ሗ᳨⣴䝅䝇䝔䝮᳨⣴

ブルートフォース攻撃を受けたものの、侵入に失敗した場合の䜲䞁䝅䝕䞁䝖≉ᚩ㔞

ように、被害が発生しておらず、早急の対処は必要ではない場㢮ఝ䜲䞁䝅䝕䞁䝖䛾ᑐᛂ⤖ᯝ෗ീᚋ䛾఩⨨

合なのか、あるいは、機器への侵入が成功し、機器が踏み台と⵳✚して用いられている場合のように、迅速に対応することが必要෗ീ㛵ᩘ

な場合なのかを把握することが可能となる。また、インシデン䜲䞁䝅䝕䞁䝖ᑐᛂ⤖ᯝ෗ീᚋ䛾఩⨨䝕䞊䝍䝧䞊䝇䜲䞁䝅䝕䞁䝖≉ᚩ㔞䝕䞊䝍䝧䞊䝇䛻᝟ሗ䜢⵳✚

トの分析の結果、過去に同種のインシデントが発生し、対処した経験があれば、その経験をもとに、新たに発生したインシデᏛ⩦䜲䞁䝅䝕䞁䝖ᑐᛂ⤖ᯝ䞉≉ᚩ㔞䛾䝃䞁䝥䝹ントへ対応することが可能となる。
෗ീ㛵ᩘ䜢Ꮫ⩦このようにインシデントへの対応には、過去に発生したインシデントに関する情報は有用である。特に、IoT 機器に対する

図1 概インシデントは、これまでに経験の蓄積が少ないため、新たに要インシデントが発生し、そのインシデントを今後発生するインシデント対応に利用できる形で蓄積することは重要である。このような脅威に関する情報を共有するため、脅威情報の記述方は判明していない。本稿では、そのような場合に、把握されたインシデントの特徴量を検索の入力として投入すると、過去に蓄積された対応済みインシデントの情報から、類似のインシデ法等についての議論も勧められている [3]。
インシデント情報を新たなインシデント発生時に活用するには、蓄積された情報から、類似するインシデントの情報を取得できることが求められる。インシデントの対応は、異常検知技術により、何らかの異常が検知された後に行われる。そのため、新たに検知されたインシデントの特徴（インシデント発生時に通信が行われていた宛先ポート番号や通信量等）が得られ、この特徴をもとに過去に蓄積されたインシデントの情報から、類似のインシデントを検索する。このような検索を実現する単純な方法としては、インシデントの特徴をベクトルとしてあらわし、特徴量ベクトル同士を比較し、新たに発生したインシデントの特徴量ベクトルとの差がもっとも小さいインシデントの情報を得るという方法が考えられる。しかしながら、インシデンントの情報を抽出し、管理者に提示することにより、当該インシデントの対応に活用できるシステムを構築する。ただし、ここで抽出すべきインシデントの情報は、発生したインシデントと同種のインシデントの情報であり、単に特徴量が類似しているインシデントではない。同種のインシデントであれば、その種類のインシデント固有の特徴がある。例えば、マルウェアに感染したデバイスが、新たな感染先を探しているときには、同一ポート番号宛のポートスキャンを行うといった特徴的な通信が発生する。このような特徴をもつインシデントは同種のインシデントとしてみなす必要があるが、特徴量の単純な比較だけでは、上記のような各インシデントの特徴を考慮した検索を実現できない。
そこで、本システムでは、写像関数を導入する。写像関数のトの特徴量ベクトルの差が小さいインシデントが、同種のインシデントとは限らず、インシデントの分析において、有用な情報が取得できない可能性がある。そのため、同一種類のインシデントを類似のインシデントとして抽出できるように、各インシデントの特徴を踏まえた上で、類似か否かの判断を行う必要

入力としてインシデントの特徴量を与えた場合に、同種のインシデントは近い位置に、異なるインシデントは遠い位置に写像されるように、過去に蓄積されたインシデントの対応結果をもとに写像関数を学習する。そして、写像関数の入力として、新たに発生したインシデントの特徴量を与え、写像後の位置を得、がある。
本稿では、上記を踏まえ、写像関数の学習を通して、類似のインシデントを検索することができるシステムを提案する。本

得られた写像後の位置が近い過去のインシデントを抽出することにより、類似のインシデントを抽出することが可能となる。

2. 2 構 成 要 素システムでは、インシデント対応後に管理者が投入する情報か

図 1 に本システムの構成を示す。本システムは、情報を蓄積ら把握できるインシデントの種類をもとに、類似のインシデントが近くに、異なる種類のインシデントが遠くに写像されるよ
うに、インシデントの特徴量ベクトルの写像関数を学習する。

するデータベースと、学習により更新可能な写像関数からなる。
以降、本システムの詳細について述べる。

2. 2. 1 データベース

そして、新たなインシデントが発生した際には、学習された写本システムでは、データベース内に、各インシデントについ像関数を用い、写像後の位置が近いインシデントを検索することにより、新たに発生したインシデントに類似したインシデントの情報を得る。

2. インシデント情報蓄積・検索システム
2. 1 概て以下の情報を蓄積する。

•インシデント特徴量：当該インシデントの特徴づける情報•

インシデント対応結果：当該インシデントに対応した結果、判明したインシデントの種類や、対応方法の情報

要

新たなインシデントが検出された際、管理者は当該インシデ•

ントの特徴を示す特徴量を把握している。しかしながら、その写像後位置：検索に用いる後述の写像関数で写像した後の位置

インシデントがどのような種類のインシデントであるのかまで- 68 -—2—

そして、写像後の位置を検索のキーとして利用できるようには、当該インシデント量を写像関数に入力し、写像後の位置をデータベースを構成することにより、類似したインシデントに得た上で、インシデント特徴量、インシデント対応結果、写像関する情報の検索ができるようになる。

後の位置をデータベースに保存する。

以下、データベースに蓄積される上記の各情報について説明

2. 3. 3 写像関数の学習する。

本システムでは、定期的に写像関数の学習を行う。写像関数a ) インシデント特徴量の学習の際には、データベースに蓄積されたインシデント情報

インシデント特徴量は、当該インシデントを特徴づける特徴から、一部をサンプリングし、インシデント特徴量とインシデ量で、インシデント検知時に把握可能な情報のみからなる情報ント対応結果の組を一定数得る。得られたインシデント対応結である。例えば、当該インシデント検知時に、インシデントが果をもとに、インシデント同士の類似度を計算する。インシデ発生した機器が通信を行っていたフローの本数や、宛先の種類ント間の類似度の計算方法は、あらかじめ設定した任意の計算の数、フローのサイズ等の特徴量が考えられる。インシデント方法が適用できる。そして、得られたインシデントの類似度を特徴量に含める情報については、システムの運用開始時にあらもとに、類似度が高いインシデントは写像後の位置が近く、類かじめ設定するものとし、インシデント特徴量はベクトルで表似度が低いインシデントは写像後の位置が遠くなるように、写現可能であるとする。以降、インシデント i の特徴量をベクト像関数を学習する。具体的な学習方法の例は、次節で述べる。

ル表現したものを vi とする。

写像関数の学習後、写像後の位置を大きく変わることがあれb ) インシデント対応結果

ば、これまでにデータベース内に蓄積された写像後の位置は、インシデント発生が検知されると、管理者はそのインシデン学習後の写像関数と合致しないものとなる。この場合、新しいトの調査を行い、インシデント対応を行う。その結果、インシ写像関数に合わせてデータベース内の写像後の位置を更新する。

デントの種類といったインシデントに関する情報や、インシデ

3. 異常フローの関連情報抽出への適用

ントへの対応方法を管理者は把握することができる。本稿では、これらのインシデントの調査やインシデント対応の結果、管理

本稿では、送信元・宛先 IP アドレス、ポート番号が一致する者が把握できた情報をインシデント対応結果と呼ぶ。管理者は、通信をフローとし、異常検知時のフローについて、過去に経験インシデント対応結果を本システムに投入し、本システムがイした類似のフローの情報を得るという、異常フローを検索する

ンシデント対応結果を蓄積することにより、今後、類似インシシステムとして、前節のシステムを具体化する。以降、本応用

デント発生時に、それらの情報を有効活用できるようにする。

における特徴量、対応結果、写像関数とその学習方法についてc ) 写像後の位置述べる。

2. 2. 2 で述べる写像関数の入力として vi を与えた際に得ら

3. 1 特 徴 量れる出力を、各インシデントについて蓄積する。本情報は、本

本応用においては、監視対象となる機器を定め、当該機器がデータベースから、インシデントを検索する際のキーとして用送受信するトラヒックを観測するものとする。観測は、フローいられる情報となる。具体的なインシデントの検索手順につい単位で行われ、当該フローが異常検知された後に、当該フローては、2. 3. 1 で述べる。と類似のフローの情報を検索により得る。この検索においては、

2. 2. 2 写 像 関 数

各フローについて、異常検知時に得られる情報を特徴量として本システムではは、写像関数 f を保持する。写像関数 f (vi )用いる。本稿において、各フローについて用いた特徴量を表 1により、インシデント情報を低次元な空間に写像する。その際に示す。に、同種のインシデント同士は、写像先同士の距離が近くなる

3. 2 対 応 結 果

ように、異なるインシデントの写像先は離れた位置になるよう

本応用では、インシデントについて調査を行った結果、属性に写像関数を設定する。本関数を用い、写像後の位置をキーと（DoS 攻撃に関するフローやブルートフォース攻撃に関するフしてデータベースの検索を行うことにより、単に特徴量ベクト

ローなど）が判明したフローについて、判明した属性やその詳ル vi が似ているインシデントではなく、同種のインシデントに細に関する情報を対応結果に含め、システムに投入する。写像関する情報を抽出することができる。

関数の学習の際には、対応結果に含まれている属性情報を用い、2. 3 動作同種のフローかの判断を行う。

2. 3. 1 インシデントの検索

3. 3 写 像 関 数

新たなインシデントが発生すると、当該インシデントの特徴

3. 3. 1 写像関数の構成

量 vi が得られる。vi を学習済みの写像関数 f に入力し、f (vi )本実装では、入力として、表 1 の特徴量ベクトルを与え、写を得る。f (vi ) をキーとして、類似した写像後の位置をもつイ像先の値が出力されるような多層ニューラルネットワークとしンシデントをデータベースから検索する。て構成する。各層の構成について、以下に述べる。

2. 3. 2 インシデントの蓄積a) 入 力 層インシデントの調査やインシデント対応の結果、当該インシ特徴量ベクトルの各要素を一つのノードへ、そのまま入力とデントの詳細が分かると、管理者は、インシデント特徴量とイして与える。

ンシデント対応結果の組をシステムに投入する。システム側で- 69 -—3—

表1 特徴量

説明値

同時刻の同一 IP アドレス宛のフロー数

整数値

同時刻の同一 IP アドレス発のフロー数

整数値

同時刻の同一ポート番号宛のフロー数

整数値

同時刻の同一ポート番号発のフロー数

整数値

フロー中の監視対象機器への総パケット数

整数値

フロー中の監視対象機器への総トラヒック量（Byte)

整数値

フロー中の監視対象機器からの総パケット数

整数値

フロー中の監視対象機器からの総トラヒック量 (Byte)

整数値

フロー中の監視対象機器への平均パケットレート（packets/sec）

実数値

フロー中の監視対象機器からの平均パケットレート（packets/sec）

実数値

フロー中の監視対象機器への平均トラヒックレート（Byte/sec）

実数値

フロー中の監視対象機器からの平均トラヒックレート（Byte/sec）

実数値

フロー中の監視対象機器の送信トラヒック量と対象機器の受信トラヒック量の比 実数値
監視対象機器側のポート番号

代表的なポート番号について One Hot 化した値

監視対象機器の通信相手側のポート番号

代表的なポート番号について One Hot 化した値

プロトコル番号

代表的なプロトコルについて One Hot 化した値

開始 TCP フラグ

各フラグについて ON なら 1、OFF なら 0

逆方向開始 TCP フラグ

各フラグについて ON なら 1、OFF なら 0b ) 一層目の隠れ層
入力ベクトル v の各要素について、閾値を設け、閾値を超え+∑ (1 − S(f1 , f2 )) ( f (vf1 ,f2 ∈Fているかで、0 または 1 を出力することにより、入力ベクトル

1f1 )−f (vf2 ))2 αから特徴を抽出する。本写像関数では、一層目の隠れ層で、こただし、類似度 S(f1 , f2 ) は、0 以上 1 以下の値をとり、類似すのような特徴量の抽出を行う。以降では、各入力要素につき、る際に 1 に近い値となり、異なる場合に 0 に近い値をとるものn 個の特徴量を抽出する。これを行うための処理として、一層とする。本誤差関数は、類似度の高いフローの写像後のユーク目の出力の各要素は、以下の関数によって得る。
)
((1)
(1)
(1)
yin+j = σ ain+j vi + bin+j

リッド距離が近くなり、類似度の低いフローのユークリッド距(1)(1)
ただし、ai 、bi は学習によりチューニングされるパラメーて、誤差逆伝搬法によりニューラルネットワークの学習を行う

タであり、σ() はシグモイド関数である。と、局所解から脱することができず、類似度の低いフロー同士離が遠くなるほど、小さな値をとる。
しかしながら、多量のデータを与え、上述の目的関数を用いc ) 二層目以降の隠れ層の距離が小さいままとなってしまうことも起こりうる。そこで、二層目以降の隠れ層は、前の層の出力を全結合して、出力す

この問題を解消するために、以下の手順で、学習を行う。

る。活性化関数は、ReLU を用いる。つまり、n 層目の出力は、（ 1 ） 学習時に代表となるフローを、代表として選択された以下の関数により得られる。
())∑ ( (n) (n−1)(n)(n)
yi = max 0,aj yj+ bj

フロー同士の類似度が低くなるように、選択（ 2 ） 代表となるフロー間の距離が大きくなるように写像関数を学習（ 3 ） 代表となるフローを基準に、そのほかのフローの情報

j(n)

(n)

ただし、ai 、biは学習によりチューニングされるパラメーを用いて写像関数を学習
ここで、代表となるフローは、すでに代表として選択されたタである。

d) 出 力 層

いずれのフローとも類似度が低いフローを選択する。そのよう二層目以降の隠れ層を多段組み合わせ、最上位層で得られたなフローが複数存在する場合は、候補となるフローのうち、類似度が高いフロー同士でクラスタを作成し、クラスタ内の全フ出力を、写像結果とする。

3. 3. 2 学 習 方 法

ローの現在の写像関数での写像後の位置を計算、写像後の位置

本実装では、フロー f1 と f2 の間の類似度 S(f1 , f2 ) が、既の中央値に近いフローを選択する。これにより、当該クラスタ

知のデータベースに登録されたフローのすべてについて得られに属するフロー群について、クラスタの中心に近いフローを代た場合に、以下を最小化するように、ニューラルネットワーク表となるフローとして選択することが可能となる。以降、こので構成された写像関数 f を学習する。

選択されたフローの集合を F rep と表す。

∑f1 ,f2 ∈F(
S(f1 , f2 )(f (vf1 ) − f (vf2 )α)2 )次に、選択された代表となるフロー間で、現在の写像関数における写像後の位置を計算する。代表となるフロー間の写像後の位置のユークリッド距離が、いずれも閾値 T 以上であれば、- 70 -—4—

類似度の低いフロー同士は、十分離れた距離に写像されているリットについて示すために、ある種類のインシデントに関するとみなすことができる。しかしながら、ユークリッド距離が閾情報の蓄積が少ない場合に注目し、正しくインシデントの抽出

値 T 以下のフローの組み合わせが存在すると、類似度の低いフができるのかを調べた。本評価は、以下の手順で行う。

ロー同士が近くに写像されており、適切な写像関数となってい（ 1 ） 評価対象以外のフローの学習ない。この場合、代表として選択されたフロー同士の写像後の評価対象の種類以外の全フローを学習に用い、写像関数を学習位置が離れた位置となるように、以下の誤差関数を最小化する

する

ように、ニューラルネットワークで構成された写像関数を誤差（ 2 ） 評価対象のフローの学習逆伝搬法により、学習する。
∑
(1 − S(f1 , f2 )) ( f (v

評価対象の攻撃トラヒックを 1 回発生させ、本トラヒックに含1f1 )−f (vf2f1 ,f2 ∈F rep

まれるフローを学習) ) 2（ 3 ） 精度の評価
評価対象の全フローについて、各フローの特徴量をキーとしてα

提案システムにおいて、類似したフローを検索し、検索の精度
これにより、代表として選択されたフロー同士は、離れた位置を評価。に写像されるように、写像関数を学習することができる。

（ 4 ） 2 へ戻る

代表となるフローの写像後の位置が離れた位置となるように写像関数を学習できると、代表となるフローの写像後の位置を基準として用い、そのほかのフローの写像後の位置が類似するフローの写像後の位置と近くなるように、写像関数を学習する。
その際、以下の誤差関数を最小化するように学習を行う。
()2 )(∑f (vf1 ) − f ′ (vf2 )S(f1 , f2 )αsamplerep
f1 ∈F

上記の手順を繰り返すことにより、フローに関する情報の蓄積により、検索精度がどのように向上するのかについて調べる。
以降、本評価では、検索精度は、各フローについて、写像後の距離がもっとも近い学習済みのフローを取得し、その取得されたフローの種類が評価に用いたフローと同一であったものの数をカウント、カウントされた値を評価に用いたフロー数で割った値とする。

,f2 ∈F4. 1. 3 比 較 対 象

ただし、F sample は学習に用いるサンプリングされたフローの集′提案手法では、学習した写像関数を用いることにより、類似合、f は本学習をする前の写像関数を表す。これにより、代表した種類のフローを検索可能としている。そこで、本評価では、として選択されたフローの写像後の位置を基準に、各フローに写像関数を用いずに、入力として与えられた特徴量 v 同士を比ついて、代表として選択されたフローのうち、類似したフロー較し、学習済みのフローのうち、特徴量同士のユークリッド距の写像後の位置の近くに写像されるように、写像関数を学習す離が最も小さいフローを得る手法と比較を行った。

ることができる。

4. 評

4. 2 結果

本評価では、隠れ層の数が 5、各隠れ層のノード数は 100、出価

力層が 2 ノードのニューラルネットワークとして写像関数を構

4. 1 評 価 方 法

成し、上述の手順で、フロー情報を蓄積、検索を行った際の精4. 1. 1 評価に用いたデータ度について評価を行った。図 2 に telnet による遠隔操作のトラ本評価では、仮想ネットワーク上に、攻撃者ノードと被害者ヒックを評価対象とした場合の結果を示す。図より、写像関数ノードを配置、表 2 に示す攻撃トラヒックを攻撃者ノード・被を用いない場合、写像関数の学習を行う場合、いずれも、経験害者ノード間に発生させた。そして、tcpdump を用いて当該フした telnet による遠隔操作のトラヒックの数が増えるにつれ、ローをキャプチャし、表 1 の特徴量を抽出し、評価に用いた。

検索精度が向上していることが分かる。これは、telnet による攻撃トラヒックは、各種類につき、通信レートやダウンロード・遠隔制御のトラヒックの蓄積が進むにつれ、精度の評価時に用アップロードするファイルのサイズ、辞書攻撃に用いる辞書いたフローと類似したフローがデータベース内に含まれる確率等の攻撃時に設定するパラメータをランダムに変化させつつ、が高まるためである。

1000 回発生させた。また、学習の際には、学習に利用する各フ

また、図より、写像関数を用いない場合には、蓄積されたトローについて、表 2 の分類が分かり、管理者は当該分類結果をラヒック数に対して、精度は単調増加であるのに対して、写像システムに投入するものとする。また、本分類結果をもとに、関数の学習を行った場合は、学習済みのインシデント数が少な

同一の種類に分類されるフローについては、類似度は 1、それい場合には、精度の変化が大きく、新たなトラヒックを学習し以外は類似度は 0 となるものとした。

た結果、精度が悪化することも起きている。これは、少ないフ

4. 1. 2 評 価 手 順

ローの情報から、telnet の写像後の位置を決定しているためで提案手法では、学習した写像関数を用いることにより、特徴あり、新たに観測された telnet のフローに合わせて写像関数を量ベクトルのみからは分からない類似したインシデントを抽出学習した結果、写像関数が大きく変化することが原因である。

することができることに特徴がある。そのため、発生したインしかしながら、ある程度以上の telnet に関するフローの情報をシデントと類似のインシデントの数が少ない場合であっても、蓄積し、写像関数の学習に用いることにより、学習結果との写類似したインシデントを抽出することができる。そこで、本メ像関数が大きく変化することはなくなり、新たなフローの観測- 71 -—5—

表 2 評価に用いたトラヒック
トラヒックの種類

説明

ブルートフォース攻撃 (監視対象機器が攻撃先) 監視対象機器の telnet、ssh、ftp ポートで提供されるサービスのパスワード認証に対して辞書攻撃を発生
ブルートフォース攻撃 (監視対象機器が攻撃元) 監視対象機器から、監視対象外の機器の telnet、ssh、ftp ポートで提供されるサービスのパスワード認証に対して辞書攻撃を発生

DoS 攻撃 (監視対象機器が攻撃先)

監視対象機器に対して、SYN パケットを大量に生成 (SYN flood)、あるいは、ICMP

DoS 攻撃 (監視対象機器が攻撃元)

監視対象機器以外の特定の機器に対して、SYN パケットを大量に生成 (SYN flood)、パケットを大量に発生 (ICMP flood)
あるいは、ICMP パケットを大量に発生 (ICMP flood)
ホストスキャン（監視対象機器が攻撃先）

特定の Well known ポートを対象として、当該ポートの空き状況をサブネット内の全機器に対して調査を行う通信を発生。（ただし、そのうち、監視対象機器に到達したもののみが観測）

ホストスキャン（監視対象機器が攻撃元）

監視対象機器から特定の Well known ポートを対象として、当該ポートの空き状況ポートスキャン（監視対象機器が攻撃先）

監視対象の機器に対して、当該機器の空きポートを調査を行う通信を発生。

ポートスキャン（監視対象機器が攻撃元）

監視対象機器から監視対象の特定の機器に対して、当該機器の空きポートを調査ををサブネット内の全機器に対して調査を行う通信を発生。

行う通信を発生。
遠隔制御

SSH や telnet で、監視対象機器を操作する通信を発生

ファイルのダウンロード

HTTP 経由で監視対象機器にファイルをダウンロード

ファイルのアップロード

HTTP 経由で監視対象機器からファイルをアップロード

トラヒックを学習に用いることにより、写像関数を用いない場

10.95

合と比べ、提案手法の方がより高い検索精度を達成することが0.9できている。

Precision

0.85

5. ま と め

0.80.75

本稿では、写像関数の学習を通して、類似のインシデントを0.7検索することができるシステムを提案した。そして、異常検知0.65

されたフローと類似するフローの検索に適用し、評価を行った。
without mapping function
with mapping function

0.6

評価の結果、写像関数を用いずに、特徴量が類似するフローを0.55
0510152025検索する手法と比べ、より高い精度で類似フローの検索ができ30

Number of attacks

ることが分かった。

図 2 蓄積されたトラヒック数と検索精度

今回の評価では、提案するインシデント検索を攻撃時に発生するフローに関する情報の検索に適用して評価を行った。しかにより、精度が著しく変化することはなくなる。

しながら、現実に発生するインシデントは、複数のフローやロまた、図より、telnet による遠隔操作に関するトラヒックを 5グが関係し、それらを包括的に見ることにより、インシデント回以上観測すると、提案手法では、0.95 程度の精度を達成可能の識別が可能となる。そのような場合への本研究の適用は今後であるのに対して、写像関数を用いない手法の精度は 0.85 からの課題である。

改善しない。これは、写像関数を学習する手法では、telnet に謝よる遠隔操作に関するフローを、他の種類のフローとは離れた辞位置に写像するような学習を行った結果、他の種類のフローを本研究は、総合科学技術・イノベーション会議の戦略的イノ誤って抽出することが激減したのに対し、写像関数を用いない

ベーション創造プログラム（SIP）「重要インフラ等におけるサ手法では、各フローについて、当該フローと特徴量ベクトルがイバーセキュリティの確保」（管理法人：NEDO）により実施さ近いフローが観測されない限り、精度を向上させることはできれた。

ない。このように、写像関数の学習を通して、類似フローを検索することができる提案システムは、過去に蓄積された類似したフローを検索する際に、同種のフローの経験が少なくても、精度よく情報取得ができることが分かる。
本稿では、紙面の都合上、telnet による遠隔操作のトラヒッ
クを評価対象とした場合の結果のみを示したが、他の種類のトラヒックを評価対象とした場合においても、同様に、一定数の- 72 -文献[1] H. Sinanovic and S. Mrdovic, “Analysis of mirai malicious software,”in Proceedings of SoftCOM, Sept. 2017.
[2] 中津留毅, 五十嵐弓将, 南拓也, “IoT 機器の健全性劣化を検知する技術,” 電子情報通信学会総合大会, Mar. 2017.
[3] S. Barnum, “Standardizing cyber threat intelligence information withthe structured threat information expression (stix),” MITRE Corporation, vol. 11, pp. 1–22, 2012.

—6—